De schaduwkanten van de Cloud

Truc van marketing is om alleen de voordelen te noemen of omgekeerd, afhankelijk van wat je wilt verkopen. Nu door onthullingen van Snowden een discussie over privacy op gang komt wordt helaas nog vergeten dat sommige bedrijven de handel in persoonsgegevens tot hun business model gemaakt hebben.

Goed, daar krijgen we tegenprestaties in de vorm van diensten voor terug maar geldt dit ook niet voor de inlichtingendiensten?

Tenslotte waarschuwde de AIVD in 2010 al met een kwetsbaarheidsanalyse voor de gevaren van ‘Consumerization of IT’  door het lage bewustzijn voor:

1. Waarde van informatie
2. Verschillende belangen
3. Noodzaak van beveiliging 

De technische en juridische abstracties zorgen er namelijk voor dat onduidelijk blijft wie er mee mogen en kunnen lezen. Nu iedereen verontwaardigd is over het stofzuigen van de NSA wordt de ‘Nilfisk’ van Google nog vergeten. En ergens heb ik het idee dat ‘naming and shaming’ van Google met hun transparantie rapport dus ook niet meer is dan marketing.

Dr. Jekyll versus mr. Hyde
Veel gratis oplossingen introduceren een ‘frenemies’ probleem, het is makkelijk maar heeft vaak een mistig verdienmodel. Vooral het tweezijdig model waarbij aan de achterkant data verkocht wordt aan derden is een listige opzet. Vooral bedoeld om de ‘inboorlingen’ hun privacy te laten ruilen voor spiegeltjes en kraaltjes. Hoewel we met aanvullende technische maatregelen zoals encryptie een aantal zaken kunnen mitigeren introduceert dit nieuwe problemen zoals verloren sleutels, toename van spam en hogere kosten voor services. Gebruik van ‘gratis’ diensten zorgt dus voor obesitas in (maat)regelen welke daarom nog vaak achterwege gelaten worden.

Olifanten en gedachtenwolkjes

Hoe kun je een olifant laten vliegen? Een vreemde vraag om mee te beginnen maar ik verbaas me al enige tijd bij discussies over een onderwerp als de back-up. Natuurlijk kun je bezuinigen op de back-up voor mobiele gebruikers door als een struisvogel je hoofd in het zand te steken en tegen de mol te zeggen dat het prachtig weer is. Want je kunt bestanden wel naar cloud synchroniseren maar ze in korte tijd is dan meestal toch wat anders. Meeste aanbieders roepen hier dus ook niets over omdat ze alleen een back-up aanbieden terwijl het om de restore hoort te gaan.

En ze zijn ook niet allemaal transparant over de beveiliging, het zal dus niet de eerste keer zijn dat  een back-up op straat komt te liggen. Denk ook niet te licht over encryptie want ‘ransomware’ als gevolg van verloren sleutels is nog vervelender dan geen back-up blijken te hebben. Sommige aanbieders in de cloud bieden wel een uitweg maar die hebben dus altijd toegang tot je data. Nu zal ik niet beweren dat cloud based back-up slecht is, in tegendeel zelfs omdat het helpt de olifant van alsmaar groeiend archief aan de kant van de gebruiker op te delen. Want hoewel de back-up zelf een proces van data dupliceren is gaat het dus om de archivering, de herinneringen die we koesteren of moeten bewaren. Maar met alle kopieën die we hebben lijkt dit archief wel steeds meer op de gruzelementen van Voldemort uit de Harry Potter films.

I know what you did last summer

Openbaring van Edward Snowden krijgt angstaanjagende vergelijkingen met deze film. Zelf weet ik niet meer met wie ik  zat te chatten, laat staan dat ik antecedenten van die personen wist. Misschien heb ik wel een ‘like’ gegeven op de facebook pagina van een Al Qaeda terrorist en ligt het enkeltje Guantanamo Bay al klaar. Er ontstaat een Kafkaëske situatie.

