Afgelopen weekend ontstond er online, en daarna ook in andere media, ophef over het uitlekken van een collectie naaktfoto’s van tientallen Hollywood actrices. Een hacker op het online underground forum 4chan verklaarde foto’s en video’s verzameld te hebben, en om zijn claims kracht bij te zetten publiceerde hij direct een selectie van de bestanden. Hoewel bij enkele van deze foto’s over de echtheid wordt getwijfeld, heeft onder meer Jennifer Lawrence inmiddels in een reactie de echtheid bevestigd.
Binnen enkele uren werd dit lek gerapporteerd door vrijwel alle media, van
Perez Hilton tot CNN. Al snel ontstond daarbij het gerucht dat de bron van dit lek lag bij een eerder in de week gemelde zwakheid in Apple’s iCloud service. Wat kunnen we hier, als security professionals, voor lessen uit trekken?
Wanneer er een smeuïg verhaal de ronde doet, geeft niemand om de feiten. De media maken gretig gebruik van speculatie die online de ronde doet.
In de eerste storm van berichten die direct uitbrak werd iCloud genoemd als de bron van de gelekte foto’s. Hoewel dat ook nu nog niet helemaal uitgesloten is, zijn er sterke aanwijzingen dat er meerdere bronnen zijn gebruikt voor de verzameling bestanden. Ook onder meer Dropbox wordt door onderzoekers aangewezen als bron.
Tegen de tijd dat Apple met een
officiële verklaring kwam, afgelopen woensdag, was de piek van de berichtgeving alweer voorbij. Apple ontkent dat er systemen gehackt zijn – er wordt gewezen op mogelijk misbruik van individuele accounts door middel van zwakke wachtwoorden of door zwakke vragen in het wachtwoord-reset systeem. Maar hoeveel mensen lezen deze verklaring nu nog?
Onze les: Naast dat het belangrijk is om hard te werken aan de beveiliging van systemen en het voorkomen van lekken, is het minstens zo belangrijk om bijna onmiddellijk te kunnen reageren. Effectieve incident response betekent ook dat er binnen enkele uren duidelijke, feitelijke informatie gedeeld kan worden.
In verschillende reacties werden de actrices verweten dat het niet slim is om zulke pikante kiekjes te maken. Slachtoffers van een fysieke inbraak zouden we niet snel op deze manier de schuld geven. Het recht om privé gebruik te maken van aan internet verbonden apparaten – en ook privé foto’s te maken – zou verdedigd moeten worden. Zo vanzelfsprekend als eigendomsrecht en privacy zijn in de fysieke wereld, zou het ook zo bij cyber security moeten zijn. Daarnaast is het zinloos om het maken van pikante plaatjes af te raden – zowel in zakelijke situaties als privé zijn mensen veel sterker gemotiveerd door hun eigen drijfveren dan door extern opgelegde richtlijnen over veiligheid.
Onze les: Wanneer een organisatie er redelijkerwijs vanuit kan gaan dat systemen gevoelige data bevatten, is het noodzakelijk om hiervoor de nodige beveiligingsmaatregelen te nemen. Als security professionals hebben we de kennis en ervaring om dreigingsanalyse uit te voeren en de juiste beveiligingsmaatregelen in te bouwen.
De publieke opinie zoek al snel naar makkelijke antwoorden. Apple en iCloud zijn in dit geval het makkelijke doelwit. De complexe werkelijkheid, met meerdere bronnen en mogelijke oorzaken, past niet in onze korte publieke aandachtsspanne. Het is verdedigbaar om te stellen dat Apple iOS apparaten tot de veiligste plekken behoren waar je pikante plaatjes kan opslaan. Het platform heeft
uitgebreide security maatregelen (pdf), veel meer dan de meeste desktop operating systems bieden. iOS gebruikt standaard full-disk encryptie, applicatie sandboxing, voert automatisch OS- en App updates uit en alleen software uit de App Store kan worden geïnstalleerd. Er is nog altijd praktisch geen malware voor iOS.
iCloud is waarschijnlijk een van de meest veilige cloud diensten die je kan gebruiken. iCloud gebruikt inmiddels onder meer 2-factor authenticatie, toegangsbeperkingen tot vertrouwde apparaten en waarschuwingen per e-mail bij verdachte activiteit in het account.
Onze les: Dreigingsanalyse (threat-analysis) zou moeten worden gebaseerd op de werkelijke situatie – de security maatregelen in een systeem en hun zwakheden. Door incidenten zoals deze te bestuderen kunnen we als professionals dreigingen beter leren begrijpen.
De eerder gemelde zwakheid in Apple’s iCloud was in feite niet meer dan de mogelijkheid tot het uitvoeren van online brute-force attacks tegen het wachtwoord van een gebruiker. Of deze zwakheid nu wel of niet heeft bijgedragen aan het lek, een sterk wachtwoord maakt een dergelijke aanval praktisch onmogelijk – zelfs zonder verdere maatregelen zoals 2-factor authenticatie. Het kraken van een sterk wachtwoord zou bijna oneindig lang duren. Dus zelfs als deze iCloud zwakheid een rol heeft gespeeld, was dat alleen mogelijk als er zwakke wachtwoorden zijn gebruikt.
Onze les: Zoals Deloitte collega’s al vaker hebben aangegeven,
zijn wachtwoorden geen goede oplossing. Iedere organisatie die informatiebeveiliging serieus neemt zou moeten overwegen om over te stappen naar twee factor authenticatie en additionele maatregelen nemen – zoals ook Apple dat doet. De grote namen in online business – zoals Dropbox, Facebook en Twitter – lopen hierin al voorop.
Naaktfoto’s van honderd Hollywood sterren kunnen enkele dagen voorpagina nieuws zijn. Dagelijks voorkomende identiteitsfraude bij gewone mensen is dat helaas niet. Als security professionals horen we regelmatig schokkende verhalen van slachtoffers van identiteitsfraude, vaak na diefstal van digitale gegevens. Slachtoffers die ontdekken dat ze geen lening meer kunnen afsluiten en die jaren kwijt zijn om hun eigen onschuld te bewijzen. In deze strijd treffen ze organisaties en overheden die zich totaal nog geen raad weten met de digitale wereld.
Onze les: Hoewel deze sterren nu veel media-aandacht krijgen, is diefstal van digitale gegevens een veel breder probleem wat dagelijks mensen treft. We zouden er goed aan doen
de beschikbare data over identiteitsfraude (PDF) te bestuderen en te gebruiken bij het maken van security management keuzes.
Laten we hopen dat de media-aandacht rond dit incident het belang van cyber security opnieuw onderstreept. Door bewustzijn kunnen we de beveiliging van systemen verbeteren, inclusief de cloud en smartphones die inmiddels niet meer weg te denken zijn uit ons leven.
Deze blogpost is geschreven door Thomas Bosboom, bij Deloitte Risk Services is hij specialist in beveiliging van mobile devices (Smartphone, Tablet) bij het gebruik in bedrijven.
[Afbeelding via Fotolia]
