Bekende IT-security experts en IT-journalisten zoals bijvoorbeeld Brenno de Winter en André Koot, hebben al via social media gereageerd op het verhaal van Rian van Rijbroek (Die eigenlijk Regina Magdalena Johanna van Rijbroek heet, russische spion? hoax?)

Ze gaan hierbij in op een nepnieuws-item van Nieuwsuur, waarin ‘cyberexpert’ Rian van Rijbroek die claimt ‘al jaren voor inlichtingendiensten te hebben gewerkt’ (bron?) uitlegt wat er de afgelopen tijd nou aan de hand is met banken, bedrijven en de belastingdienst die last hebben van DDoS-aanvallen.

In het interview legt ze uit dat DDoS-aanvallen gebruikt worden om de ‘beveiliging voor inbreken te testen’, en dat het een voorbode is op ‘grotere en andere aanvallen’. Ook durft ze stellen dat de aanvallen van Rusland en Noord-Korea afkomstig zijn, een claim die nergens op gebaseerd is.

DDoS staat voor Distributed Denial of Service. Dit betekent dat met een DDoS aanval heel veel computers – vaak vanaf verschillende locaties ter wereld – verbinding met één server of website maken. De server is het doelwit: de mensen achter een dergelijk netwerk aan het internet verbonden apparaten proberen deze server traag te maken of in het geval van de getroffen banken en organisaties onbereikbaar te maken.

DDoS-aanvallen kunnen dus helemaal niet gebruikt worden om de veiligheid te testen van een platform, en het heeft dan ook helemaal niets met inbreken te maken, maar met de beschikbaarheid van een website. (Of een website dus online is of niet en bereikbaar is voor haar bezoekers of klanten).

Maar goed, het verhaal van van Rijbroek gaat verder, nadat ze het over DDoS-aanvallen heeft gehad, komen ook geldautomaten ter sprake.  Deze zouden instaat zijn om op ‘bepaalde tijden’ geld uit te spugen volgens van Rijbroek. Dit klopt gewoon niet en is weer nergens op gebasseerd.

Er is gewoon geen link met de geldautomaten en de DDoS-aanvallen die de afgelopen maand de organisaties hebben geplaagd en offline hebben gehaald.

Ook komt van Rijbroek nog met het voorbeeld van hoe ze zelf haar ‘beveiligingsmaatregelen’ voor internetbankieren zou doen, waarin ze claimt geen gebruik te maken van Wi-Fi, maar een computer met een kabel en dat ‘internetbankieren-apps onveilig zijn’. En dat laatste, dat is nergens op gebasseerd. Ze zijn namelijk wel degelijk veilig. Ze zijn alleen niet 100 procent veilig.

In elke app en elk software-pakket komen beveiligingslekken voor, maar om ze om die reden dan maar te gaan vermijden is onzin. Er worden reguliere controles en audits op op dit soort bankapplicaties uitgevoerd om het veiligheidsniveau van te verhogen, en om ze uit het niets en zonder enige onderbouwing onveilig te verklaren is een brug te ver.

Wat kun je dan wel doen om jezelf beter te beschermen tijdens het internet-bankieren? de software  van je telefoon en computer up-to-date houden, een anti-virus software pakket installeren en gebruik maken van je eigen 4G-verbinding of eigen thuis Wi-Fi netwerk om je bankzaken te regelen.

En dan is er ook nog het stuk over de blockchain,

De blockchain is oorspronkelijk de datastructuur achter het bitcoin netwerk. Het is het beste te vergelijken met een grootboek. Grootboeken liggen aan de grondslag van veel van de infrastructuur waarop we dagelijks vertrouwen en zijn niets anders dan lijsten waarin alle gegevensmutaties onder elkaar worden bijgehouden. Heel veel diensten en software die we gebruiken steunen op databases die functioneren als grootboeken. Daarin wordt bijna alle data opgeslagen. Geld bijvoorbeeld is tegenwoordig hoofdzakelijk te vinden in databases; Grootboeken bij financiële instellingen waarin alle balansen en transacties van- en naar rekening worden bijgehouden .

Blockchain heeft niets te maken met DDoS-aanvallen, de enige toepasbare manier van Blockchain voor banken op dit moment is het controleren van de administratie en misschien (als het snel genoeg wordt) het checken van transacties. Het heeft niets te maken met de beschikbaarheid van een website. ‘Blockchain kan helpen met DDoS’ is het zelfde als zeggen ‘als we een allemaal EHBO-diploma hebben dan hebben we geen files meer. Ergo: het heeft niets maar dan ook niets met elkaar maken’ (Dank Brenno voor de quote).

