Bewakers bewaakt: de opkomst van de Sousveillance-cultuur (bij Livre)

Een mooi artikel op Livre: Bewakers bewaakt: de opkomst van de Sousveillance-cultuur. Cameratoezicht is ondertussen een bekend (en soms zorgelijk) verschijnsel.

Volgens Edwin Mijnsbergen lijkt het erop dat er een soort tweedeling ontstaat in de samenlevingen die worden geconfronteerd met het alsmaar toenemend cameratoezicht. Een grote groep lijkt de alomtegenwoordigheid van spiedende camera’s zonder morren te willen aanvaarden, maar er is ook een groep die zich wel degelijk zorgen maakt over de ontwikkelingen. Een nieuw verschijnsel zijn zij die zich vol overgave storten op een verschijnsel dat ‘sousveillance’ genoemd wordt: bewaking vanaf de onderkant.

Arnoud

De vijf beste scripties over informatiebeveiliging

Security.NL bericht over de vijf nominaties voor de Joop Bautz Information Security Award.

Al enkele jaren wordt door het PvIB, ISACA, NOREA en ECP.NL binnen het vakgebied informatiebeveiliging een award uitgereikt aan de student(en) met de beste scriptie op het gebied van informatiebeveiliging.

De vijf genomineerden zijn:

Arnoud

Nieuw op Iusmentis: De (il)legaliteit van modchips

Modchips die kopieerbeveiligingen in een spelcomputer opheffen of omzeilen, zijn verboden in Nederland. Het is strafbaar om zulke chips te verspreiden of uit winstbejag in bezit te hebben.

Met een zogeheten modchip kan de functionaliteit van spelcomputers (consoles) worden aangepast. In principe is het legaal om gekochte apparaten aan te passen, al zal in veel gevallen dan de garantie vervallen. Een uitzondering daarop is het aanpassen van kopieerbeveiligingen of regio-restricties. Dit is verboden, en ook middelen die bestemd zijn om dit te vergemakkelijken, zijn verboden. Het verspreiden of uit winstbejag in bezit hebben van modchips met een dergelijk doel is een misdrijf.

Lees verder in De (il)legaliteit van modchips (in Beveiliging > Hacken @ iusmentis.com).

Een bijproduct van mijn artikel over de iPhone.

Arnoud

iPhone unlocken in Nederland: is het legaal?

De iPhone komt naar Europa, en met een beetje geluk binnen afzienbare tijd ook naar Nederland. Nu zit dat ding goed op slot, wat dus de vraag oproept: mag je de iPhone unlocken?

Op deze vraag (waar ik eerder nog ongenuanceerd ja op zei) probeer ik nu in een serie artikelen op Macwereld.nl antwoord te geven.

De laatste tijd is er veel in het nieuws over het unlocken van Apple’s iPhone. Europese klanten willen niet alleen graag een iPhone aanschaffen, maar deze ook gebruiken met hun eigen SIM-kaart.

Maar is het SIM-unlocken van de iPhone in Nederland eigenlijk wel legaal? MacWereld.nl ging op onderzoek uit.

Lees verder in iPhone unlocken in Nederland: is het legaal? (Deel 1) – macwereld.nl.

Arnoud

Beveiliging uitgelegd met cartoons

Twee Amerikaanse beveiligingsexperts hebben een nieuwe website gelanceerd die via stripverhalen de eindgebruiker op een toegankelijke manier de gevaren van het web uitlegt, meldt Security.nl.

Ze zijn meer informatief dan grappig, maar voor sommige mensen vast beter dan een platte tekst.

.

Arnoud

De pizzaboer op afstand – met vervalste gegevens geplaatste bestelling

Het is een oude truc: bel een paar pizzabakkers en laat ze allemaal een paar dure pizza’s bezorgen bij de buurman. Tegenwoordig werkt die truc meestal niet meer, maar op internet kan het vaak nog wel. Als een site de mogelijkheid heeft om per acceptgiro te betalen, dan kun je in naam van een ander producten bestellen en laten bezorgen, zodat hij met de rompslomp zit. En als hij niet uitkijkt, met een incassobureau ook.

