Beveiliging geheim glasvezelnetwerk Defensie niet op orde, "zorgelijk"

Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Alles en iedereen moet rekening houden met Russen en Chinezen, maar de Defensie backbone ligt open en bloot.

quote:

Op donderdag 7 november 2024 14:54 schreef Netsplitter het volgende:
Alles en iedereen moet rekening houden met Russen en Chinezen, maar de Defensie backbone ligt open en bloot.

Echt he, laat ze maar ophouden met die jankverhalen, zorg eerst maar dat dit soort shit strakgetrokken wordt en op orde is voordat ze dat moraliserende vingertje over desinformatie, spionerende russen en niet te vertrouwen chinezen weer voor je neus heen en weer wapperen.....hier word je zo moedeloos van....

quote:

Op donderdag 7 november 2024 14:52 schreef Netsplitter het volgende:
Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Dit ja... En het bleef stil in politiek. Lachwekkend.

quote:

Op donderdag 7 november 2024 15:22 schreef YuckFou het volgende:

[..]
Echt he, laat ze maar ophouden met die jankverhalen, zorg eerst maar dat dit soort shit strakgetrokken wordt en op orde is voordat ze dat moraliserende vingertje over desinformatie, spionerende russen en niet te vertrouwen chinezen weer voor je neus heen en weer wapperen.....hier word je zo moedeloos van....

Het zijn geen jankverhalen dat we dagelijks digitaal worden aangevallen vanuit die hoek.

Maar als je de voordeur wagenwijd open zet moet je niet vreemd opkijken dat er ongenodigde gasten binnen komen inderdaad.

Blijkt weer eens hoe enorm slaapverwekkend het vredesdidivend was/is

Nou, laten we hopen dat ze nu wel wakker zijn geworden.

quote:

Op donderdag 7 november 2024 14:52 schreef Netsplitter het volgende:
Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Gebeurd op heel veel plekken. Ik herinner mij nog dat een deel van Oracle db-beheer van Gasterra beheerd weer door een grote dienstverlener en het team zat in India. Het hele team in India maakte gebruikt van hetzelfde adminaccount.

Dat men het durft om het beheer van cruciale bedrijven en data over de landgrenzen toe te laten.

Maar marktwerking lost al onze problemen op. ⓒ de VVD

quote:

Staatsgeheim

Het 3500 kilometer lange staatsgeheime netwerk uit 1996 verbindt 180 locaties van Defensie met elkaar, maar ook alle ministeries, het parlement, politielocaties en meldkamers van 112

Dat zijn glasvezelverbindingen die hoofdzakelijk langs het spoor liggen. Daar is weinig geheim aan.

quote:

De fysieke beveiliging is op papier goed, maar in de praktijk niet op orde. Zo wordt ook het alarmsysteem dat kabels onder de grond bewaakt, onvoldoende gemonitord door Defensie.

Fysieke beveiliging heeft weinig zin omdat er een grote groep mensen eraan werkt en omdat fysieke verbindingen eenvoudig door te steken zijn. Beveiliging moet op dataniveau door middel van versleutelde verbindingen met voldoende uitwijkroutes in geval van een storing.

quote:

Op donderdag 7 november 2024 14:52 schreef Netsplitter het volgende:
Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Hey kijk Nederland zet financieel belang weer eens boven algemeen belang.

Werken ze nog steeds met Windows XP bij de overheid of is men ondertussen naar een lichtelijk moderne variant van gatenkaas-programma Windows overgestapt?

Misschien maar helemaal niets meer digitaal doen in Nederland, veel te listig. Onze overheid zit vol kneuzen en sukkels. Beter maar weer terug naar de ponskaartjes. Dat is al ingewikkeld genoeg voor een gemiddelde Nederlandse ambtenaar.

quote:

Op zondag 10 november 2024 23:01 schreef Linkse_Boomknuffelaar het volgende:
Werken ze nog steeds met Windows XP bij de overheid of is men ondertussen naar een lichtelijk moderne variant van gatenkaas-programma Windows overgestapt?

