Bankoverval opgelost dankzij pinbetaling

Een opmerkelijk stukje ICT-recht. In december 2005 werd een bank in Oosterhout overvallen. Nee, geen computercriminaliteit maar op de ouderwetse manier. Alleen verloor een van de overvallers zijn portemonnee, met daarin zijn rijbewijs, bankpasjes en identiteitsbewijs. Nee, ik verzin het niet. Hij was dan ook snel opgespoord. Hij had ook snel een excuus: die portemonnee was hij verloren, en wellicht had de echte overvaller deze gevonden en (al of niet opzettelijk) bij de overval achtergelaten.

Het Gerechtshof was daar snel klaar mee: “de suggestie dient als volstrekt onwaarschijnlijk van de hand te worden gewezen.” En hier komt het ICT-aspect van de zaak: met die bankpasjes was de recherche bij de bank langsgeweest met een bevel (art. 126nd Strafvordering) tot inzage in de bankrekening die bij dat pasje hoorde.

Uit het vervolgens door de [bank] verstrekte rekeningoverzicht blijkt dat door verdachte op 20 december 2005 bij de bouwmarkt Karwei te ‘s-Hertogenbosch een pinbetaling was verricht (p. 33) ten behoeve van – zo bleek na onderzoek – de aanschaf van tie-rips; uit nader onderzoek bleek vervolgens dat die door de verdachte aangeschafte tie-rips in kleur en afmetingen overeenkomst vertoonden met de tie-rips die bij de overval waren gebruikt om de bankmedewerkers mee te knevelen.

De verdachte kreeg drie jaar cel. De portemonnee met inhoud kreeg hij trouwens wel netjes terug.

Arnoud

Phishing-bestrijders krijgen donaties van phishers

Wat doe je als je als oplichter last hebt van een groep mensen die jou probeert te laten stoppen? Die geef je een deel van je inkomsten.

Via Slashdot vond ik een blogpost in de Washington Post over een groep phishers die de vrijwilligers-groep Castlecops het leven zuur maakt. De truc: doneer een deel van je gestolen geld aan Castlecops, zodat zij er op worden aangekeken als de transactie wordt getraceerd.

The unauthorized contributions all came in via PayPal, the online payment service owned by eBay. Some were sent via PayPal accounts that attackers had hijacked in phishing scams; others were submitted through PayPal’s e-check option using compromised checking account numbers. A few donations were for as little as $1, while other fake donations ranged as high as $2,800.

To the victims of the stolen PayPal accounts, it looks as if CastleCops is the one stealing their money, when in reality, it’s the attackers. Also, the fraudulent activity seeks to ruin their relationship with PayPal.

Via Security.NL nog de reactie van Gunter Ollmann, directeur Security Strategy bij IBM:

“Ik geloof dat het resultaat van deze acties is dat buitenstaanders CastleCops als belangrijk zien, en dat er meer werk verricht moet worden om het internet een veiligere plek te maken.” Ollmann sluit zelfs niet uit dat als de mensen wiens creditcard misbruikt is zien waar de website voor staat, ze juist besluiten om te doneren.

Arnoud

Bewakers bewaakt: de opkomst van de Sousveillance-cultuur (bij Livre)

Een mooi artikel op Livre: Bewakers bewaakt: de opkomst van de Sousveillance-cultuur. Cameratoezicht is ondertussen een bekend (en soms zorgelijk) verschijnsel.

Volgens Edwin Mijnsbergen lijkt het erop dat er een soort tweedeling ontstaat in de samenlevingen die worden geconfronteerd met het alsmaar toenemend cameratoezicht. Een grote groep lijkt de alomtegenwoordigheid van spiedende camera’s zonder morren te willen aanvaarden, maar er is ook een groep die zich wel degelijk zorgen maakt over de ontwikkelingen. Een nieuw verschijnsel zijn zij die zich vol overgave storten op een verschijnsel dat ‘sousveillance’ genoemd wordt: bewaking vanaf de onderkant.

Arnoud

De vijf beste scripties over informatiebeveiliging

Security.NL bericht over de vijf nominaties voor de Joop Bautz Information Security Award.

Al enkele jaren wordt door het PvIB, ISACA, NOREA en ECP.NL binnen het vakgebied informatiebeveiliging een award uitgereikt aan de student(en) met de beste scriptie op het gebied van informatiebeveiliging.

De vijf genomineerden zijn:

Arnoud

Beveiliging uitgelegd met cartoons

Twee Amerikaanse beveiligingsexperts hebben een nieuwe website gelanceerd die via stripverhalen de eindgebruiker op een toegankelijke manier de gevaren van het web uitlegt, meldt Security.nl.

Ze zijn meer informatief dan grappig, maar voor sommige mensen vast beter dan een platte tekst.

.

Arnoud

Security.nl helpt: “Help ik ben besmet met een virus!”

Security.NL biedt antwoord op vragen over beveiliging. Een goed initiatief!

Regelmatig ontvangen wij van onze lezers vragen over informatiebeveiliging, privacy of gewoon simpelweg hoe je je computer veilig en schoon kunt houden. Vragen op elk niveau, waar iedereen weleens mee te maken krijgt. Security.NL is daarom een nieuw onderdeel op de website gestart waarbij we die vragen, hoe laagdrempelig of technisch ze ook zijn, door een expert laten beantwoorden.

De eerste vraag is gelijk een leuke: ik ben besmet met een virus, wat nu?

Het antwoord biedt een goed overzicht over hoe om te gaan met virussen, Trojans en virusscanners.

