Dan ga je echt niet op veroordeeld worden, maar als je volgens een scriptje schrijft,
wat 10.000 records gaat opvragen, dat is toch denk ik bij de rechter wat moeilijker uit te leggen dat dat per ongeluk gegaan is.
Volgens mij krijgt Saber, die krijgt het nu heel erg warm.
Nee, nee, nee, ja. Het is goed dat ik er geen tijd meer op heb.
Welkom bij aflevering 5 van seizoen 2 van de CodeKlets podcast.
Vandaag zijn de hosts Kishen en ik weer bij elkaar.
Ik vind het eigenlijk wel leuk trouwens dat we iedere keer een andere samenstelling hebben.
Dat vind ik ook inderdaad leuk. Ik hoop dat de luisteraars dat ook vinden.
Dat is wel leuk als we iets van feedback krijgen.
Ja, ja. Ik heb nog geen negatieve feedback erover gehad.
Dat is misschien wel positief. Geen klachten nog.
Nee, nee, nee. Maar goed, nog steeds drukke tijden.
Dat heeft iedereen. We hoeven eigenlijk niet meer te herhalen tot we ooit weer uit deze gekke tijden komen.
Maar dat zal nog wel even duren.
Heb je de persconferentie nog gezien net? Of niet?
Ik heb de Apple Keynote geluisterd.
Dat was nou belangrijker.
Juist, dat wilde ik net zeggen. Ik deed die persconferentie.
De helft is uitgelekt en het zal wel.
Ik ben er een beetje een soort van immuun voor geworden.
Dan gebeurt weer iets en die mensen klagen weer en dat zal wel.
Het blijft een beetje hetzelfde.
Het goede nieuws, dat is heel raar.
Want eigenlijk kan ik dat niet verklappen.
Maar deze opname staat morgen toch niet online.
Dus ja, dat kan ik dus weer wel verklappen.
Ik denk dat we dat eerder besproken hebben.
Ik ben bezig met de verhuizing.
Onze huidige huis stond te koop.
En ja, dat is spannend.
Dit is de tweede keer dat ik verhuize.
Vorige keer ging de verkoop wat makkelijker of anders.
Maar nu heeft het wel wat stress opgeleverd in eerste instantie.
Niet zo heel negatief, maar gewoon heel veel werk eraan.
En vorige week hoorde je echt heel veel nieuws.
Van ja, de prijzen gaan echt alle kanten op.
We zeiden oké, dat vinden wij op zich positief.
Want het was allemaal omhoog en omhoog en omhoog.
En toen had ons lang verhaal kort.
Onze makelaar was gisteren hier om even te vertellen...
wat uiteindelijk is wat we hebben gekregen.
Ik ga dat niet precies zeggen.
Maar we waren positief verrast, laat ik het zo zeggen.
We waren echt geschrokken.
Nou ja, eigenlijk wel geschrokken, want het was echt de eerste paar uur...
en je dacht oké, dit kan niet ofzo.
Dus dat was wel een interessant iets om mee te maken.
Dus je bent superblij nu?
Ja, het is heel raar.
Er zijn allemaal nog wat voorbehouden, zeg maar.
Het ziet er allemaal heel goed uit.
Dus daar maak ik me niet zo heel erg druk over.
Maar ja, het is echt heel onmerkelijk.
Dat is wel iets...
Goed man, goed.
Ja, dat is iets op zich.
In deze tijd, dat er iets echt positiefs dan weer gebeurt.
Dan denk je oké, dat helpt wel, laat ik het zo maar noemen.
En je vertelde ook, of tenminste ik las het op Twitter...
dat je onlangs ook gevaccineerd was, toch?
Ja, klopt.
Heb je al 5 verschijnselen, behalve dat je stem misschien een beetje anders klinkt?
Ik zeg ook tegen iedereen...
Ik ga nu tegenwoordig door de buren heen kijken.
Dat is heel raar.
Misschien moeten we daar straks over hebben.
Onder het behoor van privacy.
Ja, ik krijg het.
Nee, maar dat is echt...
Nee, dat viel echt...
Ik heb het moderne vaccin gehad.
De dag zelf was ik wat moeig, zeg maar.
Niet zo weer, geen koorts of zo.
Heel lichte hoofdpijn.
En mijn arm zelf.
Dus ik vrijf daar nu overheen op bewijzen van...
Oké, zo kunnen ze het zien, maar dat is natuurlijk niet zo.
Maar die was een beetje beurs.
Dus dat heeft 2, 3 dagen geduurd.
En dat was het.
En komende maandag, dus volgende week.
Dus vier weken later krijg ik de tweede prik.
Dus dat...
Oké, mooi man.
Good times.
Zeker, zeker.
Maar we hebben ook een gast.
Het is Simon Ruhoff.
Welkom, Simon.
Hoi.
Simon is al 23 jaar gepassioneerd voor alles...
wat te maken heeft met internetbeveiliging...
en het ontwikkelen van veilige software.
Simon is gespecialiseerd in hacking, IT-beveiligingsonderzoeken...
en het uitvoeren van geavanceerde penetratietesten.
Sinds 2005 wordt hij als ethisch hacker ingehuurd in het bedrijfsleven...
en voor overheidsorganisaties.
In zijn werk hackt hij met toestemming, dat is belangrijk, computernetwerken en websites...
zodat beveiligingslekken in kaart gebracht en opgelost kunnen worden.
Nou, dat is impressive, zeg maar.
Cool, cool, cool.
Ja, dat is lang mee bezig geweest.
Ja, ik voel me ook een beetje ongemakkelijk.
Ik heb echt het gevoel dat we gewoon met een bekende Nederlander aan tafel zitten.
Want je komt ook voor.
Op de radio had ik onlangs gezien, op YouTube een filmpje van gezien.
Je bent op tv, bij NPO, SPS.
Zelfs programma's met Kassa en Meldpunt.
Dus je bent wel lekker bezig volgens mij, zei men.
Ja, thanks.
Ja, er komt steeds meer aandacht voor cybersecurity.
En dat was 23 jaar geleden toen ik begon, was dat absoluut niet het geval.
Je kon wel zeggen, je systeem staat open, je kan zo bij alle data.
Ja, dan gingen de schouders omhoog en dan gingen we gewoon weer verder.
Ja, wat kun je er nou mee, zeiden ze dan.
Ja, dat is tegenwoordig wel anders.
Dus ik ben blij dat er eindelijk wat meer bewustzijn voor kan komen.
Ja, dat is waar.
Dan krijg ik natuurlijk ook heel vaak van, ik heb niks te verbergen.
Ja, als we dan een prijs gaan hebben, dan is dat wel de eerste wat mensen eruit gooien.
Ja, grappig.
Maar dat is wel waar.
Ja, het is wel heel erg actueel.
Ik ben er eigenlijk ook wel heel erg blij om.
Dat die awareness een beetje aangewakkerd wordt.
Ik vind nog tegenvallen op doel, ik vind dat Jan Modaal nog steeds te makkelijk overdoet.
Maar goed, daarom kunnen we het zo meteen misschien nog wel over hebben.
Ja, bekende Nederland, dat vind ik al stoer ja.
Opkomend in ieder geval.
Ja, ja, het is gewoon een bekende.
Je bent of niet bekend, dat zijn wij, of je bent bekend.
Dat is eigenlijk gewoon binair, één van de twee.
Ik word gelukkig nog niet op straat herkend, hoor.
Maar mijn naam die gaat inmiddels wel een beetje rond in de scene.
Ja, ik hoef ook niet op straat herkend te worden, hoor.
Want dat kost je weer je privacy.
En als je een keer gekke dingen doet, dan weet iedereen wie je bent.
Ja, dat is waar.
Nou, dan kan je inderdaad maar beter inderdaad ook, omdat je natuurlijk de kenner bent, voorzichtig mee zijn.
Maar ja, het is wel tof.
Ja, want ik ken jou.
Ja, dat was ooit een keer bij een Rabobank project.
Toen heb ik jouw naam een keer horen vallen.
En ik ben eigenlijk sindsdien ook wel een beetje, ja, ook wel gefascineerd in, ja, hoe security, zeg maar, onderwerp in softwareland steeds belangrijker wordt.
En zodoende zag ik ook een paar keren op LinkedIn en ook op YouTube natuurlijk.
En toen dacht ik, hey, dat is een interessante gast.
Dus ik ben ook heel blij dat je ons, ja, wilde bijwonen vandaag.
Ja, dank voor de uitnodiging.
Heel leuk om hier te mogen zijn.
Zeker.
Ja, ja, ja.
We hadden er voor eventjes over van voor de opname van, hey, je hebt er wel geprogrammeerd.
Ja, dat is misschien een heel stomme vraag natuurlijk.
Maar wat zijn jouw eerste programmeer ervaring?
Hoe ben je eigenlijk begonnen met programmeren?
Ja, ik was vroeger heel veel aan het gamen, zoals elke puber.
En ja, op een gegeven moment dan wil je speel de kwek 1.
En dan wil je met je medespelers een soort clan oprichten.
En dan heb je natuurlijk een website nodig.
Nou, dan ga je een beetje je verdieping in HTML.
En dan, ja, wou je kijken hoeveel bezoekers je hebt.
Dus heb je zo'n bezoekerstelletje wat je dan kopieert ergens.
Er zit dan reclame bij.
Nou, die wil je reclame eraf van je mooie site.
En dan ga je steeds verder erin verdiepen.
Ik begon zo'n beetje mijn twaalfde, dertiende met programmeren.
En ja, dat is een beetje uit de hand gelopen toen.
Ik ging daar elke zavond in de weekenden, s'nachts.
Was gewoon lekker bezig.
En ja, toen in het telp PHP eigenlijk voornamelijk.
PHP en een beetje JavaScript.
En ja, dat vond ik superleuk om te doen.
En dat doe ik af en toe ook nog steeds.
Oké, dus nog steeds gewoon aan het programmeren en ook echt bouwen aan websites?
Wat is het doel, zeg maar?
Ja, vroeger echt heel veel websites gebouwd.
Meer dan honderd.
En ja, inmiddels doe ik meer tooltjes.
PHP-tooltjes die ik bouw.
Het is ook wel in mijn werk als hacker.
Wil je af en toe veel data verwerken?
Wil je overzichtjes draaien?
Tabelletjes aan elkaar linken?
Kleine scriptjes schrijven?
En dan is dat een prima gereedschapskirch, zeg maar, om voor elkaar te krijgen wat je wil.
Dus echt de websites bouwen, dat hoeft mij niet meer.
Maar gewoon, ja, tooltjes is wel echt nog wel tof om te doen.
Oké.
En ook andere talen bekeken of niet?
Ja, ook wel eens wat in Java, in Delphi gedaan.
Natuurlijk veel Javascript.
C Sharp ook wel eens wat.
Maar dat trok me allemaal wel wat minder dan gewoon PHP,
wat ik echt wel 90, 95 procent van mijn ervaring wel inlicht.
Het is gewoon zo makkelijk en zo laag drempelig om ermee te beginnen.
En het is meteen rond de server gebaseerd,
dus je kan meteen op allerlei devices ook je resultaten bekijken.
Ja, en het is, als je in één taal helemaal gespecialiseerd bent,
je kan het gewoon blind schrijven, dan is dat erg prettig.
En als je heel veel talen probeert handig in te zijn, zeg maar,
dan vergeet je overal weer een beetje hoe die functies heet,
hoe die klassen heten, wat weer de specifieke quirks zijn.
Dus ik dacht van nou, ik ga me gewoon specialiseren in één taal.
Eigenlijk het web.
En dat ben ik al een beetje stoïzijs in gebleven,
maar daardoor kan ik het nu nog vloeiend programmeren
en dat is wel handig.
Want je hebt niet zeker met alles wat ik nu rondom cybersecurity doe,
niet de tijd om heel veel talen te gaan onderhouden ofzo,
of die ontwikkeling allemaal te blijven volgen.
Ja, want ik kan me best voorstellen, ook als security specialist,
want er kan natuurlijk van alles met code gebeuren,
dat je daar misschien ook wel een beetje een knobbel voor moet hebben,
maar dat hoeft dus niet per se.
Nou ja, kijk, de meeste hackers die wel echt uitblinken,
die hebben wel een programmeren achtergrond.
Daarmee kun je ook wel echt gewoon goed begrijpen hoe software werkt,
hoe je exploits ook moet schrijven,
dus hoe je een stukje software bouwt wat weer misbruik maakt
van bepaalde beveiligingslekken.
Dus ja, je ziet wel dat de hackers die wel meer uitblinken
toch ook wel een beetje goed kunnen programmeren.
Ja, dat had ik toen ook gelezen, zo'n 23 jaar geleden,
toen ik in mijn verdiepte van, wil je echt goed worden als hacker,
dan moet je kunnen programmeren.
En ja, als 12-jarige denk je, boring, weet je,
ik wil gewoon zo echt voor nerds dat programmeren.
Dus ik denk, nou, dat is ook wat minder interessant,
maar uiteindelijk blijkt dat gewoon super nuttig
en ook allemaal wel te kloppen.
Ja, dat was op zich wel een grappige,
want daar had ik een vraag over die misschien niet per se voor de hand ligt,
maar wel binnen deze context wel relevant is, denk ik.
Er wordt altijd overgesproken dat meer mensen moeten programmeren,
les krijgen, dus dat je op de basisschool bij het spreken al leert programmeren.
Vind je dat een plus, denk ik?
Ja, helpt dat?
Zou je dat in het mom van bewust zijn van wat gebeurt er nou,
wat is programmeren nou en wat voor risico's loop je?
Zou het dan misschien handig zijn dat iedereen dat in z'n rugzak heeft?
Je hoeft dan niet meteen af te studeren als programmeur of zo,
maar dat je in ieder geval weet van oké, daar kun je aan denken, zeg maar.
Ja, je kan natuurlijk dan eventueel programmeren wat wel wat nuttig kan zijn,
maar waar ik denk ik nu ook aan nog veel nuttiger is,
is van hoe ga je met internet om?
Wat de sociale media?
Is het handig om alles openbaar op internet te zetten
of krijg je daar tien jaar later spijt van?
Hoe hou je online accounts veilig?
Is het slim om twee traps verificatie in te stellen?
Kijk, het is vrij technisch als je gaat programmeren
en als je dat niet actief toepast, dan denk ik dat het ook alweer snel vervliegt.
Dus ik zou dat dan eerder, als je daar dan in het curriculum tijd voor inbegroot,
dan eerder over algemene internet en computervaardigheden gaan meteen al op de baarschool gaan beginnen.
Want dat gebeurt volgens mij nu amper ook,
ook omdat toen we weinig op de baarschool zaten,
toen wisten die docenten natuurlijk ook allemaal niet precies wat er allemaal gaande was.
Dat zal waarschijnlijk nu iets wel verbeterd,
maar ook de cutting edge kennis die bij de docenten is, dat denk ik nog wel schaars.
Maar als je de kinderen kan meenemen wat er met alle met computers gebeurt,
dat lijkt mij erg nuttig.
Ja, want ik kan me voorstellen, stel dat je zou beginnen met programmeren
en je denkt, hey, cool, ik ga voor mijn voetbalclub een website maken
waar al die data van je teamleden opgeslagen worden met leeftijden,
misschien wel BZ nummers, ik weet niet hoor, dat soort gekkigheid.
Ik moet eerlijk zeggen, ja, baarschool is een beetje overdreven,
maar toen ik net in computer science ging, daar dacht ik allemaal niet over na.