Misschien maar helemaal niets meer digitaal doen in Nederland, veel te listig. Onze overheid zit vol kneuzen en sukkels. Beter maar weer terug naar de ponskaartjes. Dat is al ingewikkeld genoeg voor een gemiddelde Nederlandse ambtenaar.

In 2004 heb ik nog met ponskaartjes gewerkt. Voor de overheid natuurlijK!

Het is een incident
Het moet nog onderzocht worden
Ik voel me niet verantwoordelijk
Niet bewezen dat er misbruik is gemaakt van vertrouwen
U ziet het verkeerd er is wel naar gekeken
Verantwoordelijken zijn aangesproken maar blijven zitten of weggepromoveerd
We gaan het nu goed aanpakken maar dat kost geld dus gaan de tarieven omhoog
We moeten vooruit kijken
We gaan lessen trekken uit dit voorval
Niet kunnen voorzien dat dit zou gaan gebeuren
Er is niet met opzet zo gehandeld
Rapporten over verleden zijn niettemin te vinden

En nog veel meer van deze onzin wordt over ons uitgestort 🤬
In de hoop dat we het laten rusten

quote:

Op donderdag 7 november 2024 14:52 schreef Netsplitter het volgende:
Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Ik heb recent nog bij KPN security gewerkt en kan zeggen dat het normaliter qua autorisatie best strak geregeld is. Je komt echt nergens binnen zonder toegangspas, en zelfs belangrijke individuele ruimtes met een hogere clearance kom je niet binnen als je daar niet specifiek op gemachtigd bent. Daarnaast geld dat voor risicovolle zaken ook nog eens een AIVD screening wordt toegepast, had ik zelf niet mee te maken, maar een aantal collega's die met zwaardere zaken te maken hadden wel.

o jee, zal ik hierdoor minder goed slapen? vragen vragen.....

quote:

Op donderdag 7 november 2024 14:52 schreef Netsplitter het volgende:
Van nu.nl

Het onderhoud van het netwerk wordt door KPN uitbesteed aan onderaannemers. Ook daar schuilt een risico in. Een onderaannemer werkte volgens de Rekenkamer twee jaar lang zonder geldige autorisatie aan het netwerk.

Twee jaar gewoon aan dat netwerk kunnen werken zonder enige vorm van toezicht.

Dat is altijd al raar geweest. Op Schiphol wordt je in de sluis op de gram nauwkeurig gewogen en moet je dagen van te voren alle apparaten aanmelden die je meebrengt. Maar net buiten Schiphol kan iedereen graven en beheren.

quote:

Op maandag 11 november 2024 02:34 schreef raptorix het volgende:

[..]
Ik heb recent nog bij KPN security gewerkt en kan zeggen dat het normaliter qua autorisatie best strak geregeld is. Je komt echt nergens binnen zonder toegangspas, en zelfs belangrijke individuele ruimtes met een hogere clearance kom je niet binnen als je daar niet specifiek op gemachtigd bent. Daarnaast geld dat voor risicovolle zaken ook nog eens een AIVD screening wordt toegepast, had ik zelf niet mee te maken, maar een aantal collega's die met zwaardere zaken te maken hadden wel.

Veel van die beveiligingssystemen kijken alleen naar het nummer van de kaart, ze zetten er geen versleutelde toegangscode op. En dat nummer kun je zelf aanpassen. Dus dat ze een toegangssysteem met pasjes hebben zegt nog niets.

quote:

Op maandag 11 november 2024 09:10 schreef SymbolicFrank het volgende:

[..]
Veel van die beveiligingssystemen kijken alleen naar het nummer van de kaart, ze zetten er geen versleutelde toegangscode op. En dat nummer kun je zelf aanpassen. Dus dat ze een toegangssysteem met pasjes hebben zegt nog niets.

Nou nee, geloof me die dingen hebben echt de hoogste security eisen, en je kunt er niks zelf aan veranderen, de autorisatie loopt via het IT systeem waar je verantwoordelijke toestemming moet geven.

quote:

Op maandag 11 november 2024 11:42 schreef raptorix het volgende:

[..]
Nou nee, geloof me die dingen hebben echt de hoogste security eisen, en je kunt er niks zelf aan veranderen, de autorisatie loopt via het IT systeem waar je verantwoordelijke toestemming moet geven.

