Sijmen Ruwhof over Cyber Security, Hacking en Privacy

Dan ga je echt niet op veroordeeld worden, maar als je volgens een scriptje schrijft, wat 10.000 records gaat opvragen, dat is toch denk ik bij de rechter wat moeilijker uit te leggen dat dat per ongeluk gegaan is. Volgens mij krijgt Saber, die krijgt het nu heel erg warm. Nee, nee, nee, ja. Het is goed dat ik er geen tijd meer op heb. Welkom bij aflevering 5 van seizoen 2 van de CodeKlets podcast. Vandaag zijn de hosts Kishen en ik weer bij elkaar. Ik vind het eigenlijk wel leuk trouwens dat we iedere keer een andere samenstelling hebben. Dat vind ik ook inderdaad leuk. Ik hoop dat de luisteraars dat ook vinden. Dat is wel leuk als we iets van feedback krijgen. Ja, ja. Ik heb nog geen negatieve feedback erover gehad. Dat is misschien wel positief. Geen klachten nog. Nee, nee, nee. Maar goed, nog steeds drukke tijden. Dat heeft iedereen. We hoeven eigenlijk niet meer te herhalen tot we ooit weer uit deze gekke tijden komen. Maar dat zal nog wel even duren. Heb je de persconferentie nog gezien net? Of niet? Ik heb de Apple Keynote geluisterd. Dat was nou belangrijker. Juist, dat wilde ik net zeggen. Ik deed die persconferentie. De helft is uitgelekt en het zal wel. Ik ben er een beetje een soort van immuun voor geworden. Dan gebeurt weer iets en die mensen klagen weer en dat zal wel. Het blijft een beetje hetzelfde. Het goede nieuws, dat is heel raar. Want eigenlijk kan ik dat niet verklappen. Maar deze opname staat morgen toch niet online. Dus ja, dat kan ik dus weer wel verklappen. Ik denk dat we dat eerder besproken hebben. Ik ben bezig met de verhuizing. Onze huidige huis stond te koop. En ja, dat is spannend. Dit is de tweede keer dat ik verhuize. Vorige keer ging de verkoop wat makkelijker of anders. Maar nu heeft het wel wat stress opgeleverd in eerste instantie. Niet zo heel negatief, maar gewoon heel veel werk eraan. En vorige week hoorde je echt heel veel nieuws. Van ja, de prijzen gaan echt alle kanten op. We zeiden oké, dat vinden wij op zich positief. Want het was allemaal omhoog en omhoog en omhoog. En toen had ons lang verhaal kort. Onze makelaar was gisteren hier om even te vertellen... wat uiteindelijk is wat we hebben gekregen. Ik ga dat niet precies zeggen. Maar we waren positief verrast, laat ik het zo zeggen. We waren echt geschrokken. Nou ja, eigenlijk wel geschrokken, want het was echt de eerste paar uur... en je dacht oké, dit kan niet ofzo. Dus dat was wel een interessant iets om mee te maken. Dus je bent superblij nu? Ja, het is heel raar. Er zijn allemaal nog wat voorbehouden, zeg maar. Het ziet er allemaal heel goed uit. Dus daar maak ik me niet zo heel erg druk over. Maar ja, het is echt heel onmerkelijk. Dat is wel iets... Goed man, goed. Ja, dat is iets op zich. In deze tijd, dat er iets echt positiefs dan weer gebeurt. Dan denk je oké, dat helpt wel, laat ik het zo maar noemen. En je vertelde ook, of tenminste ik las het op Twitter... dat je onlangs ook gevaccineerd was, toch? Ja, klopt. Heb je al 5 verschijnselen, behalve dat je stem misschien een beetje anders klinkt? Ik zeg ook tegen iedereen... Ik ga nu tegenwoordig door de buren heen kijken. Dat is heel raar. Misschien moeten we daar straks over hebben. Onder het behoor van privacy. Ja, ik krijg het. Nee, maar dat is echt... Nee, dat viel echt... Ik heb het moderne vaccin gehad. De dag zelf was ik wat moeig, zeg maar. Niet zo weer, geen koorts of zo. Heel lichte hoofdpijn. En mijn arm zelf. Dus ik vrijf daar nu overheen op bewijzen van... Oké, zo kunnen ze het zien, maar dat is natuurlijk niet zo. Maar die was een beetje beurs. Dus dat heeft 2, 3 dagen geduurd. En dat was het. En komende maandag, dus volgende week. Dus vier weken later krijg ik de tweede prik. Dus dat... Oké, mooi man. Good times. Zeker, zeker. Maar we hebben ook een gast. Het is Simon Ruhoff. Welkom, Simon. Hoi. Simon is al 23 jaar gepassioneerd voor alles... wat te maken heeft met internetbeveiliging... en het ontwikkelen van veilige software. Simon is gespecialiseerd in hacking, IT-beveiligingsonderzoeken... en het uitvoeren van geavanceerde penetratietesten. Sinds 2005 wordt hij als ethisch hacker ingehuurd in het bedrijfsleven... en voor overheidsorganisaties. In zijn werk hackt hij met toestemming, dat is belangrijk, computernetwerken en websites... zodat beveiligingslekken in kaart gebracht en opgelost kunnen worden. Nou, dat is impressive, zeg maar. Cool, cool, cool. Ja, dat is lang mee bezig geweest. Ja, ik voel me ook een beetje ongemakkelijk. Ik heb echt het gevoel dat we gewoon met een bekende Nederlander aan tafel zitten. Want je komt ook voor. Op de radio had ik onlangs gezien, op YouTube een filmpje van gezien. Je bent op tv, bij NPO, SPS. Zelfs programma's met Kassa en Meldpunt. Dus je bent wel lekker bezig volgens mij, zei men. Ja, thanks. Ja, er komt steeds meer aandacht voor cybersecurity. En dat was 23 jaar geleden toen ik begon, was dat absoluut niet het geval. Je kon wel zeggen, je systeem staat open, je kan zo bij alle data. Ja, dan gingen de schouders omhoog en dan gingen we gewoon weer verder. Ja, wat kun je er nou mee, zeiden ze dan. Ja, dat is tegenwoordig wel anders. Dus ik ben blij dat er eindelijk wat meer bewustzijn voor kan komen. Ja, dat is waar. Dan krijg ik natuurlijk ook heel vaak van, ik heb niks te verbergen. Ja, als we dan een prijs gaan hebben, dan is dat wel de eerste wat mensen eruit gooien. Ja, grappig. Maar dat is wel waar. Ja, het is wel heel erg actueel. Ik ben er eigenlijk ook wel heel erg blij om. Dat die awareness een beetje aangewakkerd wordt. Ik vind nog tegenvallen op doel, ik vind dat Jan Modaal nog steeds te makkelijk overdoet. Maar goed, daarom kunnen we het zo meteen misschien nog wel over hebben. Ja, bekende Nederland, dat vind ik al stoer ja. Opkomend in ieder geval. Ja, ja, het is gewoon een bekende. Je bent of niet bekend, dat zijn wij, of je bent bekend. Dat is eigenlijk gewoon binair, één van de twee. Ik word gelukkig nog niet op straat herkend, hoor. Maar mijn naam die gaat inmiddels wel een beetje rond in de scene. Ja, ik hoef ook niet op straat herkend te worden, hoor. Want dat kost je weer je privacy. En als je een keer gekke dingen doet, dan weet iedereen wie je bent. Ja, dat is waar. Nou, dan kan je inderdaad maar beter inderdaad ook, omdat je natuurlijk de kenner bent, voorzichtig mee zijn. Maar ja, het is wel tof. Ja, want ik ken jou. Ja, dat was ooit een keer bij een Rabobank project. Toen heb ik jouw naam een keer horen vallen. En ik ben eigenlijk sindsdien ook wel een beetje, ja, ook wel gefascineerd in, ja, hoe security, zeg maar, onderwerp in softwareland steeds belangrijker wordt. En zodoende zag ik ook een paar keren op LinkedIn en ook op YouTube natuurlijk. En toen dacht ik, hey, dat is een interessante gast. Dus ik ben ook heel blij dat je ons, ja, wilde bijwonen vandaag. Ja, dank voor de uitnodiging. Heel leuk om hier te mogen zijn. Zeker. Ja, ja, ja. We hadden er voor eventjes over van voor de opname van, hey, je hebt er wel geprogrammeerd. Ja, dat is misschien een heel stomme vraag natuurlijk. Maar wat zijn jouw eerste programmeer ervaring? Hoe ben je eigenlijk begonnen met programmeren? Ja, ik was vroeger heel veel aan het gamen, zoals elke puber. En ja, op een gegeven moment dan wil je speel de kwek 1. En dan wil je met je medespelers een soort clan oprichten. En dan heb je natuurlijk een website nodig. Nou, dan ga je een beetje je verdieping in HTML. En dan, ja, wou je kijken hoeveel bezoekers je hebt. Dus heb je zo'n bezoekerstelletje wat je dan kopieert ergens. Er zit dan reclame bij. Nou, die wil je reclame eraf van je mooie site. En dan ga je steeds verder erin verdiepen. Ik begon zo'n beetje mijn twaalfde, dertiende met programmeren. En ja, dat is een beetje uit de hand gelopen toen. Ik ging daar elke zavond in de weekenden, s'nachts. Was gewoon lekker bezig. En ja, toen in het telp PHP eigenlijk voornamelijk. PHP en een beetje JavaScript. En ja, dat vond ik superleuk om te doen. En dat doe ik af en toe ook nog steeds. Oké, dus nog steeds gewoon aan het programmeren en ook echt bouwen aan websites? Wat is het doel, zeg maar? Ja, vroeger echt heel veel websites gebouwd. Meer dan honderd. En ja, inmiddels doe ik meer tooltjes. PHP-tooltjes die ik bouw. Het is ook wel in mijn werk als hacker. Wil je af en toe veel data verwerken? Wil je overzichtjes draaien? Tabelletjes aan elkaar linken? Kleine scriptjes schrijven? En dan is dat een prima gereedschapskirch, zeg maar, om voor elkaar te krijgen wat je wil. Dus echt de websites bouwen, dat hoeft mij niet meer. Maar gewoon, ja, tooltjes is wel echt nog wel tof om te doen. Oké. En ook andere talen bekeken of niet? Ja, ook wel eens wat in Java, in Delphi gedaan. Natuurlijk veel Javascript. C Sharp ook wel eens wat. Maar dat trok me allemaal wel wat minder dan gewoon PHP, wat ik echt wel 90, 95 procent van mijn ervaring wel inlicht. Het is gewoon zo makkelijk en zo laag drempelig om ermee te beginnen. En het is meteen rond de server gebaseerd, dus je kan meteen op allerlei devices ook je resultaten bekijken. Ja, en het is, als je in één taal helemaal gespecialiseerd bent, je kan het gewoon blind schrijven, dan is dat erg prettig. En als je heel veel talen probeert handig in te zijn, zeg maar, dan vergeet je overal weer een beetje hoe die functies heet, hoe die klassen heten, wat weer de specifieke quirks zijn. Dus ik dacht van nou, ik ga me gewoon specialiseren in één taal. Eigenlijk het web. En dat ben ik al een beetje stoïzijs in gebleven, maar daardoor kan ik het nu nog vloeiend programmeren en dat is wel handig. Want je hebt niet zeker met alles wat ik nu rondom cybersecurity doe, niet de tijd om heel veel talen te gaan onderhouden ofzo, of die ontwikkeling allemaal te blijven volgen. Ja, want ik kan me best voorstellen, ook als security specialist, want er kan natuurlijk van alles met code gebeuren, dat je daar misschien ook wel een beetje een knobbel voor moet hebben, maar dat hoeft dus niet per se. Nou ja, kijk, de meeste hackers die wel echt uitblinken, die hebben wel een programmeren achtergrond. Daarmee kun je ook wel echt gewoon goed begrijpen hoe software werkt, hoe je exploits ook moet schrijven, dus hoe je een stukje software bouwt wat weer misbruik maakt van bepaalde beveiligingslekken. Dus ja, je ziet wel dat de hackers die wel meer uitblinken toch ook wel een beetje goed kunnen programmeren. Ja, dat had ik toen ook gelezen, zo'n 23 jaar geleden, toen ik in mijn verdiepte van, wil je echt goed worden als hacker, dan moet je kunnen programmeren. En ja, als 12-jarige denk je, boring, weet je, ik wil gewoon zo echt voor nerds dat programmeren. Dus ik denk, nou, dat is ook wat minder interessant, maar uiteindelijk blijkt dat gewoon super nuttig en ook allemaal wel te kloppen. Ja, dat was op zich wel een grappige, want daar had ik een vraag over die misschien niet per se voor de hand ligt, maar wel binnen deze context wel relevant is, denk ik. Er wordt altijd overgesproken dat meer mensen moeten programmeren, les krijgen, dus dat je op de basisschool bij het spreken al leert programmeren. Vind je dat een plus, denk ik? Ja, helpt dat? Zou je dat in het mom van bewust zijn van wat gebeurt er nou, wat is programmeren nou en wat voor risico's loop je? Zou het dan misschien handig zijn dat iedereen dat in z'n rugzak heeft? Je hoeft dan niet meteen af te studeren als programmeur of zo, maar dat je in ieder geval weet van oké, daar kun je aan denken, zeg maar. Ja, je kan natuurlijk dan eventueel programmeren wat wel wat nuttig kan zijn, maar waar ik denk ik nu ook aan nog veel nuttiger is, is van hoe ga je met internet om? Wat de sociale media? Is het handig om alles openbaar op internet te zetten of krijg je daar tien jaar later spijt van? Hoe hou je online accounts veilig? Is het slim om twee traps verificatie in te stellen? Kijk, het is vrij technisch als je gaat programmeren en als je dat niet actief toepast, dan denk ik dat het ook alweer snel vervliegt. Dus ik zou dat dan eerder, als je daar dan in het curriculum tijd voor inbegroot, dan eerder over algemene internet en computervaardigheden gaan meteen al op de baarschool gaan beginnen. Want dat gebeurt volgens mij nu amper ook, ook omdat toen we weinig op de baarschool zaten, toen wisten die docenten natuurlijk ook allemaal niet precies wat er allemaal gaande was. Dat zal waarschijnlijk nu iets wel verbeterd, maar ook de cutting edge kennis die bij de docenten is, dat denk ik nog wel schaars. Maar als je de kinderen kan meenemen wat er met alle met computers gebeurt, dat lijkt mij erg nuttig. Ja, want ik kan me voorstellen, stel dat je zou beginnen met programmeren en je denkt, hey, cool, ik ga voor mijn voetbalclub een website maken waar al die data van je teamleden opgeslagen worden met leeftijden, misschien wel BZ nummers, ik weet niet hoor, dat soort gekkigheid. Ik moet eerlijk zeggen, ja, baarschool is een beetje overdreven, maar toen ik net in computer science ging, daar dacht ik allemaal niet over na. Ik dacht van, dat jas ik wel even in mijn SQL database. Maar volgens mij is dat nu al veel gevoeliger. Ja, je ziet het wel dat