"EU-Raad wil standaard automatische updates voor IoT-apparaten"
De EU-Raad wil dat Internet of Things (IoT) apparaten standaard automatisch beveiligingsupdates ontvangen. Daarnaast moeten producten met digitale elementen langer dan vijf jaar met patches worden ondersteund. Dat blijkt uit een nieuwe tekst van de Europese Cyber Resilience Act (CRA), zo stelt Euractiv.
De Europese Commissie presenteerde afgelopen september de CRA, die voor veiligere hardware en software moet zorgen. Het wetsvoorstel verplicht leveranciers van hardware en software om cybersecurity-maatregelen te nemen om hun producten te beveiligen, waaronder het aanbieden van beveiligingsupdates. Oorspronkelijk werd hiervoor een maximale termijn van vijf jaar gehanteerd, maar in de nieuwe tekst is die termijn nu komen te vervallen.
Verder is er in de nieuw tekst opgenomen dat IoT-apparaten en andere "connected devices" standaard automatisch beveiligingsupdates moeten ontvangen. Fabrikanten moeten wel een duidelijk en eenvoudig opt-out-mechanisme aanbieden. De nieuwe tekst maakt ook duidelijk dat de CRA niet voor alle opensourcesoftware geldt. Iets waar eerder nog onduidelijk over was.
Nu is duidelijk gemaakt dat de CRA alleen van toepassing is op connected producten die op de Europese markt zijn uitgebracht om geld mee te verdienen. De voorwaarden waaronder het product is ontwikkeld spelen daarbij geen rol. Daardoor blijft de CRA wel geld voor opensourcesoftware zoals Android, aldus Euractiv. Deze week vond er overleg plaats over het voorstel. Daar kleven volgens critici ook allerlei bezwaren aan.
"Ondanks de kritiek gaan de ambtenaren nu verder met de volgende fase en alles wijst erop dat men niet van plan is het voorstel aan te passen", zegt beveiligingsexpert Bert Hubert tegenover Binnenlands Bestuur. "Het probleem is dat wetgevers die regels en documenten opstellen voor de veiligheid van staafmixers, nu ook opeens denken regels op te kunnen stellen voor hoe je veilige software schrijft. Ze hebben geen verstand van software en geven dat ook toe." Doordat het wetsvoorstel breed en vaag is geformuleerd en op overtredingen hoge boetes staan, zorgt dit volgens Hubert voor onzekerheid bij bedrijven.
https://www.nu.nl/tech/6190029/aeg-combimagnetron-onbruikbaar-na-update-apparaat-denkt-stoomoven-te-zijn.html
En dat was dan alleen nog maar onbruikbaar geworden.
Het zoveelste idee van een stel digibeten die vinden dat ze de rest van de wereld moeten voorschrijven hoe te leven.
https://www.nu.nl/tech/6190029/aeg-combimagnetron-onbruikbaar-na-update-apparaat-denkt-stoomoven-te-zijn.html
En dat was dan alleen nog maar onbruikbaar geworden.
Brakke wetgeving en vage begrippen en slecht omschreven termen zorgen voor ruis, onzekerheid en dus verlies van economie...
Dat zou je niet moeten willen... Is dat het probleem van een out-of-date wireless access point die niet rechtstreeks aan het internet hangt waard?
Zodra een device een niet RFC1918 adres krijgt, dan moet het misschien de meest recente update hebben...
(en voor degene die denken 'met portforwarding kan dat ook', dan is het probleem dat het port-forwardende device maar genoeg veiligheid moet hebben ingebouwd om portforwardetje te kunnen spelen op een veilige manier.
Brakke wetgeving en vage begrippen en slecht omschreven termen zorgen voor ruis, onzekerheid en dus verlies van economie...
Dat zou je niet moeten willen... Is dat het probleem van een out-of-date wireless access point die niet rechtstreeks aan het internet hangt waard?
Zodra een device een niet RFC1918 adres krijgt, dan moet het misschien de meest recente update hebben...
(en voor degene die denken 'met portforwarding kan dat ook', dan is het probleem dat het port-forwardende device maar genoeg veiligheid moet hebben ingebouwd om portforwardetje te kunnen spelen op een veilige manier.
Door de eerste zin meteen afgehaakt. Wat een onzin. Alsof er geen MI6, AIVD en FSB bestaat /s
De koper/gebruiker van die apparatuur moet verantwoordelijk worden gesteld als deze de security patches niet heeft toegepast en daardoor schade bij anderen wordt veroorzaakt.
- support > 10 jaar,
- als je te veel loopt te klooien, moet compatibiliteit met opensource aanwezig zijn zodat iets als openwrt/linux geinstalleerd kan worden.
etc etc
https://www.nu.nl/tech/6190029/aeg-combimagnetron-onbruikbaar-na-update-apparaat-denkt-stoomoven-te-zijn.html
En dat was dan alleen nog maar onbruikbaar geworden.
Dat is een kwestie van meenemen in de specs.
https://www.nu.nl/tech/6190029/aeg-combimagnetron-onbruikbaar-na-update-apparaat-denkt-stoomoven-te-zijn.html
En dat was dan alleen nog maar onbruikbaar geworden.
Dat is een kwestie van meenemen in de specs.
Ik denk dat er een verschil in prijsklasse is tussen een space hardened maanlander met een architectuur van verschillende onafhankelijke systemen die allemaal HA uitgevoerd zijn, en een simpel SoC IoT apparaat voor binnenhuisgebruik...
Een beetje wat Tweakers nu ook kan met de meuktracker (tegenwoordig downloads/updates). Ik kan een mail krijgen over software die ik gebruik. Het nadeel van tweakers is dat het deels handwerk is. Maar als dit stuk al geautomatiseerd kan worden kan er software/websites komen waar je zelf software aan toe kunt voegen die dan ook netjes bijgewerkt wordt en jouw berichten kan sturen op manieren die voor jouw werken zodat je er ook iets mee gaat doen.
Luk raak updates pushen is leuk tot het een keer goed fout gaat en dan gaat iedereen het uitzetten en dan is het einde/vertrouwen zoek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