Dat geloof ik best. Maar kijken ze naar het nummer van het kaartje, of slaan ze een versleutelde toegangscode op?

quote:

Op maandag 11 november 2024 12:28 schreef SymbolicFrank het volgende:

[..]
Dat geloof ik best. Maar kijken ze naar het nummer van het kaartje, of slaan ze een versleutelde toegangscode op?

Dat zijn gewoon hoogwaardige NFC chips met automatische glazen tourniquets, kortom je springt niet even over een poortje.

quote:

Op maandag 11 november 2024 12:37 schreef raptorix het volgende:

[..]
Dat zijn gewoon hoogwaardige NFC chips met automatische glazen tourniquets, kortom je springt niet even over een poortje.

Je bedoelt dit? Allemaal hetzelfde protocol, alleen de verpakking is anders. Je hebt eerst het communicatieprotocol, daarna de API en dan de specifieke mogelijkheden.

Zoals dit:
V: Wie ben jij?
A: Kaart 84237.
V: Welke functies ondersteun je?
A: [lijstje]
V: Hoeveel opslagcellen heb je?
A: 16.
V: Wat zit er in cel 3? Hier heb je de sleutel.
A: [code]

En je kunt natuurlijk nog meer dan dat, als het kaartje/apparaat dat ondersteunt. Eigenlijk moet je dus minimaal de versleutelde code opvragen, maar meestal kijken ze alleen naar het kaartnummer. Dat is makkelijker.

quote:

Op maandag 11 november 2024 14:13 schreef SymbolicFrank het volgende:

[..]
Je bedoelt dit? Allemaal hetzelfde protocol, alleen de verpakking is anders. Je hebt eerst het communicatieprotocol, daarna de API en dan de specifieke mogelijkheden.

Zoals dit:
V: Wie ben jij?
A: Kaart 84237.
V: Welke functies ondersteun je?
A: [lijstje]
V: Hoeveel opslagcellen heb je?
A: 16.
V: Wat zit er in cel 3? Hier heb je de sleutel.
A: [code]

En je kunt natuurlijk nog meer dan dat, als het kaartje/apparaat dat ondersteunt. Eigenlijk moet je dus minimaal de versleutelde code opvragen, maar meestal kijken ze alleen naar het kaartnummer. Dat is makkelijker.

Je snapt het niet, de kaart zorgt puur voor de authenticatie, de autorisatie is geregeld via het centrale systeem.

quote:

Op zondag 10 november 2024 23:24 schreef ikweethetookniet het volgende:
Het is een incident
Het moet nog onderzocht worden
Ik voel me niet verantwoordelijk
Niet bewezen dat er misbruik is gemaakt van vertrouwen
U ziet het verkeerd er is wel naar gekeken
Verantwoordelijken zijn aangesproken maar blijven zitten of weggepromoveerd
We gaan het nu goed aanpakken maar dat kost geld dus gaan de tarieven omhoog
We moeten vooruit kijken
We gaan lessen trekken uit dit voorval
Niet kunnen voorzien dat dit zou gaan gebeuren
Er is niet met opzet zo gehandeld
Rapporten over verleden zijn niettemin te vinden

En nog veel meer van deze onzin wordt over ons uitgestort 🤬
In de hoop dat we het laten rusten

Waar heb je het in godsnaam over?

Is dit een soort van overdreven paniekreactie enkel _omdat_ je in de media een bericht leest met een ietwat paniekerige titel en je gelijk in een soort van minderwaarheidscomplex schiet?

Als je nu eens rustig doorademt en teruggaat naar het artikel... wat je lees je dan precies?

quote:

De Algemene Rekenkamer die onderzoek heeft gedaan naar het zogeheten Netherlands Armed Forces Integrated Network (NAFIN).

Ofwel, er is onderzoek gedaan naar een systeem en eventuele kwetsbaarheden... en wat is er gebeurd...
het onderzoek heeft etoe geleid dat men ook kwetsbaarheden ontdekt heeft en deze aanspreekt...

Is dat heel erg of enorm fout?