veel beginnende ontwikkelaar zegt, natuurlijk ook beginners fouten maken op veiligheidse vlak en privacy vlak. Maar het is natuurlijk ook zo dat als je begint, dat het meer de focus ligt op het werk aan het krijgen überhaupt, dat je schermen krijgt en een flow die het ook doet wat moet doen. Ja, vers nog helemaal kwalitatief op orde krijgen en aan alle standaarden en best practices voldoen, zeg maar. Dat is nog weer een hele hogere stap. Precies, ja. Dus je wil het eerst gewoon shiny maken en dan komt security, dat plak je dan maar een beetje bovenop. Ja, dat is ook wat ik dan ook veel in het bedrijfsleven zie en bij overheidsorganisaties is dat de focus echt ligt op puur functionaliteit bouwen. En als het eenmaal doet wat het moet doen, dan wordt het project afgesloten en dan gaat men door naar het volgende project. Terwijl je dan eigenlijk nog al die puntjes op die wil zetten. Even wat goede controles, kwaliteiten op het juiste niveau krijgen. Maar ja, dat is dan niet heel zichtbaar vaak. En dan ja, wordt het pas zichtbaar als er problemen optreden. Ja, het is wel, kijk, er is een tijd geweest en dat is volgens mij nu echt wel verbeterd de laatste, weet ik veel, pakken bij tien jaar of zo. Dat het echt, dat er heel veel bedrijven, niet allemaal gelukkig toen ook al, maar die zeggen van, die security zeg maar, dat is echt een technisch aangelegenheid. Dus als er dan bijvoorbeeld een breach was, sterker nog, bij mijn eerste baan had we ooit, volgens mij, een bedrijf, toen werd onze site met een database waar, weet ik veel, een miljoen e-mail adressen in stonden, die werd gehackt en toen werden wij natuurlijk aangeklaagd of je hebt dat laten liggen zeg maar, of het is jullie schuld zeg maar dat dat gebeurd is. Maar er is nooit gezpecialiseerd, er is nooit een eis geweest, oké zo en zo moet je dat beveiligen, we willen die gegevens op een veilige manier opgeslagen. Het werd meer gezegd, oké zorg dat het werkt, en de schermpjes werken, het wordt opgeslagen, en de rest is gewoon jullie feest. Dus dat was, het werd gezien als een, ja, een vanzelfsprekendheid zeg maar, dat die gegevens op de juiste manier opgeslagen werden, dat ze veilig waren, opgeslagen werden, dat mensen dan niet zomaar bij kunnen. En gelukkig is dat we volgens mij, in mijn ogen meer een bewustwarning ontstaan, waarbij, ik noem het ook de business, opdrachtgevers zeggen, oké, zorg dat deze gegevens van, met een bepaalde categorie, dat die op een bepaalde manier opgeslagen worden, en dat daar dan een technische oplossing voor gemaakt moet worden. Dus dat iedereen, dus de techneten en de opdrachtgevers, de business of de mensen die de software willen hebben, dat die bewust weten, oké dit doen wij op die manier, dus dat het niet een verrassing is, als er dan een breach is, dat het gebeurt, zeg maar, en dat iedereen elkaar gaat wijzen. Dus dat is wel iets wat volgens mij wel verbeterd is. Ja, dat zie ik ook hoor. 10 jaar geleden had je Anonymous, wat veel nieuws was, Schering en de Inslag, die hadden veel publiciteit met hun grote hacks, die hadden ook nog lulsec, en ja, dat was, dat heeft wel voorgezorgd voor een hele nieuwe impuls aan bewustwording en budgetten wat er opeens open getrokken werden. Je ziet vaak in de security dat het echt incident gedreven is, dus het moet eerst het zenuwstel zo raken, zeg maar, voordat men voelt van hey, dit is niet goed, dit moeten we willen voorkomen. Ja, als je het kijkt een beetje in de jaren 90, waren opeens alle computers vrij open, in het begin 2000 alle websites vrij open, en toen kreeg je op een gegeven moment de mobiele apps in 2009, zo'n beetje smartphones, die waren toen allemaal open, en op een gegeven moment zien we wel dat we daar wel steeds volwassener in worden, en dat websites die nu nieuw ontwikkeld worden, dat daar ja, dat er niet zomaar SQL-injectie in zit, waardoor je zomaar bij de database zou kunnen, of cross-site scripting, waardoor je de JavaScript in kan gooien, dus dat ja, dat verandert natuurlijk ook alweer de aanvallen die je als hacker kan toepassen, maar het is heel belangrijk dat de business inderdaad bewust is van aan welke kwaliteit de software moet voordoen, en wat vaak heel goed spreekt, is wetgeving, en dat was vroeger vrij vaag, had je de wetbescherming persoonsgevers, en dat ze daarin zeiden dat je gewoon veilig moet zijn, en verder weinig op kleed, en tegenwoordig heb je de algemene gegevensverordering, de AVG, en ja, die termen zijn inmiddels bij alle bedrijven wel bekend, de toezichthouder was vroeger de collegebescherming persoonsgevers, maar die mocht helemaal geen boetes opleggen, die had eigenlijk een toezichthouder zonder tanden, en tegenwoordig is het een autoriteit geworden, de autoriteit persoonsgevers en mocht ook forse boetes opleggen, en dan wordt de security en privacy opeens weer een business case, want als je op de vingers getikt kan worden, je krijgt slechte media, je krijgt ook nog een forse miljoenenboete, dan heb je de aandacht van bestuurders wel te pakken, en het is ook nog in bepaalde gevallen zo, dat bestuurders ook nog persoonlijk aansprakelijk gesteld kunnen worden, ook al heb je een bv, maar je data lekt, er begint nu wel echt een verbetering in te komen, en ja, dat is echt een goede ontwikkeling, maar zo zie je wel dat we telkens een generatie achterlopen op de realiteit, en dan zijn we hier wel nu mee bezig, maar dan hebben we nog geen wetgeving voor algoritmes en zo, terwijl dat nu ook best veel ontwikkeld wordt, en op langere termijn een grote impact gaat hebben. even snel, wat bedoel je met de Facebook, Instagram, de spullen, de analyses die zij doen? Ja, precies, dat soort algoritmes, gewoon artificial intelligence, dat computers steeds slimmer worden, en op basis van grote data sets, de realiteit voor jou gaan bepalen, dat iedereen een beetje in zijn eigen informatie vuik terecht komt, en dat dat ook mensen tegen elkaar op kan zetten, zeg maar, onbedoeld, maar het heeft wel veel impact op een maatschappij, ook nepnieuws, wat uit gelicht kan worden door algoritmes, en manipulatie weer, maar ja, daar is zijn nog heel weinig regels voor, weinig toezicht, het is intransparant, en dat laten we nu gebeuren, terwijl we langzaamaan bewustzijn van krijgen, van dat dit best wel impacten heeft, maar ja, daar gaan we ook alweer tien jaar overheen gaan waarschijnlijk, voordat er een wet ligt. Ben je daar ook in betrokken, Simon? Of verkondig je meer de risico's? Nou, met algoritmes ben ik niet zozeer betrokken, maar dat is wel een van de gevaren die ik wel zie rondom computers en internet, en de macht van grote bedrijven. Nee, ik ben wel meer betrokken als het gaat om politiek en cybersecurity en privacy, zeg maar. Dat is wel meer mijn onderwerp. Ja, het grappige is wel om op algoritmes, ja, aansluchen of niet, maar goed, er is volgens mij ook een discussie geweest überhaupt, zeg maar, voor kwaliteit van software, zeg maar, daar wilden ze iets mee, want nu, ja, kun je gewoon software bouwen en dan is het heel onduidelijk wie dan aansprakelijk is voor de werking, los van of het nou met security of privacy te maken heeft. Ja, als ik nu, zeg maar, troep lever, dan kan het zomaar zijn dat er heel veel kapot gaat door die troep die ik geleverd heb. En ja, wie is er dan aansprakelijk, zeg maar. Die discussie is er volgens mij ook nog geweest, dus er is verder, volgens mij, niks meer, nog geen wetgeving of zo veel geweest, want het lijkt me sowieso heel lastig, zeg maar, om dat te regelen. Maar ja, ik ben blij dat ze in ieder geval bij security and privacy, dat ze daar in ieder geval wel wat richtlijnen hebben. Je meldplicht, zeg maar, dat als je gehackt bent, dat je dan in ieder geval wel meteen aangeeft dat het gebeurd is. Dat zijn wel goede ontwikkelingen, want die meldplicht, ja, ik kom bij honderden bedrijven over de vloer en ontzettend veel data lekker meegemaakt. Ook hack incidenten. En ja, wat bijna elke bedrijf doet is het onder het tapijt proberen te vegen. Want ja, als het naar buiten komt, dan is dat slechte media en dat wil de ondernemer niet. En heel begrijpelijk. Dus moet er ook wetgeving komen en is gelukkig ook gekomen, dat er een meldplicht is en daar ja, dan de feit dat bedrijven al eventueel iets moeten gaan melden als een incident is, dat wil alleen maar gaan ze harder rennen te voorkomen. Dus het heeft een heel proactief effect. Nou, mooi. Ja, want iets wat ik ook zelf ook bij betrokken ben geweest vooral bij mijn vorige werkgever was ethical hacking. En je gaf het ook al aan in je bio, of tenminste de bio die we net hebben voorgelezen. Dat je met ethical hacking bezig bent. Zou je voor onze luisteraars kunnen uitleggen wat dat betekent volgens jou? Ja, ik noem mezelf dan ethisch hacker. En ja, het is eigenlijk een beetje raar om het woordje ethisch voor je beroepen te zetten. Je bent ook niet ethisch advocaat. Maar de woord hacker heeft vaak een negatieve toon. Een idee bij. Maar in de hele wereld heb je heel veel goede hackers, zeg maar. Mensen die geen kwaad willen doen, die gewoon mensen en bedrijven verder willen helpen. En ja, van dat type ben ik zelf ook, noem mezelf, ik hoef het ook wel white hat hacker noemen, zeg maar. Dus ik hou me aan de wetgeving en aan mijn eigen ethisch compas, van wat ik denk dat goed is. En ja, zo wil ik met mijn kennis, wil ik anderen verder helpen, zodat zij veel minder te maken krijgen met de slechte kant van het internet, zoals hack incidenten, data lekken. Ja, als ik zie wat, en ik ben gespecialiseerd in hacking, hoe makkelijk het soms is om bij bedrijven in te breken. Ja, dan schrik ik daar gigantisch van. En ja, weet je, twintig jaar geleden was het nog leuk om iemand z'n dromlade open dicht te doen en met de webcam mee te kijken hoe iemand verschrikt achter z'n computer zat. En ja, tegenwoordig kun je sluizen open zetten, je kan elektriciteit uitzetten, je kan bankrekeningen leeghalen, je kan iemand helemaal zwart maken op internet. Weet je, de gevolgen van slecht beveiligde ICT zijn ontzettend vergroot tegenwoordig. En als je ook ziet dat gelukkig is een kleine groep mensen op internet die daar misbruik van willen maken. Maar ja, je hebt ook steeds meer inlichtingendiensten, de opkomst van cyberwarfare, oorlogsvoering via internet, spionage via internet en ook heel veel criminaliteit wat van de analoge wereld verplaatst naar de digitale wereld. Iedereen zit steeds meer achter de computer, dus dat leeft heel veel schade op. dat is gewoon, vind ik heel erg, dat bedrijven daar en burgers door gedupeerd raken omdat ze misschien niet helemaal bewust zijn van de beveiligingslekken die ze hebben, de kwetsbreid. Ja, daar help ik ze dan verder mee door op verzoek, zeg maar, met toestemming in te breken bij ze. En dan ga ik op zoek naar alle zwakke plekken die er zijn. Dus dat kan zijn in kaart brengen voor alle domeinen aan me die iemand bezit, alle subdomeinen, de IP-adressen achterhalen. Dus eigenlijk het aanvas op een vlak van mijn target helemaal uitpluizen. En dan ga ik op zoek naar bijvoorbeeld vergeten testsystemen, niet meer onderhouden, niet meer beheerde servers waar dan veel beveiligingsupdates op ontbreken. Nou, dat kan vaak een stepping stone zijn dan om dieper het netwerk in te komen. Wat wachtwoorden van beheerders te achterhalen die dan in de database met verouderde hashing staat opgeslagen. Dat kun je dan die achterhalen wachtwoorden uittesten op andere inlogschermen. En zo kom je steeds dieper je target binnen. En ja, dat is voor mij gewoon een enorme puzzle en uitdaging. Want ik vraag altijd als ik aan zo'n exercitie begin van, hoe denken jullie zelf dat ervoor staat? Is het veilig? Dan zie je die beheerder, ja, ik heb geen idee hoe ik zelf kan inbreken, dus dat is wel veilig. Ja, ik heb er alles aan gedaan. Het is vrij typische reactie. En ja, en sommige zijn wat meer bewust van ja, God is allemaal snel online gezet en we hebben geen tijd, dus je zal vast wel wat vinden. Ja, dan is het ook wel leuk om soms de mensen met je bevindingen te verbazen van kijk eens wat ik gevonden heb. Dus het is een soort sport wel als ethisch hacker uitdagend. En je kan er heel veel waarde bij toevoegen. Ja, dat is eigenlijk een hobby voor mij, waar ik gelukkig nu een jaartje of 16, 17, mijn geld mee kan verdienen nu. Dat is al een periode trouwens, want dat vind ik best wel impressive, dat het al 17 jaar. Ja, vanaf mijn 18 heb ik een bedrijf opgericht en toen heb ik mijn dienst ook aan andere bedrijven aangeboden. En dan was het wel een goede incentive, omdat ik gewoon niet andere mensen wou hacken. Veel mensen vragen mij weleens van ben je ook zeg maar slecht begonnen en daarna naar het goed over gestapt. Maar nee, ik ben niet van dat type. Ja, zeker als publiek is het veel te spannend. En daarnaast ja, je zet best wel wat op het spel als je crimineel gaat hacken. En ik vond het helemaal niet leuk om andere mensen te benadelen ofzo. Dus ik ben gewoon meteen commercieel gegaan, zeg maar. En dan krijg je gewoon toestemming van het bedrijf. En dat is natuurlijk super vet, zeker je eerste opdrachten van nou, hier heb je wat adressen, hier heb je wat websites. Kijk hoe ver je komt. Dat is natuurlijk gewoon een grote speelterrein