Het was opnieuw een druk jaar voor hackers. In 2019 voerden ze succesvolle aanvallen uit op grote steden, overheden, bedrijven, ziekenhuizen en scholen over de hele wereld. De afgelopen weken alleen overwoog de stad Johannesburg in Zuid-Afrika of ze 30.000 dollar in bitcoin zouden betalen aan hackers. Uiteindelijk betaalde de stad niet, ondanks dreigementen van de hackers om de persoonlijke gegevens van burgers openbaar te maken.
Laten we even terugblikken op enkele andere grote beveiligingsgebeurtenissen dit jaar:
In januari werd een aanval gedetecteerd met twee verschillende soorten malware – Vidar en Grandcrab – in combinatie met een trojaan die informatie steelt. In dit scenario slaagt de aanvaller er helaas meestal in om geld buit te maken.
In maart infecteerde een nieuwe soort ransomware, LockerGoga, een van de grootste aluminiumproducenten ter wereld, Norsk Hydro. De impact was ernstig: de automatisering lag dagenlang plat, waardoor het bedrijf op manuele bediening moest overschakelen. Daardoor moest het bedrijf honderden nieuwe computers kopen. In april liet het bedrijf weten dat het minstens 52 miljoen dollar zou kosten om de schade die werd veroorzaakt door de aanval te betalen.
In mei werd de stad Baltimore (VS) aangevallen door hackers die duizenden stadscomputers blokkeerden en 76.000 dollar aan losgeld eisten. De stad betaalde het losgeld niet. De aanval kostte de stad 18 miljoen dollar en had een impact op een groot aantal van hun kritische systemen, waaronder een verstoring van de e-mailservice van werknemers, een onderbreking van de waterfacturering en zelfs de opschorting van vastgoedtransacties. Daarnaast sloot de stad begin oktober een cyberverzekeringspolis van 20 miljoen dollar af.
Tijdens de zomer werd de staat Texas (VS) het slachtoffer van een golf ransomware aanvallen, gericht op 23 plaatselijke overheidsinstanties. De staat weigerde om de hackers te betalen voor de aanval in augustus, maar de hele gebeurtenis kostte hen uiteindelijk toch minstens 12 miljoen dollar.
Begin oktober werd bekend dat verschillende ziekenhuizen in de staat Arkansas (VS) het slachtoffer waren geworden van een grootschalige aanval. De aanval versleutelde bestanden en beperkte de toegang tot de computersystemen van het DCH Health Systems Regional Medical Center, Northport Medical Center en Fayette Medical Center. Het medische personeel moest op manuele bediening overschakelen en op papieren documenten in plaats van digitale gegevens vertrouwen tijdens de periode dat het IT-systeem werd hersteld.
Als gevolg hiervan maakte het Amerikaanse ministerie van Defensie onlangs een langverwacht nieuw ontwerp van cyberbeveiligingsnormen bekend, met strengere regels waaraan leveranciers van de overheid moeten voldoen om hacks tegen te gaan. Het ministerie van Defensie zal naar verwachting in januari zijn definitieve kader voor cyberbeveiligingsnormen bekendmaken, volgens FedScoop.
Wat we kunnen verwachten in 2020 zal de tijd moeten uitwijzen. Ondertussen hebben we een aantal van de slimmeriken van GlobalSign gevraagd om hun voorspellingen met ons te delen.