Ik dacht van, dat jas ik wel even in mijn SQL database.
Maar volgens mij is dat nu al veel gevoeliger.
Ja, je ziet het wel dat veel beginnende ontwikkelaar zegt,
natuurlijk ook beginners fouten maken op veiligheidse vlak en privacy vlak.
Maar het is natuurlijk ook zo dat als je begint,
dat het meer de focus ligt op het werk aan het krijgen überhaupt,
dat je schermen krijgt en een flow die het ook doet wat moet doen.
Ja, vers nog helemaal kwalitatief op orde krijgen
en aan alle standaarden en best practices voldoen, zeg maar.
Dat is nog weer een hele hogere stap.
Precies, ja. Dus je wil het eerst gewoon shiny maken
en dan komt security, dat plak je dan maar een beetje bovenop.
Ja, dat is ook wat ik dan ook veel in het bedrijfsleven zie
en bij overheidsorganisaties is dat de focus echt ligt op puur functionaliteit bouwen.
En als het eenmaal doet wat het moet doen, dan wordt het project afgesloten
en dan gaat men door naar het volgende project.
Terwijl je dan eigenlijk nog al die puntjes op die wil zetten.
Even wat goede controles, kwaliteiten op het juiste niveau krijgen.
Maar ja, dat is dan niet heel zichtbaar vaak.
En dan ja, wordt het pas zichtbaar als er problemen optreden.
Ja, het is wel, kijk, er is een tijd geweest
en dat is volgens mij nu echt wel verbeterd de laatste,
weet ik veel, pakken bij tien jaar of zo.
Dat het echt, dat er heel veel bedrijven, niet allemaal gelukkig toen ook al,
maar die zeggen van, die security zeg maar,
dat is echt een technisch aangelegenheid.
Dus als er dan bijvoorbeeld een breach was,
sterker nog, bij mijn eerste baan had we ooit, volgens mij,
een bedrijf, toen werd onze site met een database waar,
weet ik veel, een miljoen e-mail adressen in stonden,
die werd gehackt en toen werden wij natuurlijk aangeklaagd
of je hebt dat laten liggen zeg maar,
of het is jullie schuld zeg maar dat dat gebeurd is.
Maar er is nooit gezpecialiseerd, er is nooit een eis geweest,
oké zo en zo moet je dat beveiligen,
we willen die gegevens op een veilige manier opgeslagen.
Het werd meer gezegd, oké zorg dat het werkt,
en de schermpjes werken, het wordt opgeslagen,
en de rest is gewoon jullie feest.
Dus dat was, het werd gezien als een, ja,
een vanzelfsprekendheid zeg maar,
dat die gegevens op de juiste manier opgeslagen werden,
dat ze veilig waren, opgeslagen werden,
dat mensen dan niet zomaar bij kunnen.
En gelukkig is dat we volgens mij,
in mijn ogen meer een bewustwarning ontstaan,
waarbij, ik noem het ook de business,
opdrachtgevers zeggen, oké,
zorg dat deze gegevens van,
met een bepaalde categorie,
dat die op een bepaalde manier opgeslagen worden,
en dat daar dan een technische oplossing voor gemaakt moet worden.
Dus dat iedereen,
dus de techneten en de opdrachtgevers,
de business of de mensen die de software willen hebben,
dat die bewust weten, oké dit doen wij op die manier,
dus dat het niet een verrassing is,
als er dan een breach is,
dat het gebeurt, zeg maar,
en dat iedereen elkaar gaat wijzen.
Dus dat is wel iets wat volgens mij wel verbeterd is.
Ja, dat zie ik ook hoor.
10 jaar geleden had je Anonymous,
wat veel nieuws was,
Schering en de Inslag,
die hadden veel publiciteit met hun grote hacks,
die hadden ook nog lulsec,
en ja, dat was,
dat heeft wel voorgezorgd voor een hele nieuwe impuls
aan bewustwording en budgetten
wat er opeens open getrokken werden.
Je ziet vaak in de security
dat het echt incident gedreven is,
dus het moet eerst
het zenuwstel zo raken, zeg maar,
voordat men voelt van
hey, dit is niet goed,
dit moeten we willen voorkomen.
Ja, als je het kijkt een beetje in de jaren 90,
waren opeens alle computers vrij open,
in het begin 2000
alle websites vrij open,
en toen kreeg je op een gegeven moment
de mobiele apps in 2009,
zo'n beetje smartphones, die waren toen allemaal open,
en op een gegeven moment
zien we wel dat we daar wel steeds volwassener in worden,
en dat
websites die nu nieuw ontwikkeld worden,
dat daar
ja, dat er niet zomaar
SQL-injectie in zit, waardoor je
zomaar bij de database zou kunnen,
of cross-site scripting, waardoor je de JavaScript in kan gooien,
dus dat
ja, dat verandert
natuurlijk ook alweer de aanvallen die je
als hacker kan toepassen,
maar het is heel belangrijk
dat de business inderdaad
bewust is van
aan welke kwaliteit
de software moet voordoen, en wat
vaak heel goed spreekt,
is wetgeving, en dat was vroeger
vrij vaag, had je de wetbescherming persoonsgevers,
en dat ze daarin zeiden
dat je gewoon veilig moet zijn,
en verder weinig op kleed,
en tegenwoordig heb je de algemene
gegevensverordering, de AVG,
en ja, die termen
zijn inmiddels bij alle bedrijven
wel bekend,
de toezichthouder was
vroeger de collegebescherming persoonsgevers,
maar die mocht helemaal geen boetes
opleggen, die had eigenlijk
een toezichthouder zonder
tanden, en tegenwoordig is het een autoriteit
geworden, de autoriteit persoonsgevers
en mocht ook forse boetes opleggen,
en dan wordt de security
en privacy opeens weer een business case,
want als
je op de vingers getikt kan worden, je krijgt
slechte media, je krijgt ook nog
een forse miljoenenboete,
dan heb je de aandacht van
bestuurders wel te pakken,
en het is ook nog in bepaalde gevallen zo,
dat bestuurders ook nog persoonlijk
aansprakelijk gesteld kunnen worden, ook al heb je
een bv, maar je data lekt,
er begint nu wel echt
een verbetering in te komen,
en ja,
dat is echt
een goede ontwikkeling, maar zo zie je wel
dat we telkens een generatie
achterlopen op de
realiteit, en dan zijn we hier wel nu mee bezig,
maar dan
hebben we nog geen wetgeving voor algoritmes
en zo,
terwijl dat nu ook best
veel ontwikkeld wordt,
en op langere termijn een grote impact gaat hebben.
even snel,
wat bedoel je met
de
Facebook, Instagram,
de spullen,
de analyses die zij doen?
Ja, precies, dat soort
algoritmes,
gewoon artificial intelligence,
dat computers steeds
slimmer worden, en op basis van grote data
sets,
de realiteit voor jou gaan
bepalen, dat iedereen
een beetje in zijn eigen informatie
vuik terecht komt,
en
dat dat ook mensen tegen elkaar
op kan zetten, zeg maar, onbedoeld,
maar het heeft wel veel impact op
een maatschappij, ook nepnieuws,
wat uit gelicht kan worden door algoritmes,
en manipulatie
weer,
maar ja, daar is zijn nog heel weinig
regels voor,
weinig toezicht, het is intransparant,
en dat laten we nu gebeuren,
terwijl we langzaamaan bewustzijn van
krijgen, van dat dit best wel
impacten heeft, maar ja, daar gaan we ook alweer
tien jaar overheen gaan waarschijnlijk, voordat
er een wet ligt.
Ben je daar ook in betrokken,
Simon? Of
verkondig je meer de risico's?
Nou, met
algoritmes ben ik
niet zozeer betrokken, maar dat is wel
een van de gevaren die ik wel zie
rondom computers en internet,
en de macht van grote bedrijven.
Nee, ik ben wel meer betrokken
als het gaat om
politiek en cybersecurity
en privacy, zeg maar.
Dat is wel meer mijn onderwerp.
Ja, het grappige is wel om op
algoritmes, ja, aansluchen of niet,
maar goed, er is volgens mij ook een discussie geweest
überhaupt, zeg maar, voor kwaliteit
van software, zeg maar, daar wilden ze iets
mee, want nu, ja, kun je
gewoon software bouwen en dan is het
heel onduidelijk wie dan aansprakelijk is voor de
werking, los van of het nou met
security of privacy te maken heeft.
Ja,
als ik nu, zeg maar, troep lever,
dan kan het zomaar zijn
dat er heel veel kapot gaat door die
troep die ik geleverd heb. En
ja, wie is er dan aansprakelijk, zeg maar.
Die discussie is er volgens
mij ook nog geweest, dus
er is verder, volgens
mij, niks meer, nog geen wetgeving of zo
veel geweest, want het lijkt me sowieso heel lastig, zeg maar,
om dat te regelen.
Maar ja, ik ben blij dat ze in ieder
geval bij security
and privacy, dat ze daar in ieder geval wel
wat richtlijnen hebben.
Je meldplicht,
zeg maar, dat als je
gehackt bent, dat je dan in ieder geval wel meteen
aangeeft dat het gebeurd
is. Dat zijn wel
goede
ontwikkelingen, want die meldplicht,
ja,
ik kom bij honderden bedrijven over de vloer
en ontzettend veel data
lekker meegemaakt.
Ook hack incidenten.
En ja, wat bijna elke bedrijf
doet is het onder het tapijt
proberen te vegen.
Want ja, als het naar buiten komt, dan is
dat slechte media en dat
wil de ondernemer
niet. En heel begrijpelijk.
Dus moet er ook wetgeving komen en is
gelukkig ook gekomen, dat er
een meldplicht is en daar
ja, dan
de feit dat bedrijven al eventueel
iets moeten gaan melden als een incident is,
dat wil alleen maar gaan ze harder rennen
te voorkomen. Dus het heeft een heel
proactief effect.
Nou, mooi.
Ja, want iets wat ik ook
zelf ook bij betrokken ben geweest
vooral bij
mijn vorige werkgever
was ethical hacking.
En je gaf het ook al aan in je
bio, of tenminste de bio
die we net hebben voorgelezen.
Dat je met ethical hacking
bezig bent. Zou je voor onze
luisteraars kunnen uitleggen
wat dat betekent volgens jou?
Ja, ik noem
mezelf dan ethisch hacker.
En ja,
het is eigenlijk een beetje raar om het woordje ethisch voor je
beroepen te zetten. Je bent ook niet
ethisch advocaat. Maar
de woord hacker heeft vaak een negatieve
toon.
Een idee bij. Maar in
de hele wereld heb je heel veel goede
hackers, zeg maar. Mensen die geen
kwaad willen doen, die gewoon
mensen en bedrijven verder willen helpen.
En ja, van
dat type ben ik zelf ook, noem
mezelf, ik hoef het ook wel white hat hacker noemen, zeg maar.
Dus ik hou
me aan de wetgeving en aan
mijn eigen ethisch compas, van wat ik denk
dat goed is.
En ja, zo wil ik met mijn
kennis, wil ik anderen
verder helpen, zodat zij
veel minder te maken krijgen met de slechte kant
van het internet, zoals hack incidenten,
data lekken.
Ja, als ik
zie wat, en ik ben
gespecialiseerd in hacking, hoe
makkelijk het soms is om bij bedrijven
in te breken. Ja, dan schrik ik
daar gigantisch van. En ja,
weet je, twintig jaar geleden was het
nog leuk om iemand z'n dromlade open
dicht te doen en met de webcam mee
te kijken hoe iemand verschrikt achter
z'n computer zat.
En ja, tegenwoordig kun je
sluizen open zetten, je
kan elektriciteit uitzetten,
je kan bankrekeningen leeghalen,
je kan iemand
helemaal zwart maken op internet.
Weet je, de gevolgen
van slecht beveiligde ICT
zijn ontzettend
vergroot tegenwoordig.
En als je ook ziet dat
gelukkig is een kleine groep mensen op
internet die daar misbruik van willen maken.
Maar
ja, je hebt ook steeds meer inlichtingendiensten,
de opkomst van
cyberwarfare,
oorlogsvoering via internet,
spionage
via internet
en ook
heel veel criminaliteit wat
van de analoge wereld verplaatst naar
de digitale wereld.
Iedereen zit steeds meer achter de computer,
dus dat leeft heel veel schade op.
dat is gewoon, vind ik heel erg,
dat bedrijven daar
en burgers door gedupeerd raken
omdat ze misschien
niet helemaal bewust zijn van de
beveiligingslekken die ze hebben,
de kwetsbreid.
Ja, daar help ik ze
dan verder mee door op
verzoek, zeg maar,
met toestemming in te breken bij ze.
En dan ga ik op zoek
naar alle zwakke plekken die er zijn.
Dus dat kan
zijn in kaart brengen voor
alle domeinen aan me die iemand bezit, alle subdomeinen,
de IP-adressen achterhalen.
Dus eigenlijk het aanvas
op een vlak van mijn target
helemaal uitpluizen.
En dan ga ik op zoek
naar bijvoorbeeld vergeten testsystemen,
niet meer onderhouden,
niet meer beheerde servers
waar dan veel
beveiligingsupdates op ontbreken.
Nou, dat kan vaak een stepping stone
zijn dan om
dieper het netwerk in te komen.
Wat wachtwoorden van beheerders
te achterhalen die dan in de database
met verouderde hashing staat opgeslagen.
Dat kun je dan die
achterhalen wachtwoorden
uittesten op andere inlogschermen.
En zo kom je steeds dieper
je target binnen.
En ja, dat is voor mij gewoon
een enorme puzzle
en uitdaging.
Want ik vraag altijd
als ik aan zo'n exercitie begin
van, hoe denken jullie zelf dat ervoor
staat? Is het veilig?
Dan zie je die beheerder, ja, ik heb geen idee
hoe ik zelf kan inbreken, dus
dat is wel veilig. Ja, ik heb er alles aan
gedaan. Het is vrij typische
reactie. En
ja, en sommige zijn wat meer
bewust van ja, God is allemaal snel online
gezet en we hebben geen tijd, dus je zal vast
wel wat vinden.
Ja, dan
is het ook wel leuk om soms de mensen
met je bevindingen te verbazen van
kijk eens wat ik gevonden heb.
Dus het is een soort sport wel als
ethisch hacker uitdagend.
En je kan er heel veel
waarde bij toevoegen.
Ja, dat is
eigenlijk een hobby voor mij, waar
ik gelukkig nu een jaartje of
16, 17, mijn geld mee kan
verdienen nu.
Dat is al een periode trouwens, want dat vind
ik best wel impressive, dat het al
17 jaar.
Ja, vanaf mijn 18 heb ik een
bedrijf opgericht en
toen heb ik mijn dienst ook aan
andere bedrijven aangeboden.
En dan was het wel
een goede incentive, omdat ik gewoon niet
andere mensen wou hacken. Veel mensen
vragen mij weleens van ben je ook
zeg maar slecht begonnen en daarna
naar het goed over
gestapt. Maar
nee, ik ben niet van dat
type.
Ja, zeker als publiek is het veel te
spannend. En daarnaast
ja, je zet best wel wat op het spel
als je crimineel gaat hacken.
En ik vond het helemaal niet leuk om andere
mensen te benadelen ofzo.
Dus ik ben gewoon meteen
commercieel gegaan, zeg maar.
En dan krijg je gewoon toestemming van het bedrijf.