Wat ik wel weet is dat afgelopen zomer de niet geautoriseerde versie van PRISM ook druk bezig was om gegevens te verzamelen. Maar na analyse door NCSC was conclusie dat Pobelka geen bedreiging vormde voor de staatsveiligheid. Dat terwijl doel duidelijk gericht was op malversaties van financiële transacties. Opmerkelijk trouwens dat er eerst terughoudendheid bij NCSC was in het aannemen van de 750 GB aan informatie terwijl belastingdienst geen enkele moeite had met gestolen CD’s. Langs de randen van de wet opereren noemde de minister van justitie en veiligheid dat eufemistisch.

Rondetafel sessie Cloud Computing

Naar aanleiding van een eerdere opinie van Henri Koppen is er een ronde tafel sessie over Cloud Computing geweest. Meest opvallende conclusie die hier uitkwam is dat de Cloud niet goedkoper is, iets dat zelfs Henri na enig aandringen toch schoorvoetend toe moest geven.

Want hoewel de publieke cloud diensten zoals Azure, AWS en Google goedkoop zijn bieden ze geen 99,99% beschikbaarheid. Zo hadden gebruikers van Azure recentelijk (weer) geen toegang tot hun data, dit keer omdat Microsoft vergeten was de SSL certificaten te vernieuwen. Hoewel Microsoft compensatie gaf was de rekensom van alle aanwezigen dat dit een doekje voor het bloeden was, het verbergen van een tekortkoming waardoor de 'Cloud watervrees' van organisaties niet onterecht is.

Service Level Agreements
Nu zijn er al eerder discussies geweest over de service afspraken die je kunt maken met leveranciers zoals Google of Microsoft. Uitkomst daarvan was dat je alleen maar de voorwaarden kunt accepteren en leveranciers geen aansprakelijkheid willen dragen voor de schade, direct of indirect als gevolg van verstoringen. Dit zorgt ervoor dat er nog weleens sprake is van 'garantie tot de voordeur' bij het in de cloud brengen van je data. En ook eerder geaccepteerde voorwaarden kunnen zonder kennisgeving vooraf eenzijdig gewijzigd worden door leveranciers. Een simpel gevolg van de commerciële markt zoals de onderzoekers van Stanford Technoloy Law Review ook concluderen.

NCSC als nationale beiaard

Lekken in een framewerk als Ruby krijgen natuurlijk meer aandacht omdat bekende diensten hiervan gebruik maken. NCSC waarschuwt ook dat Joomla, één van de meest populaire CMS framewerken, beveiligingsproblemen heeft. 



Om hoeveel websites het hier gaat is een beetje onduidelijk maar sinds 2007 is dit framewerk 30 miljoen keer gedownload. Dat is dus een interessant aanvalsdoel voor kwaadwillenden. Nu maakte Nationale Cybersecurity Center dus op 9 januari de  kwetsbaarheid in de Joomla Content Editor (com_jce) bekend. Dit omdat er een exploit op internet in omloop is waarmee kwaadwillenden code op websites zetten. Probleem was namelijk al in april 2012 gevonden en een maand later opgelost. Maar omdat de meeste websites niet alleen gebruik maken van het core systeem en al helemaal niet de standaard template gebruiken stellen dus de meesten de migratie uit. En eerlijk gezegd had ik ook niet zo’n drang om in de kerstvakantie te gaan zitten hobbyen maar.......

Zelfhulp en kameradenhulp

Met afschaffen van de opkomstplicht is er een groot risico dat een hele generatie de titel van dit stuk niet begrijpt omdat ze de ‘groene opvoeding’ in de vorm van dienstplicht gemist hebben. Dus voor degene: Zelfhulp en Kameradenhulp is de militaire variant van EHBO die een gewonde zich zelf verleent of welke hem (de haar was een uitzondering) gegeven wordt door kameraden, de medestrijders die eveneens niet medisch geschoold zijn. 