als Athees Hacker. En ja, vanaf 18 begonnen ben ik 35. Dus ja, dat is zo'n 17 jaar inmiddels. En hoeveel items zitten er allemaal in je rugzak, he? Want stel je voor, een van de luisteraars die raken heel erg geïnspireerd van hey, ethical hacking, dat heb ik ook wel eens gehoord. Ik zou er best wel wat meer over willen weten. Hoe begin je aan zoiets? Kan je daar iets meer over vertellen? Ja, het begint bij gewoon je echt verdiepen in ja, wat is een hacker? Wat is security testing? Veel lezen over cyber security. Nou, de ideale mensen, de ideale voetbrood voor een hacker is wel als je echt al wat technische kennis hebt. Ik ben er zelf helemaal blanco ingekomen. Mijn pad zag eruit door in de mediatheek van school stapels met hack tutorials uit te printen. En die las ik dan allemaal voor het slapen gaan, als ik een uur, anderhalf uur allemaal tutorials en dat, ik snapte het begin helemaal niets van. Maar het ging steeds meer dagen, zeg maar, gewoon doorzetig vermogen. Nieuwsgierigheid is heel belangrijk. En ja, tegenwoordig heb je ontzettend veel bronnen waar je kan leren, hoe je kan hacken. Je hebt allerlei boeken, je hebt allemaal videotutorials, je hebt websites, je hebt forums, je hebt nieuwsites gespeciseerd in cyber security, je hebt allemaal podcasts, je hebt evenementen, je hebt conferenties. Er is een ontzettende hoeveelheid materiaal inmiddels beschikbaar op internet, hoe je kan hacken, zeg maar. En het is wel om niet te, het kan ook weer tegenwerken, want dan kan je heel erg verzanden in van, waar ga ik me nou op focussen? Ga ik me in malware, ga ik me in infrastructuur, ga ik me in websites, ga ik in exploiting, in reteaming. Je hebt heel veel specialismes weer binnen hacking. Dus dat is denk ik wel goed om dan een besluit te nemen, van waarom wil ik me echt helemaal in gaan focussen? Want je hebt binnen de hackers vaak twee groepen. Dat zijn de hackers die gespecificeerd zijn in infrastructuur, dus echt bedrijfsnetwerken, interne netwerken, TCP, echt low level technologie. En aan de andere kant heb je meer website hackers die echt eigenlijk alleen op port 80 en 4x3 vele al opereren met een HTTP proxy, helemaal expert in zijn. Alles weten van headers, van cookies, van post en get variabelen en sessie management. Je hebt OWASP, de Open Web Application Security Project. Dat is zeg maar een van alternatieve bronnen op websitebeveiliging. Die weten daar dan weer alles van. Dus dat is denk ik heel goed om daar wel een keuze in te maken. Want je kan bijvoorbeeld ook heel snel verzanden in exploiting. Dus dat is zeg maar als je eenmaal bijvoorbeeld een beveiligingslek gevonden hebt, een buffer overflow bijvoorbeeld. Dat je dan helemaal daarop in gaat zoomen van hoe kan ik die buffer overflow misbruiken om willekeurige code die ik zelf geschreven heb te kunnen uitvoeren op die computer. Dat is redelijk ingewikkeld en moeilijk. Maar ja, veelal als je in het bedrijfsleven als ethisch hacker werkzaam bent, dan wordt er helemaal niet van je gevraagd om echt beveiligingslekken te exploiteren. Het wordt vaak, je moet stoppen op het moment dat je dat je vindt van hey, dit is een hoge risico, een mogelijke buffer overflow, moeten we gewoon fixen. En ja, dan krijg je gewoon niet de tijd om nog een dag te besteden aan om daar helemaal op in te zoomen hoe je dat mogelijk kunnen uitbuiten. Ja, dus dat vind ik wel het leukste werk natuurlijk. Maar ja, als je dan ook je werk van wil maken, dan is dat wel handig om daar tijdens beperkt om daar wel wat keuzes in te maken. Dus ja, weet wat je wilt, wat je later mee wilt. Als hobby wil je het ook professioneel gaan uitvoeren. En dan zijn er weer verschillende palen die je kan bewandelen om er weer alles van te gaan achterhalen. Ja, ja. Ja, helemaal. Helemaal mee eens, zeg maar. Als ik het vergelijk en dat is misschien voor Kishen ook wel. Ik ben iets ouder. Ik ben nu 45, dus dat is een klein beetje ouder, zeg maar. Het is heel grappig dat jij zei van oké, ik heb nooit als de black hat hacker of de bad guy opgesteld. Mijn jeugd, zeg maar, was niet zozeer dat ik bekend was met black hat en white hat hackers. Het was gewoon doen. En je wilde gewoon ergens binnen. O, stoer, dan heb ik dit gehackt. Niet zozeer om daar heel slechte dingen mee te doen. Volgens mij is er ergens gaandeweg ook wel die wetgeving al veranderd. Dat je ergens binnenkomen en zonder dat je iets loopt was vroeger nog niet heel erg strafbaar. Maar nu is dat tegenwoordig ook wel. Ben je wel de aanbieders, zeg maar? Dus het was niet zozeer dat wij dachten, oh, tof. We gaan, noemen we zo'n bank, ABN Ambro lekker hacken en dan geld overmaken. Dat niet. Maar weet je, je liet onschuldige dingen op school of de computer van je van je buurman, als het ware. Dat soort fratsen. Die dingen, die haal je uit. Dus ik ben eigenlijk wel heel gelukkig om het wat korter te maken. Gelukkig dat ik, zeg maar, niet nu in mijn pubertijd zou zitten, want ik denk het is makkelijk om een fout te maken, zeg maar, als puber. Dat hoor je ook nu wel, dat er een scriptkiddie of zo denkt, oh, leuk, ik ga even een DDoS doen, of ik ga even een hack doen. Dat zie je echt heel veel, hoor. Pubertjes die de school plat leggen omdat ze niet gestudeerd hebben voor de toets, bijvoorbeeld. Juist, precies. Dat soort dingetjes. Dus het is nu, denk ik, makkelijker. En misschien is de informatie veel toegankelijker. Of sommige dingen zijn makkelijker te doen. Dus je kunt makkelijker een fout maken. Dus ik ben blij, zeg maar, heel simpel dat ik niet nu in mijn pubertijd zit. En dan vroeger. En vroeger, kijk, vroeger hadden we altijd, weet je, dan had je, hoe heet die, Mitnik. Er waren een aantal mythische hackers, zeg maar. Degenen die met dat lolly fluitje kreven, die een hack kent. Precies, ja. De hackdatum was voor ons, wow, toffe gast. En dan had je al die liever, allemaal boeken en zo die je moest kennen om een bepaalde hacks te kunnen doen. En dat was allemaal, en het was wat eenvoudiger, zeg maar, denk ik. Nu heb je wat meer gecompliceerde hacks, zeg maar. Dus dat je niet alleen maar zeg, oké, ik hack die server, maar je hackt die server en je zorgt dat je daar iets hebt geïnstalleerd. En dat allemaal bij elkaar, zorg je dat die bedrijf platlegt. Dat is echt wel, kost wat meer effort, zeg maar. Je kunt niet meer zeggen van, ik heb per ongeluk dat bedrijf gehacked. Ja, daar zit echt wat meer effort in. Maar ja, wat je zegt, eens, je moet echt wel een pad kiezen. Dat kan niet anders. Je ziet ook dat op de lage school, middelbare school, dat er iedereen elkaar een beetje losvast aan het hacken is. Meekijken op hoe iemand een wachtwoord invult. En dan elkaar sociale media overnemen. En ja, dat is echt veel meer dan toen wij nog op school zaten. Zij groeien er echt allemaal mee op. En ja, dat ethische kompas is natuurlijk nog niet helemaal goed uit ontwikkeld. Dus zij hebben ook niet helemaal het besef van wat voor impact hun acties allemaal hebben. Ja, dus je ziet wel dat daar best wel wat met justitie in aanraking komen. Wat ook wel echt wel zonde is, omdat het, ja, meestal zit er niet een hele erg kwaad intentie achter. En is er ook wel nieuwsgierigheid, of gewoon een beetje plaag, of misschien een beetje pesten ook. Maar dat wil niet zeggen dat je daar de rest van je leven met een strafblad en zo je leven door moet komen. Dus er is ook wel initiatie vanuit de hackers zien om dat soort problemen jongeren, zeg maar, die een keertje de fout zijn gegaan, om die onder de hoede te nemen. En ze dan met ervaren hackers in aanraking te komen om ze een beetje te coachen. Je kan ook goede dingen met je kennis en je aanleg doen. En dan zie je dat het wel werkt om ze meer op het rechte pad te krijgen weer. En als je ook kijkt stel je voor dat er een groep developers is die een feature aan het bouwen is en je zou ze wat tips willen geven rondom cybersecurity. Wat zou dat zijn? Ja, de meeste software gaat nu via websites en web applicaties. Nou dan is het wel echt een van de bronnen waar heel veel informatie op beschikbaar is. Wat ik al noemde is OWASP. OWASP.org. Daar kun je echt heel veel leren over websitebeveiliging. En het is denk ik ontzettend handig om zelf ook wat trucjes te hebben. Dat je zelf ook een beetje je eigen website kan testen. En daar heb je een zogenaamde aanvalsproxy voor nodig. Dus dat is een HTTP proxy die tussen je browser en de webserver in zit. Zodat je op je eigen laptop precies kan meekijken wat voor data je browser allemaal genereert. En met zo'n aanvalsproxy kan je precies zien welke variablen er allemaal bestaan en die kan je dan met open source toolings zoals bijvoorbeeld ZAP ZAP, kan je dan zeg maar dat ook fuzzen. Dus al die variablen kijken zijn naar injectiemogelijkheden op cross-site scripting, local file inclusion, SQL injection, XML injection, noem maar op. En ja als je een paar van die trucjes al weet dan dan kan je al een hoop laaghangend fruit zeg maar makkelijk detecteren zelf. En dan heb je ook een soort van tooltje in handen waarmee je zelf ook, want als je alleen aan het programmeren bent en je bekijkt de inspector in je browser en je ziet wel wat dingen heen en weer gaan maar het is ook gewoon handig om met een soort aanvalsproxy te kunnen werken. En dat hoeft helemaal niet ingewikkeld te zijn maar dan zie je gewoon wat er allemaal over de lijn gaat en ja die genereert ook passief terwijl die gewoon de dataverkeer langs ziet komen op allerlei bevindingen. Dan kun je meteen zien van hee ik misbepalen security headers. Die moet je gewoon expliciet zetten tegenwoordig. Er zijn ja standaard geeft een webserver geen security headers mee. Maar je hebt er een stuk of tien tegenwoordig. En die allemaal weer hun eigen stukje extra veiligheid toevoegen. Ze zijn heel simpel om te zetten ook. Ja, maar dus je moet er een klein beetje wat meer in verdiepen. Ja, dus er zijn ook al wat van die cursussen die je daarvoor zou kunnen doen. Van die CTF's, Capture the Flex zeg maar. Waarop je een beetje van die testomgeving waar je wat legaal mag hacken. Die ook een beetje bewust lekk zijn gemaakt. En ja, dus als ontwikkelaar zou je dat ja, wat van die oppervlakke testen kunnen gaan uitvoeren. Je hebt ook hele makkelijke tooltjes online. Zoals als je de status van je HTTPS implementatie wilt testen, dan heb je bijvoorbeeld Qualys SSL Labs. Nou, en als je daar op googelt, dan hoef je eigenlijk alleen maar een domeinnaam in te vullen. Je klikt op scan en je krijgt een heel rapport terug van hoe het ervoor staat. Nou, dus je kan zeg maar zelf als ontwikkelaar, kan je al met beperkte kennis, kan je al best heel wat basis security scan zal uitvoeren. En ja, doe dat dan ook zeg maar. Wacht niet af tot de security testen, de pen testen langs komt of dat er wordt ingehuurd. Het is gewoon heel belangrijk. Ik denk het allerbelangrijkste is als ontwikkelaar is dat je bewust bent van gebruikersinvoer. Dus gebruikersinvoer, wat een gebruiker via zijn browser bijvoorbeeld allemaal invoert, wat voor uploads, dat kan allemaal kwaaddadig zijn. Dus dat moet je allemaal controleren voordat je dat verwerkt in je applicatie. En op het moment dat je gebruikersinvoer niet adekwaat controleren of ontschalig maakt als je dat weer wil weergeven in de user interface. Nou, dat opent tal van injectie aanvallen en ja, dat kan ernstig afloden. Dus je krijgt een e-mailadres, check of het een e-mailadres is. Heb je een nummertje wat je ontvangt, check of het een nummertje is. En stel dat een nummertje altijd een nummertje is omdat dat geen gebruikersinvoer is, maar wel altijd bijvoorbeeld in de URL staat bijvoorbeeld een identifier van een database record. Nou, een gebruiker zou dat nooit hoeven te veranderen. Dus als die nummertje is, maar een nummertje met een enkele quote, dan moet er een alarmbelletje ergens afgaan. Van hey, er is iets afwijkends aan de hand. Dat moet je loggen. En dat moet gewoon, zeg maar, je moet ook een monitoring in je applicatie inbouwen. Dus heel veel applicaties, software wordt zo geschreven van de ideale flow. Ja, de happy flow, maar als die happy flow net anders is, wat eigenlijk nooit zou moeten optreden. Nou, dan wil je daar wel feedback voor inbouwen. Dat kan soms vrij makkelijk in plaats van gewoon een 500 foutmelding in je, door je webserver laten wegschrijven. Daar kan je er ook voor kiezen om dat applicatief, zeg maar, net een wrapper omheen te bouwen, die dat in de database noteert en bij een threshold, zeg maar, de beheerder even beeldt. Dus ja, gewoon goed je input checken. Zelf ook even verdiepen in hoe kan je wat basis security testjes doen. En ja, dan een leer van de pen tester, zeg maar, die worden uitgevoerd. En zorg dat je dat meeneemt de volgende keer. Ja, ik heb ooit een keer een hele waardevolle tip geleerd van een pen tester die ja, we hadden op een gegeven moment een systeem gemaakt waar je op een gegeven moment data gewoon via een ID zou kunnen ophalen. Denk even aan vertrouwelijke informatie. En iets wat die penetration tester ja, gewoon duidelijk maakte was van hey, maar als ik nu gebruik ID 1, en nu kan ik ID 2 en dan zie ik Jan Pietje Klaas zijn informatie. ja, dan maakt het, in feite maakt het dan ook niet uit welke automatische tool