En dat is natuurlijk super vet, zeker je eerste opdrachten
van nou, hier heb je
wat adressen, hier heb je wat websites.
Kijk hoe ver je komt.
Dat is natuurlijk gewoon een grote speelterrein
als Athees Hacker.
En ja,
vanaf 18 begonnen ben ik 35.
Dus ja, dat is zo'n
17 jaar inmiddels.
En hoeveel
items zitten er
allemaal in je rugzak, he?
Want stel je voor, een van de luisteraars die
raken heel erg geïnspireerd van
hey, ethical hacking, dat heb ik ook wel eens gehoord.
Ik zou er best wel wat meer over willen weten.
Hoe begin je aan zoiets?
Kan je daar iets meer over vertellen?
Ja, het begint bij
gewoon je echt verdiepen
in ja, wat is een hacker?
Wat is security testing?
Veel lezen
over cyber security.
Nou,
de ideale mensen,
de ideale voetbrood voor een hacker is wel
als je echt al wat technische
kennis hebt. Ik ben er zelf helemaal
blanco ingekomen.
Mijn pad
zag eruit door in de mediatheek
van school stapels met hack
tutorials uit te printen. En die
las ik dan allemaal voor het slapen
gaan, als ik een uur, anderhalf uur
allemaal tutorials
en dat, ik snapte het begin helemaal
niets van. Maar
het ging steeds meer dagen, zeg maar,
gewoon doorzetig vermogen.
Nieuwsgierigheid is heel belangrijk.
En ja, tegenwoordig heb je
ontzettend veel
bronnen waar je kan leren, hoe je kan
hacken. Je hebt
allerlei boeken, je hebt allemaal
videotutorials, je hebt websites,
je hebt forums, je hebt
nieuwsites gespeciseerd in cyber security,
je hebt allemaal podcasts,
je hebt evenementen,
je hebt conferenties.
Er is een ontzettende hoeveelheid
materiaal inmiddels
beschikbaar op
internet, hoe je kan
hacken, zeg maar. En het is wel
om niet te, het kan ook weer
tegenwerken, want dan kan je heel erg
verzanden in van, waar ga ik me nou op
focussen? Ga ik me in malware,
ga ik me in infrastructuur, ga ik me in websites,
ga ik in exploiting, in
reteaming. Je hebt heel veel
specialismes weer binnen hacking.
Dus dat is denk ik wel goed
om dan
een besluit te nemen, van waarom
wil ik me echt helemaal in gaan focussen?
Want je hebt binnen de hackers
vaak twee groepen. Dat zijn de hackers die
gespecificeerd zijn in
infrastructuur, dus echt
bedrijfsnetwerken, interne netwerken,
TCP, echt
low level
technologie. En aan de andere kant
heb je meer website hackers
die echt eigenlijk alleen op
port 80 en 4x3 vele al opereren
met een
HTTP proxy, helemaal expert in zijn.
Alles weten van headers, van cookies,
van post en get variabelen
en sessie management.
Je hebt
OWASP, de Open Web Application
Security Project.
Dat is zeg maar een van
alternatieve bronnen op
websitebeveiliging. Die weten daar dan
weer alles van. Dus dat is denk ik heel goed
om daar wel een keuze in te maken.
Want je kan bijvoorbeeld ook heel snel
verzanden in
exploiting. Dus dat is zeg maar
als je eenmaal bijvoorbeeld een
beveiligingslek gevonden hebt, een buffer
overflow bijvoorbeeld. Dat je dan
helemaal daarop in gaat zoomen van
hoe kan ik die buffer overflow
misbruiken
om
willekeurige code die ik zelf geschreven
heb te kunnen uitvoeren op die computer.
Dat is redelijk
ingewikkeld en moeilijk.
Maar ja,
veelal als je in het bedrijfsleven als
ethisch hacker werkzaam bent, dan wordt er helemaal
niet van je gevraagd om
echt
beveiligingslekken te exploiteren.
Het wordt vaak, je moet stoppen op het moment dat je
dat je vindt van hey, dit is
een hoge risico,
een mogelijke buffer overflow, moeten we gewoon fixen.
En
ja, dan krijg je gewoon niet de tijd om
nog een dag te besteden aan om daar helemaal
op in te zoomen hoe je dat
mogelijk kunnen uitbuiten.
Ja, dus dat vind ik wel het leukste
werk natuurlijk. Maar ja,
als je dan ook je werk van wil maken, dan
is dat wel
handig om daar
tijdens beperkt om daar wel wat keuzes in te maken.
Dus ja, weet
wat je wilt, wat je later mee wilt.
Als hobby wil je het ook professioneel
gaan uitvoeren.
En dan zijn er weer verschillende
palen
die je kan bewandelen om
er weer alles van te gaan
achterhalen.
Ja, ja.
Ja, helemaal.
Helemaal mee eens, zeg maar.
Als ik het vergelijk en dat is
misschien voor Kishen ook wel. Ik ben iets ouder.
Ik ben nu 45, dus
dat is een klein beetje
ouder, zeg maar.
Het is heel grappig dat jij zei van
oké, ik heb nooit als
de black hat hacker of
de bad guy opgesteld.
Mijn jeugd, zeg maar, was niet zozeer
dat ik bekend was
met black hat en white hat hackers.
Het was gewoon
doen.
En je wilde gewoon ergens
binnen. O, stoer, dan heb ik dit
gehackt. Niet zozeer om daar heel slechte
dingen mee te doen. Volgens mij is er
ergens gaandeweg ook wel die wetgeving al veranderd.
Dat je ergens binnenkomen
en zonder dat je iets loopt was vroeger
nog niet heel erg strafbaar.
Maar nu is dat tegenwoordig ook wel. Ben je wel de
aanbieders, zeg maar?
Dus het was niet zozeer dat wij dachten, oh, tof.
We gaan, noemen we zo'n bank, ABN Ambro
lekker hacken en dan geld overmaken.
Dat niet. Maar weet je, je liet onschuldige
dingen op school of
de computer van je
van je buurman, als het ware.
Dat soort fratsen. Die dingen,
die haal je uit.
Dus ik ben eigenlijk wel heel gelukkig om
het wat korter te maken. Gelukkig
dat ik, zeg maar, niet nu in mijn pubertijd
zou zitten, want ik denk het is makkelijk
om een fout te maken, zeg maar, als puber.
Dat hoor je ook nu wel, dat er een scriptkiddie of zo
denkt, oh, leuk, ik ga even
een DDoS doen, of ik ga even een hack doen.
Dat zie je echt heel veel, hoor.
Pubertjes die de school plat leggen omdat ze
niet gestudeerd hebben voor de toets,
bijvoorbeeld. Juist, precies. Dat soort dingetjes.
Dus het is nu, denk ik, makkelijker.
En misschien is de informatie
veel toegankelijker.
Of sommige dingen zijn makkelijker
te doen. Dus je kunt makkelijker
een fout maken. Dus ik ben blij, zeg maar,
heel simpel dat ik niet nu
in mijn pubertijd zit.
En dan
vroeger. En vroeger, kijk, vroeger
hadden we altijd, weet je, dan had je, hoe heet die,
Mitnik. Er waren een aantal
mythische hackers, zeg maar.
Degenen die met dat lolly fluitje
kreven, die een hack kent.
Precies, ja.
De hackdatum was voor ons, wow,
toffe gast. En dan had je al die
liever, allemaal boeken en zo
die je moest kennen om een bepaalde
hacks te kunnen doen.
En dat was allemaal, en het was wat eenvoudiger,
zeg maar, denk ik. Nu heb je wat
meer gecompliceerde hacks, zeg maar. Dus dat je
niet alleen maar zeg, oké, ik hack
die server, maar je hackt die server en
je zorgt dat je daar iets hebt geïnstalleerd.
En dat allemaal bij elkaar, zorg je
dat die bedrijf platlegt. Dat is echt
wel, kost wat meer effort,
zeg maar. Je kunt niet meer zeggen van, ik heb per ongeluk
dat bedrijf gehacked.
Ja, daar zit echt wat meer
effort in. Maar
ja, wat je zegt, eens,
je moet echt wel een pad kiezen.
Dat kan
niet anders. Je ziet ook
dat op de lage school,
middelbare school, dat er iedereen elkaar
een beetje losvast aan het hacken is.
Meekijken op
hoe iemand een wachtwoord invult.
En dan elkaar sociale media overnemen.
En ja,
dat is
echt veel meer dan toen wij
nog op school zaten.
Zij groeien er echt allemaal mee op.
En ja, dat ethische
kompas is natuurlijk nog niet helemaal goed
uit ontwikkeld. Dus
zij hebben ook niet helemaal het besef van wat
voor impact hun acties
allemaal hebben.
Ja, dus je ziet wel dat daar
best wel wat met justitie in aanraking
komen. Wat ook wel echt wel zonde
is, omdat het, ja,
meestal zit er niet een hele erg kwaad
intentie achter.
En is er ook wel nieuwsgierigheid, of gewoon
een beetje plaag, of misschien een beetje
pesten ook. Maar dat wil niet zeggen
dat je daar de rest van je leven met
een strafblad en zo
je leven door moet komen. Dus
er is ook wel initiatie vanuit de hackers zien
om dat soort
problemen jongeren, zeg maar, die een keertje
de fout zijn gegaan, om die onder
de hoede te nemen. En ze dan met
ervaren hackers in aanraking te komen
om ze een beetje te coachen.
Je kan ook goede dingen met je
kennis en je aanleg doen.
En dan
zie je dat het wel werkt
om ze meer op het rechte pad te krijgen
weer.
En als je
ook kijkt
stel je voor
dat er een groep developers is die
een feature aan het bouwen is
en
je zou ze wat tips willen geven
rondom cybersecurity.
Wat zou dat zijn?
Ja,
de meeste software
gaat nu via
websites en web applicaties.
Nou dan is het wel echt
een van de bronnen
waar heel veel informatie op beschikbaar is.
Wat ik al noemde is OWASP.
OWASP.org.
Daar kun je echt heel veel leren over
websitebeveiliging.
En het is denk ik ontzettend
handig om zelf ook wat trucjes
te hebben.
Dat je zelf ook een beetje je eigen
website kan testen.
En daar heb je een
zogenaamde aanvalsproxy voor nodig.
Dus dat is een HTTP
proxy die tussen je browser
en de webserver in zit.
Zodat je op je eigen laptop
precies kan meekijken wat voor data
je browser allemaal
genereert.
En met zo'n aanvalsproxy kan je precies zien welke
variablen er allemaal
bestaan en die kan je dan
met open source toolings
zoals bijvoorbeeld ZAP
ZAP,
kan je dan zeg maar dat ook
fuzzen. Dus
al die variablen kijken
zijn naar injectiemogelijkheden op
cross-site scripting, local file inclusion,
SQL injection,
XML injection, noem maar op.
En ja
als je een paar van die trucjes al weet
dan
dan kan je al een hoop
laaghangend fruit zeg maar
makkelijk detecteren zelf.
En
dan heb je ook een soort van
tooltje in handen waarmee je
zelf ook, want als je alleen aan het programmeren
bent en je bekijkt de inspector in je
browser en je ziet wel wat dingen heen en weer gaan
maar het is ook gewoon handig om
met een soort aanvalsproxy te kunnen
werken. En dat hoeft helemaal niet
ingewikkeld te zijn maar dan zie je gewoon
wat er allemaal over de lijn gaat en
ja die genereert ook passief
terwijl die gewoon de dataverkeer langs ziet komen
op allerlei bevindingen.
Dan kun je meteen zien van hee ik misbepalen
security headers.
Die moet je gewoon expliciet zetten tegenwoordig.
Er zijn
ja standaard geeft een webserver
geen security headers mee.
Maar je hebt er een stuk of tien tegenwoordig.
En die allemaal weer hun eigen
stukje extra veiligheid
toevoegen.
Ze zijn heel simpel om te zetten ook.
Ja, maar
dus je moet er een klein beetje wat meer in
verdiepen.
Ja, dus er zijn ook al wat van die
cursussen die je daarvoor zou kunnen doen.
Van die
CTF's, Capture the Flex zeg maar.
Waarop je een beetje van die testomgeving
waar je wat legaal mag hacken.
Die ook een beetje
bewust lekk zijn gemaakt.
En ja,
dus als ontwikkelaar
zou je dat
ja, wat van die oppervlakke testen
kunnen gaan uitvoeren.
Je hebt ook hele makkelijke tooltjes online.
Zoals als je de status van je
HTTPS
implementatie wilt testen, dan
heb je bijvoorbeeld Qualys SSL
Labs. Nou, en als je daar op
googelt, dan hoef je eigenlijk alleen maar
een domeinnaam
in te vullen. Je klikt op scan en je
krijgt een heel rapport terug van hoe het
ervoor staat. Nou, dus je kan zeg maar
zelf als ontwikkelaar, kan je al
met beperkte
kennis, kan je al best heel wat
basis security scan
zal uitvoeren.
En ja,
doe dat dan ook zeg maar. Wacht niet af tot de
security testen, de pen testen langs
komt of dat er wordt
ingehuurd.
Het is gewoon heel belangrijk. Ik denk het allerbelangrijkste
is als ontwikkelaar
is dat je bewust bent van
gebruikersinvoer.
Dus
gebruikersinvoer, wat een
gebruiker via zijn browser bijvoorbeeld allemaal
invoert, wat voor uploads,
dat kan
allemaal kwaaddadig zijn. Dus dat moet je allemaal
controleren voordat je dat verwerkt in je applicatie.
En op het moment dat je
gebruikersinvoer niet
adekwaat controleren of
ontschalig maakt als je dat weer
wil weergeven in de user interface.
Nou, dat opent
tal van injectie aanvallen
en
ja, dat kan ernstig afloden.
Dus je krijgt een e-mailadres, check of het een e-mailadres
is. Heb je een nummertje wat je
ontvangt, check of het een nummertje is.
En stel dat
een nummertje altijd een nummertje is
omdat dat geen gebruikersinvoer is, maar
wel altijd bijvoorbeeld in de URL staat
bijvoorbeeld een identifier van een database
record. Nou, een gebruiker
zou dat nooit hoeven te veranderen.
Dus als die
nummertje is,
maar een nummertje met een enkele
quote,
dan moet er een
alarmbelletje ergens afgaan.
Van hey,
er is iets afwijkends aan de hand.
Dat moet je loggen.
En dat
moet gewoon, zeg maar, je moet
ook een monitoring in je applicatie inbouwen.
Dus heel veel applicaties, software wordt zo
geschreven van de ideale
flow.
Ja, de happy flow, maar als die happy flow
net anders is,
wat eigenlijk nooit zou moeten optreden.
Nou, dan wil je daar wel feedback
voor inbouwen.
Dat kan soms vrij makkelijk in plaats van gewoon
een 500
foutmelding in je,
door je webserver laten wegschrijven.
Daar kan je er ook voor kiezen om dat applicatief,
zeg maar, net een
wrapper omheen te bouwen, die
dat in de database noteert en
bij een threshold, zeg maar, de beheerder even
beeldt.
Dus ja,
gewoon goed je input checken.
Zelf ook even verdiepen in hoe
kan je wat basis security testjes doen.
En
ja, dan
een leer van de
pen tester, zeg maar, die worden uitgevoerd.
En zorg dat je dat
meeneemt de volgende keer.