Hoe kun je een DDoS-aanval dan wel aanpakken / tegenhouden? Door bijvoorbeeld aangifte te doen bij de politie en gebruik te maken van Anti-DDoS providers die het verkeer schoonmaken (zoals CloudFlare of de Nationale Wasstraat tegen DDoS-aanvallen). Zij kunnen ervoor zorgen dat het schone verkeer wordt doorgelaten, en het vervuilde verkeer wordt afgevoerd en de websites nooit bereikt.

Redactie: Het probleem in de “cyber-sector” is dat er zoveel onzin wordt verkondigd en vaak, zoals Nieuwsuur in dit geval, wordt dat 1 op 1 overgenomen. Dit is slecht voor echte beveiligingsexperts en de journalistiek.

 

UPDATE: Het nieuwsartikel, de video en de verwijzingen naar de uitzending zijn verdwenen (https://nos.nl/nieuwsuur/artikel/2214345-de-uitzending-van-29-januari.html)

UPDATE: Vandaag zondag met Lubach maakte hier een leuk item van.

Vond je dit artikel goed? steun de auteur via Blendle

Mischa Rick Van Geelen

Written by Mischa Rick van Geelen

Hacker. Is in staat om tijdens de lunch een regering ten val te brengen. Zijn wachtwoord is niet 12345 en heeft als enige in Nederland een corporate account bij UberEats.

20 comments

  1. Bankapps zijn natuurlijk wel onveilig, maar dat is omdat ze op een onveilig platform draaien (95% van androidtelefoons missen beveiligingsupdates, oude iphones worden niet geupdate omdat ze dan langzamer worden, etc).

    Bank en smartphone moeten niet bij elkaar in de buurt komen..

  2. Brenno de winter is GEEN cyberexpert of hacker. Geheel a-technisch is hij zeker niet, maar Brenno een expert of hacker noemen, is een belediging voor de mensen die dat wél zijn. Brenno weet dit zelf ook prima. Brenno is journalist.

  3. Goed artikel, alleen wel 1 rectificatie waar de “cyber expert” wel gelijk in had. Blockchain kan zeker helpen tegen DDOS. Check maar het project Gladius.

  4. Van Rijbroek stelt in het interview ook dat je een VPN moet gebruiken bij online bankieren. Los van het feit dat het niet zoveel toevoegt, zul je met veel VPN’s niet eens in kunnen loggen bij een bank.
    Nog een vreemde inconsistentie: als de aanvallen van Iran, Rusland en Noord-Korea komen, waarom laten die landen dan geldautomaten biljetten uitspugen? Dat lijkt me meer iets voor gewone criminelen.

  5. Slecht voor de journalistiek? Ach man, die is al lang geleden overleden, de stank van het karkas is niet te harden, ergens ten tijden van PCM, toen het PvdA-speeltje Stichting Democratie&Media er haar politieke stempel op zette, waarna het Nederlandse journaille in dezelfde eenheidsworst van middelmaat geperst werd.
    Bij de Publieke Omroep niet anders, het is gewoon kapot.

    En dankzij de Ollongriaanse bemoeienis met het “nepnieuws”op internet zal het weldra helemaal afgelopen zijn. Ben je in Rusland of Turkije net zo goed geïnformeerd als hier.

    We hebben een nieuw nieuwsplatform nodig, de oude is stuk.

  6. Doordat de mobiele telefoon de informatie door de lucht verstuurt is de mobiele telefoon, of die nu met G4 of met WiFi werkt onveiliger dan een verbinding met een vaste draad.

    Ik denk dat Rian van Rijbroek wel een klepel heeft horen hangen, maar dat ze niet weet waar de klok hangt (vrij verwoord naar het bekende spreekwoord). Haar opmerking over de blockchain als mogelijke oplossing moet droog worden gezien. De blockchain is een oplossing voor banken die lastig gevallen worden met DDoS aanvallen WANT de blockchain is gedecentraliseerd en dàt is het enige punt dat van belang is. Op dit moment is de blockchain de motor achter de Bitcoin; OMDAT er geen centrale administratie is. Als die er wel zou zijn zou de Bitcoin óók lam gelegd kunnen worden met DDoS aanvallen. Voor de banken is de blockchain geen oplossing omdat de verwerkingstijd nu al veel te lang is, en de Bitcoin stelt qua volume in het betalingsverkeer niets comma nul voor. Een betaling via de Bitcoin doen kost enige minuten tot een kwartier, al die tijd staat het Bitcoin in transport en is geblokkeerd voor verdere transacties. In de huidige bancaire wereld wil men op de seconde geld kunnen overmaken. De Bitcoin is bijvoorbeeld niet geschikt om rechtstreeks mee te werken op de aandelenbeurs, er moet dan toch weer een tussenrekening worden geopend.