je hebt gebruikt. Maar dit is gewoon puur, ja noem het maar even verstandsgebruiken dus security by design achtige zaken. Dus als je een softwarepakket gaat bouwen dan moet je toch ergens ook in je ontwerp rekening houden met dat het ook zonder hacken. Ja, technisch gesproken is het de hacken. Je probeert de autorisatie controle te bypassen door nummertjes, ID's op te vragen die niet aan jouw account zijn gelinkt zeg maar. Ja, het is zeker absoluut hacken, het is ook strafbaar maar het is heel laagdrempelig dit kan iedereen doen zeg maar als je het weet. Zeker als het in zo'n nummertje in de adresbalk staat dat is ja toevallig nog anderhalf maand geleden bij de blocker had zo'n lek. Als je dan je besteldetijs in de browser ging opvragen nou, daar stond daar een bestel ID en er was een miljoen zoveel en ja toen heb ik daar min 1 gedaan ja, kreeg je een bestelling van iemand anders te zien en ja, zo zonder na schatting 700.000 bestellingen kon je zo inzien sinds een half jaar. Dus ja, dat is heel laagdrempelig maar je moet er wel echt een beetje denken van wat zou iemand kwaad kunnen zeg maar. En soms is het heel simpel. Soms is hacken echt of je helemaal niet gestudeerd wordt te hebben. Een trucje kan al genoeg zijn. Maar dat is wel een goeie zeg maar. Is dit strafbaar zeg maar? Ja, ongeautoriseerde toegang tot computers is strafbaar. Dus het hoeft helemaal niet ingewikkeld te zijn. Nee, oké, maar het ophogen zeg maar is net zo wat jij zei van oké, ik verlaag mijn nummertje en ik krijg de winkelman van iemand anders te zien. Ja, de intentie is wat daar in het verschil ook gemaakt. Kijk, je kan natuurlijk bij het intypen van een domeinnaam kan je per ongeluk een verkeerd nummertje intikken en dan zie je wat anders. Nou dan is dat een foutje, dan ga je echt niet op veroordeeld worden. Maar als je volgens een scriptje schrijft, wat 10.000 records gaat opvragen, dat is toch denk ik bij de rechter wat moeilijker uit te leggen dat dat per ongeluk gegaan is. Volgens mij krijgt Saber die krijgt het nu heel erg warm. Nee, nee, nee, ja. Het is goed dat ik er geen tijd meer voor heb. Dus dat is, nee maar goed, dat vind ik, ik heb er altijd een beetje, dat is waarschijnlijk omdat ik in een andere tijd zeg maar opgegroeid ben tussen aanreizetekens. Ik had zoiets van als je deur open staat en ik kan naar binnen kijken, ja dan wieze fout is het dan zeg maar? Ja, je gaat ook niet bij iemand naar binnen lopen zeg maar, alleen digitaal is dat heel toegankelijk en soms ook heel makkelijk en waarschijnlijk aan niemand die het ziet. Dus het gebeurt ook wel veel zeg maar, wat totaal niet gezien wordt. En het is ook redelijk onschuldig zeg maar, zeker als het dan ook lukt. Je gaat zo'n nummertje veranderen, het lukt. Want ook als het niet lukt, zou dat zeg maar een hackpoging, hackpogingen is natuurlijk ook strafbaar, zeg maar, zo zien. Ja, als je dan, als je het zeg maar wel doet en je vraagt vijf records op en daarna mail je het bedrijf ten goede trouw van hey, je attendeert ze erop, ja dan zal we weinig gebeuren zeg maar. En tegenwoordig is het ook zo, dat als stel dat ze dan daarna de politie aan geeft voor doen, dat de rechter dat ook wel inmiddels heb je ook al meer IZT rechters die dan wel zeggen van hey ja, je was ten goede trouw ofzo, ja het is misschien strafbaar, maar je hebt meteen geholpen, je hebt er geen misbruik van gemaakt, je hebt het niet zomaar op internet gezet, zodat anderen daar eventueel misbruik van konden maken. Ja, dan zou je niet snel in de problemen komen. Nee, precies, dat is het ook een beetje. Kijk, juist dit. Kijk, ik kan me nog voorstellen, ja wij, wij allemaal hier, ik denk heel veel van onze luisterhuis, die kunnen wel voorstellen, oké, dat moet je niet doen, want ja, grijs gebied, of juist niet zwart gebied, of slecht gebied, laat ik het zo zeggen. En, hoe heet het, maar diegene zonder dat kompas, weet ik veel, 12 tot misschien zelfs 22, 23-jarige, die zo, ja, dat denken we, ja, hoezo? Dat kan toch? Wat zie je nou schadelijk, schadelijk aan, zeg maar. Dus dat is wel, ja, daar is wel iets waar we iets mee moeten doen misschien, qua educatie ofzo, want daar hebben we het eerder natuurlijk over gehad. Want ja, je maakt die fout makkelijk. Ik kan me echt voorstellen dat mijn 14-jarige, ik, denk, oh leuk, hey, ik download, ik kom bij de blokken, nou, mooi, ik kan alles, alle bestellingen, oh, grappig, hier zit de bestelling van de buurvrouw, en dat ik dan de vorige dag dat deel, zeg maar, met de andere klasgenoot. Dus ja, dan zit je wel... Ja, klopt hoor. Je ziet dat heel veel hacks toch terug te hellijden zijn aan jonge mensen, pubertijd, tot 25 jaar, zeg maar. Die weten soms nog niet goed wat, ja, wat eigenlijk wel geoorloofd is en niet geoorloofd. En ja, die zien overal het gevaar niet zo van in, die weten ook niet wat de impact ook is. Denk wel, komen er wel meer weg, een beetje qua jongestreek. En ja, dat kan soms een tijdje goed gaan, maar ja, de opsprong is ook niet te stil blijven zitten. Dus die, ja, die loopt wel steeds sneller tegen de lamp. Maar ja, inderdaad en dat is ook heel goed om juist die beginnende hackers juist wel goed te begeleiden, van ja, wat is nu eigenlijk hoe moet je je gedragen op internet? Wat is normaal? Eigenlijk gewoon opvoeden. Ja, precies. Ja, dat is wat je eerder zei, maar het is goed in deze situatie, en niet omdat ik dat nou weer heel mooi oprakele, maar dit soort hacks, zeg maar, die zijn heel, je kunt die heel makkelijk doen, zeg maar. Dit is niet oh, ik ben heel erg slim iets aan het programmeren en ik heb een buffer flow ergens gevonden. En daarmee ben ik veel bedrijf in binnengekomen. Dan ben je echt wel, ook als puber, denk ik wel wat je aan het doen bent. Dat is niet, ja, oh, ik heb dat prongelijk gedaan. Terwijl zoiets als dit, dat is makkelijk, de fout is makkelijk gemaakt, zeg maar. Dus dat is wel belangrijk dat we daar iets mee doen. Je ziet ook wel, ook beginnende security-onderzoekers die dan zo'n lek gevonden hebben met een oplopende nummertje, dat die dan voor de gein even alles downloaden, geïnteresseerd zijn en denken van ja, maar ik ga het wel melden. En dan vervolgens melden ze dat en het hele bedrijf op paniek, want iemand heeft de hele data bezig in handen en dan denkt de hacker van ja, ja, maar ik ga het, ik heb het weer verwijderd ofzo, het was gewoon even leuk, ik kijk of het kon. Maar aan de andere kant is totale paniek ontstaan en ja, je komt binnen met een heel onprettig bericht, dus het vertrouwen is er, is er weinig. Ja, ja, daar staan veel mensen niet bij stil, zeg maar. Nou, ik had trouwens ook nog een vraag over, je hebt het net over vertrouwen. Ik heb je aflevering op 3FM geluisterd en ook gezien op YouTube. Dat vond ik wel een interessant onderwerp om misschien ook in deze podcast even kort over te hebben. Waar die aflevering over ging, dat ging over spionage software en dan voornamelijk om ja, werknemers in de gaten te houden. Kun je daar iets meer over vertellen? Waar ging het onderwerp over en wat vond je ervan? Ja, ja, dat was vorige week, er was een vakbond CNV die had een rondvraag gedaan onder 1200 leden en daaruit bleef dat 14% aangaf dat werkgevers een soort van spionage software geïnstalleerd hadden op hun laptops, om ze alle thuiswerkers in de gaten te kunnen houden of ze wel echt aan het werk waren. En ja, 14, ja, 14%, dat was best veel. En ja, je zag ook wel dat sinds corona afgelopen jaar. Iedereen is wie kan is gaan thuiswerken. Ja, en dat was vroeger was dat best wel een gevecht om te mogen thuiswerken. Zeker in de meer controleerende controleerende managers die die dachten allemaal, ja, ze doen allemaal niks. En ja, nu dan toch iedereen. Dus men ziet dat vanuit de werkgevers dat best wel, ja, men wil daar meer grip op hebben, meer controle. En ja, blijkbaar heeft dat geleid dat steeds meer werkgevers spionage software is gekocht en geïnstalleerd. En ja, dat werd een beetje duidelijk. Ik schrok daar zelf ook wel van. Ik vond het best best veel 14%. En toen heb ik me ook even wat meer in verdiept. En je ziet dat het wel veel meer dat soort software gebruikt wordt bij bedrijven die wat meer fabrieksmatige werk doen, zoals bijvoorbeeld callcenters waarin je binnen gezette werktijden een bepaalde workload te verwachten hebt dat je die verwerkt. En ja, dat kun je een stuk meer meten, zeg maar. Dus je ziet dat... En bij software development bedrijven? Ja, ja, daar zie je dat volgens mij een stuk minder waar denk ik wel weer veel meer op gelet wordt bij softwarebedrijven is van ben je online op de chat app? Als iemand staat en is al twee uur alwezig, dan denk je zo, die is de lange lunchspous gehad. Ja, en ja, kijk, zeker bij de creatievere beroepen is het werk gewoon een stuk minder meetbaar, want je kan ook gewoon een telefoon in het overleg hebben. Je kan gewoon de hele dag in vergadering zitten. En dan gebruik je je toetsenbord niet zoveel, want dat soort spionages software, ja, wat doet dat dan? Dat registreert aantal toetsaanslagen per minuut, per uur, aantal muisbewegingen, hoeveel mailtjes je getypt hebt, hoeveel websites je bezocht hebt, soms ook welke websites je bezocht hebt. Welke website categorie is de nieuwsite? Is het sociale media? Heb je WhatsApp? Heb je lopen WhatsApp? Hoe lang dan? Dat gaat best wel ver. Amerikaanse software, die gaat nog een stuk verder, want daar is de wetgeving in het voordeel van bedrijven. Daar mocht je soms ook gewoon screenen, mag je ook gewoon met de camera soms foto's maken. Dat gaat echt heel ver. Gelukkig hoor, en zie ik het zelf in mijn omgeving een stuk minder. Ik ken niet heel veel bedrijven die dat gebruiken. Ik denk ook niet dat heel veel bedrijven daar heel transparant over zijn, want dat is best wel een motie van wantrouwen als je dat soort software installeert, en ik denk dat heel veel werknemers daar echt niet op zitten te wachten. Als je weet dat je gemonitord wordt, ga je ook anders gedragen, en dan ga je ook wel dingen verzinnen om daar weerstand tegen te bieden. Dus ja, het ziet het wel steeds meer. Maar er is ook weer dingen te omzeilen. Je hebt bijvoorbeeld een bekend product is een mouse jiggler, en dat is een soort USB-apparaatje dat telkens je muis 2 pixels heen en weer schuift. Zodat je online status continu online blijft, en ook je schermbeveiliging niet actief wordt. Dus ja, je hebt een soort kat-en-muis spel, zeg maar. Ja, precies, dat krijg je dan. Ik heb ook gewoon de hele tijd een video filmpje op mijn webcam gedraaid. Maar dat is wel een grap, hoor je dat? Dat is wel een grap, want ik had dat item langsgekomen. Ja, sorry, ik heb het niet in verdiept, zou ik het zo zeggen, want het was even, ik had even andere prioriteiten, maar ik hoorde ook, en dat had ik, ik weet niet, BNR ofzo, ging over, ook bij studenten, zeg maar. En daar is het blijkbaar, en daar is het erger. Ja, daar heb je de zogenaamde Proctor software. En omdat al die studenten nu thuis hun toetsen moeten doen, ja, dat is heel eng voor opleidingen, want die hebben totaal geen idee wat er over studieboeken bij iemand thuis liggen. Dus daar hebben ze bedacht naar, dan moeten we Proctor software overal bij studenten installeren. En zonder die spionage software van je opleiding mag je de toetsen niet doen. Dus dan zak je gewoon. En die spionage software moet je dan op je privé laptop, privé computer installeren. En die houdt dan alles in de gaten. Die houdt, als je een toets hebt, dan gaat je webcam aan, dan gaat je microfoon aan, dan worden alle lopende processen in de gaten gehouden, er zit een continu dataverbinding met de cloud. Je wordt, alles wordt gescreened, zeg maar. Je wordt helemaal doorgelicht. Nou, ik zou er helemaal paranoïde van worden, als mij dat zou overkomen. Ik zou daar een heel aparte laptop voor instellen, zeg maar. Nou ja, goed, als je de luxe er dus hebt, ik kan me voorstellen dat studenten niet per se... Nee, nee, precies. En die denken van nou, het is misschien ook wel te vertrouwen. Maar ja, wat ook wel erg is, op het moment dat ja, het is ook je hele, in de studentenkamer, wat eigenlijk een student, voor een student is een kamer is een huis. En voor als achterkant van je moet een soort 360 graden filmpje maken van waar je zit. Of er niet ergens stiekem een boek verstopt zit. En op het moment dat het niet helemaal goed gaat, of je laat niet alles zien, dan word je alsnog achteraf word je, krijg je een onvoldoende van ja, het was een zwart zwart gat. We kunnen niet uitsluiten dat daar een studieboek lag, dus we geven je een onvoldoende. Of ja, de internetverbinding was slecht, wifi was slecht, het viel er even uit. Ja. Of we horen geluiden op de achtergrond. Dat je huisgenoten lopen te cater bijvoorbeeld. Ja, krijg je ook een onvoldoende. Dus dat gaat echt heel ver. Ja. Ik heb toevallig ook een truc samen gedaan met ProcterU. Ik weet niet of je dat iets zegt. Nee, die kan ik niet. Dat is ook een software pakket dat installeer je op Chrome. En ja, weet je, ik moest gewoon een certificaat halen. Ja, ik heb dat dan wel gedaan. Ik ben misschien een van die studenten die dan dacht van ja, hoe erg zal het zijn. Maar je laat me wel even trekken. Je moet gewoon meedoen, anders krijg je het