Ja, ik heb ooit een keer een
hele waardevolle tip geleerd van
een pen tester die
ja, we hadden op een gegeven moment
een systeem gemaakt waar je op een gegeven moment
data gewoon via een ID
zou kunnen ophalen.
Denk even aan vertrouwelijke informatie.
En
iets wat die penetration tester
ja, gewoon duidelijk
maakte was van hey, maar als ik
nu gebruik ID 1, en nu
kan ik ID 2 en dan zie ik
Jan Pietje Klaas zijn informatie.
ja, dan maakt het, in feite maakt
het dan ook niet uit welke automatische tool
je hebt gebruikt. Maar dit is gewoon
puur, ja noem het maar even verstandsgebruiken
dus security by design
achtige zaken. Dus als je
een softwarepakket gaat bouwen
dan moet je toch ergens ook in
je ontwerp rekening houden met dat het
ook zonder hacken.
Ja, technisch gesproken
is het de hacken. Je
probeert de autorisatie
controle te bypassen
door nummertjes, ID's op te vragen
die niet aan jouw account zijn gelinkt zeg maar.
Ja, het is zeker
absoluut hacken, het is ook strafbaar
maar het is heel laagdrempelig
dit kan iedereen doen zeg maar
als je het weet. Zeker als
het in zo'n nummertje in de adresbalk staat
dat is ja
toevallig nog
anderhalf maand geleden bij de blocker
had zo'n lek. Als je dan
je besteldetijs
in de browser ging opvragen
nou, daar stond daar
een bestel ID en er was een miljoen zoveel
en ja
toen heb ik daar min 1 gedaan
ja, kreeg je
een bestelling van iemand anders te zien
en ja, zo
zonder na schatting 700.000
bestellingen
kon je zo inzien
sinds een half jaar. Dus ja, dat is heel
laagdrempelig maar
je moet er wel echt een beetje denken van
wat zou iemand
kwaad kunnen zeg maar. En soms is het heel
simpel. Soms is hacken echt
of je helemaal niet gestudeerd wordt te hebben.
Een trucje kan al genoeg zijn.
Maar dat is wel een goeie zeg maar.
Is dit strafbaar zeg maar?
Ja, ongeautoriseerde toegang
tot computers is strafbaar.
Dus het hoeft helemaal niet ingewikkeld te zijn.
Nee, oké, maar
het ophogen zeg maar is net zo wat jij
zei van oké, ik verlaag mijn nummertje
en ik krijg de winkelman
van iemand anders te zien. Ja, de intentie
is wat daar in het verschil ook
gemaakt. Kijk, je kan natuurlijk
bij het intypen van een domeinnaam
kan je per ongeluk
een
verkeerd nummertje intikken en dan
zie je wat anders. Nou dan is dat een
foutje, dan ga je echt niet op veroordeeld worden.
Maar als je volgens
een scriptje schrijft,
wat 10.000 records gaat opvragen,
dat is toch denk ik bij de rechter
wat moeilijker uit te leggen dat dat per ongeluk
gegaan is. Volgens mij krijgt Saber
die krijgt het nu heel erg warm.
Nee, nee, nee, ja.
Het is goed dat ik er geen tijd meer voor heb.
Dus dat is,
nee maar goed, dat vind ik,
ik heb er altijd een beetje,
dat is waarschijnlijk omdat ik
in een andere
tijd zeg maar opgegroeid
ben tussen aanreizetekens. Ik had
zoiets van als je deur open staat en ik kan
naar binnen kijken,
ja dan wieze fout
is het dan zeg maar?
Ja, je gaat ook
niet bij iemand naar binnen lopen
zeg maar, alleen digitaal is dat
heel toegankelijk en
soms ook heel makkelijk en waarschijnlijk aan niemand die
het ziet.
Dus het gebeurt ook wel
veel zeg maar, wat
totaal niet gezien wordt.
En het is ook
redelijk onschuldig zeg maar,
zeker als het dan ook lukt. Je gaat zo'n nummertje veranderen,
het lukt.
Want ook als het niet lukt, zou dat zeg maar
een hackpoging, hackpogingen
is natuurlijk ook
strafbaar, zeg maar,
zo zien.
Ja, als je dan, als je het zeg maar
wel doet en je vraagt vijf
records op en daarna mail je
het bedrijf
ten goede trouw van hey,
je attendeert ze erop,
ja dan zal we weinig gebeuren
zeg maar. En tegenwoordig is
het ook zo, dat als stel
dat ze dan daarna de politie
aan geeft voor doen, dat
de rechter dat ook wel inmiddels
heb je ook al meer IZT
rechters die
dan wel zeggen van hey ja, je was
ten goede trouw ofzo, ja het is misschien strafbaar,
maar je hebt meteen
geholpen,
je hebt er geen misbruik van gemaakt, je hebt het niet
zomaar op internet gezet, zodat anderen daar
eventueel misbruik van konden maken.
Ja, dan zou je niet snel in de problemen
komen. Nee, precies, dat
is het ook een beetje. Kijk, juist
dit. Kijk, ik kan me nog voorstellen,
ja wij, wij allemaal hier,
ik denk heel veel van onze luisterhuis, die kunnen wel
voorstellen, oké, dat moet je niet doen, want ja,
grijs gebied, of juist niet
zwart gebied, of slecht gebied, laat
ik het zo zeggen.
En, hoe heet
het, maar diegene
zonder dat kompas, weet ik veel,
12 tot misschien zelfs
22, 23-jarige,
die zo, ja,
dat denken we, ja, hoezo? Dat kan toch?
Wat zie je nou schadelijk,
schadelijk aan, zeg maar.
Dus dat is wel,
ja, daar is wel iets waar
we iets mee moeten doen misschien,
qua educatie ofzo, want daar hebben we het
eerder natuurlijk over gehad.
Want ja, je maakt die fout makkelijk.
Ik kan me echt voorstellen dat mijn 14-jarige, ik,
denk, oh leuk, hey, ik download,
ik kom bij de blokken, nou, mooi,
ik kan alles, alle bestellingen,
oh, grappig, hier zit de bestelling van de buurvrouw,
en dat ik dan de vorige dag dat deel, zeg maar,
met de andere
klasgenoot.
Dus ja, dan zit je wel... Ja, klopt hoor.
Je ziet dat heel veel
hacks toch
terug te hellijden zijn aan
jonge mensen, pubertijd,
tot 25 jaar, zeg maar.
Die
weten soms nog niet goed wat,
ja, wat eigenlijk wel geoorloofd is
en niet geoorloofd.
En ja, die zien overal het gevaar
niet zo van in, die weten ook niet
wat de impact ook is.
Denk wel, komen er wel meer weg, een beetje
qua jongestreek.
En ja,
dat kan soms een tijdje goed gaan,
maar ja, de opsprong is ook niet te stil
blijven zitten. Dus die,
ja, die loopt wel steeds
sneller tegen
de lamp.
Maar ja, inderdaad
en dat is ook heel goed om juist die
beginnende hackers juist
wel goed te begeleiden, van ja, wat is nu eigenlijk
hoe moet je je gedragen op internet?
Wat is normaal? Eigenlijk gewoon
opvoeden.
Ja, precies.
Ja, dat is wat je eerder
zei, maar het is goed in deze situatie,
en niet omdat ik dat nou weer heel mooi oprakele,
maar
dit soort hacks, zeg maar,
die zijn heel, je kunt die heel
makkelijk doen, zeg maar. Dit is niet
oh, ik ben heel erg slim
iets aan het programmeren en ik heb een buffer
flow ergens gevonden. En daarmee ben ik
veel bedrijf in binnengekomen. Dan ben je echt
wel, ook als puber,
denk ik wel wat je aan het doen bent.
Dat is niet, ja, oh, ik heb dat
prongelijk gedaan. Terwijl zoiets als
dit, dat is makkelijk,
de fout is makkelijk gemaakt, zeg maar.
Dus dat is wel
belangrijk dat we daar iets mee doen.
Je ziet ook wel, ook
beginnende security-onderzoekers die dan
zo'n lek
gevonden hebben met een oplopende nummertje,
dat die dan voor de gein
even alles downloaden,
geïnteresseerd zijn en denken van ja,
maar ik ga het wel melden. En dan vervolgens
melden ze dat en het hele
bedrijf op paniek, want iemand heeft de hele data
bezig in handen en dan denkt de
hacker van ja, ja, maar ik ga het,
ik heb het weer verwijderd ofzo, het was gewoon even
leuk, ik kijk of het kon. Maar aan de
andere kant is totale paniek ontstaan en
ja, je komt
binnen met een heel onprettig
bericht, dus het vertrouwen is er, is er
weinig.
Ja, ja,
daar staan veel mensen niet bij
stil, zeg maar.
Nou, ik had
trouwens ook nog een vraag over, je hebt het
net over vertrouwen.
Ik heb je
aflevering op 3FM
geluisterd en ook gezien
op YouTube. Dat vond ik wel een interessant
onderwerp om misschien ook in deze podcast
even kort over te hebben.
Waar die
aflevering over ging, dat ging over
spionage software
en dan voornamelijk om
ja,
werknemers
in de gaten te houden.
Kun je daar iets meer over
vertellen? Waar ging het
onderwerp over en wat vond je ervan?
Ja, ja, dat was
vorige week,
er was een vakbond
CNV die had een rondvraag gedaan
onder 1200 leden
en daaruit bleef dat 14%
aangaf dat
werkgevers
een soort van spionage software
geïnstalleerd hadden op hun
laptops, om ze alle
thuiswerkers in de gaten te kunnen houden
of ze wel echt aan het werk waren.
En ja,
14,
ja, 14%,
dat was best veel.
En ja, je zag
ook wel dat sinds
corona afgelopen jaar.
Iedereen is wie kan is gaan
thuiswerken. Ja, en
dat was vroeger was dat best wel
een gevecht om te mogen thuiswerken.
Zeker in de meer controleerende
controleerende managers die
die dachten allemaal, ja, ze doen allemaal niks.
En
ja, nu dan toch iedereen.
Dus men ziet dat vanuit
de werkgevers dat best wel, ja,
men wil daar meer grip op hebben, meer controle.
En ja, blijkbaar
heeft dat geleid dat steeds meer
werkgevers spionage software
is gekocht en geïnstalleerd.
En ja, dat werd een beetje duidelijk.
Ik schrok daar zelf ook wel
van. Ik vond het best best veel
14%.
En toen heb ik me ook even wat meer
in verdiept.
En je ziet dat het wel veel meer
dat soort software
gebruikt wordt bij
bedrijven die wat meer
fabrieksmatige werk doen, zoals bijvoorbeeld
callcenters waarin je
binnen gezette werktijden
een bepaalde workload
te verwachten hebt dat je die
verwerkt.
En ja,
dat kun je een stuk meer
meten, zeg maar.
Dus je ziet dat...
En bij software development bedrijven?
Ja, ja, daar zie je dat volgens mij
een stuk minder
waar denk ik
wel weer veel meer op
gelet wordt bij softwarebedrijven
is van ben je online
op de chat app?
Als iemand
staat en is al twee uur alwezig,
dan denk je zo, die is de lange lunchspous
gehad.
Ja, en
ja, kijk, zeker bij de
creatievere beroepen
is het werk gewoon een stuk
minder meetbaar, want je kan ook gewoon
een telefoon in het overleg hebben.
Je kan gewoon de hele dag
in vergadering zitten.
En dan gebruik je je toetsenbord
niet zoveel, want dat soort spionages
software, ja, wat doet dat dan?
Dat registreert aantal toetsaanslagen
per minuut, per uur,
aantal muisbewegingen,
hoeveel mailtjes je getypt hebt,
hoeveel websites je bezocht hebt, soms ook
welke websites je bezocht hebt.
Welke website categorie is de nieuwsite?
Is het sociale media?
Heb je WhatsApp? Heb je lopen WhatsApp?
Hoe lang dan?
Dat gaat best wel
ver. Amerikaanse software, die gaat
nog een stuk verder, want daar is de wetgeving
in het voordeel van bedrijven.
Daar mocht je soms ook gewoon
screenen, mag je ook gewoon met de camera
soms
foto's maken.
Dat gaat echt heel
ver.
Gelukkig hoor, en zie ik het zelf in mijn
omgeving een stuk
minder. Ik ken niet heel veel bedrijven
die dat gebruiken.
Ik denk ook niet dat heel veel bedrijven daar heel transparant
over zijn, want dat is best wel
een motie van wantrouwen als je
dat soort software installeert, en ik denk dat
heel veel werknemers daar echt niet op zitten
te wachten. Als je weet
dat je gemonitord wordt, ga
je ook anders gedragen, en dan ga je ook wel
dingen verzinnen om
daar
weerstand tegen te bieden.
Dus ja,
het ziet het wel steeds meer.
Maar er is ook weer dingen
te omzeilen. Je hebt bijvoorbeeld
een bekend product
is een mouse jiggler,
en dat is een soort USB-apparaatje
dat telkens je muis 2 pixels
heen en weer schuift.
Zodat je online
status continu online blijft,
en ook je schermbeveiliging
niet actief
wordt.
Dus ja,
je hebt een soort kat-en-muis spel, zeg maar.
Ja, precies, dat krijg je dan.
Ik heb ook gewoon de hele tijd een video filmpje op
mijn webcam
gedraaid.
Maar dat is wel een grap,
hoor je dat? Dat is wel een grap, want
ik had dat item langsgekomen.
Ja, sorry, ik heb het niet
in verdiept,
zou ik het zo zeggen, want het was even,
ik had even andere prioriteiten, maar ik
hoorde ook, en dat had ik,
ik weet niet, BNR ofzo,
ging over, ook bij studenten, zeg maar.
En daar is het blijkbaar,
en daar is het erger. Ja, daar heb je
de zogenaamde Proctor software.
En omdat al die studenten nu thuis hun toetsen
moeten doen,
ja, dat is
heel eng voor opleidingen,
want die hebben totaal geen idee
wat er over studieboeken bij iemand thuis
liggen.
Dus daar hebben ze bedacht naar, dan moeten we Proctor
software overal bij studenten installeren.
En zonder die
spionage software van
je opleiding mag je de toetsen niet doen.
Dus dan zak je gewoon.
En die spionage software
moet je dan op je privé laptop,
privé computer installeren.
En die houdt dan alles in de gaten.
Die houdt,
als je een toets hebt,
dan gaat je webcam aan,
dan gaat je microfoon aan,
dan worden alle lopende processen
in de gaten gehouden, er zit een
continu dataverbinding met de cloud.
Je wordt,
alles wordt gescreened, zeg maar.
Je wordt helemaal doorgelicht.
Nou, ik zou er helemaal
paranoïde van worden,
als mij dat zou overkomen.
Ik zou daar een heel aparte laptop voor
instellen, zeg maar.
Nou ja, goed, als je de luxe
er dus hebt, ik kan me voorstellen dat studenten niet per se...
Nee, nee, precies. En die denken van nou,
het is misschien ook wel te vertrouwen.
Maar ja,
wat ook wel erg is, op het moment dat
ja, het is ook je hele, in de studentenkamer,
wat eigenlijk een student, voor een
student is een kamer is een huis.
En
voor als achterkant van
je moet een soort 360 graden
filmpje maken van waar je zit.
Of er niet ergens stiekem een boek verstopt
zit.
En op het moment dat het niet helemaal goed gaat, of je
laat niet alles zien, dan word je alsnog achteraf
word je, krijg je
een onvoldoende van ja, het was een zwart
zwart gat.
We kunnen niet uitsluiten dat daar een
studieboek lag, dus we geven je een onvoldoende.
Of ja, de internetverbinding
was slecht, wifi was slecht, het
viel er even uit. Ja.
Of
we horen geluiden op de achtergrond.
Dat je huisgenoten lopen te cater bijvoorbeeld.
Ja, krijg je ook een onvoldoende.
Dus dat gaat
echt heel
ver.
Ja.
Ik heb toevallig ook een
truc samen gedaan met ProcterU.
Ik weet niet of je dat iets zegt.
Nee, die kan ik niet.
Dat is ook een software
pakket dat installeer je op Chrome.
En ja, weet je,
ik moest gewoon een certificaat halen.
Ja, ik heb dat dan wel
gedaan. Ik ben misschien een
van die studenten die dan dacht van ja,
hoe erg zal het zijn. Maar je laat me wel even
trekken. Je moet gewoon meedoen, anders
krijg je het certificaat niet tegenwoordig.
Je hebt eigenlijk geen keus.
Nee, klopt. En ja,
het is helemaal waar wat je zegt hoor.
Dus je wordt echt gebeld door een of
ander Amerikaan die dan,
die komt dan bij je binnen.
En die vraag je dan van hey, kan je
je toestemming even geven dat ik over
je computer kan besturen?
En dan zie je inderdaad je camera aangaan.
En dan stelt die ook in dat
die, ja, die screenshot
zet die dan uit. Dat zag ik dan
wel gelukkig dat die dat gewoon voor me deed.
En notifications
zetten die dan uit. Ik moest zelfs
inderdaad op een speciale
positie gaan zitten.
Dat hij de deur kon zien van de camera.
En ik moest mijn bril afdoen
en dan ook echt in de camera laten zien
dat ik geen camera's in mijn bril had.
M'n horloge moest
af.
Hij wilde in m'n oor kijken.
Dus in de camera kan je in m'n
linkeroor, in je rechtoor, weet je wel,
om te kijken of er geen headphones zitten.
Je wordt helemaal fysiek
en digitaal doorgelicht.
Ook dat is weer te omzeilen,
want je hebt zeg maar
een soort hardware apparaatje
wat je tussen
een monitorkabel
en een computer kan
inklikken. En die is dan
met wifi uitgerust.
En daar kan je zeg maar heimelijk via
wifi je monitorsignaal dupliceren
en naar iemand anders doorsturen
die dan realtime kan meekijken.
Dat detecteert dit proctor software helemaal niet.
En vervolgens kan je
een mobieltje op trillofunctie
in je broek zetten.
En dan kan je zeg, ik wil de mensen
niet op idee brengen, maar...
Nou ja, bij deze.
Maar dat is dan mijn headset die dan weer helemaal
ja, hoe ga je dit systeem omzeilen?
Nou ja, dit soort manieren.
En dat gaan ze dan
niet doorhebben. Dus het is ook maar de vraag
zeg maar van dit soort spionage
dingen van
hoe, ja
moet je niet gewoon
iets verzinnen waardoor je
op een andere manier een toets aflegt.
Want het is zo invasief
in je privacy en in je security.
Dan denk ik, ja, je moet dan
als toetsinstans misschien wat
creatiever zijn met een oplossing
verzinnen. Laat iemand een werkstuk
maken. Laat iemand binnen
24 uur iets
opstellen ofzo.
Ja, en dan de
vragen overstellen, weet je wel, om te kijken
of het authentieke is. Ja,
doe een videocall ofzo
met iemand. Dus
er zijn allerlei andere oplossingen
ook wel die veel minder intrusive
zijn. Alleen dat
vergt gewoon een hele andere aanpak.
Dit ligt gewoon vrij voor de hand en
iedereen accepteert het want je hebt geen keus.
Ja, precies.
Maar dat was het hoor.
Eerste wat ik dacht ook, ik denk van
oh jee, zolang die maar m'n computer
niet gaat hacken. Maar ja, je moet wel
want ik wil die certificaat natuurlijk halen.
Ja, heb je het wel weer gede-installeerd?
Toen werd het stil.
Ja, precies.
Er gebeurt wel iets met deze
opname ineens.
Ja, precies.
Ze zijn aan het meeluisteren. Het is wel een goeie.
Ik herinner me ook, wat jij zegt Kishen,
ik weet niet of dat die Proctor software, ik heb het ook één keer
een certificaat
en dan moest ik het ook doen.
Maar het was niet zo streng
zoals jij zegt, dat je met je oren
en alles moet laten zien.
Ik weet wel dat die software toen,
dus dit is al wel een jaartje of 4
geleden, daar was het
volgens mij ook, als er
een examen ja,
nog, hoe zeg je dat,
gevoeliger was, dan had je ook
dat je twee webcams moest hebben.
Dus eentje waar ze jou konden zien
en de andere, daar moest je je full body,
dus je moest je helemaal kunnen zien
zeg maar, zodat je dus
zij konden zien dat jij niet op je mobieltje zat
te kijken of dat je een boek opensloeg of zo,
dat soort... Ja ja, bij de hogeschool is dat
vrij standaard,
dat je aan twee kanten opneemt.
Dus je hebt je mobieltje en je laptop camera
moet er dan aan staan.
Dus dan moet je op je
mobiel en je laptop moet je speciale software
weer installeren.
En wauw.
En dit soort partijen die die
software leveren, die hebben het zelf niet
altijd goed voor elkaar. Dat was
vrij kort nadat dit bekend werd
dat de proctor software over aan het
protest van studenten
bleek ook in zo'n grote leverancier
ook een data lag te hebben.
En ja,
weet je, dan waarschuw je ervoor,
je ziet het aankomen
en dan gebeurt het en dan verandert er weer
niks. We gaan door.
Ondertussen als je tegenwoordig
gewoon volwassen
wordt, dan is het helemaal transparant
wie je bent, wat je doet, wat je hobby's zijn
en je telefoonnummer.
ja.
Nou wil je toch in de show
hebben. Kan je iets vertellen
over je laatste data
lag die je ontdekt hebt?
Ik hoef geen namen
natuurlijk te noemen, maar ik heb
eerlijk wat je hebt gevonden.
Ja, data lag.
Nou, wel iets groots wat ik
toch al recent ook al
gepubliceerd heb.
Het meeste wat in mijn professionele
werk kan ik natuurlijk niks over zeggen.
Ik zit helemaal onder de NDA's.
wat al recent is geweest is
ik heb een stichting, een stichting die heet
Stichting tegen hekbare verkiezingen
en ik ben zo'n vier jaar geleden
ben ik
per toeval met het onderwerp
verkiezingen aanraakt gekomen
en bestemmen
met potlood en papier.
Maar wat weinig mensen weten
is dat het daarna op de gemeentehuizen
alle stemtotalen
per stembureau in een
opteelcomputer worden
overgetypt.
Die opteelcomputer breekt uiteindelijk de uitslag.
De software
bepaalt in Nederland
wie de verkiezing wint.
Toen ik dat vier jaar geleden voor het eerst
hoorde, dacht ik echt
van dit min je niet.
Dit kan niet.
De computers zijn zo fragiel.
Ik kan me nog heel goed de tijd herinneren
in 2006. Toen had je de
stichting Wij Vertrouwen Stemcomputers niet.
Toen hadden we ook nog stemcomputers.
Hadden we niet eens potlood en papier.
En dan drukte je stem op een computer in
en dan kwam aan het eind van de avond
een kassabonnetje uit.
Dat was dan de uitslag.
Dat was een bizar dat wij zo onze verkiezingen
deden.
Dat is gelukkig ook afgeschaft.
Dus ik kwam er vier jaar geleden
in een aanraking. Ik heb daar bewustzijn
en een rapport over geschreven
over de onveilige kanten.
En al mijn beveiligingslekken ook in die software gevonden.
daar werd ook wel wat aan gedaan.
Maar uiteindelijk berekelde
toch weer de software altijd de uitkomsten
afgelopen vier jaar. En toen was ik het in
september vorig jaar was ik daar eigenlijk helemaal
zat. Want in
2019 had ik ook
de alarmklok
weer geluid over hey we hebben de
verkiezingen daar. Proficiale
statenverkiezingen, waterschapsverkiezingen.
Jongens die laten we weer met software
uitrekenen. Dat is volstrekt onverantwoord.
Dat kan op alle manieren
hacken. De gemeentelijke systeembeheer
die is gewoon administrator op die
verkiezingse computer. Die
kan gewoon de database openen.
Die kan de stemmen aanpassen.
Database opslaan. En dan heb je
gewoon een andere uitslag.
En dat wordt dan gewoon
vertrouwd zeg maar.
Even plat geslagen.
Ja dat is nou
een teke jeetje joh. En toen in 2019
was er helemaal geen media aandacht meer voor.
In 2017-18 was het groot.
News overal. NOS, At Your News.
In 2019
niemand was meer geïnteresseerd.
Toen dacht ik vorig jaar september,
dit moet voor eens en altijd afgelopen zijn.
Dus ik heb een stichting opgericht.
En ik heb een
verslag erover geschreven. Over
waarom het onveilig is.
die conclusie van het
verslag
is door veertien hoogleraren
cybersecurity onderscheven.
dus het was een wetenschappelijke consensus
geworden dat opteelssoftware
alleen om daar een verkiezing-
uitslag mee te breken, volstrekt onverantwoord was.
ja dat is toen ook
was er heel weinig media aandacht voor.
want ja het was
in begin november gepubliceerd
en de verkiezingen waren
ja in maart.
dus dan is er geen enkele journalist nog echt
geïnteresseerd om daar wat over te schrijven.
maar zo doen er wel
de tweede kamerleden bereikt.
minister Alon Grun
die moest daar
die moest wat met mijn rapport doen
met ons rapport vanuit de stichting.
want de stichting heeft nog met twee andere mensen.
en ja
toen is er ook wel onder druk omdat al die hoogleraren
ook wel achter stonden.
is toen
heeft de kiesraad een voorstel gemaakt
om niet alleen maar die optel software
te vertrouwen maar per gemeente
willekeurig drie politieke partijen
uit te kiezen.
en daarbij handmatig optellen
en dat te vergelijken met de software
optelling.
en dat is voor het eerst dat we dat zeg maar
landelijk ook doen.
en ja
dus dat is afgelopen verkiezingen gebeurd
zeg maar. is er een steekproef
genomen wat
waar ik dan uiteindelijk vier lang hard voor gewerkt heb
acht maanden onbetaalde
tijd in heb zitten
om dat voor elkaar te krijgen.
niet zozeer een data lack
maar wel iets van een hele andere
orde op hacking en nationale
veiligheid.
dat vind ik wel heel
ja dat vind ik heel stil
echt een held
een digitale held ben jij
om ons in die zin
te beveiligen.
ja maar als je dat dan ook ziet op een gegeven moment
als je ergens heel erg in gespecialiseerd
bent dan heb je
heel weinig andere
mensen nog die daar ook heel
gespecialiseerd zijn
en dan
ben je soms een van de weinigen die
ziet van hey dit
kan totaal niet
terwijl de rest daar nog niet zo
niet zo bewust van is of
nog helemaal geen kennis van heeft
en dan kan je daarvoor
kiezen zeg maar om daar dan niks mee
te doen en dan zeg je ja ik
ga wat anders doen maar stel
dan dat we
ja dat er dan toch
later achter komen de verkiezing van
Nederland is gehackt de Russen hebben
bijvoorbeeld
een bepaalde partij zes zetels extra
Wanneer is er een gegeven, waardoor de hele formatie anders is gelopen, waardoor de bijvoorbeeld
uit de Europese Unie gaan stappen. En dan dat je dan achteraf denkt, ja maar ik zag het
aankomen, ik heb niks gedaan. Ja, kan je jezelf dan nog wel in de spiegel aankijken.
En ja, het kost je een hele hoop pijn, moeite en emotie. Want in het begin word je heel
erg genegeerd. En achteraf word je dan wel in het gelijk gesteld. Maar ja, dat gaat
niet met triomf of zo. Het is met heel veel politiek gedoe, zeg maar. Dus ja, het is
wel een enorme strijd, zeg maar, om dat dan uiteindelijk in te blijven volhouden
en ja, door te zetten. Ja, die rugbaarheid, die viel ook... Ik heb niet die media aandacht
heel erg opgepakt. Nee, nee, het is heel erg onder de radar. Men vond het veel
interessanter om te schrijven over wat er in Amerika met Trump al nog gebeurde dan over
verkiezingsveiligheid. En het is ook een beetje een moeilijk onderwerp voor journalisten,
hoor. Want ja, ze willen niet zomaar schrijven van hey, de verkiezingen zijn onbetrouwbaar
of er is mogelijk mee gehackt. Dus ja, dat is blijkbaar een heel ingewikkeld onderwerp om daar
wat over te zeggen. Het is geen makkelijk nieuws om te brengen.
Ja, ja. Nou goed, er zijn even twee dingen die ik wel daar wil uitkaarten, zeg maar. De eerste,
nou goed, sowieso. Ik vind het raar omdat, natuurlijk, je zegt net ook Trump, want we hebben
ook, weet je wel, er is heel veel aandacht naar uit geweest van hey, zijn die verkiezingen
van Trump, zeg maar, toen het tussen Hillary en Trump ging, is dat eerlijk gegaan? Hebben de
Russen of andere partijen daar misschien iets gedaan wat gek is? En dan zou je zeggen dat
wij hier in Nederland daar wel een soort van bewustwarning hebben van oh, wacht even,
dit moet we even doorvertalen naar onze eigen verkiezingen. En alleen, ik vind echt,
ja, ik word er echt wel vaak boos over, zeg maar, dat ik vind dat er gewoon te weinig
ICT of technische kennis in de Nederlandse politiek zit, zeg maar, en overal landelijk.
Dus daar heb ik nog wel, dat is een beetje jammer. Je zegt daarna, zei je ook iets
over de journalisten. Nou, ik kom wel met Neus op tafel, misschien ken je die podcast.
En daar was, en ja, nu niet meer, maar Joost Gelvish, die ken je eigenlijk ook, die bij
MPO, he? Ja, precies, die haal ik altijd door elkaar. Dus die, ja, ik weet niet of die het,
maar goed, dat is één van de journalisten die gelukkig dat wel af en toe onder de aandacht
brengt. Ik zal hem wel eens aanspreken, zeg maar, waarom heb je die nog meer rugbaarheid
aangegeven en waarom ben je niet gaan schreeuwen? Misschien heeft hij dat gedaan,
weet ik niet. Ja, dit is zeg maar bij journalisten heel belangrijk. En dat is ook al een leermoment
weer voor mij dat ze een journalist wil de scoop hebben. Dus die wil de eerste verhaal
naar buiten brengen, het wereldkundig maken. Want dan kunnen ze zeggen uit eigen onderzoek
hebben we geconstateerd dat en dan mogen ze daar onderzoeks tijd op investeren. Maar op
het moment dat je dat als een journalistiek bedrijf niet de scoop heeft, dan gaan ze eigenlijk
onderbiedig gezegd schrijven ze eigenlijk alleen maar persberichten over. En dat is heel
vluchtig, daar zit heel weinig onderzoek aan vast. En ja, media is heel vluchtig,
daar ben ik ook wel achter gekomen. En ja, dan heb je zo'n groot onderwerp en dan, ja,
als je als ze niet het nieuws willen brengen of zo, dan of het is nog niet actueel. Ja,
dan krijg je het gewoon bijna niet gepubliceerd. En dan zijn ook die eindredacteuren dan. Ik heb
je ook al veel met Joost over gesproken. Dus hij is helemaal op de hoogte ook over deze
situatie. Maar ja, het is heel lastig om zo'n groot verhaal, een moeilijk verhaal onder
aandacht te krijgen. Dus je moet daar een soort media partner voor hebben. Nou, die hadden wij ook.
Maar dat is een lang verhaal waarom dat, zeg maar, niet goed gelopen is. Maar ja,
dan daarna wil niemand meer, als ze niet de eerste scoop hebben, dan willen ze dat niet
meer doen. Ja. Ja, ja, dat is wel, ja, ik schrik, eerlijk gezegd, ik schrik er best wel
van. Het is echt niet zo, want in mijn naïviteit was ik vroeger altijd van, ja, dat motto had ik
altijd, van alles is automatiseren. Alles wat zeg maar gewoon, ja, door normaal met mensen met
de hand gedaan wordt, kan ook automatiseerd worden. Bij stemmen ben ik daar best wel natuurlijk
van teruggekomen. Nou goed, je leest er wat over, bijvoorbeeld Ancilla van den Leest. Ja,
natuurlijk. Die heeft daar ook best wel wat punten voor overgemaakt, de Piratenpartij toen ook.
Ja, doe dat nou niet, ga nou niet met stemcomputers werken, want dat is ook nog niet eens zo heel
lang geleden, dat we dachten dat we gewoon stemcomputers houden, dus wij zelf op stemt,
zeg maar. Ja, 13 jaar geleden. Ja, precies, ja. In Amerika zijn ze daar nog steeds mee
bezig en op diverse plekken ook nog, maar er is nergens ter wereld een stemcomputer die
niet hackbaar is. Weet je, zo'n democratisch proces moet voor iedereen te volgen zijn. Ook
voor niet-ICT'ers moeten van a tot z hun stemkunde volgen, zeg maar. En ja, wat je dan nu in
Amerika hebt in 2016, wat je dan even aanstipt tussen Trump en Hillary, ja, daar is vermeen
de Russische inbrenging geweest. Er zit een heel dik FBI-rapport ook met heel veel
weggelakte delen. Maar dus op allerlei vlakken hebben de Russen daar wel geprobeerd invloed uit
te oefenen. De vraag is alleen in hoeverre is ze dat ook ook gelukt, maar je moet je ook
voorstellen dat stel dat er met de verkiezing is gefraudeerd, dan zal een zittende regering daar
nooit zo snel toegeven dat dat gebeurd is. Dat is iets wat je heel goed moet beseffen.
Dus als je achteraf, als het met de achterkomt is gebeurd, stel dat je dan achterkomt,
hey, er is gehackt, maar een verkiezing is onherroepelijk. Je kan hem niet zomaar ongedaan
maken, dus wat voor onrust ga je daar ook mee veroorzaken? En ja, in Amerika heb je nu de
helft van de Republikeinen die denkt dat Trump gewonnen heeft, terwijl ze daar de meest
veilige verkiezingen sinds lange tijd gehad hebben, ook omdat die stemcomputers allemaal
fysieke bonnetjes uitprinten, die je dan weer kan auditen. Dus ja, ik kan uren praten over
verkiezingen hoor. Nou, we hebben nog een vraag, want we hebben op zich best wel veel gehad
over gevoelige informatie. Even een vrij open vraag, maar hoe zorg je ervoor dat je die
gevoelige informatie zorgvuldig behandelt volgens jou? Ja, het begint met privacy by design. Security
by design zijn de meeste wel bekend weer met die term, maar dat kan je natuurlijk ook op
privacy toepassen. Dus sla niet meer informatie op dan dat je strikt noodzakelijk nodig hebt
voor je doel. Dus doe aan dataminimalisatie, verwijder oude records, zorgen voor dat
als je een archief hebt, dat je dat niet een online archief hebt, maar sla op een goed
gebackupte harde schijf, versleutelde schijf op. Ik werk ook voor ziekenhuizen en dan hebben ze
soms hele gevoelige oude medische dossiers die allemaal op de netwerkschijf staan. En dan
vraag je, ja waarom staan die 10 jaar dossiers aan dossiers, waarom staat dat daar? Ja,
dat is nodig vanuit wetgeving en zeg maar, waarom kopie je dat niet gewoon naar een harde
schijf en dan doe je het drie keer? En dan kan er niet gegrensd omwerkt worden,
kan er niet gestolen worden en oh ja, dat was eigenlijk wel een goed idee. En dan wordt dat
gedaan en dan zijn ze echt een stuk veiliger dan voorheen zeg maar. En ja, tegenwoordig moet
je ook met de AVG, de algemene geefverordering, moet je ook heel goed specificeren wat de nut
en noodzak is van je geefverzameling. Je moet een uitgebreide privacybeleid schrijven.
Je hebt tegenwoordig privacy officers, dat was vroeger echt ondenkbaar en dat je een
functionaire zat in een bedrijf die je over met privacy bezighield. Maar ja, en zo doen dan kan
je daar heel goed mee omgaan tegenwoordig. Je ziet ook wel dat overheidsorganisaties dat ook
wel echt vanuit de wetgeving en toezicht echt wel goed doen tegenwoordig. Bijna alle,
je hebt ook wel wat schandalen tussen zitten. Ja, ik werk ook wel over het algemeen bij
overheidsorganisaties en wat mij daar opvalt is inderdaad, cloud is allemaal taboe. Zo
min mogelijk, dat eigenlijk mag je helemaal niet in de cloud op slaan. Dus eigenlijk alleen
on-premise mag je data op slaan. Dus dat zou een goede aanpak zijn voor bedrijven die
dus met privacy gevoelige data omgaan. Ja, dat zou zeker goed zijn. Je moet wel
je beheerkapaciteit hebben dat je dat allemaal lokaal ook goed kan beheren. We zagen dat
in zijn bedrijf had draaien. Ja, die zijn veel daarvan zijn gehackt. Niet iedereen weet het,
maar er kwam een patch uit van Microsoft die had je dezelfde dag binnen een aantal uur moeten
installeren, zeg maar. En dan was er een kleine kans dat je dan geraakt zou zijn. Maar ja,
heel veel bedrijven hebben dat verzaakt. Daardoor lag er vorige week geen kaas in de
Albert Heijn omdat dat bedrijf dat altijd niet op tijd gedaan en een maand later wordt
rentsberg geïnstalleerd. Ja, dus on-premise, dat moet je goed beheren. Maar ik zie ook al
veel organisaties die een cloud platform, zeg maar, zoals een Amazon of Azure of eigen
VPS inrichten bij een webhoster en daar dan allemaal segmentering op toepassen,
zodat de data diep in de zonering is weggestopt. Ja, dat zou ook een prima oplossing kunnen zijn.
Ik zie tegenwoordig dat veel bedrijven weggaan van eigen service in het lokale netwerk hosten.
Grote ministeries, banken en zo, die hebben eigen data centrumpjes en dan is dat nog wel
te doen als je hele beheerafdelingen hebt, maar zeker mkb bedrijven die zijn eigenlijk bezig met
steeds minder systemenheerders in dienst te hebben, steeds meer naar de cloud en allemaal
managed systemen, managed webhosting. Ja, en op zich als je dat goed doet en ook testen,
want dat is heel belangrijk. Als je Amazon of Azure inricht, dan kan er ook nog heel veel
misgaan. Porten die onnodig openstaan, patching die niet wordt doorgevoerd,
configuratiefouten. Komt het allemaal tegen, dus ook dat moet je natuurlijk even goed toetsen.
Maar ja, dat is belangrijk zeg maar dat als je zoiets inricht, later een beveiligingstest
overheen gaan en doe dat voor productie en doe dat periodiek en dan zijn de risico's te
een andere klant waar ik wel eens gewerkt heb, daar hebben we precies hetzelfde gedaan. Toen
hebben we een CI-CD opzet, die hadden we eerst om premise draaien en dat schaalde natuurlijk
voor geen meter op een gegeven moment. Toen zijn we inderdaad voorzichtig naar de cloud
gemigreerd en toen hebben we inderdaad gewoon een penetration test op laten uitvoeren. En
er kwamen interessante dingen uit waar we dan allerlei beveiligingen en zaken omheen hebben
geregeld. Dus het kan wel inderdaad, meens, in de cloud dus he?
Ja, zeker. Je moet wel goed goede architectuur hebben. Waar het tegenwoordig wel aan wat
best schaars is, is toch al wat goede kennis over security en dan helpt het om zo'n test
te doen. Als je die kennis niet in huis hebt dan toch ook met een beetje open boeken onderzoek
Als je als pen tester ook wat gesprek hebt met de beheerders, met de ontwikkelaars. Je mag
ook achter het inlogscherm even testen. Je mag even meekijken in de Azure configuratie. Nou,
dan kan je best wel veel risico's goed inzien. En ja, dan is het allemaal te doen.
Ja, zeker. Ja, ik kan me ook herinneren dat AWS op een gegeven moment ook echt bij
ons mee ging denken. Want ja, die beweren dan ook dat ze natuurlijk het beste hebben voor
ons bedrijf. En ik denk ook wel dat dat terecht is. Ja, maar je moet daar bij dat soort
platform moet je dan wel heel snel de creditcard trekken. Want de instap pakketjes die zijn al
heel gekoop. Daarmee lokken ze klanten. Daarmee heb je een spartaanse omgeving draaien. En een
grote klant van mij die had alles in de Amazon draaien. En die had op een gegeven
en een van de databases was gerenst gewerkt. En toen wilde ik daar een forensisch onderzoek op
doen. Maar toen bleek dat de configuratie van de logboeken van die database die waren drie
dagen. En dan wil je een lange logboekrotentie hebben. Nou, dan moet je weer allerlei extra
dingen bestellen. Wil je security monitoring van Amazon hebben, dan moet je ook extra
dingen bestellen. Dus bij dat soort cloud platformen, die soort cafeteria lijst hebben,
moet je wel echt de goede vinkjes allemaal aanhebben staan, goed configureren en er ook
regelmatig naar kijken om het wel echt voldoende veilig te krijgen en te houden. Dus je bent
met zo'n veel bedrijven denken ook en ontwikkelaars van nou, ik ga naar zo'n gerenomeerde partij
heen, dan zal het wel goed voor elkaar zijn. Maar je krijgt alsnog een heel scherpe zakmes
waar je je lelijk kan bezeren. Je moet wel de juiste tools inschakelen en ook al weten wat je
doet erin. Ja, neem ik mee eens. Het is natuurlijk altijd wel vanwege een financieel verhaal dat
ze natuurlijk bij ons komen aankloppen en advies komen geven. Maar ik moet wel zeggen dat de
ervaring wel goed was hoor. Ze dacht echt wel met ons mee en ze had ook wat casus opgenoemd
Oké, zorg ervoor dat je dit goed in kaart hebt en dat je dit erbij neemt. Weet je al al die
vinkies waar je het over hebt. Ja, oké. En ja, ik heb één laatste vraag. Dat was dan
meer uit eigen belang ook een beetje. Ik ben ook heel blij dat je in de aflevering bent.
Een vraag die wij heel vaak krijgen in ons team, waar ik nu werk, is hoe bewaar je nou
wachtwoorden goed in een grote organisatie? Ja, daar lopen heel veel organisaties tegenaan.
En wat je veel bij enterprise organisaties ziet, dat die hebben speciale dure software waar dan
centraal wachtwoorden in opgeslagen worden. En ieder keer dat je dan een wachtwoord opvraagt,
wordt ook in een centraal database geloogd wie welke wachtwoord wanneer heeft opgevraagd.
En ja, daar heb je dat soort oplossingen voor. Wat ik ook zie is dat er veelal
op netwerkschijven zeg maar een keypass database staat waar dan meerdere mensen in
werken. Soms staat ook de executable staat in het mapje waar de database bestandje staat,
waar dan iedereen weer schijfrecht op heeft. Dus dan kan je als een van de mensen die toegang
heeft dan ook schijfrecht op executable heeft. Dan kan je natuurlijk daar een malware inzetten en
zo kan je de hele dag wachtwoord database achterhalen. Ja, dus het is belangrijk om
voor een oplossing te kiezen waarin je dus heel makkelijk centraal je wachtwoorden beheert. Dat
kan ook een cloud-based wachtwoord manager zijn. Je hebt er best wel wat goede tussenzitten.
LastPass, OnePassword bijvoorbeeld. En ik zou zelf kiezen voor een keypass database bestand die
je dan ergens neerzet op je besloten netwerk, waar je hele strikte autosaties op hebt staan,
need to know zeg maar. En ja, dat is belangrijk zeg maar dat je ook weet wie je heeft. En
Jika zou dan kunnen kijken naar de logging. De standaard heeft keypass log niet wie wanneer
een wachtwoord in kijkt. Dus gewoon een bestandje wat je eigenlijk host. Dus als die logging van
je organisatie wel van belang is, dan kan je meer kijken naar een meer cloud-based bijvoorbeeld
oplossing. En het is bij zo'n cloud-based oplossing dan weer heel belangrijk dat iedereen
weer two-factor-authenticatie instelt. Het is naast je wachtwoord een code invullen.
Ja, dus dat moet je vooral doen. Gebruik geen Excel. Ik kom ook wel eens op bedrijfsnetwerken
Excel of soms zelfs access bestanden tegen waar mensen wachtwoorden in zetten. En dan soms
ook nog echt verouderde office bestanden. En het probleem met oude office bestanden is waar
wachtwoorden op gezet zijn. Dus dan dat je die dan soms bijna instant kan reversen. Dus dan is
een Excel bestand met een wachtwoord beschermd, maar dan is het soms met een druk op de knop is
die onschadelijk te maken. Tegenwoordig zijn die met de nieuwste versies van office is er
wel goede versleuteling actief, maar ja, dat komen er regelmatig tegen. En dat is het
eerste wat we als hackers doen. Op het moment dat wij toegang hebben tot een laptop van
iemand, dan gaan wij op zoek naar iemand met beheerrechten of een lead ontwikkelaar
bijvoorbeeld. En dan gaan we in Outlook zoeken wij op het woordje password, op het woordje
pass, dubbele punt, wachtwoord, login. Nou, dan heb je al je eerste login schermen allemaal
om zelf testaccounts, noem maar op. Je krijgt echt heel veel wachtwoorden dan al. Nou,
vanaf zo'n laptop ga je dan het internet op naar de sharepoint. Nou, hetzelfde verhaal. Je
zoekt op password in sharepoint. Nou, je wil niet weten wat je dan allemaal terugkrijgt in een
grote organisatie. En dan komen er zitten hele interessante systemen tussen. En ja,
veel textbestandjes op desktops, ook op netwerkschijven ga je zoeken. En dat komt
eigenlijk allemaal omdat heel veel drijven geen centraal goedbeheerde wachtwoordmanager aanbieden
voor afdelingen. Maar stel dat die er wel zijn, ja, dat gaan ook nog wel gewoon per mail
wachtwoorden uitgewisseld die niemand dan weer verwijderd. Als je mij een wachtwoord per mail
stuurt, dan sla ik hem op in mijn wachtwoordmanager en dan edit ik de mail in Outlook. En dan haal ik
het wachtwoord eruit, sla ik hem op. Maar ik ken bijna niemand die dat doet, want dat is extra
werk. En meteen van ja, gods, komen laptop toch niet in. Maar je moet altijd je security zo
inrichten dat je er altijd rekening mee houdt dat het ooit gebeurt dat je gerakt wordt,
want er zijn een paar zekerheden in ons leven, dus je gaat dood en je wordt een keer gerakt.
En de vraag is wanneer precies? Gaat iemand wel voorkomen? En ja, dan moet je zorgen dat je,
dat de impact zo minimaal mogelijk is. Ja, en als je dan zo, want dat vind ik op zich
al heel erg duidelijk dat je dan een centrale soort van omgeving hebt waar je de wachtwoorden
beheert. Maar ik kan me ook voorstellen dat die beheerders die moeten natuurlijk,
want die moeten dan toegang krijgen tot die centrale database. Hoe kijk je daarnaar? Is
dat één iemand of zullen dat meerdere moeten zijn? Want iemand moet op een gegeven moment
de centrale key master zijn? Ja, klopt. Wat in heel veel enterprise netwerken heb je allemaal,
heb je allemaal domain admins. Heb je allemaal beheerders die overal weer bij kunnen. Dus
dat zou je ook op zich een afweging moeten maken. Kijk, je moet gewoon zorgen dat de
continuïteit is. Dat als er één of twee mensen weer uitvallen, dat iemand anders dan
de beheerrechten heeft. Maar zorg dat het zo minimaal mogelijk is. Eén is geen,
want dan heb je geen backup. Dus ja, je hebt altijd wel vertrouwde mensen nodig ergens voor.
Ja, precies. Maar zolang het groepje maar niet te groot is, want dat is natuurlijk wel
belangrijk. Ja, en waar je ook rekening mee kan houden is functiescheiding. Dus dat je,
zeg maar, dat je de wachtwoorden die ontwikkelaars gebruiken, dat je die in
een aparte database zet en de wachtwoorden die beheerders gebruiken, weer in een aparte
database. Zodat de beheerders weer geen toegang hebben tot ontwikkelaarswachtwoorden.
En andersom ook niet. Dus dat kan je nog wat slim segmenteren. Zodat niet één iemand
alles kan hebben, zeg maar. Supergoede tip. Ja, oké. Nou,
dank je wel voor dat beantwoorden. Ik denk dat er ook wel wat luisteraars waarschijnlijk
aan het schrijven zijn nu. Maar ja, nee, dat zijn hele goede tips. Want keypads gebruik
ik nu ook sinds vier jaar ongeveer. Nou kijk, hartstikke goed. En over dit
soort zaken heb ik met een aantal andere hackers en Daniel Valaan, een journalist van Etia News,
hebben we daar een hele handleiding over geschreven. Die staat op laatje niet hack maken.nl.
En daar staat van alles op van antivirus tot wachtopmanagers tot two factor authenticatie
en wat je eigenlijk allemaal moet doen om je computer veiliger te houden. Voor mensen die
daar geïnteresseerd in zijn van hoe kan ik zo'n hack proef mogelijke laptop en in mijn
dagelijks leven iets tegen gebruiken. Kijk vooral op laatje niet hack maken.nl.
Hartstikke goed. Dank je wel. We nemen het sowieso op in de show notes. Nou,
dan denk ik dat we maar doorgaan naar de tweede deel van onze podcast. Ja, denk ik het wel.
Ja, de developer dilemma's. Nou, het is een hekker dilemma. Dat zijn hekker dilemma's inderdaad.
Nou, ik had Syme al een beetje voor de aflevering een beetje voor gewaarschuwd. We
gaan gewoon even wat leuke dilemma's aan jou voorschotelen Syme. Ja, je zal echt moeten
kiezen, man. Oh jeetje, man. Ik ben heel generoseerd altijd, dat vind ik lastig. Ja,
precies. Gewoon de ware aard die proberen we naar boven te halen voor jou. Ja, precies. Maar
nogmaals, dat zal vast geen goede fout zijn. Het is meer waar zou je voor kiezen als je echt
zou moeten kiezen. Nou goed, ik zal even met de eerste beginnen. We hebben het al eens een
in de in de podcast al. Red teams of blue teams? Red teams, die is makkelijk. Maar dan moet je
wel uitleggen wat red teams en blue teams zijn. Ja, ja, je hebt in de cyber security,
zeg maar, zijn de blue teams, dat zijn de verdedigers. De red teams zijn de aanvallers
die de verdedigers testen. En ja, in de blue teams zit zeg maar vaak het security
operations center. De security operators die zeg maar de security monitoring software,
de IDS antivirus, die de IT's zeg maar al proberen zoveel mogelijk ondersteunen om de
hackers buiten te houden. En het red team is zeg maar het aanvallsteam dat eigenlijk zo
onzichtbaar mogelijk bepaalde objectives moet gaan behalen. Dat is een van mijn grootste
hobby's, wat ik ook onder andere voor bank heb gedaan en nu ook voor het ministerie
van volks en gezondheid doe, is dat de blue team, zonder dat ze er vanaf weten,
gaan we het red team zeg maar inbreken terwijl security en fraude monitoring aanstaat om dan
te testen van is de beveiliging op orde. Nou, en daar kan ook, daar hoort ook social
engineering bij. Dus het menselijke aspect, de mensen op de tuin leiden. Dus bijvoorbeeld
je kan mensen opbellen om een wachtwoord te vragen, phishing e-mails versturen. Je
kan via LinkedIn netprofielen gaan opzetten en dan je voordoen als een medewerker van
het bedrijf bijvoorbeeld en zo informatie om te vrutselen. Of een fysieke aspect,
je gaat fysiek inbreken, bijvoorbeeld als een soort mystery guest kom je langs en je zegt
ja, ik ben de printen monteur en ik kon de storing voor helpen. En dan wat je bijvoorbeeld
binnen gelaten, dan eenmaal binnen heb je allemaal hack tools bij je die je dan op een
netwerk via een simkaart remote te kunnen benaderen. Ja, dat is heel vet. En dan
is een soort kat-en-buik-spel eigenlijk. Blueteam en Redteam. Ja, grappig. Ja, en ik heb het
antwoord misschien wel een beetje gehoord, maar ik zou het wel even bevestigd willen
hebben. Redteam, toch? Ja, dat dacht ik al. Dat was gewoon eentje om even warm te draaien.
Nou goed, nou komt een wat lastigere, denk ik. Nou, hou je vast. Being hacked or being
DDoSed? Being DDoSed. Ja, als ik gehacked word, dan, ja, dat is heel veel vertrouwelijke
informatie, zeg maar. Dat is een nachtmerrie scenario. Ja, als je gediedosd wordt, ja,
dan ligt je website eruit. Ja, nou, dan ga ik via mijn 4G verbinding verder. Ja,
dat is voor mij de impact niet zo groot. Maar ja, stel je bent de bank of je bent
een kritische infrastructuur. Ja, dan zou je daar een hele andere afweging in maken.
Maar voor mij is die nog wel makkelijk te maken. Oké, mooi, mooi. Ja, dus ben je
afhankelijk van het risico natuurlijk. Maar als het aan jou lag, being DDoSed. Ja, zeker.
Geen uitnodiging overigens. Oh ja, nee. Moeten we nog even DDoS uitleggen voor
de luisteraars? Of is dat wel? Ik denk dat de meeste mensen het al weten. Ja,
dus je gaat met heel veel computers tegelijkertijd of heel veel internetverbindingen
tegelijkertijd stuur je dat allemaal op één computer af en die kan het aantal
verzoeken dan niet aan. Die bijvoorbeeld een maximaal 200 ingangen. En ja, als je
met 1000 tegelijkertijd een webpagina opvraagt, ja, dan krijgt bezoeker 201 tot en met 1000,
die krijgt gewoon geen antwoord meer terug. Dus dan ligt gewoon een hele dienst eruit.
Ja, precies. Oké, de volgende is een beetje een open deur, vind ik, maar ik vond
hem wel leuk om even op te noemen. Memorize your SSH keys or tattoo your SSH keys?
Oh ja, ja, dan zou ik zeker het onthouden, maar dat is ook wel echt super ingewikkeld.
Ja, kijk, die, als je het tatoeëert, dan kan je niet zomaar je SSH key aanpassen.
Ja, dus als je gaat zwemmen, dan, ja, dat is wel, of gefotografeerd wordt.
Ja, dan ben je gewoon de klops. Oh ja, tuurlijk, ja.
Ja, deze heb ik van de developerdilemmaats.com gehaald. Ik vond hem wel heel toepasselijk toen ik hem voorbij zag komen.
Ik denk, ik ga hem gewoon even stellen aan je.
Want ik vraag me dan ook echt af of de developers dan echt een tatoeage van hun SSH key zouden tatoeëren.
Maar goed, dat is wel echt hard, denk ik hoor, maar ik heb wel iemand die dan het logo van hun favoriete spel of zo tatoeëren.
Ja, die zien we ook meer.
Ja, die geloof ik al, ja.
Ik hoorde ook dat Saber een hele mooie tattoo op zijn beel heeft van Microsoft, geloof ik of zo.
Oh, wauw, dat is wel echt fanboy.
Nee, nooit.
Zo weet ik het.
Maar dit is vroeger, toen had men nog helemaal geen encryptie en dan praat ik over honderden, duizenden tot duizenden jaren terug.
Hoe krijg je dan een bericht van A naar B, en stel je wordt onderschept, dan kun je een geheimschrift gebruiken en zo.
Maar wat men toen ook al deed was het bericht op iemands hoofd tatoeëren en dan groeide daar haar overheen.
En zo kon je toch onzichtbaar een bericht van A naar B versturen.
Ja, dus er zijn wel in de cryptografie zeg maar wel echt wel verhalen van tatoeasies bekend.
Grote rolletjes, zeker zeker.
Nou, komen we bij de laatste.
Serverless ontwikkeling, or containers ontwikkeling?
Ja, ik zou dan in containers ontwikkelen, omdat dat veel schaalbaarder en reproduceerbaarder is.
Oké, en serverless dan niet?
Dat reproduceerbaarheid is denk ik wel een punt.
Dat schaalbare, dat kun je denken, oh ja sorry, ik vul het nu even in, maar dat schaalbare is serverless, dat is een van de eigenschappen.
Maar reproduceerbaarheid is denk ik nog wel een punt.
Wat bedoel je met serverless zeg maar, met die term?
Oh ja, nou dat is misschien wel helemaal een goeie, ja, het is eigenlijk tegenwoordig met de cloud nooit meer jouw server.
Maar goed, wat er eigenlijk gezegd wordt is bij serverless, je deploit alleen jouw code ergens heen en dat wordt dan op afroep zeg maar, wordt die in de lucht gebracht.
Dus stel, je hoeft dan alleen maar te betalen, dat is dan het marketingverhaal er omheen.
Je betaalt alleen maar voor de computebouwer als het gebruikt wordt.
Dus als ik een webrequest doe naar een serverless functie, dan komt hij alleen in de lucht als die webrequest zeg maar uitgevoed moet worden, dan doet hij een berekening.
En als hij klaar is, dan maakt hij het plaatje, zet hij ergens anders naartoe of schrijft hij ergens anders heen en dan is hij klaar en dan is hij weer uit de lucht.
En jij hebt helemaal geen penult of op wat voor server het draait of waar het draait, dus dat is allemaal helemaal weggeabstrailleerd voor je.
Ja precies. Ja dan zou mijn overduidelijke voorkeur naar containerized heen gaan, maar het ligt ook natuurlijk aan de toepassing.
Stel je wil een wachtwoord kraken, dan zie je wel dat hackers toch wel serverless architectuur inzetten.
Gewoon een hoop geld tegenaan gooien en ga deze hesma kraken, dan maakt het me niet uit hoe je het doet, ik wil gewoon resultaat hebben.
En ja dat schaalt heel lekker en goed en dan maakt het niet zoveel uit wat er eigenlijk allemaal precies gebeurt.
En bij containers heb je gewoon heel reproduceerbaar wat er gebeurt en als je de integriteit van je systeem heel belangrijk is dan wil je niet dat een of andere black box het voor je oplost ofzo.
Ja precies, ja dat is wel een duidelijke.
Super, ja ik twijfelde over deze laatste maar ik ben wel blij dat we hem even genoemd hebben want het geeft wel de twee spectrums even aan.
En ook de veiligheid hebben we hierin dan even besproken dus het heeft hier toch wel mij weer een wijze les lid.
Nou mooi, hey wat vond je ervan Syme, wat zei je er doorheen, viel het mee?
Ja nee hartstikke leuk, ja.
Nou als ik goed, dat waren de developer dilemmas.
Nou ik stel voor dat we weer doorgaan naar het volgende deel.
Ja het laatste dat is denk ik een, nou ja niet makkelijk trouwens, zo moet ik het niet zeggen.
De tips, we proberen iedere keer tips zeg maar of iedereen mag gewoon tips aandragen.
Ja ik heb er dit keer wel een paar, soms heb ik hier inspiratie dit keer wat meer.
Ik weet niet of jullie allemaal tips hebben want dan, ja dan mogen jullie.
Ga jij maar als eerst, dan ga ik ze eventjes verzamelen, goed?
Ja ja oké, goed, de eerste is zeg maar die gaat Simon sowieso kennen want dat is een podcast tip.
Dat is de Darknet Diaries die ken je vast wel.
Geniaal, echt mooie verhalen.
Ja precies, dat is gewoon leuk om dan, ja ik ben geen security, privacy, hackerspecialist.
Ik vind het wel gewoon leuk om die verhalen die, hoe noem je dat, die stoer verhaal te horen over
heel de grote hacks zeg maar in Amerika of waar dan ook, ook complexe hacks of kinderen die de meest rare dingen uit hebben gesproken.
Ja dat is volgens mij ook, ik meen dat ook bij Darknet Diaries geweest, dat was die Xbox hack.
Dat is echt de meest bizarre verhalen zeg maar.
Ja dat is echt wel een hele gaaf podcast, dus dat is sowieso een aanrader.
Dus de Darknet Diaries die zetten we ook in de show notes.
Tweede tip, dat is een beetje een brug naar een mogelijke aflevering die we in de,
hopelijk in de redelijk snelle toekomst gaan opnemen.
Het gaat eigenlijk, dus de tip is, bouw je eigen server thuis.
En dat is niet zozeer omdat ik denk, oh stoer je moet een server kunnen bouwen.
Het is niet hardware-matig maar gewoon, ja maakt niet uit hoe.
Alleen door dat te doen zeg maar, door zelf je operating system Windows of Linux of whatever,
zelf op te zetten en dan de software stack die er bovenop,
stel dat je PHP gaat programmeren, dus dat je ook je eigen webserver
en PHP installeert, dus alles zeg maar dat je daar allemaal mee in aanraken komt.
Om dan een beetje te begrijpen, oké waar kom je, wat betekent dit allemaal.
Maar ook de mogelijkheid om dan gewoon lekker te spielen rijden zeg maar thuis.
Zonder dat je dingen kapot maakt waardoor allerlei mensen chagrijnig worden.
Ja dat kun je allemaal gewoon thuis doen.
Nou waarom kwam ik hier ook op, is omdat wij in de Slack zeg maar bij ons
heb ik met Rogier Lommers, die heeft in een eerdere aflevering,
is die gast geweest, die werkt bij bol.com en die tipte ons, die had wat feedback zeg maar,
misschien moeten we een keer, of moeten jullie een keer een aflevering opnemen over zelf thuis
service draaien en wat komt er aan bij kijken en wat kun je dan doen,
wat voor software etc. Dus zo'n aflevering gaan we in de toekomst wel een keer
maken maar een tip is in ieder geval en bouwen we een keer zelf een server en
draaien je eigen software. De laatste is een beetje gewoon
nerd culture en pop culture. Ik ben best wel een Marvel fan, ook van de films,
maar ook de comics zeg maar en er is een Marvel Unlimited abonnement en dat is,
ik weet niet, dat kost, dat kost, weet ik veel, 10 euro of zo, dat is een beetje
zo'n Netflix abonnement vorm, abonnements vorm, soort van all you can eat. Je betaalt dan,
ik meen, 10 euro per maand en dan kun je gewoon alle strips, zeg maar, lezen, zeg maar,
bij van Marvel en je hebt ook een jaar abonnement, die is een stuk goedkoper,
dan is het volgens mij iets van 6 euro per maand. En ja, dat is wel tof, want dan kun
je goed, ik ben nu toevallig een reeks van The Avengers aan het lezen, die aflevering 93 of
zo, dus die komt uit 1964 en dat is wel heel grappig om dan te zien hoe in die tijdsgeest
al die superhelden, zeg maar, geplaatst zijn en hoe, ja, dat taalgebruik is net even wat
anders, maar je ziet wel heel erg waar al die films van nu op gebaseerd zijn. Dus dat is
een tip. Ja, best wel een gunstige abonnements vorm. Dat waren mijn drie tips.
Ja, dus 65 euro per jaar, dat is op zich wel redelijk tof.
Ja, ik heb ook nog wel een tip die ik wil geven. Je hebt Van Owasp, dus de organisatie die alles
weet over websitebeveiliging, die heeft ook een hele rikse boeken geschreven en die bieden
ze tegen kostprijzen aan. Dus dan heb je echt voor 20 euro, heb je acht boeken of zo. En ja,
als je daarop zoekt, kun je echt voor heel weinigheid heel veel security, applicatiebeveiliging,
lectuur binnenhalen. Kost je bij niks. Ik had ook nog twee tipjes over nerd-items
gesproken. Ik zag onlangs een Optimus Prime, auto-converting, voice controlled, advanced
robot. Die was zo vet. Dus dan zeg je gewoon tegen die Optimus Prime, zeg je, weet je wel,
auto-bot, roll out. En dan transformeert die uit zichzelf. Er zitten echt meer dan 600 chips in.
Ik weet niet wat er allemaal voor sensoren allemaal opzitten, maar dan moet je hem ook
wel met je wifi verbinden. Hij is sowieso voice controlled, dus ik ben wel benieuwd
hoe ze dat willen hacken. Maar ja, je kan hem via je telefoon benaderen inderdaad,
heb ik gezien. Ja, precies. Je hebt ook allemaal kinderspeelgoed tegenwoordig met
microfoons en die worden steeds slimmer, dat slimme speelgoed. En ja, alles wat je dan
zegt wordt dan als kind naar de cloud geüpload en dan krijg je een slimme antwoord terug,
zeg maar. Ook wel een privacy-nachtmering, want wie gaat nou zo'n slimme pop updaten.
Maar dan moet er bij jou in de toekomst ook Optimus Prime gebedeeld worden.
Dan zit je vlakbij die Optimus Prime en zeg je, man, wat was je wachtwoord ook alweer?
Ja, dat is N, Z. Dan moet je die Optimus Prime mee te luisteren.
Sorry dat ik je nu onderbrengt, dat doe ik vaker. Dat is een beetje mijn skillset.
Maar nu je dit zegt, zeg maar, over die wifi dingen. Degene waar ik helemaal niet bij stil
had gezien en achteraf dacht, ja, oké, dat kan. Je hebt die robot, zeg maar,
dus de stofzuigers die tegenwoordig best veel mensen hebben. Wij ook. En die hebben zo'n
LIDAR, zeg maar, een laser die dus kent wat de ruimte is en waar die dan moet gaan
stofzuigen en dat die niet gaat botsen en zo. Maar wat blijkbaar dus ook kan,
is dat je met laser, zeg maar, geluidsgolven kunt oppikken. En dat is wel iets waar ik dus
niet bij stil had staan. Dat ze dus op die manier gesprekken, zeg maar, op allerlei plekken,
zeg maar, kunnen vastleggen. Want je zou zeggen, want het eerste wat in je opkomt
bij die stofzuigerrobot is dat je zegt, oké, daar zitten camera's in, dus ze kunnen
beelden opnemen en ja, die kunnen ze vastleggen. Dus dat wil je niet.
Maar je staat er niet bij stil, dat ze dus ook nog eens met laser, dat je die ook
eventueel geluid op kan nemen. Dus dat vond ik ook wel scary.
Ja, vooral ook inlichtingenen, ze hebben daar natuurlijk een specialiteit van gemaakt.
Maar je kan met een laserstraal op een raam, kan je zeg maar, als je praat,
dan gaat het raam heel licht resoneren. En daar kan je software voor schrijven.
Als je met een laser op een raam schijnt, dat je dat dan weer kan reversen naar
tech, zeg maar. Dus dat is ja, nu zal het, voor bijna alle luisteraars geen actuele
dreiging, zeg maar. En bij die stofzijgrobots had een tijdje geleden had LG,
die had ook een stofzijgrobot met camera en dan kon je dan als je niet thuis was,
kon je met je stofzijgrobot door je huis rijden om te kijken of er niet een
inbreker rondloopt of je kat schrik kan jagen. En dat was ja, dat was ook niet goed beveiligd,
zeg maar, hun ICT eromheen. En dan kon je als hacker, kon je dan met iemand
stofzijgrobot gaan rondrijden in zijn huis en ook kijken dus hoe het huis eruit zag.
Ja, dat is natuurlijk een natte droom voor elke kind die kattenkwaad wil uithalen,
zeg maar. Vroeger kon je iets fysieks in iemands huis bewegen, zo'n sederom
laden open en dicht. En nu heb je gewoon soms afstand bestuurbare drones, stofzijgrobots,
ja, dat gaat wel ver inderdaad. Ik vraag me af hoe goed je met die lasers, zeg maar,
in zo'n stofzijgrobot, hoe goed je dat dan... Ja, dan moet die stofzijgrobot dan wel naar
een soort spiegel rijden of zo, of als je panorama ramen hebt tot de grond,
dat die dan daarop zou kunnen doen. Ik vind dat wel goed bedacht op zich.
Ja, ja, zeker. Het zal ook wel weer een combinatie zijn van, ik denk niet dat het bij
heel veel mensen zal niet kunnen. Maar god weet, zodat je ook zegt, als je een hack hebt om die
robot überhaupt te kunnen besturen, dat je hem dan naar een raam rijdt, zodat die... Ja,
als je dan avond of nachts denkt, waarom rijdt die robot ieder avond altijd naar een raam toe,
dan weet je nu wat de man kan anders. Ja, goed joh. Oké, dat was mijn... Nee,
hele waardevolle. Absoluut. Waardevolle onderbreking. Even kijken. Ja,
de laatste tip jongens. Ja, dat is echt zo open deur. Maar verander je wachthoort,
mensen. Lieve mensen. En vooral als je bij allekabels.nl hebt besteld. Ja,
want dat ben ik zelf ook vergeten. Ja, het is echt erg. 3,6 miljoen records. Zo'n beetje het
grootste dataleck dat we als Nederlanders hebben gehad. Hartstikke vers. Ja, en meestal zeg ik
bij dit soort dingen van ja jongens, stel 2 factor authenticatie in. Maar dat kan natuurlijk
bij alle kabels helemaal niet, want het is gewoon een platte webshop. Maar zorg dan dat je
een wachthoortmanager hebt privé. Ik ken heel veel mensen omheen die maar vier verschillende
wachthoorten hebben, omdat ze het maximale is wat ze willen onthouden, kunnen onthouden. Maar
als je een wachthoortmanager hebt, dan kun je dus overal een uniek wachthoort configureren. En
dan maakt het ook niet zoveel uit als allekabels.nl gehackt is, zeg maar. Want als in ieder geval
niet je wachthoort kan aanvallen, dan niet zomaar op je Facebook inloggen. Ja, dat is
nog een veel betere tip inderdaad. Gewoon een centrale wachthoortsysteem. Ja, en zeg maar stel
overal waar het kan, dat duw factor in. Het is een beetje irritant natuurlijk om naast je wachthoort
zo'n code van je telefoon over te typen. Maar echt, dat is wel een gouden wapen tegen de
meest voorkomende hacks. Want tegenwoordig zijn er datasets in omloop waarin miljarden
unieke gebruikersnaam wachthoortcombinaties staan. Dat noemen we zogenaamde compilatie
datalecken. Dus dat is zo'n compilatiedataleck. Daar zijn soms honderden verschillende kleinere
datalecken samengevoegd. En elk uniek wachthoort per e-mail adres, per user account,
wordt daar dan in platgeslagen. En dan kan je als herker gewoon op e-mail adres zoeken. En
krijg je vaak 1 of 2 wachtwoorden die ergens in het volledig gebruikt zijn. Krijg je terug.
Nou, en als je dat dan uitprobeert op gewoon inwachtsschermen, dan heb je 10,
20 procent kans dat dat gewoon nog werkt. En dat zwerft dan rond op internet. En ja,
het is best wel onder hackers best wel wat hebben van dat soort sets op een computer staan.
En ja, dan ben je gewoon heel kwetsbaar op het moment dat je heel weinig wachtwoorden
gebruikt niet vaak wijzigt of geen 2-factor hebt ingesteld.
Ja, ik ben ook wel benieuwd wat van Impact het op alle kabels.nl maakt hoor. Dit grapje.
Ja, ze hebben een hoop publiciteit bijgekregen. De aandacht is ook aandacht. Ik ben benieuwd
of de toezichthouder hier nog wat op gaat ingrijpen.
Ja, op een gegeven moment is iedereen het natuurlijk vergeten. En dan gaat het gewoon weer door.
Ik had niet verwacht dat alle kabels zoveel, dat 3,5 miljoen bij alle kabels.
Dat is zo'n lelijke schijt ook. Ja, zo simpel, maar dan toch blijkbaar marktlijden met kabels.
Een paar vrienden van mij zeiden ook van ja, ze hebben gewoon elke kabel.
Dus ja, ik heb het ook besteld. Iedereen heeft al een keer besteld, schijnt. Dus het is echt groot.
Ja, ik zat er ook bij. Maar goed, ik maakte me niet per se druk.
Want ik dacht ja, ik gebruik ook een password manager, dus ik denk ook, ik weet niet eens wat mijn password is.
Dus succes. Ja, precies, ik bedoelde.
Nou, ik bedoelde meer. Dus voor de mensen die het niet gebruiken, zeg maar, even een tip.
Ja, en dan nog een tip toevoegen. Als je bijvoorbeeld een Gmail of Outlook e-mail adres hebt,
dan kan je met een plusje voor je achter je username, kan je bijvoorbeeld Simon plus allekabels.gmail.nl
kun je dan als gebruikersnaam opvoeren.
En dan mocht je op een gegeven moment op dat e-mail adres, mocht je op een gegeven moment
ja, opeens hele niet verklaarbare nieuwsbrieven of vissing mailtjes krijgen,
dan weet je van hey, allekabels.nl is gehackt.
Want daar heb ik als enige dat e-mail adres toegevoegd.
Ja, dat zal het zijn.
Ja, dus Outlook en Gmail die staan toe dat je willekeurig aantal e-mail adressen maakt
als er maar een plusje achter je username staat.
Oké.
Ja, en zo kwamen ook bepaalde mensen erachter dat hun account bij allekabels was gehackt,
omdat ze daar op een gegeven moment vissing mails op kregen.
Nou, een goed tip.
Ja, dat is ook wel iets wat de wereld weer een stukje veiliger maakt.
Die zijn alweer twee uur lekker bezig.
Zo, tijd gaat snel, zeg.
Gaat snel als je het naar je zin hebt.
En ik moet toch even een kudo maken naar Zencaster.
Dit keer heeft hij het volgehouden tot die twee uur lang.
Ik wil bijna zeggen niet de goden verzoeken, maar goed, ja, dat is waar.
Totdat we op stoprecording drukken.
Alles weg.
Ja, precies.
Ik ga er niet van uit, maar goed.
Ja, dat was hem weer allemaal.
Ik wilde Simon natuurlijk onwijs bedanken voor je deelname tijdens deze podcast.
Ja, dank je voor de uitnodiging.
Heel leuk om hier te mogen zijn ook.
Ja, ik hoop dat je het leuk hebt gehad.
Zeker.
Ja, en wij hebben natuurlijk veel geleerd over cybersecurity, hacking en privacy.
Een mooie toevoeging.
Toch, Saber?
Ja, ja, zeker.
Zeker een interessant onderwerp.
Dat is voor de luisteraars ook interessant.
Zeker voor developers ook, want wij denken niet altijd aan security.
Nee, precies.
Ja.
Altijd security achteraf, een beetje eraan plakken.
Ja, precies.
Security last.
Ja, het is ook goed om security mensen tijdens het ontwikkelen te betrekken bij software.
Zodat je niet die eind watervalachtige pen test krijgt, waar je live moet,
maar dan nog een maand aan alle security fixers moet werken.
Iedereen in stress.
Ja, dat is dat.
Ja, eens.
Dat kan ik weer alleen maar behamen.
Het gebeurt gelukkig wel meer.
Dat was helemaal niet gangbaar.
Behalve bij sommige bedrijven of financiële instellingen.
Daar is het altijd al ingebakken geweest.
Die lopen we echt al ver vooruit.
Ook bij de Raalbank is het een van de eerste afdelingen, zeg maar,
die in het ontwikkelproces al al die security testen gingen uitvoeren.
En dan is je planning veel, veel meer te doen.
Maar heel veel bedrijven hebben nog nooit een security test uitgevoerd.
Dus dan is al zo'n eindtest is al of überhaupt een keer een test is al is al waardevol.
Oké.
Nou, Salves wil ik ook bedanken voor het mogelijk maken van online opnames met ZenCaster.
Wat dus dit keer wel lekker goed ging.
Hebben we nog andere dingen?
Ja, ga naar codeklets.nl.
Daar kun je al onze afleveringen zien.
Deze aflevering verschijnt daar natuurlijk ook.
Je kunt ook zien hoe je bij onze Slack komt.
Je kunt abonneren op onze nieuwsbrief.
De nieuwe aflevering, en ik loop echt enorm achter met die nieuwsbrief,
maar die gaat morgen eruit.
Ah, yes, yes, yes.
Dan gaat die ook de de eter in.
Is dat, nou ja, goed, whatever.
Ja, dat zijn nog andere zaken.
Je kunt ons volgen via Twitter.
Ik herhaalde nog een keer in wat we daar ook altijd doen via het op ons Twitter account.
Dus alle gasten, zeg maar, die volgen we ook.
Dus je kunt altijd daar op die manier kijken.
Interessante gasten, die kun je ook op die manier volgen via Twitter.
Door even bij ons op het Twitter account te kijken welke mensen wij volgen.
Wij volgen alleen maar onze gasten.
Verder niemand, dus het is verder geen soort van spamfabriek.
Ja, dat was het.
Bedankt weer, Simon.
Ja, alsjeblieft.
Ja, dankjewel Kishen ook.
Graag gedaan, man.
Ja, en tot de volgende keer weer.
Doei, hoi hoi.