Het zal je niet zijn ontgaan dat veel overheidsinstanties en gemeenten onder vuur liggen vanwege gebrekkige ict-beveiliging. Verschillende websites blijken gevoelig te zijn voor kwetsbaarheden en onvolkomenheden in de software waardoor de controle over sites kan worden overgenomen. Ook kunnen er gegevens buit gemaakt worden. Voor bedrijven en overheden levert dit imagoschade op.
In de media worden deze beveiligingslekken uitvoerig beschreven en naar buiten gebracht. Maar wat kan aan aan de beveiligingslekken gedaan worden. En, in relatie tot dit expert topic, welke rol kan open source software hierbij spelen?
Laat het duidelijk zijn, ict-security is iets dat niet alleen in de software kan geregeld kan worden. Security moet je op alle vlakken aanpakken, zowel procedureel, fysiek, op hardware als in de software (hierbij kan de software zelfs nog gesplitst worden in de applicatie en systeemsoftware zoals operating systeem, database en webserver). Zo'n integrale aanpak zorg ervoor dat je niet alleen de voordeur dichttimmert, maar ook de achterdeur goed vergrendeld.
In de meeste voorbeelden in de media zijn websites het doelwit. In mijn ogen is dit niet schokkend. In de meeste gevallen betreft het informatie die toch al met de buitenwereld gedeeld wordt. Ik zou het veel kwalijker vinden wanneer er informatie verkregen wordt die de betreffende organisatie of het bedrijf niet wilde delen. Het lijkt me dat je daarom data zou moeten classificeren, bijvoorbeeld in drie niveaus van vertrouwelijkheid. Op elk niveau kunnen passende maatregelen getroffen worden. Daarnaast zou bij zelfbouw van applicaties security in het design mee genomen moeten worden. Strikte regels en afspraken tijdens het programmeren helpen security risico's te verkleinen of ze (later) eenvoudiger te verhelpen.
Wat mij in de meeste berichten opvalt is dat de sites al zo'n lange tijd 'lek' blijken te zijn. Dat suggereert dat de sites niet of niet goed beheerd worden. Of in ieder geval dat de beheerder niets in de gaten heeft gehad. Goed beheer is dan ook een erg belangrijke voorwaarde voor security. Een goede beheerder weet wat er zich op de systemen afspeelt. Hij (of zij) heeft bijvoorbeeld een adequate update policy. Software wordt regelmatig van updates voorzien en security updates worden met voorrang doorgevoerd. Het spreekt vanzelf dat kennis en ervaring noodzakelijk zijn voor goed beheer.
Maar kan open source software helpen? Voor wat betreft het software-deel kan dat naar mijn idee zeker. Er zijn verschillende open source softwaretools beschikbaar die gebruikt kunnen worden om de mate van security te verhogen. Nu zal je misschien denken, zijn dat niet dezelfde tools die ook door de hackers gebruikt worden? Dat zou best kunnen, maar in mijn ogen is dat juist een extra reden er kennis van op te doen en ze te gebruiken.
Prijskaartje
Vanwege de vaak lagere kosten kan open source software de financiële bezwaren wegnemen om dergelijke tools te gaan gebruiken. Geen aanschafprocedure en niet-techneuten die daarover moeten beslissen, gewoon downloaden. Open source-software is daardoor laagdrempelig. Veel van de tools maken ook nog standaard deel uit van een (Linux) distributie en dat maakt het gebruik nog eenvoudiger. Voorbeelden hiervan zijn Linux gebaseerde firewalls zoals Shorewall en bijvoorbeeld tcpdump waarmee het netwerkverkeer van een interface kan worden bekeken. In het verleden heb ik daar veel gebruik van gemaakt. Naar verloop van tijd wordt je handig in het gebruik ervan. Een ander mooi voorbeeld is SELinux. Dit is een systeem dat in veel Linux distributies aanwezig is en waarmee het systeem veiliger kan worden gemaakt. Met SELinux kunnen bijvoorbeeld de mogelijkheden van een server proces, zoals de webserver, om het filesysteem te benaderen geminimaliseerd worden. Indien de webserver gehackt zou worden, blijven de mogelijkheden dit te misbruiken beperkt. Ook denk ik aan Nessus, een open source netwerkscanner die het netwerk doorlicht op bekende kwetsbaarheden. Wat weerhoudt organisaties ervan dergelijk producten te gebruiken?