Arnoud

Terugblik: de Estste cyberoorlog

Weet u nog, de cyberoorlog in Estland? In mei van dit jaar werden verschillende websites uit Estland, met name overheidssites, bestookt met verstikkingsaanvallen (DDoS-aanvallen). Dat ging zo ver dat Estland overwoog de NAVO er bij te halen voor een militaire actie tegen Rusland, de beweerdelijke dader. Er waren Russische computers bij de aanval betrokken, maar daaruit kun je nog niet concluderen dat het land er dus zelf achter zit. Ook Rusland heeft last van zombie-PC’s.

Nu, een paar maanden later, heeft Kevin Poulsen een uitgebreid artikel geschreven over wat er nu werkelijk gebeurde, en vooral hoe er op werd gereageerd.

Via Bruce Schneier.

Arnoud

Uw nieuwe wachtwoord: “gemutileerde zeehond”

Is dit slim of zie ik iets over het hoofd?

Al die sites die eisen dat je een naam en wachtwoord kiest, zijn eigenlijk heel onveilig. Vrijwel iedereen gebruikt tegenwoordig zijn e-mailadres als gebruikersnaam, en vaak heb je niet eens meer een aparte gebruikersnaam. De veiligheid komt dan volledig te liggen op het wachtwoord. Zo hoort het ook, alleen als mensen zelf wachtwoorden mogen kiezen, kiezen ze vaak hele onveilige.

Nu kwam ik van het weekend dit voorstel tegen: schaf gebruikersnamen af, en verzin voor iedereen die zich registreert, een lange, makkelijk te onthouden maar moeilijk te raden zin (een passphrase):

  • A user should enter only his password. Login is not needed for this scheme. Certainly, a password should be unique for each user.
  • <li>The password is not chosen by user, but generated by the program. There is nothing new here: passwords are often generated by software using secure random number generators.</li>
    

  • The password is a random sentence. Raskin proposes to put together two random adjectives and one noun from a large dictionary (e.g., about 10 000 words):
    old free papaya
    exclusive malformed seal
    savoury manlike oracle
  • <li>User can choose to use another type of password. As Raskin says, you can give user a choice from five methods of generating easy-to-remember passwords. I would also add that you can use Koremutake algorithm (passwords like “habakysomagri” or “gafevipromystu”), a random sentence generator (”old free papaya” or “exclusive malformed seal”) and several other generators.</li>
    

Wel een beetje opletten natuurlijk wat je genereert, want “gemutileerde zeehond” is dan misschien makkelijk te onthouden maar niet voor iedereen een even fijn wachtwoord.

Arnoud

Online betalen grootste risico bij zakelijke e-commerce

Op Techzine las ik over de risico’s van online betalen zoals gemeten in de ICT Barometer van Ernst & Young:

Bijna de helft van de ondervraagde bedrijven zegt regelmatig te kampen te hebben met criminaliteit op het internet. Dit geldt in het bijzonder voor de middel- en kleinbedrijven. Betalen met een creditcard is in de ogen van twee op de vijf ondervraagden het meest riskant. Een op de vijf ondervraagden vindt betalen met het betalingssysteem iDeal gevaarlijk.

Nu kleven er zeker risico’s aan creditcard-betalingen, maar die zijn grotendeels hetzelfde als bij offline betalen met je creditcard: je geeft een nummer aan een bedrijf, dat dan belooft niet meer af te boeken dan je moet betalen.

En nee, er liggen echt geen hackers op de loer bij uw ADSL-verbinding in de hoop dat ze die zestien cijfers plus vervaldatum en CVV langs zien komen. Waarom zouden ze? Gewoon de database bij de winkel hacken is veel efficiënter. In tegenstelling tot uw verbinding met die winkel is die database zelden versleuteld en vaak nog via internet toegankelijk ook.

En nog een opmerking uit het -niet linkbare(!)- persbericht, van Jacob Verschuur, directeur ICT Leadership bij Ernst & Young:

Op de meeste plekken ter wereld kun je zelf aangeven wanneer je de bestelde online goederen geleverd wilt hebben, terwijl dat hier nog steeds tussen de traditionele kantooruren is. We lopen in Nederland ver achter op dit gebied en dat kan gezien de snelheid waarmee online winkelen zich ontwikkelt echt niet meer.

Hear hear. En het zou al heel wat zijn als zo’n leverancier kan zeggen wanneer hij er is. En dan bedoel ik niet “tussen tien en vier uur” maar een tijdstip met een marge van laten we zeggen een half uur.

Arnoud

Huisarrest inclusief verplicht Windows-gebruik

Veroordeeld tot Windows. Security.NL meldt over een man die vijf maanden gevangenisstraf plus huisarrest kreeg wegens het verspreiden van Star Wars III. Bij zijn huisarrest hoort ook de plicht om monitoring software op zijn PC te laten draaien, zodat ook zijn gangen op internet kunnen worden nagegaan. Ok, dat kan, maar nu komt het: die monitoring-software werkt alleen onder Windows, dus wordt deze Linux-gebruiker nu verplicht om van besturingssysteem te wisselen.

McCausland verklaart:

“Het gaat er niet om dat ik gemonitord wordt, maar het feit dat ik mijn leven moet herstructureren, en dat ik verplicht wordt om software aan te schaffen terwijl ik nu geen werk heb, en ook moeilijk zal krijgen vanwege het strafblad dat ze me hebben gegeven.”
Ik ben er nog even niet uit of dit verdedigbaar is als redelijk onderdeel van de maatregel. Op Tweakers merkte nog iemand op “Kan me voorstellen dat als je een enkelbandje omkrijgt dat dat ook niet altijd bij je favoriete broek kleurt.”

Hoe belangrijk is het om op internet te kunnen dan wel op andere manieren van je computer gebruik te kunnen maken?

Wat gebeurt er eigenlijk als je te dik bent voor een enkelband?

Arnoud