Die buurman riep destijds gewoon heel hard dat hij niks besteld had, waarna de bezorgers mopperend weggingen. Met de pizza’s uiteraard. Alleen, als het gaat om een ongevraagde toezending via internet, dan hebben we een bijzondere wettelijke regeling: die mag je houden en je hoeft niets te betalen.

Een maas in de wet? Je kunt tenslotte op die manier iets bestellen, en vervolgens de incasso afpoeieren door te zeggen dat je niets besteld hebt.

Even terug naar de basis. De winkel zal zeggen dat er toch echt een overeenkomst is gesloten en dat hij heeft geleverd. Dus betalen graag. De ontvanger zal zeggen dat hij niets besteld heeft en dus ook niet hoeft te betalen. De bewijslast ligt dan in eerste instantie bij de winkel: die stelt dat er een overeenkomst is, en dat moet hij dan maar bewijzen. Hij heeft dan een ingevuld webformulier, maar omdat hij met een acceptgiro werkte, is dat erg mager als bewijs dat de ontvanger ook werkelijk dat formulier heeft ingevuld.

Lukt de winkel dat toch, dan moet de ontvanger bewijzen dat hij niet degene was die het formulier heeft ingevuld. Dat kan ook lastig zijn natuurlijk. Is hij onder een ander account al klant bij die winkel, dan kan dat een aardig begin zijn voor zo’n bewijs.

Kan de winkel niet bewijzen dat er een overeenkomst is, dan is er dus geen overeenkomst.

In beide gevallen zal de winkel vervolgens stellen dat hij iets geleverd heeft zonder geldige reden, en dan kan hij dat terugeisen. Onverschuldigd betaald, noemen juristen dat. Artikel 6:203 BW. En daar heeft de ontvanger dus dat artikel 7:7 van het Burgerlijk Wetboek als tegenargument. Het was een niet door hem bestelde zaak (want er was geen overeenkomst), met het verzoek tot betaling van een prijs.

Wat nu?

In het recht geldt een algemene regel: speciale wet gaat boven algemene wet. Hier hebben we een algemene wet die zegt “terug als onverschuldigd betaald”, en een specifieke wet over het mogen houden van toegezonden zaken met een verzoek tot betalen. Die specifieke wet zou dan moeten winnen.

Bovendien is de bedoeling van die specifieke wet om de consument te beschermen tegen zomaar toegezonden artikelen. Het is moeilijk om het verschil te zien tussen een agressieve verkoopactie en een aflevering op grond van een door een grapjas aangegane bestelling. Dus ook daarom zou die specifieke wet de consument moeten beschermen in dit geval, zodat hij het artikel niet terug hoeft te geven.

Een slimme webwinkel laat de klant dus eerst betalen. Dan speelt deze hele discussie niet. De winkel heeft zijn geld, en de ontvanger van het product is óf blij met het bestelde, óf hij kiepert het in de vuilnisbak. Maar dat is niet meer de zorg van de winkel.

Arnoud

Security.nl helpt: “Help ik ben besmet met een virus!”

Security.NL biedt antwoord op vragen over beveiliging. Een goed initiatief!

Regelmatig ontvangen wij van onze lezers vragen over informatiebeveiliging, privacy of gewoon simpelweg hoe je je computer veilig en schoon kunt houden. Vragen op elk niveau, waar iedereen weleens mee te maken krijgt. Security.NL is daarom een nieuw onderdeel op de website gestart waarbij we die vragen, hoe laagdrempelig of technisch ze ook zijn, door een expert laten beantwoorden.

De eerste vraag is gelijk een leuke: ik ben besmet met een virus, wat nu?

Het antwoord biedt een goed overzicht over hoe om te gaan met virussen, Trojans en virusscanners.

Arnoud

Terugblik: de Estste cyberoorlog

Weet u nog, de cyberoorlog in Estland? In mei van dit jaar werden verschillende websites uit Estland, met name overheidssites, bestookt met verstikkingsaanvallen (DDoS-aanvallen). Dat ging zo ver dat Estland overwoog de NAVO er bij te halen voor een militaire actie tegen Rusland, de beweerdelijke dader. Er waren Russische computers bij de aanval betrokken, maar daaruit kun je nog niet concluderen dat het land er dus zelf achter zit. Ook Rusland heeft last van zombie-PC’s.

