Gisteren, 16 oktober 2017, werd in het nieuws bekend gemaakt dat WiFi met WPA2 beveiliging kwetsbaarheden bevat, waardoor deze veilig gewaande WiFi verbindingen kunnen worden gehackt door onbevoegden. De meeste bedrijven en vele particulieren werken met deze WiFi beveiliging. Daarom vroegen we de experts binnen Strict wat de gevolgen en de impact zijn van dit nieuws.
Aan het woord Markwin Romijn en Eildert van Dijken:
Het WiFi WPA2 security protocol is de meest toegepaste beveiligingsmethode van WiFi connecties, het wordt gebruikt door Access Points en andere apparatuur die gebruik maakt van Operating Systems zoals Windows, Linux, OpenBSD, MacOS, Android, etc ..
WPA2 wordt als gevolg van het ontdekken van meerdere ernstige kwetsbaarheden als ‘onveilig’ beschouwd, dit n.a.v. de ontdekking dat het mogelijk is om informatie ‘af te luisteren’ die tussen een Access Point en bijv. een laptop of smartphone wordt verzonden.
Nu gebleken is dat het voor een ‘hacker’ mogelijk is om zonder dat iemand het merkt jouw informatie te onderscheppen, zijn extra voorzorgsmaatregelen noodzakelijk om te zorgen dat je informatie niet in verkeerde hand komt.
De impact van de kwetsbaarheden in het WPA2 protocol is ‘ernstig’ te noemen, de informatie die je verstuurt/ontvangt kan zonder dat je het weet worden ‘afgeluisterd’ en dus in verkeerde handen terecht komen. Denk hierbij aan het versturen van informatie zoals credit card nummers, passwords, chat berichten, e-mails, foto’s, maar zeker ook gevoelige bedrijfsinformatie, wanneer deze niet-versleuteld worden verstuurd over een WiFi verbinding.
Voor de goede orde moet wel worden opgemerkt dat dit ‘meeluisteren’ alleen kan plaatsvinden als de kwaadwillende (of zijn apparatuur) zich binnen het WiFi bereik bevindt.
Er is géén directe reden voor paniek, maar je moet je sterk bewust zijn welke informatie je via WiFi verzendt en ontvangt. Zorg ervoor dat je zoveel mogelijk gebruik maakt van zogenaamde ‘encrypted’ protocollen, voorbeeld hiervan is HTTPS (webbrowser sessie mét slotje) in plaats van HTTP. Dit is niet DÉ oplossing, maar het is beter dan helemaal geen bescherming van de data die je verstuurt en ontvangt. In sommige situaties kan de HTTPS beveiliging helaas ook omzeild worden. Daarom is het belangrijk ‘WPA2 met echte beveiligingscertificaten’ te gebruiken. Helaas wordt dat lang niet overal binnen het bedrijfsleven toegepast
Het feit dat WPA2 dus niet zonder meer veilig is, is niet goed, maar op zich minder belangrijk als je gebruik maakt van versleutelde verkeersstromen, immers de data die je verstuurt en ontvangt is dan encrypted (en dus onleesbaar) ook al verstuur je deze over een WiFi connectie.
Windows and iOS gebaseerde apparaten lijken op dit moment minder kwetsbaar te zijn. Linux en Android gebaseerde systemen lijken kwetsbaarder te zijn.
We zien vaak dat in de snelheid van innovatie en implementatie van oplossingen security een sluitpost is bij technische oplossingen. Ook binnen IoT, netwerkimplementaties en andere oplossingen is de snelheid waarmee men iets moois wil neerzetten een belangrijke reden dat security net niet doordacht genoeg is. Ons advies is dan ook om beveiliging van informatie integraal mee te nemen in iedere oplossing en standaard te zorgen voor goede encryptie van data. Daarnaast is het belangrijk om in het ontwerp en in de uitvoering maatregelen te nemen die het onderscheppen van data onmogelijk maakt. Hier zouden veel bedrijven meer aandacht aan moeten besteden. Strict helpt graag om binnen zulke projecten te zorgen voor een gedegen securitybeleid en uitvoering.
Bij vragen neem contact op met de beheerder van je lokale IT-afdeling of IT Service leverancier. Uiteraard mag u ons ook altijd benaderen voor vragen rondom securitybeleid, draadloze, mobiele en bedrade connectiviteit en het beschermen van uw binnenkomende en uitgaande data.