Lila Kee, GlobalSign General Manager, Americas
#Prediction2020: Toename van privé PKI-vertrouwensgemeenschappen
Terwijl grote ondernemingen en gesloten belangengroepen steeds meer vertrouwen op PKI voor een sterke verificatie van gebruikers en apparaten, kan een toename van het aantal privaat gehoste PKI’s worden verwacht. Browsers en openbare basisarchiefprogramma's zullen de basis blijven vormen van openbaar vertrouwen voor extern gerichte e-commercesites (SSL/TLS), uitvoerbare bestanden gekoppeld aan externe toepassingen (Code Signing) en beveiligde e-mail (S/MIME), waar identiteiten worden gevalideerd met behulp van populaire e-mailclients, browsers en besturingssystemen. Er zal echter een toenemende behoefte aan privaat vertrouwen zijn ter ondersteuning van traditionele en opkomende toepassingen op het gebied van:
- Gebruikersverificatie bij externe toegang
- Verificatie van apparaten (IoT, mobiel, machine)
- DevOps – SSL en ondertekening van code
- Digitale handtekeningen gekoppeld aan consortiums, industrieën en overheden
De algemene trend naar de cloud zal ervoor zorgen dat deze private PKI's worden gehost door CA-cloudproviders die hun expertise op het vlak van beveiliging, flexibele certificaten en een lage investeringsbarrière bieden en de prestatienoden van deze organisaties en private gemeenschappen ondersteunen.
Lancen LaChance, Vice President, IoT Solutions
#Prediction2020: De dreiging van quantum computing is nog geen reëel risico, dus negeer de hype
Bedrijven hebben het steeds vaker over quantum computing, zelfs Google. Hoewel quantum een impact zal hebben op onze industrie, zal dat zeker niet in 2020 zijn, zelfs niet het komende decennium. Er moeten nog veel vragen worden beantwoord, zoals: Wat is het beste algoritme voor quantumweerstand? Niemand kent het antwoord en tot er een consensus is in de industrie, zullen er geen quantumoplossingen worden ontwikkeld.
Dat betekent niet dat we niet nadenken over quantum computing en wat dit in de toekomst zou kunnen betekenen – dat doen we zeker wel. In de tussentijd richten we ons echter op crypto-agility, omdat dit waarschijnlijk meer impact zal hebben op de beveiligingsindustrie.
Ted Hebert, Vice President, Marketing
#Prediction2020: Een wereldwijde hack van slimme apparaten is onvermijdelijk
Wereldwijd zijn er bijna 30 miljard actieve IoT-apparaten en elke seconde komen er 127 nieuwe apparaten online. Als we dat combineren met de voorspelling dat er 75 miljard actieve IoT-apparaten zullen zijn in 2025, dan is de vraag niet of ze gehackt KUNNEN worden, maar WANNEER. De donkere heersers van het dark web zullen deze verleiding niet weerstaan.
Wilt u nog iets angstaanjagends weten? In 2019 meldde Amazon dat er 100 miljoen slimme Alexa-apparaten werden verkocht. Ongeveer evenveel als Google Home. Nog niet eng genoeg? Lees dan deze feiten: Het duurde 13 jaar voordat de verkoop van tv's in de VS alleen de kaap van 50 miljoen bereikte, en slechts twee jaar voor slimme luidsprekers. Het duurde vier jaar tot internettoegang de kaap van 50 miljoen bereikte, en twee jaar voor Facebook.
De cijfers bewijzen het: de wereld evolueert razendsnel. Slimme apparaten en social media zijn met elkaar verbonden, wat gebruikers, huizen, de gezondheidszorg, de financiële sector, productie en andere sectoren kwetsbaar en hackbaar maakt, klaar om te worden platgelegd en/of gegijzeld voor losgeld. Hoewel ik wou dat het anders was, zijn de cijfers te hoog om te negeren en zijn de stappen die fabrikanten, bedrijven en consumenten nemen om ons allemaal te beveiligen te traag en te beperkt.
Veel van deze bedrijven lijden onder besparingen op het cyberbeveiligingsbudget en een tekort aan cyberbeveiligingspersoneel. GlobalSign werd sinds kort één-op-één samen met klanten om zowel een PKI-plan als IoT-plannen te ontwikkelen, om deze tekorten te helpen ondersteunen – inclusief een IoT Developer Portal die experimenten, ontwikkeling en samenwerking tussen ontwikkelaars/DevOps en crypto-experten aanmoedigt om de volgende generatie beter beveiligde slimme apparaten, cobots (collaborative robots of meewerkende robots) en dergelijke op de markt te brengen.