Is open source software zelf ook veiliger? Mogelijk, maar natuurlijk bevat ook open source software bugs en kwetsbaarheden, het is en blijft software. Wel weten we inmiddels dat 'security by obscurity' zoals in de commerciële software wereld gehanteerd wordt niet werkt. Juist openheid over security problemen leidt tot oplossingen en dus tot een veiliger systeem. Bovendien, al zou een oplossing (nog) niet beschikbaar zijn, zodra bekend is dat er een security probleem is, kan je als klant, eindgebruiker of beheerder maatregelen nemen. In het meest extreme geval sluit je een systeem van internet af. Je hebt in ieder geval de keuze.
Ook biedt open source software de mogelijkheid zelf het heft in handen te nemen. Zo werkt een collega van me aan Handshake, een sms-authenticatie portal dat gebruik maakt van OpenVPN. De portal regelt de 'two factor security' en OpenVPN de beveiligde netwerkverbinding. OpenVPN is open source software en Handshake wordt dat in de nabije toekomst. De combinatie van beiden is een goed alternatief voor commerciële software die het 'thuiswerken' ondersteunen.
Terug naar de vraag, kan open source software mijn ict-security helpen te vergroten? Ik ben van mening dat het dat zeker kan. Toch zal een goede aanpak zich niet beperken tot de software. Een beheerder die van mening is dat de webserver niet gehackt zal worden leeft in een fantasiewereld. Ga ervan uit dat het gebeurd en kijk dan nogmaals naar het systeem, neem security serieus en gebruik de goede tools. En als laatste, zorg voor een calamiteitenprocedure. Welke maatregelen ga jij nemen als je gehackt bent? Wie gaat de communicatie voor zijn rekening nemen? Denk hier goed over nu je daar nog rustig de tijd voor hebt.
Wat ik echter niet begrijp is dat er nog steeds bedrijven zijn die hacks ontkennen en eromheen draaien. Is het inmiddels niet duidelijk dat zoiets niet meer kan? Of vinden we security gewoon niet belangrijk?
Een beetje expert zal ongetwijfeld een vergelijkbaar verhaal kunnen schrijven voor closed source software. Wat dat betreft, zie ik dit als de zoveelste verheerlijking van open source.
Je geeft zelf al aan, beveiliging dient op meer vlakken te gebeuren dan alleen software.
Beveiliging moet tussen de oren zitten van de beheersorganisatie, en moet meegenomen worden in de budgeteringen (niet alleen aanschaf soft- of hardware, maar ook in FTE’s)
Zolang het daar niet zit, kun je open- of closed source software aanschaffen en installeren tot je een ons weegt, maar blijft het dweilen met de kraan open.
Overigens vraag ik me wel af of het allemaal zo makkelijk is als in het artikel geschetst wordt. Even pakketje zus installeren, en dan pakketje zo. Wat is de impact van al deze software op het functioneren van mijn systeem? Hoe weet ik of al deze open source pakketten wel betrouwbaar zijn? Misschien zijn de pakketten op zich wel malware. Kijk ik bij het hier genoemde shorewall, zie ik bijvoorbeeld staan “WITHOUT ANY WARRANTY” … dit krijg ik moeilijk aan mijn managers uitgelegd. Je installeert iets, waarvan je hoopt dat het gaat helpen, maar je hebt geen enkele garantie.
@PaVaKe:
“Kijk ik bij het hier genoemde shorewall, zie ik bijvoorbeeld staan “WITHOUT ANY WARRANTY” … dit krijg ik moeilijk aan mijn managers uitgelegd. ”
Dan krijg je helemaal niets bij jouw managers uitgelegd, bij IBM, Microsoft, Oracle of welk ander softwarepakket dan ook, krijg je enige vorm van garantie. Wanneer door een bug in hun software jouw productie een week stilligt en je lijdt hierdoor bv. een miljoen euro schade, dan krijg je precies nul komma niks vergoedt. Zie de licentievoorwaarden.
Software is software en open of closed source, dat zegt UITSLUITEND iets over de beschikbaarheid van de broncode en de gebruiksmogelijkheden. Het zegt helemaal niets over garantie of aansprakelijkheid.
Ik ben het dus ook direct met je eens dat bovenstaand verhaal ook te schrijven is voor closed source software, de licentie vorm zegt namelijk niks.
Ik neig eerder naar het tegenovergestelde: Open source software is vaak (vaker dan closed? Geen idee) op zoveel punten te tweaken en configureren dat er feitelijk meer plaatsen zijn waar je de mist in kunt gaan. Probleem komt zeer vaak voort uit gebrekkige kennis en inrichting van het product dat je gebruikt. En inderdaad, dat is alleen nog maar de technische kennis. Als dan ook nog eens de bewustwording ontbreekt dat je gevoelige informatie gaat bewaren, dan heeft iemand met de juiste kennis ook onvoldoende prikkels om kritisch na te denken over de inrichting. Je veiligheid moet een optelsom van de hele keten zijn, maar is helaas zo sterk als de zwakste schakel.
