‘Trusteer Rapport biedt schijnveiligheid’

Het is loffelijk dat banken hun klanten helpen bij veiliger bankieren via internet, maar met het pakket Trusteer Rapport bestaat de kans dat eindgebruikers zich ten onrechte veilig voelen. Dat stellen Computable-experts van het topic Security. Op verzoek van Computable namen zij het gratis softwarepakket onder de loep.

Nienke Ryan, managing director, SpicyLemon

De ING geeft zijn klanten een vals gevoel van veiligheid met dit pakket. De door ING aangeboden software wordt geactiveerd wanneer de browser start. Op dat moment worden een aantal Windows-modules, zoals bijvoorbeeld de schermafdrukmodule, geïsoleerd en zou malware hier theoretisch niet meer bij kunnen.

Een minpunt van deze methode is dat de software niet altijd een goede grip krijgt op systemen die al geïnfecteerd zijn, terwijl de gebruikers nu wel een vals gevoel van veiligheid hebben. Daarbij komt nog dat het agressieve gedrag van deze software veel antivirusproducten aan kan laten slaan. Wat als consumenten voor het gebruiksgemak de antivirusbescherming helemaal uitzetten?

Trusteer kijkt niet naar verdacht gedrag – de zogeheten heuristiek – van processen, wat goede antivirusbescherming wel doet en is ook geen firewall. Op het moment dat het systeem geïnfecteerd is en cybercriminelen toegang hebben tot de pc van een gebruiker, is de integriteit van het pakket natuurlijk ook in gevaar. Ik ben bang dat mensen het gevoel hebben beschermd te zijn met deze software, terwijl dit in feite een vals gevoel van veiligheid is.

En dat terwijl in de overeenkomsten van diverse banken, waaronder de ING, de algemene voorwaarden worden aangescherpt. Het belang van goede en up-to-date antivirusbescherming moet niet worden onderschat. Niet alleen om je pc en jouw gegevens te beschermen, maar omdat je anders ook gewoon je geld niet terug krijgt als je een cybercrime slachtoffer bent.

Jurgen de Poorter, pr-sales consultant, Crypsys

Wat consumenten zich moeten realiseren is dat Trusteer Rapport geen vervanging is van de normale virusscanner die is geïnstalleerd op de pc. Een veel voorkomende klacht over dit type beveiligingsprogrammatuur is dat het de browser vertraagt of zelfs laat vastlopen en daardoor een negatieve gebruikers ervaring oplevert.

De meeste gerenommeerde antivirusproducten hebben overigens al zogeheten plugins voor de meest gebruikte browsers, die het geïnstalleerde product instaat stellen het soort dreigingen waar Trusteer Rapport naar kijkt, te detecteren en direct op te ruimen.

Of en hoe Trusteer Rapport een aanvullende bescherming biedt is dus afhankelijk van vele factoren. Het is natuurlijk heel positief dat banken zich met dit onderwerp bezighouden en dit soort diensten aanbiedt aan eindklanten.

Cor Rosielle, Outpost24

Mijn eerste indruk is dat Trusteer Rapport weinig toegevoegde waarde heeft. Het bestrijdt malware, maar dat doet antivirussoftware ook. Het bestrijdt overigens niet alle malware, maar vooral malware die gericht is op bankieren en op een beperkt aantal sites. Verder richt Trusteer Rapport zich vooral op Windows. Er is ook een versie voor Mac, maar dan weer niet voor Safari. Ik bankier zelf veel via een app op een iPhone en die vond ik niet in de lijst van ondersteunde systemen.

De software wordt gratis aangeboden door Trusteer. Het is wel naïef te denken dat een bedrijf iets maakt en gaat onderhouden zonder er iets aan te verdienen. Als zij er geen geld voor vragen, dan vraag ik mij af waar zij wel aan verdienen.

Verder, omdat er malware bestreden wordt, zullen er frequent updates moeten plaatsvinden van kenmerken waaraan de malware herkend wordt. Omdat automatische updates niet zonder meer betrouwbaar zijn, is het aan te bevelen deze frequente updates in handmatige acties te downloaden, verifiëren en installeren. Ik verwacht dat de meeste mensen dat niet op deze manier zullen doen.

Dit maakt Trusteer Rapport een aantrekkelijk doelwit voor cybercriminelen. Het feit dat Trusteer zelf onzorgvuldig is met de spelling van hun producten op hun eigen website (ze schrijven Trusteer Rappport soms met twee p’s en soms met drie p’s) is ook al in het voordeel van de malware-schrijvers, omdat de gebruikers niet vertrouwd worden gemaakt met een consequente spelling.

Tenslotte, als je het product wilt downloaden, dan geef je eerst je username en e-mailadres op via een formulier dat niet beschermd is met https en daarna kun je de software downloaden, ook weer zonder dat de verbinding beschermd is door https. Voor een securityproduct is dit not done. Het is goed mogelijk dat Trusteer vindt dat encryptie niet nodig is omdat de software publiek beschikbaar is en er daarom geen vertrouwelijkheid nodig is. Maar een servercertificaat is ook een identiteitsbewijs zodat de bezoeker een hoge mate van vertrouwen kan hebben dat de server ook werkelijk een server van Trusteer is.

Omdat het product incompleet is en iets doet dat op de meeste systemen al door een andere component wordt gedaan, doet bij mij het vermoeden rijzen dat ING niet iets heeft gevonden wat de risico’s van cybercrime beperkt, maar dat zij iets hebben gevonden waarmee zij voor het grote publiek de schijn kunnen ophouden dat zij iets doen aan beveiliging en daarmee hun beschadigde imago wat proberen op te poetsen.

