Onderwerp: UWV & Achmea laten racks openstaan...

Ik wil hier toch op inhaken, ik lees al een tijdje mee en moet zeggen dat ik achter brenno sta.

Laat ik het heel zwart/wit stellen:

Het UWV koos er zelf voor (ik spreek hier het gehele UWV aan, terwijl het natuurlijk ook een lakse sysadmin kan zijn) om in een shared room te gaan staan en óók nog eens de racks open te laten staan.

De servers zouden van geen waarde zijn, de diensten die ze leverden zouden ook niet belangrijk zijn, dat kan allemaal prima.

Brenno geeft zelf aan contact te hebben gezocht met het UWV, maar daar is geen actie op ondernomen door het UWV, wat dan?

Gewoon maar laten draaien en niet naar om kijken? Je hebt er immers niets te zoeken?
Welkom in de échte wereld, zo werkt het niet.

Stel het waren nu wél belangrijke servers geweest en op die tapes had wel de data van duizenden Nederlanders gestaan, wat dan? Als Brenno dit niet gedaan had, was er misschien wel iemand anders in die shared ruimte geweest die de tape mee naar huis nam en dan?

Heel fijn dat het een DC is, maar instanties zoals het UWV (en iedereen die met persoonsgegevens werkt) heeft de data gewoon te beveiligen, zowel op technisch vlak als fysiek.

Laat ik een ander voorbeeld pakken: http://gathering.tweakers.net/forum/...ssages/1269846

Hij had dus ook gewoon zijn mond moeten houden en de backup weg moeten gooien? Planet heeft nu ook naamschade opgelopen doordat hij dit naar buiten bracht. Mogen ze hem nu ook aanklagen?

Nee, naar mijn idee heeft Brenno juist gehandeld.

Er is:
* Niets gebroken
* Niets gestolen
* Niets veranderd

Ik vind het allemaal nogal hypocriet, het DC wereldje WAS klein, maar wordt steeds groter en groter, er komen steeds meer mensen in DC's en het is een kwestie van tijd voordat er wel data gestolen gaat worden uit een DC wat niet de bedoeling was.

En dan staan we allemaal te schreeuwen, hoe kon dit gebeuren!? Controleert niemand dit?

Brenno, bedankt!

Ik denk ook dat het goed is om zoiets naar buiten te brengen. Het zet bedrijven aan om actief ervoor te zorgen dat hun gegevens veilig zijn (reputatieschade en mogelijk ook echte schade).

Het minste wat je kan doen is zorgen dat er goede sloten op een rack zitten. Als ze die willen openbreken hoort beveiliging daarop te reageren... (hoop ik:P) er hangen meer camera's in 1 DC dan in heel Heerlen hier hehe

Hoe je het ook keert of draait hij bevond zich ergens waar ie niet eens toegang tot diende te hebben.

Degene die hem meegenomen heeft zou per direct de toegang ontzegd moeten worden en evt strafrechterlijk vervolgd.
Nu neemt ie een journalist mee, wat is de volgende.

Oorspronkelijk geplaatst door BsHosting

Hoe je het ook keert of draait hij bevond zich ergens waar ie niet eens toegang tot diende te hebben.

Helemaal correct!

Maar wat nou als hij voor een partij werkte die OOK toegang had tot die ruimte en hij wilde kwaad?

Dan had hij wel toegang tot die ruimte en had hij ook de tapes kunnen stelen, en dan?

Achteraf is het altijd heel makkelijk praten, maar het feit blijft dat er racks onbeheerd open stonden voor een langere periode van partijen die met gevoelige data om gaan. (En ja, ik weet dat het servers waren die niet veel boeiends deden, maar dat doet er niet toe).

Oorspronkelijk geplaatst door Wido

Stel het waren nu wél belangrijke servers geweest en op die tapes had wel de data van duizenden Nederlanders gestaan, wat dan?

Het is geen kwestie van "stel dat". UWV heeft er doelbewust zelf voor gekozen hun belangrijke data niet shared op te slaan.. ze hebben daarmee (willen) voorkomen dat ongeautoriseerde mensen zoals deze journalist ermee aan de haal gaan.

Dit is hun bewuste, eigen, keuze geweest, en ze hebben daarmee wel hun verantwoordelijkheid genomen. Dat er dan iemand (hoeft niet eens van UWV zelf te zijn) een deur laat open staan is stom, maar een journalist die uit is op sensatie en daarvoor, zonder echt te weten hoe de vork in de steel zit, foute conclusies trekt is nog stommer.

Oorspronkelijk geplaatst door brenno

Prima. Anders komt er geen einde aan.

Sportief dat je de moeite neemt om te reageren, verwachtte niet anders van je.

Hier is relatief aardig over gevochten in rechtbanken en dat is geen verhaalbare schade. Anders zou je ieder artikel kunnen stoppen. Dat mensen besluiten contracten te beëindigen is heel jammer, maar niet echt een reden niet te publiceren. De mensen leiden schade als hun overheidsorgaan dat ze niet kunnen kiezen onzorgvuldig met hun gegevens omgaan. Publicatie is vaker schadelijk. Denk aan Youp van 't Hek over Buckler...

Begeef je niet op terreinen die je niet overziet.
Er is genoeg jurisprudentie waarin schade en vervolg schade met succes verhaald is.

