Beveiliging op niveau van banken

Was alles maar zo goed beveiligd als de banken. Dat was ongeveer de titel van een blog van Troy Hunt, een Australische security professional. Hij merkte op dat er in beveiligingsland en in de politiek daaromheen vaak wordt gesproken over ‘bank-grade’ security, dat zou de heilige graal van beveiliging wel zijn.

Hunt besloot om maar eens de proef op de som te nemen en een eenvoudige test uit te voeren, namelijk om met gebruik van openbaar beschikbare informatie te bekijken of de websites van banken afdoende zijn beveiligd. Hij heeft geen penetratietest uitgevoerd, maar uitsluitend op basis van publiek aanwezige informatie bekeken wat het niveau van beveiliging is. Hij deed dat door zich te richten op de SSL-beveiliging van de websites, oftewel, wat is de waarde van het groene slotje waar we volgens verschillende awareness campagnes op moeten letten. Hij voerde de scan uit met behulp van de Qualys ssllabs website. Deze website controleert een groot aantal beveiligingsinstellingen van de server en de aanwezige certificaten. Een certificaat is de digitale handtekening waarmee de authenticiteit van de website wordt gewaarborgd en waarmee versleuteling van de communicatie tussen de browser en de webserver wordt mogelijk gemaakt. Beide aspecten zijn van belang: het waarborgen van de authenticiteit van de website is van belang omdat je als klant dan tenminste weet dat je met de verwachte partij zaken doet. Dit is typisch een aanvalsobject van phishers en scammers. Zij doen een officiële website na en hopen mensen te verleiden om met die nep-website zaken te doen in plaats van met de bank waarmee ze dachten zaken te doen. Versleuteling is van belang omdat daarmee wachtwoorden en andere gegevens die over het internet worden verstuurd niet zomaar afgeluisterd kunnen worden. De afgelopen jaren zijn er nogal wat kwetsbaarheden met betrekking tot SSL naar voren gekomen, waardoor de beveiliging op deze punten afneemt of zelfs niets meer betekent. De Poodle en Heartbleed kwetsbaarheden hebben ruimschoots het nieuws gehaald, maar ook cryptografische algoritmes als SHA1 en RC4 en protocollen als SSL3 zijn al onbetrouwbaar gebleken. Als een website daar niet op is berekend, dan is het niveau van beveiliging niet wat wij ons voorstellen bij ‘bank-grade’.

Het certificaat is een krachtig instrument om deze beide beveiligingsfuncties uit te voeren. Maar dan moet het certificaat wel goed geconfigureerd en beheerd worden. En daar kun je met behulp van de site van Qualys dus heel snel een antwoord op krijgen: Wordt het certificaat goed beheerd en is het goed geconfigureerd.

Het enige wat je op de site van ssl-labs hoeft te doen is de url van een website op te geven. De uitkomst is een waarde (in de range ‘A’ tot ‘F’ ) en een aantal detailbevindingen die de uitkomst verklaren. De waarde A betekent een hoog niveau van beveiliging, Waarde F betekent onbeveiligd, lek.

Het resultaat van de test die Hunt uitvoerde verbaasde hem. Van de 21 Australische banken behaalden er 5 een positieve A-score, 12 scoorden een B, er was één C en 3 maal een D. Daarbij bleken er nog verschillende grote kwetsbaarheden. De C en D-scores ontstonden namelijk onder meer omdat de betreffende servers kwetsbaar waren voor Poodle aanvallen. Die kwetsbaarheid zou tegenwoordig echt niet meer mogen bestaan, omdat bij een aanval op die kwetsbaarheid klantinformatie achterhaald zou kunnen worden.

Hunt constateerde dat het begrip ‘Bank-Grade security’ misschien niet optimaal is.

Inmiddels hebben twee van de banken gereageerd door hun SSL-certificaten te verbeteren.

Ik heb besloten om zelf maar eens dezelfde test uit te voeren voor de banken in ons land. Daarvoor heb ik dezelfde snelle test uitgevoerd als Hunt. Het resultaat was gelukkig aanzienlijk beter dan in Australië. Geen D’s en zelfs een drietal A+ scores.

In onderstaand overzicht staat per URL een samenvatting van de testresultaten zoals die door SSL-labs zelf worden aangereikt. In afwijking van de test van Hunt heb ik er nog twee kolommen aan toegevoegd, namelijk of de site kwetsbaar is voor Heartbleed (gelukkig nergens) en of het certificaat een EV-certificaat is, oftewel een certificaat dat is verstrekt aan de eigenaar van de site, waarbij de eigenaar zich persoonlijk heeft moeten legitimeren bij de verstrekker van het certificaat (Verisign, Comodo etc).

Conclusie

Een groene score geeft aan dat de betreffende bank technische beveiliging op dit vlak goed beheerst. Een SSL certificaat moet voldoen aan een aantal basale eisen – alle cellen in het overzicht moeten eigenlijk groen zijn. Als daar niet aan wordt voldaan, dan is dat een ontwikkelpunt, wellicht is er op dat vlak onvoldoende besef van de bedreigingen.

Het resultaat van deze test was gelukkig aanzienlijk beter dan in Australië. We hebben in Nederland gelukkig geen D’s. Sterker nog, we hebben zelfs een drietal A+ scores, dat zijn A‑niveau certificaten die door een iets afwijkende configuratie een nog iets hogere waarde hebben.

Dit alles betekent dat de banken in ons land een aanzienlijk hoog niveau van beheer en beveiliging van de certificaten hanteren. Het groene slotje in de browser betekent in ons land meer dan in bijvoorbeeld Australië.

En we moeten vooral niet vergeten dat dit geen penetratietest is. Een veilig certificaat wil niet zeggen dat de website veilig. De test geeft niets aan over de mate van beveiliging van de webapplicatie (wordt bijvoorbeeld voldaan aan eisen van veilig programmeren), of de mate van technische beveiliging van firewalls of anti-malware beveiliging. De test controleert uitsluitend de mate van beheer en beveiliging van het certificaat. Maar er zijn ook meer technische beveiligingsmaatregelen zoals DNS-sec en DANE. De Nederlandse site internet.nl biedt op dat vlak al meer inzicht.

Alleen een integraal beveiligingsonderzoek kan daarover uitsluitsel geven, maar dat is een verantwoordelijkheid van de eigenaren van de websites zelf en van de toezichthouder.