Nee, het is vooral een teken dat het onderzoek grondig en correct gedaan is en men ook de ontdekte fouten aanspeekt.
Dat is niet verkeerd, maar het allerbelangrijkste beginpunt van iedere vorm van aufitting en beveiliging... die onderzoek naar fouten, registreer dingen die foutgaan en documenteer deze.

Dat er een boel te verbeteren valt, natuurlijk is dat zo en het valt zeker te hopen dat de verantwoordelijkheid daarvoor genomen wordt.
evengoed is het erg goed dat men in de openbaarheid komt met dit rapport ... niet dat iedereen gelijk moet gaan huilen en as over de eigen koppen gooien... maar juist die openbaarheid kan verder een aanleiding zijn bepaalde fouten op te lossen of de beveiliging aan te scherpen

quote:

Op maandag 11 november 2024 14:18 schreef raptorix het volgende:

[..]
Je snapt het niet, de kaart zorgt puur voor de authenticatie, de autorisatie is geregeld via het centrale systeem.

Als je alleen naar het nummer van de kaart kijkt, maakt het niets uit hoe goed de autorisatie is geregeld.

Koop een versterker, sluit die aan op een kaartlezer, zodat die een bereik heeft van een meter. Ga bij de uitgang staan en lees het nummer van alle kaarten waarmee de mensen buitenkomen. Kies er 1 uit en schrijf dat op een blanco kaart. Loop naar binnen.

quote:

Op maandag 11 november 2024 14:57 schreef SymbolicFrank het volgende:

[..]
Als je alleen naar het nummer van de kaart kijkt, maakt het niets uit hoe goed de autorisatie is geregeld.

Koop een versterker, sluit die aan op een kaartlezer, zodat die een bereik heeft van een meter. Ga bij de uitgang staan en lees het nummer van alle kaarten waarmee de mensen buitenkomen. Kies er 1 uit en schrijf dat op een blanco kaart. Loop naar binnen.

Alsjeblieft, stop even met je opmerkingen, als je echt niets meegekregen hebt van cryptographie stop dan met dit soort onzinnige opmerkingen, het zijn geen OV kaarten uit 1990 die je even onder een kopieer apparaat legt

quote:

Op maandag 11 november 2024 15:25 schreef raptorix het volgende:

[..]
Alsjeblieft, stop even met je opmerkingen, als je echt niets meegekregen hebt van cryptographie stop dan met dit soort onzinnige opmerkingen, het zijn geen OV kaarten uit 1990 die je even onder een kopieer apparaat legt

Ah, je gaat er dus van uit dat ze een versleutelde code gebruiken. Maar dat weet je niet zeker. Het is een gok.

quote:

Op maandag 11 november 2024 15:35 schreef SymbolicFrank het volgende:

[..]
Ah, je gaat er dus van uit dat ze een versleutelde code gebruiken. Maar dat weet je niet zeker. Het is een gok.

Ja toevallig kun je het type kaartje zelf uitlezen, jeetje ik stop deze discussie.

quote:

Op maandag 11 november 2024 15:37 schreef raptorix het volgende:

[..]
Ja toevallig kun je het type kaartje zelf uitlezen, jeetje ik stop deze discussie.

Ah, het type kaart. Laat me eens raden: een Mifare variant? Dat zegt nog steeds niets over het gebruik.

Hint: ik heb ook aan beveiligingssystemen gewerkt, er software voor geschreven, kaarten geprogrammeerd, geprint en uitgelezen. Ik heb wel nog nooit gecommuniceerd met een telefoon via NFT.

quote:

Op maandag 11 november 2024 15:48 schreef SymbolicFrank het volgende:

[..]
Ah, het type kaart. Laat me eens raden: een Mifare variant? Dat zegt nog steeds niets over het gebruik.

Hint: ik heb ook aan beveiligingssystemen gewerkt, er software voor geschreven, kaarten geprogrammeerd, geprint en uitgelezen. Ik heb wel nog nooit gecommuniceerd met een telefoon via NFT.

Ga je ook twijfels uiten of Ajax de ballen wel goed op pompt? Immers ja nee, dat weet je het niet, dus ik ga er maar vanuit dt de ballen altijd te zacht zijn, man man man.