In mijn ogen is closed of open source geen relevante informatie. Het wordt er bij de haren bijgesleept.
Dan de quote:
“Wat ik echter niet begrijp is dat er nog steeds bedrijven zijn die hacks ontkennen en eromheen draaien. Is het inmiddels niet duidelijk dat zoiets niet meer kan? Of vinden we security gewoon niet belangrijk?”
Ik begrijp het wel. Als ik een fout maak ga ik dat ook niet meteen aan iedereen vertellen. Hooguit vertel ik het aan stakeholders (bijvoorbeeld een klant), maar om het direct aan de media te verkondigen… Dit valt gewoon onder menselijk gedrag. Soms is dat kwalijk, maar begrijpen doe ik het wel.
Alles heeft met knikkers (en interesse) te maken. Hergebruik jij wel eens wachtwoorden? vast wel. Dat is een security issue. Vind je security dan niet belangrijk? Ik denk wel dat je het belangrijk vind maar geld en gemak spelen ook een rol. Daarnaast snapt niet iedereen dat een lek in een onbelangrijk systeem kan leiden tot een hack in een groot systeem.
Het blijft menselijk 🙂
Maar de discussie Open Source versus Closed Source vind ik hetzelfde als Apple vs Microsoft. Beetje vermoeiend en eigenlijk niet interessant.
@Frank
De garantie kan inderdaad een soort schijnzekerheid creëren, maar kijk even naar de gemiddelde consument. Wat zal die kopen:
product A met 3 jaar garantie (waar in de kleine lettertjes de beperkende randvoorwaarden staan) of
product B waar op de verpakking reeds staat: geen enkele garantie
Het gros zal kiezen voor product A, ook kost dat meer dan product B. Voor de gemiddelde manager zal hetzelfde gelden.
Neem daarnaast dat product A toevallig van een grote bekende producent is (een A-merk) en product B van één of ander totaal onbekend merk, dan is de keus door de meeste managers al snel gemaakt.
(waarmee ik dus niet wil zeggen dat dit altijd de juiste keuze is)
@PaVaKe, Ik lees jou reacties altijd met erg veel respect en belangstelling.
Dit maal doe je me met deze reactie echter erg verbazen !
Wil jij je als serieuze profesional vergelijken met en gemiddelde consument wiens kennis van zaken zich louter beperkt tot een paar marketing slogangs en eventueel wat corporate gelul ?
Mag hopen dat jij bij je opperhoofd met serieuze argumentatie dient te komen ongeacht welk product je adviseerd.
Ik ben toch bang dat ik dit keer de mening van Frank moet delen.
Ben zelf overigens OSS minded maar dat zal in de loop van de tijd vast wel al duidelijk zijn geworden.
Staat tegenover dat ik zelden iets met kantoorautomatisering te maken heb gehad. ook dat scheeld.
@PaVeKe:
“product A met 3 jaar garantie (waar in de kleine lettertjes de beperkende randvoorwaarden staan)”
Noem eens een software pakket waar je garantie op krijgt. Dus eentje waar geen bugs in zitten, en mochten deze er toch inzitten, je binnen een week een nieuwe versie krijgt. En uiteraard krijg je de geleden schade vergoed, anders heb je er nog steeds niets aan. Met een auto is de fabrikant ook aansprakelijk wanneer de remmen het door een productiefout niet doen, ik stel dus geen onredelijke eisen. Ik ben benieuwd welk pakket je noemt, ik kan er zo geen een bedenken.
Ps. Het gaat in bovenstaand verhaal over professionele toepassingen, geen consumenten toepassingen. Al maakt dat voor de garantie niet uit, die krijg je (volgens mij) toch niet.
@Frank/Pascal
Ik ben het deels met jullie eens, maar laat me even een scenario schetsen:
Mij wordt gevraagd om bijv. een firewall pakket uit te zoeken. Op basis van functionaliteit maak je wat keuzes en doe je wat testen.
Vervolgens geef je een advies met enkele alternatieven waaruit management op basis van haar criteria een keuze maakt.