John Veldhuis, Sophos

Het is belangrijk de bron van de software van Trusteer te controleren. Ik zie wel eens een namaak Trusteer Rapport-installer in een zipfile voorbij waaien, uiteraard voorzien van malware. Zoals altijd moet je er zeker van zijn waar je je software vandaan haalt.

Seth van der Meer, Channel Director Benelux, Sophos

Trusteer ondersteunt niet alle browsers en operating systemen zoals Unbutu en Linux, mijn inziens is dit niet een heel groot probleem, maar wel iets waar men aan zal moeten werken. Daarnaast lees ik hier en daar dat het vertragend werkt voor de gebruiker. Dat kan ervoor zorgen dat de gebruiker de software de-installeert en niet meer gebruikt.

Het betref de reputatie van de bank die in het geding komt. Het valt de banken niet in zijn geheel aan te rekenen dat dit soort aanvallen op hen uitgevoerd worden, het zijn tenslotte gewilde targets. Banken zullen er alles aan doen om dergelijk soort aanvallen te blokkeren, maar zo’n aanval moet natuurlijk wel eerst plaatsvinden voor de bank actie kan ondernemen. Preventieve beveiliging helpt natuurlijk wel, maar zal geen garanties bieden. We hebben dan ook nog te maken met de software van de bank zelf. Hoe stabiel is deze, hoeveel fouten zitten hier in, wat doet men eraan om deze fouten en instabiele systemen foutloos en stabiel te maken? Pleisters plakken kan iedereen, maar structureel het probleem aanpakken is een hele andere uitdaging.

Het probleem zit vaak bij de gebruiker door naïviteit en een gebrek aan kennis bij het beveiligen van pc’s en het thuisnetwerk. Vaak denkt men met antivirussoftware voldoende beveiligd te zijn, maar een degelijke professionele firewall met zogeheten intrusion prevention systems, web scanning, mail scanning vergeet men vaak waardoor hun machine makkelijk te gebruiken is door derden. Daarnaast dien je je machine te versleutelen, zodat gevoelige data bij diefstal of verlies niet zomaar op straat komt te liggen. Controleer je pc ook pro actief op malware, virussen et cetera.

Martijn Bellaard, ict networking & security architect, Brain Force

Rapport is bedoeld om de api’s (application program interface) in de gaten te houden. Api’s wordt door software gebruikt om opdrachten aan het besturingssysteem te geven. Een voorbeeld: Op het moment dat jij in Word (of Excel) de opdracht geeft: ‘Bestand Opslaan’ zal Word nooit direct naar je disk gaan. Hij zegt tegen Windows (ervan uitgaande dat je Windows gebruikt, maar een Mac en Linux doen het net zo): ‘Sla op bestand met de eigenschappen eigenschappen’. Die opdracht is dus de api. Zo is er ook een api die je vertelt wat er op je disk staat. Op het moment dat jij de verkenner opent zal deze aan Windows vragen: ‘Wat staat er op C:’. Windows maakt een mooi lijst en geeft dit terug aan de verkenner. Deze toont nu de lijst aan jou.

Wat doet een rootkit hiermee? Stel, ik heb een virus gemaakt en die wil opslaan op C:Virus. Nu wil ik niet dat jij ziet dat er een directory C:Virus aanwezig is op je computer. Dan gaat er direct een lampje branden bij je. Dus zal de rootkit de api aanpassen dat hij alles laat zien behalve C:Virus.

Alle api’s staan in een .ddl of .exe ergens op je computer. De gedeelde api vind je terug onder C:WINDOWS. Bij Linux praten we over libraries, maar het principe blijft hetzelfde. Bij een Mac is het niet veel anders. Het grote voordeel van api’s is dat je een specifieke opdracht maar eenmaal hoeft te programmeren en op te slaan op de computer. Het nadeel is dat als er een fout in zit, dit gelijk gevolgen heeft voor een x-aantal softwarepakketten. Nu kun je een heel artikel schrijven over zogeheten DLL hells.

Browsers als Internet Explorer, Firefox en Chrome maken allemaal gebruik van api’s, vaak is er ook geen andere optie en moeten ze wel. Nu kan een rootkit een api zo aanpassen dat deze verkeerde informatie terug geeft. Hij kan je bijvoorbeeld omleiden naar een verkeerde url en zeggen dat alles goed is. Hier grijpt Rapport dus in. Deze monitort de api’s. Dat doet het door elke aanvraag (opdracht vanuit IE/Firefox enzovoorts) te controleren en eventueel aan te passen. Geen wonder dat die browsers trager worden en dat sommige onderuit gaan.

Stel je voor dat elke vraag die je aan je collega stelt, door mij gecontroleerd wordt en in sommige gevallen veranderd. Pas als je antwoord hebt van mij dat het goed zit, ga je verder. Dan kun je je best voorstellen dat je werk meer tijd kost. Ik kan me zelf voorstellen dat op een zeker moment je er gewoon boos over wordt 😉

Het idee achter Rapport is mooi en kan zeker de beveiliging verhogen, maar de controle op rootkits of virussen zou bij mijn virusscanner moeten liggen en niet bij een andere tool. Daarnaast is het mij onduidelijk hoe Rapport zichzelf update. Een belangrijke kracht van een antivirus oplossing is hoe vaak/snel hij geupdate wordt. Deze update zorgt er voor dat hij de op de hoogte is van de laatste virus aanvallen. Hierover kon ik niets terugvinden.

Ik zit bij de ING, maar het product staat niet op mijn computer. De ING zou er slimmer aan doen een antivirusoplossing aan te bieden. Eventueel met een monitoring-optie vanuit de bank. Dat zou ik graag zien. Dan kunnen ze mij actief beschermen tegen virussen.