Background news

Een doorsnee website op internet bevatte vorig jaar 79 ernstige beveiligingslekken, veel minder dan in eerdere jaren. Dat beweert beveiligingsbedrijf WhiteHat Security in een nieuw onderzoeksrapport. In 2010 ging het nog om 230 kwetsbaarheden, terwijl in 2007 de teller bij 1111 lekken stopte. De cijfers zijn gebaseerd op 7.000 websites van 500 verschillende organisaties. Websites van banken bleken het "best" beveiligd, aangezien de onderzoekers per website gemiddeld 17 ernstige lekken aantroffen. Webwinkels zijn met 121 kwetsbaarheden per website de grootste vergiet. 
Cross-site scripting is het meest voorkomende probleem en werd in 55% van de websites aangetroffen. Het lekken van informatie is tweede met 53%, gevolgd door content spoofing (36%). Het gevaarlijke SQL Injection waardoor aanvallers toegang tot databases kunnen krijgen, is op 11% van de websites aanwezig. 

Oplossen
De onderzoekers keken ook naar de tijd die bedrijven nodig hebben om kwetsbaarheden te verhelpen en de tijd dat deze lekken bekend zijn. Het verhelpen van SQL Injection duurt gemiddeld 53 dagen, terwijl het probleem gemiddeld 110 dagen op de website aanwezig is. Het oplossen van Cross-Site Scripting neemt gemiddeld 65 dagen in beslag en is in totaal 131 dagen op een website aanwezig. 

Bron: Security.nl

Ict-dienstverlener Sogeti organiseert een zogeheten social engineering-wedstrijd tijdens de jaarlijkse 'Hack In the Box'-conferentie eind mei 2012. Hackers worden uitgedaagd om tijdens telefoongesprekken met bedrijven hun sociale vaardigheden in te zetten om belangrijke feiten te achterhalen. De opdracht is bedacht om het bewustzijn rondom informatieveiligheid te vergroten. De geanonimiseerde uitkomsten van deze 'sociale hacks' worden gepubliceerd in een rapport.

De wedstrijd bestaat uit drie opdrachten die gedurende de twee conferentiedagen op 24 en 25 mei 2012 moeten worden uitgevoerd. Het gaat om het hacken van een draadloos netwerk, een applicatie en het ‘social engineeren' van een van de honderd grootste ondernemingen van Nederland. Voor de winnaar is er een iPad en  toegangskaarten voor de Hack in the Box-conferentie 2013.

De deelnemers krijgen een willekeurig gekozen, groot Nederlands bedrijf toegewezen. In een gesprek van maximaal een halfuur moeten zij specifieke informatie verzamelen. Zij scoren punten als de gesprekspartner de naam van de bedrijfscateraar prijs geeft of op verzoek een website bezoekt.

Illegaal
De gesprekken worden door de wedstrijdleiding gevolgd om te voorkomen dat de hackpoging uit de hand loopt of de hackers proberen gevoeliger of illegale informatie te verkrijgen. De voortgang van de verschillende teams kan worden gevolgd via een webcamfeed of (vertraagde) audiostream. Registreren

Registratie voor de wedstrijd kan op http://ssec2012.eventbrite.com. Hier zijn ook de uitgebreide spelregels te vinden. Meer informatie over Hack In the Box is te vinden op http://conference.hitb.org/hitbsecconf2012ams

Bron: computable.nl

Het Europees Parlement heeft een wetsvoorstel geaccepteerd waardoor het bezit en verspreiden van hacking-tools strafbaar wordt. Met 50 stemmen tegen 1 werd een voorstel aangenomen om de bestaande wetgeving wat betreft de definitie en vervolging van cybercrime aan te passen. Cyberaanvallen op IT-systemen zouden straks een strafbaar misdrijf in de EU worden waar minimaal twee jaar gevangenisstraf op staat. 
Ook hacking-tools worden expliciet genoemd: "Het bezit en verspreiden van hacking-software en tools wordt ook een strafbaar feit, en bedrijven worden aansprakelijk voor cyberaanvallen die in hun belang zijn gepleegd." 

Definitie
Rik Ferguson van anti-virusbedrijf Trend Micro analyseerde het voorstel en stelt dat het een goed doordacht plan is. Het roept op tot het gelijkstellen van straffen voor cybercrime in de gehele Europese Unie en het gelijkstellen van de definitie wat nu precies cybercrime omvat. Wat betreft het bezit en gebruik van hacking-tools erkent het voorstel de dubbele aard van veel van deze tools. Het alleen bezitten zou volgens Ferguson's analyse niet strafbaar zijn, ook al beweert het persbericht van het Europees Parlement iets anders. 

Daar staat: "Het voorstel richt zich ook op de tools die worden gebruikt om misdrijven te plegen: de vervaardiging en verkoop van apparaten zoals computerprogramma's ontwikkeld voor cyberaanvallen, of die een computerwachtwoord vinden waardoor er toegang tot een informatiesysteem verkregen kan worden, zouden ook strafbare misdrijven zijn." 

Vooral de intentie waarmee en het doel waarvoor de tools gebruikt zijn zouden volgens Ferguson een doorslaggevende rol spelen. Het werk van legitieme beveiligingsonderzoekers zou in ieder geval niet in gevaar komen, aldus de virusbestrijder. bron: Security.nl