certificaat niet tegenwoordig. Je hebt eigenlijk geen keus. Nee, klopt. En ja, het is helemaal waar wat je zegt hoor. Dus je wordt echt gebeld door een of ander Amerikaan die dan, die komt dan bij je binnen. En die vraag je dan van hey, kan je je toestemming even geven dat ik over je computer kan besturen? En dan zie je inderdaad je camera aangaan. En dan stelt die ook in dat die, ja, die screenshot zet die dan uit. Dat zag ik dan wel gelukkig dat die dat gewoon voor me deed. En notifications zetten die dan uit. Ik moest zelfs inderdaad op een speciale positie gaan zitten. Dat hij de deur kon zien van de camera. En ik moest mijn bril afdoen en dan ook echt in de camera laten zien dat ik geen camera's in mijn bril had. M'n horloge moest af. Hij wilde in m'n oor kijken. Dus in de camera kan je in m'n linkeroor, in je rechtoor, weet je wel, om te kijken of er geen headphones zitten. Je wordt helemaal fysiek en digitaal doorgelicht. Ook dat is weer te omzeilen, want je hebt zeg maar een soort hardware apparaatje wat je tussen een monitorkabel en een computer kan inklikken. En die is dan met wifi uitgerust. En daar kan je zeg maar heimelijk via wifi je monitorsignaal dupliceren en naar iemand anders doorsturen die dan realtime kan meekijken. Dat detecteert dit proctor software helemaal niet. En vervolgens kan je een mobieltje op trillofunctie in je broek zetten. En dan kan je zeg, ik wil de mensen niet op idee brengen, maar... Nou ja, bij deze. Maar dat is dan mijn headset die dan weer helemaal ja, hoe ga je dit systeem omzeilen? Nou ja, dit soort manieren. En dat gaan ze dan niet doorhebben. Dus het is ook maar de vraag zeg maar van dit soort spionage dingen van hoe, ja moet je niet gewoon iets verzinnen waardoor je op een andere manier een toets aflegt. Want het is zo invasief in je privacy en in je security. Dan denk ik, ja, je moet dan als toetsinstans misschien wat creatiever zijn met een oplossing verzinnen. Laat iemand een werkstuk maken. Laat iemand binnen 24 uur iets opstellen ofzo. Ja, en dan de vragen overstellen, weet je wel, om te kijken of het authentieke is. Ja, doe een videocall ofzo met iemand. Dus er zijn allerlei andere oplossingen ook wel die veel minder intrusive zijn. Alleen dat vergt gewoon een hele andere aanpak. Dit ligt gewoon vrij voor de hand en iedereen accepteert het want je hebt geen keus. Ja, precies. Maar dat was het hoor. Eerste wat ik dacht ook, ik denk van oh jee, zolang die maar m'n computer niet gaat hacken. Maar ja, je moet wel want ik wil die certificaat natuurlijk halen. Ja, heb je het wel weer gede-installeerd? Toen werd het stil. Ja, precies. Er gebeurt wel iets met deze opname ineens. Ja, precies. Ze zijn aan het meeluisteren. Het is wel een goeie. Ik herinner me ook, wat jij zegt Kishen, ik weet niet of dat die Proctor software, ik heb het ook één keer een certificaat en dan moest ik het ook doen. Maar het was niet zo streng zoals jij zegt, dat je met je oren en alles moet laten zien. Ik weet wel dat die software toen, dus dit is al wel een jaartje of 4 geleden, daar was het volgens mij ook, als er een examen ja, nog, hoe zeg je dat, gevoeliger was, dan had je ook dat je twee webcams moest hebben. Dus eentje waar ze jou konden zien en de andere, daar moest je je full body, dus je moest je helemaal kunnen zien zeg maar, zodat je dus zij konden zien dat jij niet op je mobieltje zat te kijken of dat je een boek opensloeg of zo, dat soort... Ja ja, bij de hogeschool is dat vrij standaard, dat je aan twee kanten opneemt. Dus je hebt je mobieltje en je laptop camera moet er dan aan staan. Dus dan moet je op je mobiel en je laptop moet je speciale software weer installeren. En wauw. En dit soort partijen die die software leveren, die hebben het zelf niet altijd goed voor elkaar. Dat was vrij kort nadat dit bekend werd dat de proctor software over aan het protest van studenten bleek ook in zo'n grote leverancier ook een data lag te hebben. En ja, weet je, dan waarschuw je ervoor, je ziet het aankomen en dan gebeurt het en dan verandert er weer niks. We gaan door. Ondertussen als je tegenwoordig gewoon volwassen wordt, dan is het helemaal transparant wie je bent, wat je doet, wat je hobby's zijn en je telefoonnummer. ja. Nou wil je toch in de show hebben. Kan je iets vertellen over je laatste data lag die je ontdekt hebt? Ik hoef geen namen natuurlijk te noemen, maar ik heb eerlijk wat je hebt gevonden. Ja, data lag. Nou, wel iets groots wat ik toch al recent ook al gepubliceerd heb. Het meeste wat in mijn professionele werk kan ik natuurlijk niks over zeggen. Ik zit helemaal onder de NDA's. wat al recent is geweest is ik heb een stichting, een stichting die heet Stichting tegen hekbare verkiezingen en ik ben zo'n vier jaar geleden ben ik per toeval met het onderwerp verkiezingen aanraakt gekomen en bestemmen met potlood en papier. Maar wat weinig mensen weten is dat het daarna op de gemeentehuizen alle stemtotalen per stembureau in een opteelcomputer worden overgetypt. Die opteelcomputer breekt uiteindelijk de uitslag. De software bepaalt in Nederland wie de verkiezing wint. Toen ik dat vier jaar geleden voor het eerst hoorde, dacht ik echt van dit min je niet. Dit kan niet. De computers zijn zo fragiel. Ik kan me nog heel goed de tijd herinneren in 2006. Toen had je de stichting Wij Vertrouwen Stemcomputers niet. Toen hadden we ook nog stemcomputers. Hadden we niet eens potlood en papier. En dan drukte je stem op een computer in en dan kwam aan het eind van de avond een kassabonnetje uit. Dat was dan de uitslag. Dat was een bizar dat wij zo onze verkiezingen deden. Dat is gelukkig ook afgeschaft. Dus ik kwam er vier jaar geleden in een aanraking. Ik heb daar bewustzijn en een rapport over geschreven over de onveilige kanten. En al mijn beveiligingslekken ook in die software gevonden. daar werd ook wel wat aan gedaan. Maar uiteindelijk berekelde toch weer de software altijd de uitkomsten afgelopen vier jaar. En toen was ik het in september vorig jaar was ik daar eigenlijk helemaal zat. Want in 2019 had ik ook de alarmklok weer geluid over hey we hebben de verkiezingen daar. Proficiale statenverkiezingen, waterschapsverkiezingen. Jongens die laten we weer met software uitrekenen. Dat is volstrekt onverantwoord. Dat kan op alle manieren hacken. De gemeentelijke systeembeheer die is gewoon administrator op die verkiezingse computer. Die kan gewoon de database openen. Die kan de stemmen aanpassen. Database opslaan. En dan heb je gewoon een andere uitslag. En dat wordt dan gewoon vertrouwd zeg maar. Even plat geslagen. Ja dat is nou een teke jeetje joh. En toen in 2019 was er helemaal geen media aandacht meer voor. In 2017-18 was het groot. News overal. NOS, At Your News. In 2019 niemand was meer geïnteresseerd. Toen dacht ik vorig jaar september, dit moet voor eens en altijd afgelopen zijn. Dus ik heb een stichting opgericht. En ik heb een verslag erover geschreven. Over waarom het onveilig is. die conclusie van het verslag is door veertien hoogleraren cybersecurity onderscheven. dus het was een wetenschappelijke consensus geworden dat opteelssoftware alleen om daar een verkiezing- uitslag mee te breken, volstrekt onverantwoord was. ja dat is toen ook was er heel weinig media aandacht voor. want ja het was in begin november gepubliceerd en de verkiezingen waren ja in maart. dus dan is er geen enkele journalist nog echt geïnteresseerd om daar wat over te schrijven. maar zo doen er wel de tweede kamerleden bereikt. minister Alon Grun die moest daar die moest wat met mijn rapport doen met ons rapport vanuit de stichting. want de stichting heeft nog met twee andere mensen. en ja toen is er ook wel onder druk omdat al die hoogleraren ook wel achter stonden. is toen heeft de kiesraad een voorstel gemaakt om niet alleen maar die optel software te vertrouwen maar per gemeente willekeurig drie politieke partijen uit te kiezen. en daarbij handmatig optellen en dat te vergelijken met de software optelling. en dat is voor het eerst dat we dat zeg maar landelijk ook doen. en ja dus dat is afgelopen verkiezingen gebeurd zeg maar. is er een steekproef genomen wat waar ik dan uiteindelijk vier lang hard voor gewerkt heb acht maanden onbetaalde tijd in heb zitten om dat voor elkaar te krijgen. niet zozeer een data lack maar wel iets van een hele andere orde op hacking en nationale veiligheid. dat vind ik wel heel ja dat vind ik heel stil echt een held een digitale held ben jij om ons in die zin te beveiligen. ja maar als je dat dan ook ziet op een gegeven moment als je ergens heel erg in gespecialiseerd bent dan heb je heel weinig andere mensen nog die daar ook heel gespecialiseerd zijn en dan ben je soms een van de weinigen die ziet van hey dit kan totaal niet terwijl de rest daar nog niet zo niet zo bewust van is of nog helemaal geen kennis van heeft en dan kan je daarvoor kiezen zeg maar om daar dan niks mee te doen en dan zeg je ja ik ga wat anders doen maar stel dan dat we ja dat er dan toch later achter komen de verkiezing van Nederland is gehackt de Russen hebben bijvoorbeeld een bepaalde partij zes zetels extra Wanneer is er een gegeven, waardoor de hele formatie anders is gelopen, waardoor de bijvoorbeeld uit de Europese Unie gaan stappen. En dan dat je dan achteraf denkt, ja maar ik zag het aankomen, ik heb niks gedaan. Ja, kan je jezelf dan nog wel in de spiegel aankijken. En ja, het kost je een hele hoop pijn, moeite en emotie. Want in het begin word je heel erg genegeerd. En achteraf word je dan wel in het gelijk gesteld. Maar ja, dat gaat niet met triomf of zo. Het is met heel veel politiek gedoe, zeg maar. Dus ja, het is wel een enorme strijd, zeg maar, om dat dan uiteindelijk in te blijven volhouden en ja, door te zetten. Ja, die rugbaarheid, die viel ook... Ik heb niet die media aandacht heel erg opgepakt. Nee, nee, het is heel erg onder de radar. Men vond het veel interessanter om te schrijven over wat er in Amerika met Trump al nog gebeurde dan over verkiezingsveiligheid. En het is ook een beetje een moeilijk onderwerp voor journalisten, hoor. Want ja, ze willen niet zomaar schrijven van hey, de verkiezingen zijn onbetrouwbaar of er is mogelijk mee gehackt. Dus ja, dat is blijkbaar een heel ingewikkeld onderwerp om daar wat over te zeggen. Het is geen makkelijk nieuws om te brengen. Ja, ja. Nou goed, er zijn even twee dingen die ik wel daar wil uitkaarten, zeg maar. De eerste, nou goed, sowieso. Ik vind het raar omdat, natuurlijk, je zegt net ook Trump, want we hebben ook, weet je wel, er is heel veel aandacht naar uit geweest van hey, zijn die verkiezingen van Trump, zeg maar, toen het tussen Hillary en Trump ging, is dat eerlijk gegaan? Hebben de Russen of andere partijen daar misschien iets gedaan wat gek is? En dan zou je zeggen dat wij hier in Nederland daar wel een soort van bewustwarning hebben van oh, wacht even, dit moet we even doorvertalen naar onze eigen verkiezingen. En alleen, ik vind echt, ja, ik word er echt wel vaak boos over, zeg maar, dat ik vind dat er gewoon te weinig ICT of technische kennis in de Nederlandse politiek zit, zeg maar, en overal landelijk. Dus daar heb ik nog wel, dat is een beetje jammer. Je zegt daarna, zei je ook iets over de journalisten. Nou, ik kom wel met Neus op tafel, misschien ken je die podcast. En daar was, en ja, nu niet meer, maar Joost Gelvish, die ken je eigenlijk ook, die bij MPO, he? Ja, precies, die haal ik altijd door elkaar. Dus die, ja, ik weet niet of die het, maar goed, dat is één van de journalisten die gelukkig dat wel af en toe onder de aandacht brengt. Ik zal hem wel eens aanspreken, zeg maar, waarom heb je die nog meer rugbaarheid aangegeven en waarom ben je niet gaan schreeuwen? Misschien heeft hij dat gedaan, weet ik niet. Ja, dit is zeg maar bij journalisten heel belangrijk. En dat is ook al een leermoment weer voor mij dat ze een journalist wil de scoop hebben. Dus die wil de eerste verhaal naar buiten brengen, het wereldkundig maken. Want dan kunnen ze zeggen uit eigen onderzoek hebben we geconstateerd dat en dan mogen ze daar onderzoeks tijd op investeren. Maar op het moment dat je dat als een journalistiek bedrijf niet de scoop heeft, dan gaan ze eigenlijk onderbiedig gezegd schrijven ze eigenlijk alleen maar persberichten over. En dat is heel vluchtig, daar zit heel weinig onderzoek aan vast. En ja, media is heel vluchtig, daar ben ik ook wel achter gekomen. En ja, dan heb je zo'n groot onderwerp en dan, ja, als je als ze niet het nieuws willen brengen of zo, dan of het is nog niet actueel. Ja, dan krijg je het gewoon bijna niet gepubliceerd. En dan zijn ook die eindredacteuren dan. Ik heb je ook al veel met Joost over gesproken. Dus hij is helemaal op de hoogte ook over deze situatie. Maar ja, het is heel lastig om zo'n groot verhaal, een moeilijk verhaal onder aandacht te krijgen. Dus je moet daar een soort media partner voor hebben. Nou, die hadden wij ook. Maar dat is een lang verhaal waarom dat, zeg maar, niet goed gelopen is. Maar ja, dan daarna wil niemand meer, als ze niet de eerste scoop hebben, dan willen ze dat niet meer doen. Ja. Ja, ja, dat is wel, ja, ik schrik, eerlijk gezegd, ik schrik er best wel van. Het is echt niet zo, want in mijn naïviteit was ik vroeger altijd van, ja, dat motto had ik altijd, van alles is automatiseren. Alles wat zeg maar gewoon, ja, door normaal met mensen met de hand gedaan wordt, kan ook automatiseerd worden. Bij stemmen ben ik daar best wel natuurlijk van teruggekomen. Nou goed, je leest er wat over, bijvoorbeeld Ancilla van den Leest. Ja, natuurlijk. Die heeft daar ook best wel wat punten voor overgemaakt, de Piratenpartij toen ook. Ja, doe dat nou niet, ga nou niet met stemcomputers werken, want dat is ook nog niet eens zo heel lang geleden, dat we dachten dat we gewoon stemcomputers houden, dus wij zelf op stemt, zeg maar. Ja, 13 jaar geleden. Ja, precies, ja. In Amerika zijn ze daar nog steeds mee bezig en op diverse plekken ook nog, maar er is nergens ter wereld een stemcomputer die niet hackbaar is. Weet je, zo'n democratisch proces moet voor iedereen te volgen zijn. Ook voor niet-ICT'ers moeten van a tot z hun stemkunde volgen, zeg maar. En ja, wat je dan nu in Amerika hebt in 2016, wat je dan even aanstipt tussen Trump en Hillary, ja, daar is vermeen de Russische inbrenging geweest. Er zit een heel dik FBI-rapport ook met heel veel weggelakte delen. Maar dus op allerlei vlakken hebben de Russen daar wel geprobeerd invloed uit te oefenen. De vraag is alleen in hoeverre is ze dat ook ook gelukt, maar je moet je ook voorstellen dat stel dat er met de verkiezing is gefraudeerd, dan zal een zittende regering daar nooit zo snel toegeven dat dat gebeurd is. Dat is iets wat je heel goed moet beseffen. Dus als je achteraf, als het met de achterkomt is gebeurd, stel dat je dan achterkomt, hey, er is gehackt, maar een verkiezing is onherroepelijk. Je kan hem niet zomaar ongedaan maken, dus wat voor onrust ga je daar ook mee veroorzaken? En ja, in Amerika heb je nu de helft van de Republikeinen die denkt dat Trump gewonnen heeft, terwijl ze daar de meest veilige verkiezingen sinds lange tijd gehad hebben, ook omdat die stemcomputers allemaal fysieke bonnetjes uitprinten, die je dan weer kan auditen. Dus ja, ik kan uren praten over verkiezingen hoor. Nou, we hebben nog een vraag, want we hebben op zich best wel veel gehad over gevoelige informatie. Even een vrij open vraag, maar hoe zorg je ervoor dat je die gevoelige informatie zorgvuldig behandelt volgens jou? Ja, het begint met privacy by design. Security by design zijn de meeste wel bekend weer met die term, maar dat kan je natuurlijk ook op privacy toepassen. Dus sla niet meer informatie op dan dat je strikt noodzakelijk nodig hebt voor je doel. Dus doe aan dataminimalisatie, verwijder oude records, zorgen voor dat als je een archief hebt, dat je dat niet een online archief hebt, maar sla op een goed gebackupte harde schijf, versleutelde schijf op. Ik werk ook voor ziekenhuizen en dan hebben ze soms hele gevoelige oude medische dossiers die allemaal op de netwerkschijf staan. En dan vraag je, ja waarom staan die 10 jaar dossiers aan dossiers, waarom staat dat daar? Ja, dat is nodig vanuit wetgeving en zeg maar, waarom kopie je dat niet gewoon naar een harde schijf en dan doe je het drie keer? En dan kan er niet gegrensd omwerkt worden, kan er niet gestolen worden en oh ja, dat was eigenlijk wel een goed idee. En dan wordt dat gedaan en dan zijn ze echt een stuk veiliger dan voorheen zeg maar. En ja, tegenwoordig moet je ook met de AVG, de algemene geefverordering, moet je ook heel goed specificeren wat de nut en noodzak is van je geefverzameling. Je moet een uitgebreide privacybeleid schrijven. Je hebt tegenwoordig privacy officers, dat was vroeger echt ondenkbaar en dat je een functionaire zat in een bedrijf die je over met privacy bezighield. Maar ja, en zo doen dan kan je daar heel goed mee omgaan tegenwoordig. Je ziet ook wel dat overheidsorganisaties dat ook wel echt vanuit de wetgeving en toezicht echt wel goed doen tegenwoordig. Bijna alle, je hebt ook wel wat schandalen tussen zitten. Ja, ik werk ook wel over het algemeen bij overheidsorganisaties en wat mij daar opvalt is inderdaad, cloud is allemaal taboe. Zo min mogelijk, dat eigenlijk mag je helemaal niet in de cloud op slaan. Dus eigenlijk alleen on-premise mag je data op slaan. Dus dat zou een goede aanpak zijn voor bedrijven die dus met privacy gevoelige data omgaan. Ja, dat zou zeker goed zijn. Je moet wel je beheerkapaciteit hebben dat je dat allemaal lokaal ook goed kan beheren. We zagen dat in zijn bedrijf had draaien. Ja, die zijn veel daarvan zijn gehackt. Niet iedereen weet het, maar er kwam een patch uit van Microsoft die had je dezelfde dag binnen een aantal uur moeten installeren, zeg maar. En dan was er een kleine kans dat je dan geraakt zou zijn. Maar ja, heel veel bedrijven hebben dat verzaakt. Daardoor lag er vorige week geen kaas in de Albert Heijn omdat dat bedrijf dat altijd niet op tijd gedaan en een maand later wordt rentsberg geïnstalleerd. Ja, dus on-premise, dat moet je goed beheren. Maar ik zie ook al veel organisaties die een cloud platform, zeg maar, zoals een Amazon of Azure of eigen VPS inrichten bij een webhoster en daar dan allemaal segmentering op toepassen, zodat de data diep in de zonering is weggestopt. Ja, dat zou ook een prima oplossing kunnen zijn. Ik zie tegenwoordig dat veel bedrijven weggaan van eigen service in het lokale netwerk hosten. Grote ministeries, banken en zo, die hebben eigen data centrumpjes en dan is dat nog wel te doen als je hele beheerafdelingen hebt, maar zeker mkb bedrijven die zijn eigenlijk bezig met steeds minder systemenheerders in dienst te hebben, steeds meer naar de cloud en allemaal managed systemen, managed webhosting. Ja, en op zich als je dat goed doet en ook testen, want dat is heel belangrijk. Als je Amazon of Azure inricht, dan kan er ook nog heel veel misgaan. Porten die onnodig openstaan, patching die niet wordt doorgevoerd, configuratiefouten. Komt het allemaal tegen, dus ook dat moet je natuurlijk even goed toetsen. Maar ja, dat is belangrijk zeg maar dat als je zoiets inricht, later een beveiligingstest overheen gaan en doe dat voor productie en doe dat periodiek en dan zijn de risico's te een andere klant waar ik wel eens gewerkt heb, daar hebben we precies hetzelfde gedaan. Toen hebben we een CI-CD opzet, die hadden we eerst om premise draaien en dat schaalde natuurlijk voor geen meter op een gegeven moment. Toen zijn we inderdaad voorzichtig naar de cloud gemigreerd en toen hebben we inderdaad gewoon een penetration test op laten uitvoeren. En er kwamen interessante dingen uit waar we dan allerlei beveiligingen en zaken omheen hebben geregeld. Dus het kan wel inderdaad, meens, in de cloud dus he? Ja, zeker. Je moet wel goed goede architectuur hebben. Waar het tegenwoordig wel aan wat best schaars is, is toch al wat goede kennis over security en dan helpt het om zo'n test te doen. Als je die kennis niet in huis hebt dan toch ook met een beetje open boeken onderzoek Als je als pen tester ook wat gesprek hebt met de beheerders, met de ontwikkelaars. Je mag ook achter het inlogscherm even testen. Je mag even meekijken in de Azure configuratie. Nou, dan kan je best wel veel risico's goed inzien. En ja, dan is het allemaal te doen. Ja, zeker. Ja, ik kan me ook herinneren dat AWS op een gegeven moment ook echt bij ons mee ging denken. Want ja, die beweren dan ook dat ze natuurlijk het beste hebben voor ons bedrijf. En ik denk ook wel dat dat terecht is. Ja, maar je moet daar bij dat soort platform moet je dan wel heel snel de creditcard trekken. Want de instap pakketjes die zijn al heel gekoop. Daarmee lokken ze klanten. Daarmee heb je een spartaanse omgeving draaien. En een grote klant van mij die had alles in de Amazon draaien. En die had op een gegeven en een van de databases was gerenst gewerkt. En toen wilde ik daar een forensisch onderzoek op doen. Maar toen bleek dat de configuratie van de logboeken van die database die waren drie dagen. En dan wil je een lange logboekrotentie hebben. Nou, dan moet je weer allerlei extra dingen bestellen. Wil je security monitoring van Amazon hebben, dan moet je ook extra dingen bestellen. Dus bij dat soort cloud platformen, die soort cafeteria lijst hebben, moet je wel echt de goede vinkjes allemaal aanhebben staan, goed configureren en er ook regelmatig naar kijken om het wel echt voldoende veilig te krijgen en te houden. Dus je bent met zo'n veel bedrijven denken ook en ontwikkelaars van nou, ik ga naar zo'n gerenomeerde partij heen, dan zal het wel goed voor elkaar zijn. Maar je krijgt alsnog een heel scherpe zakmes waar je je lelijk kan bezeren. Je moet wel de juiste tools inschakelen en ook al weten wat je doet erin. Ja, neem ik mee eens. Het is natuurlijk altijd wel vanwege een financieel verhaal dat ze natuurlijk bij ons komen aankloppen en advies komen geven. Maar ik moet wel zeggen dat de ervaring wel goed was hoor. Ze dacht echt wel met ons mee en ze had ook wat casus opgenoemd Oké, zorg ervoor dat je dit goed in kaart hebt en dat je dit erbij neemt. Weet je al al die vinkies waar je het over hebt. Ja, oké. En ja, ik heb één laatste vraag. Dat was dan meer uit eigen belang ook een beetje. Ik ben ook heel blij dat je in de aflevering bent. Een vraag die wij heel vaak krijgen in ons team, waar ik nu werk, is hoe bewaar je nou wachtwoorden goed in een grote organisatie? Ja, daar lopen heel veel organisaties tegenaan. En wat je veel bij enterprise organisaties ziet, dat die hebben speciale dure software waar dan centraal wachtwoorden in opgeslagen worden. En ieder keer dat je dan een wachtwoord opvraagt, wordt ook in een centraal database geloogd wie welke wachtwoord wanneer heeft opgevraagd. En ja, daar heb je dat soort oplossingen voor. Wat ik ook zie is dat er veelal op netwerkschijven zeg maar een keypass database staat waar dan meerdere mensen in werken. Soms staat ook de executable staat in het mapje waar de database bestandje staat, waar dan iedereen weer schijfrecht op heeft. Dus dan kan je als een van de mensen die toegang heeft dan ook schijfrecht op executable heeft. Dan kan je natuurlijk daar een malware inzetten en zo kan je de hele dag wachtwoord database achterhalen. Ja, dus het is belangrijk om voor een oplossing te kiezen waarin je dus heel makkelijk centraal je wachtwoorden beheert. Dat kan ook een cloud-based wachtwoord manager zijn. Je hebt er best wel wat goede tussenzitten. LastPass, OnePassword bijvoorbeeld. En ik zou zelf kiezen voor een keypass database bestand die je dan ergens neerzet op je besloten netwerk, waar je hele strikte autosaties op hebt staan, need to know zeg maar. En ja, dat is belangrijk zeg maar dat je ook weet wie je heeft. En Jika zou dan kunnen kijken naar de logging. De standaard heeft keypass log niet wie wanneer een wachtwoord in kijkt. Dus gewoon een bestandje wat je eigenlijk host. Dus als die logging van je organisatie wel van belang is, dan kan je meer kijken naar een meer cloud-based bijvoorbeeld oplossing. En het is bij zo'n cloud-based oplossing dan weer heel belangrijk dat iedereen weer two-factor-authenticatie instelt. Het is naast je wachtwoord een code invullen. Ja, dus dat moet je vooral doen. Gebruik geen Excel. Ik kom ook wel eens op bedrijfsnetwerken Excel of soms zelfs access bestanden tegen waar mensen wachtwoorden in zetten. En dan soms ook nog echt verouderde office bestanden. En het probleem met oude office bestanden is waar wachtwoorden op gezet zijn. Dus dan dat je die dan soms bijna instant kan reversen. Dus dan is een Excel bestand met een wachtwoord beschermd, maar dan is het soms met een druk op de knop is die onschadelijk te maken. Tegenwoordig zijn die met de nieuwste versies van office is er wel goede versleuteling actief, maar ja, dat komen er regelmatig tegen. En dat is het eerste wat we als hackers doen. Op het moment dat wij toegang hebben tot een laptop van iemand, dan gaan wij op zoek naar iemand met beheerrechten of een lead ontwikkelaar bijvoorbeeld. En dan gaan we in Outlook zoeken wij op het woordje password, op het woordje pass, dubbele punt, wachtwoord, login. Nou, dan heb je al je eerste login schermen allemaal om zelf testaccounts, noem maar op. Je krijgt echt heel veel wachtwoorden dan al. Nou, vanaf zo'n laptop ga je dan het internet op naar de sharepoint. Nou, hetzelfde verhaal. Je zoekt op password in sharepoint. Nou, je wil niet weten wat je dan allemaal terugkrijgt in een grote organisatie. En dan komen er zitten hele interessante systemen tussen. En ja, veel textbestandjes op desktops, ook op netwerkschijven ga je zoeken. En dat komt eigenlijk allemaal omdat heel veel drijven geen centraal goedbeheerde wachtwoordmanager aanbieden voor afdelingen. Maar stel dat die er wel zijn, ja, dat gaan ook nog wel gewoon per mail wachtwoorden uitgewisseld die niemand dan weer verwijderd. Als je mij een wachtwoord per mail stuurt, dan sla ik hem op in mijn wachtwoordmanager en dan edit ik de mail in Outlook. En dan haal ik het wachtwoord eruit, sla ik hem op. Maar ik ken bijna niemand die dat doet, want dat is extra werk. En meteen van ja, gods, komen laptop toch niet in. Maar je moet altijd je security zo inrichten dat je er altijd rekening mee houdt dat het ooit gebeurt dat je gerakt wordt, want er zijn een paar zekerheden in ons leven, dus je gaat dood en je wordt een keer gerakt. En de vraag is wanneer precies? Gaat iemand wel voorkomen? En ja, dan moet je zorgen dat je, dat de impact zo minimaal mogelijk is. Ja, en als je dan zo, want dat vind ik op zich al heel erg duidelijk dat je dan een centrale soort van omgeving hebt waar je de wachtwoorden beheert. Maar ik kan me ook voorstellen dat die beheerders die moeten natuurlijk, want die moeten dan toegang krijgen tot die centrale database. Hoe kijk je daarnaar? Is dat één iemand of zullen dat meerdere moeten zijn? Want iemand moet op een gegeven moment de centrale key master zijn? Ja, klopt. Wat in heel veel enterprise netwerken heb je allemaal, heb je allemaal domain admins. Heb je allemaal beheerders die overal weer bij kunnen. Dus dat zou je ook op zich een afweging moeten maken. Kijk, je moet gewoon zorgen dat de continuïteit is. Dat als er één of twee mensen weer uitvallen, dat iemand anders dan de beheerrechten heeft. Maar zorg dat het zo minimaal mogelijk is. Eén is geen, want dan heb je geen backup. Dus ja, je hebt altijd wel vertrouwde mensen nodig ergens voor. Ja, precies. Maar zolang het groepje maar niet te groot is, want dat is natuurlijk wel belangrijk. Ja, en waar je ook rekening mee kan houden is functiescheiding. Dus dat je, zeg maar, dat je de wachtwoorden die ontwikkelaars gebruiken, dat je die in een aparte database zet en de wachtwoorden die beheerders gebruiken, weer in een aparte database. Zodat de beheerders weer geen toegang hebben tot ontwikkelaarswachtwoorden. En andersom ook niet. Dus dat kan je nog wat slim segmenteren. Zodat niet één iemand alles kan hebben, zeg maar. Supergoede tip. Ja, oké. Nou, dank je wel voor dat beantwoorden. Ik denk dat er ook wel wat luisteraars waarschijnlijk aan het schrijven zijn nu. Maar ja, nee, dat zijn hele goede tips. Want keypads gebruik ik nu ook sinds vier jaar ongeveer. Nou kijk, hartstikke goed. En over dit soort zaken heb ik met een aantal andere hackers en Daniel Valaan, een journalist van Etia News, hebben we daar een hele handleiding over geschreven. Die staat op laatje niet hack maken.nl. En daar staat van alles op van antivirus tot wachtopmanagers tot two factor authenticatie en wat je eigenlijk allemaal moet doen om je computer veiliger te houden. Voor mensen die daar geïnteresseerd in zijn van hoe kan ik zo'n hack proef mogelijke laptop en in mijn dagelijks leven iets tegen gebruiken. Kijk vooral op laatje niet hack maken.nl. Hartstikke goed. Dank je wel. We nemen het sowieso op in de show notes. Nou, dan denk ik dat we maar doorgaan naar de tweede deel van onze podcast. Ja, denk ik het wel. Ja, de developer dilemma's. Nou, het is een hekker dilemma. Dat zijn hekker dilemma's inderdaad. Nou, ik had Syme al een beetje voor de aflevering een beetje voor gewaarschuwd. We gaan gewoon even wat leuke dilemma's aan jou voorschotelen Syme. Ja, je zal echt moeten kiezen, man. Oh jeetje, man. Ik ben heel generoseerd altijd, dat vind ik lastig. Ja, precies. Gewoon de ware aard die proberen we naar boven te halen voor jou. Ja, precies. Maar nogmaals, dat zal vast geen goede fout zijn. Het is meer waar zou je voor kiezen als je echt zou moeten kiezen. Nou goed, ik zal even met de eerste beginnen. We hebben het al eens een in de in de podcast al. Red teams of blue teams? Red teams, die is makkelijk. Maar dan moet je wel uitleggen wat red teams en blue teams zijn. Ja, ja, je hebt in de cyber security, zeg maar, zijn de blue teams, dat zijn de verdedigers. De red teams zijn de aanvallers die de verdedigers testen. En ja, in de blue teams zit zeg maar vaak het security operations center. De security operators die zeg maar de security monitoring software, de IDS antivirus, die de IT's zeg maar al proberen zoveel mogelijk ondersteunen om de hackers buiten te houden. En het red team is zeg maar het aanvallsteam dat eigenlijk zo onzichtbaar mogelijk bepaalde objectives moet gaan behalen. Dat is een van mijn grootste hobby's, wat ik ook onder andere voor bank heb gedaan en nu ook voor het ministerie van volks en gezondheid doe, is dat de blue team, zonder dat ze er vanaf weten, gaan we het red team zeg maar inbreken terwijl security en fraude monitoring aanstaat om dan te testen van is de beveiliging op orde. Nou, en daar kan ook, daar hoort ook social engineering bij. Dus het menselijke aspect, de mensen op de tuin leiden. Dus bijvoorbeeld je kan mensen opbellen om een wachtwoord te vragen, phishing e-mails versturen. Je kan via LinkedIn netprofielen gaan opzetten en dan je voordoen als een medewerker van het bedrijf bijvoorbeeld en zo informatie om te vrutselen. Of een fysieke aspect, je gaat fysiek inbreken, bijvoorbeeld als een soort mystery guest kom je langs en je zegt ja, ik ben de printen monteur en ik kon de storing voor helpen. En dan wat je bijvoorbeeld binnen gelaten, dan eenmaal binnen heb je allemaal hack tools bij je die je dan op een netwerk via een simkaart remote te kunnen benaderen. Ja, dat is heel vet. En dan is een soort kat-en-buik-spel eigenlijk. Blueteam en Redteam. Ja, grappig. Ja, en ik heb het antwoord misschien wel een beetje gehoord, maar ik zou het wel even bevestigd willen hebben. Redteam, toch? Ja, dat dacht ik al. Dat was gewoon eentje om even warm te draaien. Nou goed, nou komt een wat lastigere, denk ik. Nou, hou je vast. Being hacked or being DDoSed? Being DDoSed. Ja, als ik gehacked word, dan, ja, dat is heel veel vertrouwelijke informatie, zeg maar. Dat is een nachtmerrie scenario. Ja, als je gediedosd wordt, ja, dan ligt je website eruit. Ja, nou, dan ga ik via mijn 4G verbinding verder. Ja, dat is voor mij de impact niet zo groot. Maar ja, stel je bent de bank of je bent een kritische infrastructuur. Ja, dan zou je daar een hele andere afweging in maken. Maar voor mij is die nog wel makkelijk te maken. Oké, mooi, mooi. Ja, dus ben je afhankelijk van het risico natuurlijk. Maar als het aan jou lag, being DDoSed. Ja, zeker. Geen uitnodiging overigens. Oh ja, nee. Moeten we nog even DDoS uitleggen voor de luisteraars? Of is dat wel? Ik denk dat de meeste mensen het al weten. Ja, dus je gaat met heel veel computers tegelijkertijd of heel veel internetverbindingen tegelijkertijd stuur je dat allemaal op één computer af en die kan het aantal verzoeken dan niet aan. Die bijvoorbeeld een maximaal 200 ingangen. En ja, als je met 1000 tegelijkertijd een webpagina opvraagt, ja, dan krijgt bezoeker 201 tot en met 1000, die krijgt gewoon geen antwoord meer terug. Dus dan ligt gewoon een hele dienst eruit. Ja, precies. Oké, de volgende is een beetje een open deur, vind ik, maar ik vond hem wel leuk om even op te noemen. Memorize your SSH keys or tattoo your SSH keys? Oh ja, ja, dan zou ik zeker het onthouden, maar dat is ook wel echt super ingewikkeld. Ja, kijk, die, als je het tatoeëert, dan kan je niet zomaar je SSH key aanpassen. Ja, dus als je gaat zwemmen, dan, ja, dat is wel, of gefotografeerd wordt. Ja, dan ben je gewoon de klops. Oh ja, tuurlijk, ja. Ja, deze heb ik van de developerdilemmaats.com gehaald. Ik vond hem wel heel toepasselijk toen ik hem voorbij zag komen. Ik denk, ik ga hem gewoon even stellen aan je. Want ik vraag me dan ook echt af of de developers dan echt een tatoeage van hun SSH key zouden tatoeëren. Maar goed, dat is wel echt hard, denk ik hoor, maar ik heb wel iemand die dan het logo van hun favoriete spel of zo tatoeëren. Ja, die zien we ook meer. Ja, die geloof ik al, ja. Ik hoorde ook dat Saber een hele mooie tattoo op zijn beel heeft van Microsoft, geloof ik of zo. Oh, wauw, dat is wel echt fanboy. Nee, nooit. Zo weet ik het. Maar dit is vroeger, toen had men nog helemaal geen encryptie en dan praat ik over honderden, duizenden tot duizenden jaren terug. Hoe krijg je dan een bericht van A naar B, en stel je wordt onderschept, dan kun je een geheimschrift gebruiken en zo. Maar wat men toen ook al deed was het bericht op iemands hoofd tatoeëren en dan groeide daar haar overheen. En zo kon je toch onzichtbaar een bericht van A naar B versturen. Ja, dus er zijn wel in de cryptografie zeg maar wel echt wel verhalen van tatoeasies bekend. Grote rolletjes, zeker zeker. Nou, komen we bij de laatste. Serverless ontwikkeling, or containers ontwikkeling? Ja, ik zou dan in containers ontwikkelen, omdat dat veel schaalbaarder en reproduceerbaarder is. Oké, en serverless dan niet? Dat reproduceerbaarheid is denk ik wel een punt. Dat schaalbare, dat kun je denken, oh ja sorry, ik vul het nu even in, maar dat schaalbare is serverless, dat is een van de eigenschappen. Maar reproduceerbaarheid is denk ik nog wel een punt. Wat bedoel je met serverless zeg maar, met die term? Oh ja, nou dat is misschien wel helemaal een goeie, ja, het is eigenlijk tegenwoordig met de cloud nooit meer jouw server. Maar goed, wat er eigenlijk gezegd wordt is bij serverless, je deploit alleen jouw code ergens heen en dat wordt dan op afroep zeg maar, wordt die in de lucht gebracht. Dus stel, je hoeft dan alleen maar te betalen, dat is dan het marketingverhaal er omheen. Je betaalt alleen maar voor de computebouwer als het gebruikt wordt. Dus als ik een webrequest doe naar een serverless functie, dan komt hij alleen in de lucht als die webrequest zeg maar uitgevoed moet worden, dan doet hij een berekening. En als hij klaar is, dan maakt hij het plaatje, zet hij ergens anders naartoe of schrijft hij ergens anders heen en dan is hij klaar en dan is hij weer uit de lucht. En jij hebt helemaal geen penult of op wat voor server het draait of waar het draait, dus dat is allemaal helemaal weggeabstrailleerd voor je. Ja precies. Ja dan zou mijn overduidelijke voorkeur naar containerized heen gaan, maar het ligt ook natuurlijk aan de toepassing. Stel je wil een wachtwoord kraken, dan zie je wel dat hackers toch wel serverless architectuur inzetten. Gewoon een hoop geld tegenaan gooien en ga deze hesma kraken, dan maakt het me niet uit hoe je het doet, ik wil gewoon resultaat hebben. En ja dat schaalt heel lekker en goed en dan maakt het niet zoveel uit wat er eigenlijk allemaal precies gebeurt. En bij containers heb je gewoon heel reproduceerbaar wat er gebeurt en als je de integriteit van je systeem heel belangrijk is dan wil je niet dat een of andere black box het voor je oplost ofzo. Ja precies, ja dat is wel een duidelijke. Super, ja ik twijfelde over deze laatste maar ik ben wel blij dat we hem even genoemd hebben want het geeft wel de twee spectrums even aan. En ook de veiligheid hebben we hierin dan even besproken dus het heeft hier toch wel mij weer een wijze les lid. Nou mooi, hey wat vond je ervan Syme, wat zei je er doorheen, viel het mee? Ja nee hartstikke leuk, ja. Nou als ik goed, dat waren de developer dilemmas. Nou ik stel voor dat we weer doorgaan naar het volgende deel. Ja het laatste dat is denk ik een, nou ja niet makkelijk trouwens, zo moet ik het niet zeggen. De tips, we proberen iedere keer tips zeg maar of iedereen mag gewoon tips aandragen. Ja ik heb er dit keer wel een paar, soms heb ik hier inspiratie dit keer wat meer. Ik weet niet of jullie allemaal tips hebben want dan, ja dan mogen jullie. Ga jij maar als eerst, dan ga ik ze eventjes verzamelen, goed? Ja ja oké, goed, de eerste is zeg maar die gaat Simon sowieso kennen want dat is een podcast tip. Dat is de Darknet Diaries die ken je vast wel. Geniaal, echt mooie verhalen. Ja precies, dat is gewoon leuk om dan, ja ik ben geen security, privacy, hackerspecialist. Ik vind het wel gewoon leuk om die verhalen die, hoe noem je dat, die stoer verhaal te horen over heel de grote hacks zeg maar in Amerika of waar dan ook, ook complexe hacks of kinderen die de meest rare dingen uit hebben gesproken. Ja dat is volgens mij ook, ik meen dat ook bij Darknet Diaries geweest, dat was die Xbox hack. Dat is echt de meest bizarre verhalen zeg maar. Ja dat is echt wel een hele gaaf podcast, dus dat is sowieso een aanrader. Dus de Darknet Diaries die zetten we ook in de show notes. Tweede tip, dat is een beetje een brug naar een mogelijke aflevering die we in de, hopelijk in de redelijk snelle toekomst gaan opnemen. Het gaat eigenlijk, dus de tip is, bouw je eigen server thuis. En dat is niet zozeer omdat ik denk, oh stoer je moet een server kunnen bouwen. Het is niet hardware-matig maar gewoon, ja maakt niet uit hoe. Alleen door dat te doen zeg maar, door zelf je operating system Windows of Linux of whatever, zelf op te zetten en dan de software stack die er bovenop, stel dat je PHP gaat programmeren, dus dat je ook je eigen webserver en PHP installeert, dus alles zeg maar dat je daar allemaal mee in aanraken komt. Om dan een beetje te begrijpen, oké waar kom je, wat betekent dit allemaal. Maar ook de mogelijkheid om dan gewoon lekker te spielen rijden zeg maar thuis. Zonder dat je dingen kapot maakt waardoor allerlei mensen chagrijnig worden. Ja dat kun je allemaal gewoon thuis doen. Nou waarom kwam ik hier ook op, is omdat wij in de Slack zeg maar bij ons heb ik met Rogier Lommers, die heeft in een eerdere aflevering, is die gast geweest, die werkt bij bol.com en die tipte ons, die had wat feedback zeg maar, misschien moeten we een