    In het betoog van Rian van Rijbroek zitten hiaten, maar ik denk ook dat Nieuwsuur daar debet aan is, want elke gast heeft maar een beperkt aantal minuten om de boodschap er uit te floepen, accuratesse is dan vaak zoek, detail en nuance zijn dan ondergesneeuwd.

    Overigens kunnen geldautomaten weldegelijk het slachtoffer worden van een DDoS aanval, omdat deze apparaten soms ook gewoon op het internet zijn te vinden, vaak ook niet omdat er ook banken zijn die een echt eigen netwerk (huurlijnen ipv vpn) hebben voor deze apparaten. De geldspugende geldautomaten zijn natuurlijk bullshit, komt uit een speelfilm.

    1. “de Bitcoin stelt qua volume in het betalingsverkeer niets comma nul voor “, mwoa, dat zou ik niet durven stellen; €8,887,758,620 is het huidige volume in Euros. Gezien de penetratie ervan, vergeleken met de fiat banken, stelt dat juist enorm veel voor. Ik begrijp dat mensen er niet meer zo in geloven nu de BTC waarde flink dalende is, maar tegen het eind van het jaar zou 1 BTC zomaar 38000 euro waard kunnen zijn, zeker gezien de aftakeling van het huidige monetaire stelsel, waarbinnen men maar te pas en te onpas nieuw geld aanmaakt, ondanks dat er geen enkele intrensieke waarde aan gekoppeld is. Waar het bankwezen inmiddels negatieve rente van ons vraagt. We moeten betalen om de banken te mogen gebruiken. Vroeger was dat andersom.

  7. Gelukkig verspreiden jullie zelf ook nepnieuws over de ddos aanval op jullie eigen site:
    https://saltmines.nl/2018/01/10/saltmines-doet-aangifte-bij-de-politie-ddos-aanvallen/

    Je claimt dat saltmines aangevallen werd met 300 gigaBYTE per seconden werd aangevalen Wat teruggerekend op 2400Gbit/s uitkomt (ook wel 2,4 Tbit/s) grappig toch dat banken al platliggen bij 25Gbit maar dat aanvallers een honderd keer zo zware aanval in zetten op een schimmig weblogje. Als je op het internet gaat terugzoeken naar de grootste ddos aanvallen wereldwijd vind je wat records van 400 a 500 Gbit maar saltmines heeft de dikste ddos aller tijde overleeft die 2 terabit zwaarder was…….

  8. https://nos.nl/nieuwsuur/artikel/2214745-deskundigen-over-nieuwsuur-uitzending-ddos-aanval.html NOS heeft gereageerd op de reacties. (Ze gaan hier ook in op de ‘verwijdering’ van het item. (wat niet verwijdert is btw, dat is een misverstand)).

    Verder vind ik de mea culpa van de NOS hier maar wat zwakjes.

    (Leuk detail, het was vroeger wel mogelijk om met een DoS aanval systemen ‘over’ te nemen. Maar dat werkte alleen op IRC kanalen, waar als ik het goed heb je via een netsplit je admin rechten op een kanaal kon krijgen. Wat natuurlijk niet te vergelijken is met toegang krijgen tot het systeem van een bank. Geloof ook dat dit IRC probleem opgelost is in eind jaren 90).

  9. Een aantal reacties hier zijn op z’n zachts gezegd ook erg verontrustend. 99% van dat bericht was pure aaneengeschakelde onzin. Alleen haar naam klopt waarschijnlijk.

  10. “Redactie: Het probleem in de “cyber-sector” is dat er zoveel onzin wordt verkondigd en vaak, zoals Nieuwsuur in dit geval, wordt dat 1 op 1 overgenomen. Dit is slecht voor echte beveiligingsexperts en de journalistiek.”

    Ongelooflijk dat op de nationale omroep een bro-scientist haar onzin mag komen verkondigen. Zelfs met een beetje verstand van computers is dit zichtbare flauwekul

  11. Hoe intrigerend het fenomeen Rian ook is, het publiceren van haar volledige doopnaam is onnodig en een schending van haar privacy. En nee, je geeft niet automatisch alle recht op privacy op als je op TV verschijnt met een kulverhaal of als je boeken plagieert.

    Ik hoop nog wel op een ontknoping in de vorm van een hoax, al dan niet door RamBam, maar ik vrees dat dit gewoon gedreven is door een zoektocht naar erkenning en extra inkomsten.

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *