India komt met apart internetdomein voor websites Indiase banken
De centrale bank van India komt met een apart internetdomein voor de websites van Indiase banken. De maatregel moet onder andere phishing tegengaan, zo heeft de autoriteit vandaag bekendgemaakt. Volgens de Reserve Bank of India is een toenemend aantal gevallen van fraude met digitale betalingen een grote zorg. Om dit tegen te gaan heeft de autoriteit het exclusieve internetdomein 'bank.in' voor Indiase banken aangekondigd.
"Dit initiatief moet cybersecuritydreigingen en malafide activiteiten zoals phishing verminderen, en veilige financiële diensten stroomlijnen, en daarmee het vertrouwen in digitaal bankieren en betaaldiensten versterken", zo staat in een verklaring. Het Institute for Development and Research in Banking’ Technology (IDRBT) zal als exclusieve registrar voor het betreffende domein fungeren. Indiase banken kunnen vanaf april dit jaar hun .bank.in-domein registreren. Tegelijkertijd komt de Indiase centrale bank met gedetailleerde richtlijnen. Verder is het plan om voor andere financiële dienstverleners het exclusieve domein 'fin.in' te lanceren.
Zijn ze in Nederland wel eenvoudig te herkennen (bedrijfsnaam.nl) en zou het hier dus onzinnig zijn?
Blijft een gemiste kans dat sidn niet in de prehistorie ook al wat sector-subdomeinen het klaargelegd, en de vroege registreerders (.com.nl , .org.nl ,.edu.nl ) daaronder geduwd.
Het wordt nu (eindelijk) overwogen voor .overheid.nl (/.gov.nl) , maar banken een andere logische partij.
En de publieksvoorlichting kan dan ook een heel simpele boodschap brengen "een echte bank eindig altijd op .bank.nl " .
Zijn ze in Nederland wel eenvoudig te herkennen (bedrijfsnaam.nl) en zou het hier dus onzinnig zijn?
1) Dat cybercriminelen domeinnamen kunnen registreren (en hosten en daar certificaten voor verkrijgen) die van een bank lijken te zijn. Voorbeelden vind je o.a. in https://security.nl/posting/874752 onder "Voorbeelden van nepwebsites" (ik heb hier al veel vaker over geschreven, zoals in https://security.nl/posting/842742 - zie net boven en onder "4) Valse domeinnaam trends").
2) Dat de meeste mensen niets van domeinnamen snappen. En dat is niet gek, want een domeinnaam uit een URL plukken en analyseren is niet simpel. Bijvoorbeeld static.nl-0.yk-hosted-12-31.ydns·eu bestaat (zie https://crt.sh/?q=static.nl-0.yk-hosted-12-31.ydns.eu). Criminelen kunnen dus ook nepsites met de volgende domeinnamen opzetten:
• mijn.ing.nl-inloggen·com
• mijn.ing.bank.nl-inloggen·com
(in bovenstaande voorbeelden heb ik de laatste punt vervangen door '·' om onbedoeld openen te voorkómen).
En dan heb ik het nog niet over IDN's gehad (zoals https://lîdl·be: voor verse screenshots zie https://infosec.exchange/@ErikvanStraten/113965660044742901).
3) Omdat sommige mensen niets van URL's (denken te) snappen, kijken ze er überhaupt niet naar. In plaats daarvan kijken ze of ze elementen in de webpagina herkennen. Vooral op mobiele browsers is er steeds minder zichtbaar van domeinnamen. Iemand heeft bedacht dat de adresbalk standaard onder aan het scherm zetten een briljant idee is en tevens dat die hele adresbalk in no time van je scherm verdwijnt.
Een sterk mechanisme om te weten van wie een website is (wie er juridisch aansprakelijk voor is), met veel méér identificerende gegevens dan slechts een domeinnaam (waar iedereen ontelbare varianten van kan registreren), ontbreekt in webbrowsers, en dat is opzettelijk (Big Tech zou minder aan hosting en domeinregistraties verdienen als bezoekers nepwebsites beter van echte zouden kunnen onderscheiden).
Uniek anoniem pseudoniem
Effectief is een domeinnaam niets anders dan een (potentieel suggestief) telefoonnummer waar ook kleine letters a-z in voor kunnen komen (of, zo je wilt, een woonadres zoals "Hoofdweg 123, Apelveen, HetLandVanOoit"): het kan van iedereen zijn en gisteren van eigenaar veranderd zijn.
Een domeinnaam is meestal een pseudoniem voor, steeds vaker, een niet te traceren huurder (`whois` is dood). Niets meer en niets minder dan een wereldwijd unieke identifier van een vaak volstrekt anonieme "eigenaar", die zich overal ter wereld kan bevinden en doodsimpel en meestal straffeloos een echte website kan nabootsen - zonder een, voor aangiftes, opsporing en vervolging bruikbare identiteit (in elk geval eentje waar jij, als bezoeker van een nepwebsite, zelf extreem lastig of niet achterkomt).
Big Tech bedrijven en domeinnaamparkeerders, maar ook banken, Kifid en reguliere rechters, vinden dit jouw probleem. Een probleem dat individuen onmogelijk zelf kunnen oplossen.
Domeinnamen zonder aanvullende en betrouwbare identificerende gegevens leiden tot het perfecte scenario voor cybercrime - waar Big Tech schaamteloos aan meeverdient.