keer, of moeten jullie een keer een aflevering opnemen over zelf thuis service draaien en wat komt er aan bij kijken en wat kun je dan doen, wat voor software etc. Dus zo'n aflevering gaan we in de toekomst wel een keer maken maar een tip is in ieder geval en bouwen we een keer zelf een server en draaien je eigen software. De laatste is een beetje gewoon nerd culture en pop culture. Ik ben best wel een Marvel fan, ook van de films, maar ook de comics zeg maar en er is een Marvel Unlimited abonnement en dat is, ik weet niet, dat kost, dat kost, weet ik veel, 10 euro of zo, dat is een beetje zo'n Netflix abonnement vorm, abonnements vorm, soort van all you can eat. Je betaalt dan, ik meen, 10 euro per maand en dan kun je gewoon alle strips, zeg maar, lezen, zeg maar, bij van Marvel en je hebt ook een jaar abonnement, die is een stuk goedkoper, dan is het volgens mij iets van 6 euro per maand. En ja, dat is wel tof, want dan kun je goed, ik ben nu toevallig een reeks van The Avengers aan het lezen, die aflevering 93 of zo, dus die komt uit 1964 en dat is wel heel grappig om dan te zien hoe in die tijdsgeest al die superhelden, zeg maar, geplaatst zijn en hoe, ja, dat taalgebruik is net even wat anders, maar je ziet wel heel erg waar al die films van nu op gebaseerd zijn. Dus dat is een tip. Ja, best wel een gunstige abonnements vorm. Dat waren mijn drie tips. Ja, dus 65 euro per jaar, dat is op zich wel redelijk tof. Ja, ik heb ook nog wel een tip die ik wil geven. Je hebt Van Owasp, dus de organisatie die alles weet over websitebeveiliging, die heeft ook een hele rikse boeken geschreven en die bieden ze tegen kostprijzen aan. Dus dan heb je echt voor 20 euro, heb je acht boeken of zo. En ja, als je daarop zoekt, kun je echt voor heel weinigheid heel veel security, applicatiebeveiliging, lectuur binnenhalen. Kost je bij niks. Ik had ook nog twee tipjes over nerd-items gesproken. Ik zag onlangs een Optimus Prime, auto-converting, voice controlled, advanced robot. Die was zo vet. Dus dan zeg je gewoon tegen die Optimus Prime, zeg je, weet je wel, auto-bot, roll out. En dan transformeert die uit zichzelf. Er zitten echt meer dan 600 chips in. Ik weet niet wat er allemaal voor sensoren allemaal opzitten, maar dan moet je hem ook wel met je wifi verbinden. Hij is sowieso voice controlled, dus ik ben wel benieuwd hoe ze dat willen hacken. Maar ja, je kan hem via je telefoon benaderen inderdaad, heb ik gezien. Ja, precies. Je hebt ook allemaal kinderspeelgoed tegenwoordig met microfoons en die worden steeds slimmer, dat slimme speelgoed. En ja, alles wat je dan zegt wordt dan als kind naar de cloud geüpload en dan krijg je een slimme antwoord terug, zeg maar. Ook wel een privacy-nachtmering, want wie gaat nou zo'n slimme pop updaten. Maar dan moet er bij jou in de toekomst ook Optimus Prime gebedeeld worden. Dan zit je vlakbij die Optimus Prime en zeg je, man, wat was je wachtwoord ook alweer? Ja, dat is N, Z. Dan moet je die Optimus Prime mee te luisteren. Sorry dat ik je nu onderbrengt, dat doe ik vaker. Dat is een beetje mijn skillset. Maar nu je dit zegt, zeg maar, over die wifi dingen. Degene waar ik helemaal niet bij stil had gezien en achteraf dacht, ja, oké, dat kan. Je hebt die robot, zeg maar, dus de stofzuigers die tegenwoordig best veel mensen hebben. Wij ook. En die hebben zo'n LIDAR, zeg maar, een laser die dus kent wat de ruimte is en waar die dan moet gaan stofzuigen en dat die niet gaat botsen en zo. Maar wat blijkbaar dus ook kan, is dat je met laser, zeg maar, geluidsgolven kunt oppikken. En dat is wel iets waar ik dus niet bij stil had staan. Dat ze dus op die manier gesprekken, zeg maar, op allerlei plekken, zeg maar, kunnen vastleggen. Want je zou zeggen, want het eerste wat in je opkomt bij die stofzuigerrobot is dat je zegt, oké, daar zitten camera's in, dus ze kunnen beelden opnemen en ja, die kunnen ze vastleggen. Dus dat wil je niet. Maar je staat er niet bij stil, dat ze dus ook nog eens met laser, dat je die ook eventueel geluid op kan nemen. Dus dat vond ik ook wel scary. Ja, vooral ook inlichtingenen, ze hebben daar natuurlijk een specialiteit van gemaakt. Maar je kan met een laserstraal op een raam, kan je zeg maar, als je praat, dan gaat het raam heel licht resoneren. En daar kan je software voor schrijven. Als je met een laser op een raam schijnt, dat je dat dan weer kan reversen naar tech, zeg maar. Dus dat is ja, nu zal het, voor bijna alle luisteraars geen actuele dreiging, zeg maar. En bij die stofzijgrobots had een tijdje geleden had LG, die had ook een stofzijgrobot met camera en dan kon je dan als je niet thuis was, kon je met je stofzijgrobot door je huis rijden om te kijken of er niet een inbreker rondloopt of je kat schrik kan jagen. En dat was ja, dat was ook niet goed beveiligd, zeg maar, hun ICT eromheen. En dan kon je als hacker, kon je dan met iemand stofzijgrobot gaan rondrijden in zijn huis en ook kijken dus hoe het huis eruit zag. Ja, dat is natuurlijk een natte droom voor elke kind die kattenkwaad wil uithalen, zeg maar. Vroeger kon je iets fysieks in iemands huis bewegen, zo'n sederom laden open en dicht. En nu heb je gewoon soms afstand bestuurbare drones, stofzijgrobots, ja, dat gaat wel ver inderdaad. Ik vraag me af hoe goed je met die lasers, zeg maar, in zo'n stofzijgrobot, hoe goed je dat dan... Ja, dan moet die stofzijgrobot dan wel naar een soort spiegel rijden of zo, of als je panorama ramen hebt tot de grond, dat die dan daarop zou kunnen doen. Ik vind dat wel goed bedacht op zich. Ja, ja, zeker. Het zal ook wel weer een combinatie zijn van, ik denk niet dat het bij heel veel mensen zal niet kunnen. Maar god weet, zodat je ook zegt, als je een hack hebt om die robot überhaupt te kunnen besturen, dat je hem dan naar een raam rijdt, zodat die... Ja, als je dan avond of nachts denkt, waarom rijdt die robot ieder avond altijd naar een raam toe, dan weet je nu wat de man kan anders. Ja, goed joh. Oké, dat was mijn... Nee, hele waardevolle. Absoluut. Waardevolle onderbreking. Even kijken. Ja, de laatste tip jongens. Ja, dat is echt zo open deur. Maar verander je wachthoort, mensen. Lieve mensen. En vooral als je bij allekabels.nl hebt besteld. Ja, want dat ben ik zelf ook vergeten. Ja, het is echt erg. 3,6 miljoen records. Zo'n beetje het grootste dataleck dat we als Nederlanders hebben gehad. Hartstikke vers. Ja, en meestal zeg ik bij dit soort dingen van ja jongens, stel 2 factor authenticatie in. Maar dat kan natuurlijk bij alle kabels helemaal niet, want het is gewoon een platte webshop. Maar zorg dan dat je een wachthoortmanager hebt privé. Ik ken heel veel mensen omheen die maar vier verschillende wachthoorten hebben, omdat ze het maximale is wat ze willen onthouden, kunnen onthouden. Maar als je een wachthoortmanager hebt, dan kun je dus overal een uniek wachthoort configureren. En dan maakt het ook niet zoveel uit als allekabels.nl gehackt is, zeg maar. Want als in ieder geval niet je wachthoort kan aanvallen, dan niet zomaar op je Facebook inloggen. Ja, dat is nog een veel betere tip inderdaad. Gewoon een centrale wachthoortsysteem. Ja, en zeg maar stel overal waar het kan, dat duw factor in. Het is een beetje irritant natuurlijk om naast je wachthoort zo'n code van je telefoon over te typen. Maar echt, dat is wel een gouden wapen tegen de meest voorkomende hacks. Want tegenwoordig zijn er datasets in omloop waarin miljarden unieke gebruikersnaam wachthoortcombinaties staan. Dat noemen we zogenaamde compilatie datalecken. Dus dat is zo'n compilatiedataleck. Daar zijn soms honderden verschillende kleinere datalecken samengevoegd. En elk uniek wachthoort per e-mail adres, per user account, wordt daar dan in platgeslagen. En dan kan je als herker gewoon op e-mail adres zoeken. En krijg je vaak 1 of 2 wachtwoorden die ergens in het volledig gebruikt zijn. Krijg je terug. Nou, en als je dat dan uitprobeert op gewoon inwachtsschermen, dan heb je 10, 20 procent kans dat dat gewoon nog werkt. En dat zwerft dan rond op internet. En ja, het is best wel onder hackers best wel wat hebben van dat soort sets op een computer staan. En ja, dan ben je gewoon heel kwetsbaar op het moment dat je heel weinig wachtwoorden gebruikt niet vaak wijzigt of geen 2-factor hebt ingesteld. Ja, ik ben ook wel benieuwd wat van Impact het op alle kabels.nl maakt hoor. Dit grapje. Ja, ze hebben een hoop publiciteit bijgekregen. De aandacht is ook aandacht. Ik ben benieuwd of de toezichthouder hier nog wat op gaat ingrijpen. Ja, op een gegeven moment is iedereen het natuurlijk vergeten. En dan gaat het gewoon weer door. Ik had niet verwacht dat alle kabels zoveel, dat 3,5 miljoen bij alle kabels. Dat is zo'n lelijke schijt ook. Ja, zo simpel, maar dan toch blijkbaar marktlijden met kabels. Een paar vrienden van mij zeiden ook van ja, ze hebben gewoon elke kabel. Dus ja, ik heb het ook besteld. Iedereen heeft al een keer besteld, schijnt. Dus het is echt groot. Ja, ik zat er ook bij. Maar goed, ik maakte me niet per se druk. Want ik dacht ja, ik gebruik ook een password manager, dus ik denk ook, ik weet niet eens wat mijn password is. Dus succes. Ja, precies, ik bedoelde. Nou, ik bedoelde meer. Dus voor de mensen die het niet gebruiken, zeg maar, even een tip. Ja, en dan nog een tip toevoegen. Als je bijvoorbeeld een Gmail of Outlook e-mail adres hebt, dan kan je met een plusje voor je achter je username, kan je bijvoorbeeld Simon plus allekabels.gmail.nl kun je dan als gebruikersnaam opvoeren. En dan mocht je op een gegeven moment op dat e-mail adres, mocht je op een gegeven moment ja, opeens hele niet verklaarbare nieuwsbrieven of vissing mailtjes krijgen, dan weet je van hey, allekabels.nl is gehackt. Want daar heb ik als enige dat e-mail adres toegevoegd. Ja, dat zal het zijn. Ja, dus Outlook en Gmail die staan toe dat je willekeurig aantal e-mail adressen maakt als er maar een plusje achter je username staat. Oké. Ja, en zo kwamen ook bepaalde mensen erachter dat hun account bij allekabels was gehackt, omdat ze daar op een gegeven moment vissing mails op kregen. Nou, een goed tip. Ja, dat is ook wel iets wat de wereld weer een stukje veiliger maakt. Die zijn alweer twee uur lekker bezig. Zo, tijd gaat snel, zeg. Gaat snel als je het naar je zin hebt. En ik moet toch even een kudo maken naar Zencaster. Dit keer heeft hij het volgehouden tot die twee uur lang. Ik wil bijna zeggen niet de goden verzoeken, maar goed, ja, dat is waar. Totdat we op stoprecording drukken. Alles weg. Ja, precies. Ik ga er niet van uit, maar goed. Ja, dat was hem weer allemaal. Ik wilde Simon natuurlijk onwijs bedanken voor je deelname tijdens deze podcast. Ja, dank je voor de uitnodiging. Heel leuk om hier te mogen zijn ook. Ja, ik hoop dat je het leuk hebt gehad. Zeker. Ja, en wij hebben natuurlijk veel geleerd over cybersecurity, hacking en privacy. Een mooie toevoeging. Toch, Saber? Ja, ja, zeker. Zeker een interessant onderwerp. Dat is voor de luisteraars ook interessant. Zeker voor developers ook, want wij denken niet altijd aan security. Nee, precies. Ja. Altijd security achteraf, een beetje eraan plakken. Ja, precies. Security last. Ja, het is ook goed om security mensen tijdens het ontwikkelen te betrekken bij software. Zodat je niet die eind watervalachtige pen test krijgt, waar je live moet, maar dan nog een maand aan alle security fixers moet werken. Iedereen in stress. Ja, dat is dat. Ja, eens. Dat kan ik weer alleen maar behamen. Het gebeurt gelukkig wel meer. Dat was helemaal niet gangbaar. Behalve bij sommige bedrijven of financiële instellingen. Daar is het altijd al ingebakken geweest. Die lopen we echt al ver vooruit. Ook bij de Raalbank is het een van de eerste afdelingen, zeg maar, die in het ontwikkelproces al al die security testen gingen uitvoeren. En dan is je planning veel, veel meer te doen. Maar heel veel bedrijven hebben nog nooit een security test uitgevoerd. Dus dan is al zo'n eindtest is al of überhaupt een keer een test is al is al waardevol. Oké. Nou, Salves wil ik ook bedanken voor het mogelijk maken van online opnames met ZenCaster. Wat dus dit keer wel lekker goed ging. Hebben we nog andere dingen? Ja, ga naar codeklets.nl. Daar kun je al onze afleveringen zien. Deze aflevering verschijnt daar natuurlijk ook. Je kunt ook zien hoe je bij onze Slack komt. Je kunt abonneren op onze nieuwsbrief. De nieuwe aflevering, en ik loop echt enorm achter met die nieuwsbrief, maar die gaat morgen eruit. Ah, yes, yes, yes. Dan gaat die ook de de eter in. Is dat, nou ja, goed, whatever. Ja, dat zijn nog andere zaken. Je kunt ons volgen via Twitter. Ik herhaalde nog een keer in wat we daar ook altijd doen via het op ons Twitter account. Dus alle gasten, zeg maar, die volgen we ook. Dus je kunt altijd daar op die manier kijken. Interessante gasten, die kun je ook op die manier volgen via Twitter. Door even bij ons op het Twitter account te kijken welke mensen wij volgen. Wij volgen alleen maar onze gasten. Verder niemand, dus het is verder geen soort van spamfabriek. Ja, dat was het. Bedankt weer, Simon. Ja, alsjeblieft. Ja, dankjewel Kishen ook. Graag gedaan, man. Ja, en tot de volgende keer weer. Doei, hoi hoi.