Nu, een paar maanden later, heeft Kevin Poulsen een uitgebreid artikel geschreven over wat er nu werkelijk gebeurde, en vooral hoe er op werd gereageerd.

Via Bruce Schneier.

Arnoud

Uw nieuwe wachtwoord: “gemutileerde zeehond”

Is dit slim of zie ik iets over het hoofd?

Al die sites die eisen dat je een naam en wachtwoord kiest, zijn eigenlijk heel onveilig. Vrijwel iedereen gebruikt tegenwoordig zijn e-mailadres als gebruikersnaam, en vaak heb je niet eens meer een aparte gebruikersnaam. De veiligheid komt dan volledig te liggen op het wachtwoord. Zo hoort het ook, alleen als mensen zelf wachtwoorden mogen kiezen, kiezen ze vaak hele onveilige.

Nu kwam ik van het weekend dit voorstel tegen: schaf gebruikersnamen af, en verzin voor iedereen die zich registreert, een lange, makkelijk te onthouden maar moeilijk te raden zin (een passphrase):

  • A user should enter only his password. Login is not needed for this scheme. Certainly, a password should be unique for each user.
  • <li>The password is not chosen by user, but generated by the program. There is nothing new here: passwords are often generated by software using secure random number generators.</li>
    

  • The password is a random sentence. Raskin proposes to put together two random adjectives and one noun from a large dictionary (e.g., about 10 000 words):
    old free papaya
    exclusive malformed seal
    savoury manlike oracle
  • <li>User can choose to use another type of password. As Raskin says, you can give user a choice from five methods of generating easy-to-remember passwords. I would also add that you can use Koremutake algorithm (passwords like “habakysomagri” or “gafevipromystu”), a random sentence generator (”old free papaya” or “exclusive malformed seal”) and several other generators.</li>
    

Wel een beetje opletten natuurlijk wat je genereert, want “gemutileerde zeehond” is dan misschien makkelijk te onthouden maar niet voor iedereen een even fijn wachtwoord.

Arnoud

Online betalen grootste risico bij zakelijke e-commerce

Op Techzine las ik over de risico’s van online betalen zoals gemeten in de ICT Barometer van Ernst & Young:

Bijna de helft van de ondervraagde bedrijven zegt regelmatig te kampen te hebben met criminaliteit op het internet. Dit geldt in het bijzonder voor de middel- en kleinbedrijven. Betalen met een creditcard is in de ogen van twee op de vijf ondervraagden het meest riskant. Een op de vijf ondervraagden vindt betalen met het betalingssysteem iDeal gevaarlijk.

Nu kleven er zeker risico’s aan creditcard-betalingen, maar die zijn grotendeels hetzelfde als bij offline betalen met je creditcard: je geeft een nummer aan een bedrijf, dat dan belooft niet meer af te boeken dan je moet betalen.

En nee, er liggen echt geen hackers op de loer bij uw ADSL-verbinding in de hoop dat ze die zestien cijfers plus vervaldatum en CVV langs zien komen. Waarom zouden ze? Gewoon de database bij de winkel hacken is veel efficiënter. In tegenstelling tot uw verbinding met die winkel is die database zelden versleuteld en vaak nog via internet toegankelijk ook.

En nog een opmerking uit het -niet linkbare(!)- persbericht, van Jacob Verschuur, directeur ICT Leadership bij Ernst & Young:

Op de meeste plekken ter wereld kun je zelf aangeven wanneer je de bestelde online goederen geleverd wilt hebben, terwijl dat hier nog steeds tussen de traditionele kantooruren is. We lopen in Nederland ver achter op dit gebied en dat kan gezien de snelheid waarmee online winkelen zich ontwikkelt echt niet meer.

Hear hear. En het zou al heel wat zijn als zo’n leverancier kan zeggen wanneer hij er is. En dan bedoel ik niet “tussen tien en vier uur” maar een tijdstip met een marge van laten we zeggen een half uur.

Arnoud