Aderverificatie te omzeilen met nephand

Onderzoekers hebben op het 35e Chaos Communication Congress (35C3) een manier gepresenteerd om biometrische authenticatie op basis van aderverificatie te omzeilen. De oplossing is evenzo simpel als zorgwekkend: ze maakten een nephand.

Steeds meer apparaten en beveiligingssystemen maken gebruik van biometrische authenticatie zoals aderverificatie als beveiliging. Hoewel deze methode in Japan op grote schaal wordt gebruikt bij geldautomaten, is in Nederland vooral vingerafdrukbeveiliging een veel toegepaste wijze van biometrische verificatie.

De zogeheten aderverificatie controleert de persoon die toegang wil tot systemen of locaties op de specifieke eigenschappen van het vatenstelsel in de hand van deze persoon. Hiervoor zijn de vorm, grootte en positie van de aders in de hand van de gebruikers belangrijk.

Wassen hand

De hackers die hun onderzoek presenteerden op de 35e C3-beurs in Leipzig, Julian Albrecht en Jan Krissler, hebben deze beveiligingsmethode dus weten te omzeilen met een nephand gemaakt uit was.De zaak doet hiermee denken aan de gezichtsscanner die met een 3D-geprint hoofd werd omzeild. 

Hiervoor hebben ze met een DSLR-camera met verwijderd infraroodfilter foto’s gemaakt van hun eigen aderpatroon in de handen, waarna ze de nephand namaakten. In een maand tijd heeft het duo 2500 foto’s gemaakt om uiteindelijk het systeem te kunnen kraken met een identieke nephand.

Wapenwedloop

Aderverificatie zou moeilijker te omzeilen zijn omdat het ook moeilijker is om de specifieke kenmerken van iemands aderstelsel te kopieren, zo is de veronderstelling. De Duitste inlichtendienst BND is inmiddels op de techniek overgestapt om het eigen hoofdkantoor te beveiligen.

Het relatief eenvoudige doorbreken van de beveiliging op deze wijze geeft te denken, daar het aangeeft dat iedereen met een toereikende hoeveelheid aan (financiële) middelen en tijd in staat zou moeten zijn om ook deze beveiliging relatief eenvoudig te omzeilen. “Biometrie is altijd een wapenwedloop”, zei Jan Krissler tegen Motherboard, wat ook foto’s van de nephand plaatste. “De fabrikanten verbeteren hun systemen, de hackers breken er vervolgens doorheen en dan begint alles weer opnieuw.”

Oude Bedrijfsservers en camerasystemen

Afgedankte bedrijfsservers worden regelmatig doorverkocht terwijl er nog waardevolle data op staan – zoals Nederlandse zorggegevens, claimt een IT-expert

Westerse bedrijven hebben er een handje van om vertrouwelijke en gevoelige data door te spelen naar particuliere ondernemingen in het buitenland, als ze oude servers en andere computerapparatuur afdanken en nieuwe hardware aanschaffen.

Dat zegt een IT-expert op anonieme basis tegen Business Insider. De data die zo in vreemde handen komen, zijn in theorie goud waard voor hackers.

Business Insider sprak met een IT-expert die gevestigd is in Roemenië. Het gaat om een persoon die werkt bij een bedrijf dat IT-hardware een tweede leven geeft. Oude apparatuur wordt opgekocht in onder meer Spanje, de Benelux en het Verenigd Koninkrijk.

Na een opknapbeurt wordt deze apparatuur weer doorverkocht aan klanten die genoegen nemen met gereviseerde tweedehands spullen.

De IT-expert merkt naar eigen zeggen regelmatig dat apparatuur die formeel zou moeten zijn opgeschoond in de praktijk nog waardevolle bestanden bevat.

Database met Nederlandse zorggegevens

De afgelopen drie jaar heeft de IT-expert onder meer de volgende dingen onder ogen gekregen, claimt hij.

  • Een bijna complete database met gegevens over de basisverzekering van de Nederlandse zorg, met persoonsgegevens, adressen en medische data.
  • Codes, software en procedures voor verkeerslichten en spoorseinen in een aantal grote Spaanse steden.
  • Data van creditcards van klanten, inclusief adressen en frequente aankopen, van een grote Britse supermarktketen.
  • Het vrijwel volledige werknemersbestand, inclusief toegangscodes voor pasjes, van een groot Europees bedrijf in de luchtvaartindustrie.