Nisarg Desai, Director, IoT Solutions
#Prediction2020: IoT heeft succes, maar het gebrek aan beveiliging blijft problematisch
IoT is succesvol, maar heel wat implementaties lopen vertraging op vanwege de gebrekkige beveiliging. In 2020 zullen cloud serviceproviders samenwerken met beveiligingsbedrijven voor de registratie en het beheer van veilige apparaten, alsook een algemeen veilig IoT-ecosysteem voor hun klanten.
Ik verwacht ook dat de EU het voortouw zal blijven nemen met regelgevingskaders voor IoT-productie en -implementaties, hoewel we ook een toename in de VS zullen zien. IoT-aanvallen en hacks zullen helaas blijven doorgaan. Er zal niet worden voldaan aan de beveiligingsnormen en slechts een beperkt percentage van de apparaten zal veilig zijn. Waarom? Original equipment manufacturers (OEM's) zijn nog steeds niet bereid om de bijbehorende kosten te betalen of door te rekenen aan hun klanten, omdat ze vrezen dat hun verkoop zal dalen
#Prediction2020: Betere web toepassingen leiden tot een toenemend gebruik van DevOps-tools
Aangezien geavanceerde web toepassingen tot een meer complexe service-infrastructuur leiden, zal de algemene invoering van DevOps-tools en -praktijken sterk toenemen in 2020. Dit zal meer bedreigingsvectoren openen en we zullen meer grootschalige hacks, kwetsbaarheden en aanvallen zien in 2020. Beveiliging zal een groter probleem worden voor bedrijven en sommige van hen zullen meer beginnen investeren in een holistische beveiligingsaanpak met onder andere de versleuteling van alle interne en externe gegevens, tijdens de overdracht en in rust. Gegevensbeveiliging, compliance en governance zullen belangrijke thema's zijn en de invoering van oplossingen op dit gebied zal toenemen.
Diane Vautier, IoT Marketing Manager
#Prediction2020: De gezondheidszorg blijft een belangrijk doelwit voor cyberaanvallen
De introductie van verbonden IoT-apparaten in de gezondheidszorg en de hoge waarde van elektronische medische dossiers creëert een uniek en aantrekkelijk aanvalsoppervlak dat absoluut onweerstaanbaar is voor hackers. Het groeit en het is winstgevend. Onderzoekers en voorspellers zijn het erover eens dat IoT in de gezondheidszorg snel zal blijven groeien.
Meer apparaten leiden onvermijdelijk tot meer aanvallen. Volgens het tijdschrift Health IT Security zullen "de meeste organisaties in de gezondheidszorg, IoT-fabrikanten en andere organisaties, die gebruik maken van IoT-apparaten, de afgelopen 12 maanden te maken hebben gehad met een cyberaanval die gericht was op IoT.” Dat geldt voor bedrijven in Duitsland, het Verenigd Koninkrijk, de VS, Japan en China.
Deze aanvallen en de kosten hiervan hebben iedereen uiterst waakzaam gemaakt. Fabrikanten van medische apparaten en verstrekkers van gezondheidsdiensten zijn op zoek naar manieren om het aanvalsoppervlak te verkleinen. Ze vinden een oplossing in traditionele identiteitsplatformen op basis van PKI, die unieke apparaatidentiteiten verschaffen door gebruikers, apparaten, netwerken en gateways te verifiëren. Door een netwerk van identiteit en vertrouwen op te bouwen, kunnen fabrikanten beveiligde en verbonden communicatie mogelijk maken.
Patrick Nohe, Senior Product Marketing Manager
#Prediction2020: De uitfasering van TLS 1.0 en TLS 1.1 op internet zal niet zo vlot verlopen als gehoopt
Hopelijk zal deze voorspelling eerder de alarmbel luiden dan een griezelig vooruitzicht op de toekomst zijn, maar afgelopen voorjaar kondigden enkele van de grootste internetbedrijven – Google, Mozilla, Microsoft en Apple – samen aan dat ze de ondersteuning voor de intussen verouderde versies van het TLS-protocol 1.0 en 1.1 zouden stopzetten. Helaas blijft SSL-nieuws niet lang in de aandacht en werd er sindsdien niet veel meer gecommuniceerd over de komende uitfasering.