Zeg maar een soort van mantelzorg op het slagveld waarbij de ‘mantel riempjes’ vaak gebruikt moesten worden om bloedingen te stelpen of spalken te improviseren.  Nu voor iedereen duidelijk is waar Zelfhulp en Kameradenhulp voor staat zal het niet moeilijk zijn om te begrijpen dat hier creativiteit en zelfredzaamheid bij nodig was. Hoewel dit stuk niet over de uitdagingen te velde met de zorg gaat zijn er echter wel parallellen te trekken tussen wat was en wat komen gaat als gevolg van het Lenteakkoord. Want hierdoor komt meer nadruk te liggen op zelfmanagement en eigen regie thuis omdat het aantal bedden en loketten (de verschillende schotten) in de zorg verlaagd moeten worden.

A fool with a tool: schaken in de cloud

Peter Ambagtsheer maakt in een stuk over Viable System Models de referentie naar schaken en daar kan ik me tot op zekere hoogte wel in vinden. De infrastructuur lijkt tenslotte steeds meer op een schaakbord waar klant koning is, de (bedrijfskritische) applicaties de torens zijn, informatie als dame behandeld wordt en de rest als pionnen gezien worden.

De spelregel dat pionnen, met uitzondering van de eerste zet, maar één veld vooruit mogen gaan zorgt ervoor dat we altijd op achterstand staan. Dit geldt in het bijzonder voor de beveiliging van de infrastructuur en de informatie die hierover getransporteerd wordt en in opgeslagen. We leven nu eenmaal in een wereld die steeds verder digitaliseert, waarin informatie en computers onmisbaar zijn geworden. In een dergelijke wereld is het natuurlijk niet vreemd dat we steeds vaker met cybercrime geconfronteerd worden, welke ook nog eens makkelijk te internationaliseren is.
 
Simultaan schaken
Net als bij schaken helpt kennis van openingsstellingen en de daarbij behorende tegenzetten om de kans op verlies te voorkomen. Maar de infrastructuur is aan constante verandering onderhevig en breidt zich ook steeds verder uit omdat gebruikers niet meer gebonden willen zijn aan kantoor. Introductie van nieuwe services zoals sociale media en mobiele applicaties brengen andere stukken op het bord of neemt ze met bijvoorbeeld cloud computing daarvan af. Deze blijven echter wel hun rol spelen in de uitwisseling van informatie waardoor complexiteit en afhankelijkheden steeds meer toenemen. Klant blijft koning en organisaties eisen steeds nieuwe functionaliteiten, welke ook nog sneller en goedkoper geleverd moeten worden. Dit zorgt ervoor dat it alleen nog defensief kan spelen omdat er eerst weer geleerd moet worden. Ervaring maakt de meester maar door alle nieuwe spelsituaties is het soms als simultaan schaken. Hierbij zijn de aanvaller vaak de grootmeesters want creatieve schakers zullen een opening proberen te forceren door een onverwachte zet te doen die nog niet in het boekje staat. En niet zelden zitten deze in een aanval op foutieve code of een fout in het ontwerp waardoor niet alleen een schakel maar de hele keten kwetsbaar wordt.

Wake-up call
Recentelijk zijn we opgeschrikt door spraakmakende beveiligingsincidenten omdat we door het gebruiksgemak vergeten dat er nog een onderliggende technologie is die steeds complexer en daardoor kwetsbaar wordt. Beveiliging van informatie wordt daarom steeds belangrijker maar de bekende ITSM-methodieken besteden hier onvoldoende aandacht aan. Bij sommige organisaties, en helaas bij veel overheden, is het proces van beveiliging vaak ook nog eens onvolwassen. Ad hoc komt er eens een keer een specialist langs om voor de bewustwording een audit uit te voeren. Maar mijn ervaring met de grote namen in deze industrie leert dat dit veel weg heeft van een blinde die de manke leert lopen. Onervaren consultants vinken gericht op deeloplossingen lijstjes af terwijl de werkelijke risico's in de nog verborgen fouten zitten. Veel meer waarde hebben dan ook de penetratietesten waarbij niet alleen de kwetsbaarheid onderzocht moet worden maar ook de response hierop.