Uiteindelijk blijven er 2 pakketten over, en de manager denkt: “weet je wat, ik kijk eens even op de websites, misschien dat ik daar nog wat wijzer wordt”
Op de site van Shoreline staat op de homepage al meteen iets vermeld over “no warranty”
Kijk ik dan bij bijvoorbeeld de supportpagina van zonealarm, zie ik staan “If you are not 100% satisfied with your purchase, we will be happy to accept a return for a full refund”
Welke van de twee denk je dat het meest vertrouwen wekt bij degene die moet beslissen?
Dit vertrouwen is een gevoel, en iemand overtuigen dat zijn gevoel niet goed is, is vele malen moeilijker dan een keuze op basis van technische feiten weerleggen (of onderbouwen).
Shoreline is dan misschien wel eerlijker dan zonealarm in deze, maar deze eerlijkheid werkt op dit punt misschien ook wel heel erg tegen ze.
Daarnaast heb ik in het verleden managers op héél andere gronden software aan zien schaffen dan op hetgeen de specialisten adviseerden, waarmee ik aan wil geven dat managers nog wel eens genegen zijn adviezen naast zich neer te leggen.
(overigens, ik heb niet gekeken welke van de producten het beste is, het gaat puur om de informatie die je op de website op het eerste oog tegenkomt)
Nog even naar aanleiding van een opmerking van Frank:
Binnen een week een nieuwe versie … met premium support van de grote partijen heb je misschien niet een nieuwe versie binnen een week, maar vaak al wel een patch. Kost een paar knaken, maar dan heb je ook wat.
‘Op de site van Shoreline staat op de homepage al meteen iets vermeld over “no warranty”
Kijk ik dan bij bijvoorbeeld de supportpagina van zonealarm, zie ik staan “If you are not 100% satisfied with your purchase, we will be happy to accept a return for a full refund”
‘
Met andere woorden, bij beide producten krijg je een full refund. Bij het ene product betaal je vooraf echter niks, bij het andere product betaal je wel. Mocht het product je niet bevallen, krijg je in beide gevallen de volledige licentiekosten retour. En dat is dus 0 euro bij een gratis licentie en X euro bij een licentie waar je vooraf X euro voor hebt betaald.
“Binnen een week een nieuwe versie … met premium support van de grote partijen heb je misschien niet een nieuwe versie binnen een week, maar vaak al wel een patch. Kost een paar knaken, maar dan heb je ook wat.”
Support kun je bij open source producten ook krijgen, kun je gewoon inkopen. Dus ook dan heb je binnen een week (of nog sneller) een patch.
Zoals al vele malen gezegd, open source of closed source, het zegt uitsluitend iets over de beschikbaarheid van de code en toepassingen van het product. Het zegt niks over support of garantie. Diegene die denkt van wel, mag zich beter gaan inlezen in contracten en licenties, het ontbreekt hem/haar blijkbaar aan informatie.
Wanneer managers niet zijn te overtuigen van de beste keuze maar uitsluitend afgaan op bling bling, dat zegt dat veel over deze managers.
PaVaKe, ik begrijp je voorbeeld.
Zelf heb ik ook al een paar maal met zulk marketing gelul (want dat is het in essentie) te maken gehad.
Het is idd een typische case waarin het verschil tussen gelijk hebben en gelijk krijgen geld.
Ik heb dan overigens aangegeven dat het weinig zin heeft mij om advies te vragen als je keuze vooraf al bepaald is dan wel je het advies hoe goed onderbouwd ook in de wind slaat.
Daar houdt het voor mij als techneut ook op.
Een aantal kantekeningen mijnerzijds.
– Ik heb altijd in een kleine (100) omgeving gewerkt
– De keuze voor OSS is dan meestal iets gemakkelijker omdat de communicatie over minder lagen gaat.
– Heb daarbinnen zeer zelden met tevredenheid gesloten software toe kunnen passen (zelfs ooit een keer een binary file zitten debuggen om bij de leverancier een fout aan te tonen, dat is toch te gek voor woorden)
Kortom PaVaKe je argumentatie ligt heel erg in het sociale vlak (overtuig je opperhoofd van je gelijk) en minder in het technische vlak (je keuze wordt beinvloed door de verkoopbaarheid en niet door de technische specificaties)
Feit is dat geen enkel softwarebedrijf de financiele consequenties wil dragen voor het niet, slecht, of incorrect functioneren van het geleverde produkt.
Dat er in den Haag stemmen opgaan om dat tij te keren is leuk maar geen enkel bedrijf zal dat risico willen dragen.
Immers het probleem kan ook ontstaat door onoordeelkundig gebruik van het product (en daar zal dan dus ten alle tijde naar verwezen worden)