Begin 2019 ondersteunde een vierde van de 100.000 Alexa Top TLS 1.2 nog niet. Het is nog veel erger dan dat – web toepassingen en mobiele apps gebruiken ook SSL/TLS. Op de datum van stopzetting zullen er dus naar alle waarschijnlijkheid duizenden defecte websites en apps op desktops en telefoons te vinden zijn. De beslissing om oudere protocolversies niet meer te ondersteunen, is een goede beslissing. Maar in de industrie is er te weinig overleg over toekomstige technologiewijzigingen en hoe dit soort overgangen vlot en gebruiksvriendelijk kan verlopen. Hopelijk wordt dit niet opnieuw een voorbeeld hiervan.
#Prediction2020: Er zullen meer aanvallen en RSA-exploits worden ontdekt en bekendgemaakt
Op dit moment is het enige goede argument om de uitwisseling van RSA-keys met SSL/TLS te blijven gebruiken, interoperabiliteit. De alomtegenwoordigheid van het RSA-cryptosysteem maakt het moeilijk te beëindigen. Vanuit het oogpunt van best practices zouden we allemaal een aanpak op basis van een elliptische kromme moeten gebruiken, namelijk ECDHE en ECDSA. De meest recente TLS-versie, TLS 1.3, nam de beslissing voor ons door de uitwisseling van RSA-keys op te heffen. Daar is een goede reden voor. Het cryptosysteem loopt op zijn laatste benen. De afgelopen jaren werden verschillende nieuwe aanvallen tegen RSA bekendgemaakt op verschillende beveiligingsconferenties. Daarbij komt nog een redelijk uitgebreide lijst met vorige exploits die al werden opgelost, maar die met een beetje finesse toch nog kunnen worden uitgebuit.
Bovendien maakt de lengte van RSA-keys de verwerking duur en naarmate ze langer worden, is de toename aan beveiliging niet proportioneel met de stijging aan de middelen gebruikt om ze te versleutelen en ontsleutelen. Geen enkel ander cryptosysteem wordt in de toekomst zo bedreigd door de (eventuele) opkomst van quantum computing. Als we het willen hebben over crypto-flexibiliteit, kunnen we best eerst afstappen van RSA voordat we over quantum-cryptografie praten.
Lea Toms, Marketing Manager, EMEA
#Prediction2020: Verwacht meer hacks van biometrische gegevens
Hoewel hacks van niet-versleutelde wachtwoorden en persoonlijke gegevens desastreus zijn voor de betrokkenen, kunnen deze in een bepaalde mate worden opgelost. In de toekomst zullen we meer horen over gestolen biometrische gegevens en de gevolgen die dit heeft voor bedrijven en mensen. Zodra biometrische gegevens openbaar zijn, kunnen deze op geen enkele manier worden gewijzigd. U kunt uw wachtwoord bijwerken, maar niet uw vingerafdrukken. U kunt uw e-mailadres vervangen, maar niet uw iris. Bedrijven moeten hierop anticiperen en meer doen om de meest waardevolle en persoonlijke gegevens die er zijn – biometrische gegevens – te beschermen! Ik verwacht recordboetes voor bedrijven die biometrische gegevens onvoldoende beveiligen, en steeds meer horrorverhalen over mensen die hiervan het slachtoffer werden. Het zal steeds belangrijker worden om gegevens te beschermen met een combinatie van twee of meer soorten informatie; met een aanpasbaar wachtwoord of pincode naast biometrische gegevens.
U ziet het: onze voorspellingen gaan over tal van onderwerpen op het gebied van cyberbeveiliging, maar we willen ook graag van u horen. Waar denkt u aan naarmate 2020 dichterbij komt? Hebben we belangrijke kwetsbaarheden of risico's over het hoofd gezien? Baanbrekende technologische ontwikkelingen? Voeg uw voorspellingen toe aan de commentaren of tweet ons @globalsign #Prediction2020.