Nu zijn de servers in het perimeter netwerk meestal wel goed beveiligd en liggen zwakheden vaak in het interne netwerk waar servers en applicaties via een ‘next, next, finish' proces ingericht worden. Hierdoor blijven niet alleen onnodige services geactiveerd maar door virtualisatie ook vaak de slecht beveiligde maar ongebruikte testsystemen. Deze worden echter vaak buiten het bereik van een audit of penetratietest gehouden terwijl door ‘het nieuwe werken', uitbestedingen en overnames de scheidslijn tussen de boze buitenwereld en het veilige interne netwerk steeds troebeler wordt.
 
Bokkensprongen
Ondertussen wordt alweer de volgende uitdaging geïntroduceerd in de infrastructuur met het 'bring your own device (byod)' idee omdat de standaard werkplek te dwingend zou zijn. Daardoor worden veel beveiligingsmaatregelen nutteloos omdat nauwelijks te voorkomen valt dat infrastructuur geïnfecteerd wordt met een virus als Stuxnet of de Duqu-malware variant. Een meegebrachte usb-stick of geheugenkaart kan dan bron zijn maar ook het Trojaanse paard om passief informatie te verzamelen. Met de credentials van een gebruiker, liefst met administratieve rechten wordt zo eenvoudig over de pionnen ter bescherming van de infastructuur heen gesprongen. En ook een gehackte blackberry kan helpen om informatie te verzamelen van je concurrent. Informatie ligt namelijk al lang niet meer besloten in de infrastructuur maar gaat en komt van alle kanten. Aantal bedreigingen beginnen daarom steeds meer op de legende te lijken waar de uitvinder van het schaakspel als beloning een rijstkorrel op het eerste veld en een verdubbeling op elk volgende vraagt.

Natuurlijk zullen de gebruikelijke maatregelen ter bescherming van de infrastructuur genomen moeten worden. Maar als de klant koning blijft dan zullen incidenten onvermijdelijk zijn als gebruikers zich niet bewust zijn van de risico's maar wel gebruik maken van eigen computers en de laatste gadgets. Een informatie beveiligingsbeleid is uiteindelijk vaak niet meer dan een stuk papier en naleving zal actief bewaakt moeten worden. Dat afdwingen wordt steeds moeilijker omdat gebruikers zich niet altijd binnen het eigen netwerk bevinden maar maken ook gebruik van breedband verbindingen thuis of mobiel internet onderweg. En op kantoor beperken ze zich niet alleen tot de eigen systemen maar gebruiken ook services in de cloud. Gebruikers doen dus niet altijd wat verwacht wordt en deze zullen daarom de zwakke schakels in de keten blijven maar wordt vooruit denken steeds moeilijker.

Volgende zet
Focus moet daarom verschoven worden en dus moet er niet alleen naar de service gekeken worden zoals ITILv3 stelt maar ook op het gedrag van gebruikers gelet worden. Door mee te kijken met de gebruiker kunnen verstoringen of afwijkingen sneller gezien worden en wordt het eenvoudiger om te bepalen waar de oplossing gezocht moet worden. Gebruikers kunnen namelijk ook thuis verstoringen ondervinden, met services in de cloud of op hun tablet en zo worden veel vragen voorkomen. Hoewel het controversieel klinkt om spyware te gebruiken zullen we net als in het schaakspel moeten leren van de grootmeesters. Zeker nu bekend is geworden dat opsporingsinstanties deze software ook gebruiken mag ook afgevraagd worden of deze nog wel goed herkend worden door de gebruikelijke tegenmaatregelen.

Misschien moeten we dan ook het idee los laten dat we het spel nog kunnen winnen en is remise de best mogelijke uitkomst. Want hoe sterker de verdediging in het (data)centrum hoe eerder de aanval vanaf de flanken komt. Maar pionnen mogen ook en passant slaan en deze zet zorgt ervoor dat we voorbij gelopen worden door onnadenkende gebruikers. Internet zit tenslotte vol gevaren waar je nooit weet wie er meeluistert maar kunnen we ook niet meer zonder.