De bron die Business Insider sprak wil anoniem blijven, omdat hij verwacht dat klanten van wie apparatuur wordt ingekocht het niet fijn vinden als ze mogelijk in verband worden gebracht met laks beleid op het gebied van dataveiligheid.

Twee onafhankelijke bronnen op het gebied van cybersecurity, technologiedirecteur Nir Giller van CyberX en technologiedirecteur Andrew Tonschev van Darktrace, bevestigen tegenover Business Insider dat hetgeen de Roemeense bron schetst, niet ongebruikelijk is en geloofwaardig overkomt.

Servers huren

De IT-expert die in Roemenië is gevestigd, geeft aan dat hij soms dingen tegenkomt die zo gevoelig zijn, dat hij contact opneemt met het bedrijf waarvan de afgedankte apparatuur is gekocht. “In de meeste gevallen stuit je op ongeloof. Dit kan ons niet gebeuren, is de reactie. We zijn goed beschermd.”

Het probleem heeft hoofdzakelijk te maken met de manier waarop grotere bedrijven gebruikmaken van servercapaciteit. Vaak bezitten ze die niet zelf, maar huren ze servers van gespecialiseerde bedrijven.

Na afloop van de huurperiode blijven de servers vaak bij de verhuurder. Die wordt geacht gevoelige data te vernietigen. Ook worden oude servers aan het einde van de garantieperiode vaak massaal vervangen voor nieuwere modellen.

In beide gevallen is de normale procedure dat oude servers worden leeggemaakt door gecertificeerde experts met speciale software. Maar op dit punt worden regelmatig fouten gemaakt of worden slordigheden over het hoofd gezien. Gevolg is dat ogenschijnlijk geschoonde apparatuur toch nog oude databestanden bevat.

“Westerse landen schieten vaak institutioneel tekort bij het beveiligen van gevoelige data”, zegt de IT-expert. “Vanuit het perspectief van hackers loont waarschijnlijk meer om afgedankte bedrijfshardware op te kopen, dan om ingewikkelde pogingen te doen om door beveiligingssystemen heen te komen. Er is een gerede kans dat je interessante data tegenkomt op zogenaamd geschoonde apparatuur.”

Securicon vernietigd altijd de HDD voordat deze worden verwijderd!

Risicomonitor Woninginbraken 2018

Voor het eerst heeft het Verbond van Verzekeraars bijgehouden op welke weekdagen er het vaakst ingebroken wordt. De uitkomst mag nauwelijks een verrassing heten: de meeste woninginbraken vinden plaats in het weekend. In de nieuwste Risicomonitor Woninginbraken is te zien dat op vrijdag en zaterdag 15 procent vaker ingebroken wordt dan op doordeweekse dagen. Het totale aantal inbraken in Nederland neemt wel af.

Inbrekers houden van het weekend: meeste claims op vrijdag en zaterdag

Het zal de Risicomonitor Woninginbraken voorlopig nog niet vergaan zoals de Stichting Aanpak Voertuigcriminaliteit (AVc), dat zichzelf binnenkort opheft vanwege te weinig diefstal. De inbraakcijfers van het Verbond gaan over 2017. In dat jaar waren er nog steeds 60.747 claims op de inboedel- en opstalverzekering naar aanleiding van een inbraak of inbraakpoging. In vergelijking met 2016 (63.922) is dat wel een daling van 5 procent.

Feitjes

Nog wat feitjes: de veiligste provincie van Nederland is Friesland met slechts 45 inbraken per 10.000 huishoudens. In Limburg is de kans op een geforceerd raam het grootst met bijna 109 inbraken op 10.000 huishoudens. Van alle steden met meer dan 50.000 inwoners heeft Groningen het laagste risico op inbraak (50). In Almere krijgen ze gemiddeld 2,5 keer vaker ongenode gasten (126).

Nieuwjaar

En als vanouds blijft oud en nieuw dominant aan kop van de inbraakstatistieken. De woonverzekeraars kregen samen 439 inbraakclaims binnen met 1 januari als schadedatum, tegenover gemiddeld 166 op een andere dag in het jaar.

Verbeterde website

Vanaf 1 januari zal de nieuwe website van Securicon online zijn!

Securicon staat klaar om u te helpen