[ archief ] DigiD-fraude - 28 oktober 2014

[Moderator]

Uit onderzoek van Opgelicht?! blijkt dat DigiD-gegevens zeer gemakkelijk te hacken zijn geweest bij 12 gemeenten en twee andere instanties. ICT beveiligingsexpert en ontdekker van het lek Erik Westhovens, slaagde erin om in te loggen in hun systeem.

[SaC-IoT]

Ik zit op dit moment de uitzending te kijken over Digi-D fraude, hierin wordt een preventie methode geadviseerd die niet afdoende is an zich.

Het probleem ontstaat op het moment dat men "software" download wat niet via officiele kanalen bemachtigd is, hierdoor loopt men het risico om het systeem te besmetten met een virus.

Het feit dat de eindgebruiker "onbedoeld" het systeem kreupel maakt zorgt ervoor dat men niet langer veilig gebruik kan maken van het systeem.

De oplossing hiervoor is zeer makkelijk en ik wil iedereen erop attenderen om deze methode toe te passen, dit is een van de beste oplossingen wanneer we praten over "system tampering (onbedoeld malware installeren)"

Wat moet je doen:

1. Download een Linux installatie cd zoals bijvoorbeeld "Ubuntu" of "Linux mint"
2. Brand de iso van Linux op cd of gebruik "Yumi" live usb om de iso op usb stick te zetten.
3. Zoek op internet of in de handleiding van uw systeem hoe je op moet starten vanaf cd of usb stick (boot from cd/usb)
4. Plaats de cd of de usb stick in het systeem, start op vanaf cd of usb stick.

Gebruik iedere keer wanneer u bankzaken doet of andere gevoelige opdrachten deze cd/usb.

Hoe werkt het:

Alle bestanden die nodig zijn om gebruik te kunnen maken van Linux worden ingeladen in het ram geheugen, dit betekent dat alle aanpassingen die gedaan worden van tijdelijke natuur zijn.
Zolang je enkel dit systeem in laad en gebruik maakt van de browser dan voorkom je dat men de systeem bestanden manipuleert.
Nadat u klaar bent met het doen van uw zaken, sluit u Linux af en start u de computer opnieuw op waardoor u weer terecht komt in uw eigen operating system.

Notitie: Download enkel en alleen van officiele bronnen software/operating systems.
Voeg aan uw zoekopdracht bijvoorbeeld toe: official webpage "mijn software pakket wat ik zoek"

Voorbeeld: Official webpage Java 32 bit

Notitie: Combineer deze techniek met de adviezen die gegeven worden in de uitzending en op de website.
Geef voorrang aan deze methode simpelweg omdat deze methode veilig bankieren enzovoort garandeert
ondanks het feit dat uw installatie van windows besmet is met een virus/trojan.

Ik hoop dat dit bericht mensen helpt om dit soort zaken te voorkomen in de toekomst en ik zou ook graag willen zien dat deze methode word toegevoegd aan de preventie maatregelen op de site.

Met vriendelijke groeten,

Menno K.

[Lcvdheuvel]

Gemiste kans tijdens de uitzending: op uw site staat ( op 5 ipv op 1)
5. Maak gebruik van de optie: ‘altijd sms-authenticatie’ bij de instellingen van uw DigiD inlogpagina. Op deze manier maakt u het hackers veel moeilijker in te loggen op uw naam.

Onbegrijpelijk dat deze optie niet genoemd wordt door u in de uitzending en nog onbegrijpelijker dat Logius het niet noemt.
Alle gevallen uit de uitzending hadden hiermee denki ik voorkomen kunnen worden
2 factor authenticatie moet breder totgepast worden

[SaC-IoT]

Gemiste kans tijdens de uitzending: op uw site staat ( op 5 ipv op 1)
5. Maak gebruik van de optie: ‘altijd sms-authenticatie’ bij de instellingen van uw DigiD inlogpagina. Op deze manier maakt u het hackers veel moeilijker in te loggen op uw naam.

Onbegrijpelijk dat deze optie niet genoemd wordt door u in de uitzending en nog onbegrijpelijker dat Logius het niet noemt.
Alle gevallen uit de uitzending hadden hiermee denki ik voorkomen kunnen worden
2 factor authenticatie moet breder totgepast worden

Dit word in veel gevallen al toegepast maar dit is inderdaad een zeer sterke methode om de inlogprocedure veiliger te maken.

[Wisperbird]

Het is triest om te merken dat de gemeentes hun zaakjes niet op orde hebben.

Het trieste is echter dat jullie geen aandacht gaven aan two step verificatie.
Ik had het van tevoren nog gemeld.
En wat nog erger is, DigiD standaard het uit zet, zelfs als je hebt aangegeven dat je het wilt.
Hun reactie is dat de gebruiker dat niet wil, is te lastig.
Want als je je telefoon kwijt raakt, kom je er niet meer in.
Wat een onzin, Google heeft hier ook een oplossing voor.
Daarnaast mag ik zelf toch bepalen hoe ik mijn beveiliging wil inrichten.

[Leo den Ridder]

Onbegrijpelijk dat je in Nederland bij de overheid kunt inloggen met gewoon een username en password, alsof je Facebook opent!
Hier in België werkt het tenminste feilloos: sinds jaar en dag heeft iedere inwoner (ook ik, als Nederlander in België) een ID-kaart met chip. Je steekt hem in de eID-lezer, geeft je geheime code en bent veilig verbonden. Zonder in het bezit te zijn van de ID-kaart geen verbinding mogelijk, en zo hoort het!