2) Dat de meeste mensen niets van domeinnamen snappen. En dat is niet gek, want een domeinnaam uit een URL plukken en analyseren is niet simpel. Bijvoorbeeld static.nl-0.yk-hosted-12-31.ydns·eu bestaat (zie https://crt.sh/?q=static.nl-0.yk-hosted-12-31.ydns.eu). Criminelen kunnen dus ook nepsites met de volgende domeinnamen opzetten:
• mijn.ing.nl-inloggen·com
• mijn.ing.bank.nl-inloggen·com
(in bovenstaande voorbeelden heb ik de laatste punt vervangen door '·' om onbedoeld openen te voorkómen).
[..]
3) Omdat sommige mensen niets van URL's (denken te) snappen, kijken ze er überhaupt niet naar. In plaats daarvan kijken ze of ze elementen in de webpagina herkennen. Vooral op mobiele browsers is er steeds minder zichtbaar van domeinnamen. Iemand heeft bedacht dat de adresbalk standaard onder aan het scherm zetten een briljant idee is en tevens dat die hele adresbalk in no time van je scherm verdwijnt.
Ik denk wel dat het behoorlijk kan schelen.
Een publieks-boodschap die *simpel* en *consistent* kan uiteindelijk wel indalen.
Al die nep-voorbeelden die je noemde (sub sub achter inloggen.com ) zijn te complex om te leren.
Een boodschap dat "eindigt op bank.nl (of gov.nl ) is "altijd echt" heeft m.i.. een goede kans om te landen en zo een behoorlijke phishing drempel te zijn.
Een sterk mechanisme om te weten van wie een website is (wie er juridisch aansprakelijk voor is), met veel méér identificerende gegevens dan slechts een domeinnaam (waar iedereen ontelbare varianten van kan registreren), ontbreekt in webbrowsers, en dat is opzettelijk (Big Tech zou minder aan hosting en domeinregistraties verdienen als bezoekers nepwebsites beter van echte zouden kunnen onderscheiden).
Ach daar komt de hopeloze rant weer.
Krijg nou toch eens tussen je oren dat
1) Internet is wereldwijd.
2) een totale World Order NOOIT gaat lukken.
Waar je de paranoia vandaan haalt dat er een significant verdienmodel zit aan het (procentueel) minimale setje fake sites - dat dan ook nog beschermd moet worden ontgaat me totaal .
Maar het is de typische oogkleppen reactie van een onderknuppel naar "hullie big shots"
Oftewel : domeinen en budgethosting zijn ZIJN technisch spotgoedkoop, en dat gaat zo blijven - ergens.
En bestaan voor ontzettend veel vanity meuk, wegwerp campagne sites, en poekies-eigen-site spul.
Jouw historisch paradijs van een internet voor en door nette en heel erg capabele techneuten is verleden tijd , en gaat nooit meer terugkomen. Grow up.
Kansloze achterhoede rants dat eigenlijk alle domeinen "grondig herleidbaar en gecontroleerd moeten zijn" gaan gewoon echt niet gebeuren. Er is zelfs te argumenteren dat dat best onwenselijk is, vanuit het perspectief "internet bereikbaar voor de massa" .
Wat eventueel bereikbaar zou kunnen zijn is een wat goed herkenbare eilandjes waaruit je meteen ziet dat sites onder zo'n domein wel echt zijn - en alleen te verkrijgen door partijen die bewijsbaar in die sector zitten.
Voor iets als gov.nl kan dat prima .
Phish sites onder .mil of .gov lukt je ook niet snel .
Uniek anoniem pseudoniem
Effectief is een domeinnaam niets anders dan een (potentieel suggestief) telefoonnummer waar ook kleine letters a-z in voor kunnen komen (of, zo je wilt, een woonadres zoals "Hoofdweg 123, Apelveen, HetLandVanOoit"): het kan van iedereen zijn en gisteren van eigenaar veranderd zijn.
"lege BV te koop" .
(of volle BV . Ooit goede merken zijn ook verpatst en geplakt op shit )
Kan ik ook lang over jammeren, maar de pretentie (of de domheid) hebben dat ik het ga oplossen, heb ik niet.
Het algemene probleem is pakweg zo oud als georganiseerde handel, en daar ook nooit totaal opgelost.
Het is een mix van opsporing/vervolging, branding ('let op het keurmerk') - en restpercentage waar je dan als maatschappij mee moet leven.
https://www.virustotal.com/gui/ip-address/104.18.37.211/relations
https://www.virustotal.com/gui/ip-address/104.18.2.4/relations
https://www.virustotal.com/gui/ip-address/34.163.208.105/relations
https://www.virustotal.com/gui/ip-address/185.216.71.118/relations
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Security Adviseur
bij HHNK
Heb jij een passie voor informatiebeveiliging en wil je jouw expertise inzetten in een organisatie met impact? solliciteer nu! Bij HHNK hechten we veel waarde aan de veiligheid van onze informatie en systemen. Met een breed scala aan informatie-technologie (IT) en operationele technologie (OT) binnen onze taken, is het essentieel om deze veilig te houden.
Security Specialist
Directie Informatievoorziening & Inkoop
Als security specialist is je primaire taak het detecteren en het afhandelen van (mogelijke) security incidenten. Hiervoor vergaar je dreigingsinformatie en richt je op basis van risico's detectieregels in, opdat aanvallers in een zo vroeg mogelijk stadium geïdentifi-ceerd kunnen worden. Wanneer een dreiging wordt gedetecteerd, zorg jij ervoor dat de juiste acties worden uitgezet.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?