Het onlangs nog DDoSser die vorige week veroordeeld werden om elk (4 man) 3500 te betalen aan ICTU om hun incompetentie te vergoeden. (van ICTU dus)

Er is een set foto's genomen en over gepubliceerd.

Met telelens vanaf openbaar terrein iets fotograferen is iets anders dan onder valse voorwendselen je toegang verschaffen tot een gebouw intern.
Je hebt hierbij wel degelijk regels overtreden. Als alle journalisten dat zouden doen word de wereld er niet "veiliger" of "beter" op we komen dan alleen te weten wat er allemaal nog meer fout is in onze samenleving.

Nee zo simpel is het niet, bovendien zijn huisregels iets van een private partij.

Wel als je er niets te zoeken had want dan is het gewoon inbraak met valse sleutel. (even vanuit gaan dat je geautoriseerd bent onder valse voorwendselen)

Journalistiek belang (vrijheid van meningsuiting) gaat hier voor. Dit had ik met een Wob-verzoek bij het UWV niet kunnen aantonen.

Het gebeurd zelden dat een journalist zich op (niet in Nederlandse wetgeving verankerde!!) verschoningsrecht kan beroepen indien hij strafbare handelingen heeft begaan.
Er is wel een grijs gebied maar toetsing is altijd achteraf en voor het hekje.

Je kan me niet wijsmaken dat het geen wat je nu gepubliceerd is van dusdanig maatschappelijk belang is dat het geen wat jij had moeten doen te rechtvaardigen is. Immers dan kan je morgen naar kadaster vragen waar kabels lopen en kabels gaan opgraven bij elke interessante organisatie en heb je wederom een artikel.... voordeel tot je pensioen heb je iets om over te schrijven.

Bij een gerichte aanval wel, maar door het er zo op te zetten weet je ook meteen wat wat is. Daarvoor hebben we de CMDB uitgevonden om dit nou goed te regelen. Nu weet ik meteen waar de jackpot is.

Aan het IP adres kun je al een server of loadbalancer er voor fysiek lokaliseren in enig DC op aarde. Als je lokaal bent kun je een paar dingen doen om de fysieke locatie te vinden, ik wil geen mensen op ideeën brengen, maar het is best eenvoudig.

Ga ik niet helemaal terugzoeken. Maar het is eind 2000 geweest. Zie ook dit en dit. Wetsartikelen of kabinetsbesluiten (volgens mij is dit iets voor een AMvB maar weet dat niet zeker).

Zoals in 1 artikel al is aangegeven dient grondwet te worden aangepast dat is nooit gebeurd. Dat mensen over wetgeving en voorstellen spreken wil niet zeggen dat dat ook is gebeurd, pas na publicatie in Staatscourant is een wet pas effectief en zul je mutatie zien bij een wetsartikel.

Dus toch waarschijnlijk. Bovendien mag je in dit geval verwachten dat er ook vaak medische gegevens meekomen. Die zijn ook nog eens beschermd door de onaantastbaarheid van het menselijk lichaam.

Ik ga hier niet op in, maar het is bullshit. (google op GAK netwerk en je weet meteen waarom). Bovendien zelfs mensen die bij UWV werken hebben GEEN toegang tot medische gegevens alleen hun artsen. (er is daar wel duidelijk wet en regelgeving over).

Begeef je niet op terreinen die je niet kunt overzien door dingen te roepen die je niet weet.

Nee niet in het geval van het UWV. Die moeten voldoen aan VIR2007 en aan de Wet Bescherming Persoonsgegevens.

Moeten ze aan VIR2007 voldoen, dat is nieuw voor mij....
Jij hebt het vaak over wet beschermingspersoonsgegevens maar volgens mij ontga je aan de feit dat er bepalingen zijn die een hogere rangorde hebben dan deze weet waar (semi) overheid zich aan moet houden.

Met liefde 1 voorbeeld. Google vindt er natuurlijk meer.

Niet relevant voor Nederland. In je eerdere reactie deed je als of het schering en inslag was in Nederlandse DC's en ik zal al iemand hier reageren dat je een goed punt boven water zou hebben gehaald.
Niet overtuigend.

Het punt was juist dat ik heb onthuld omdat Cisco en MS niet in actie wilden komen. Daarom het verzoek .... daarom nu weer de stilte.

Weleens afgevraagd waarom ze je deze "scoop" gunden.
Met alle respect maar Brenno de Winter is in Nederland of daarbuiten niet bekend in infosec. Laat staan dat M$ of Cisco omwille van jouw actie gaan ondernemen.

Wellicht dat ze die "scoop" nergens anders konden slijten omdat bij navraag journalisten het zelfde te horen kregen als in de commentaar van Fyodor en vele anderen dat het oudnieuws is en probleem inherent is.

Bel gerust en ik wil de Webwereld-servers graag zien.

Ik zal je een foto sturen :-)

Nou de discussie zou moeten gaan over hoe een overheid met data omgaat.

Waarom ? Heb jij iets wat data gerelateerd is ontdekt?
Ik kan je foto's sturen van gebouw waarin Hyves staat (zowel kantoor als DC) als ook dat ik je van interieur van gebouw als DC's foto's kan sturen, wat maakt ik daar mee duidelijk ? Dat ik een foto toestel heb en van binnen en buiten foto's kan maken?

Dat een kast open kan is inherent aan de functie van een kast, dat slot is geen fysieke beveiligingsmethode, slechts een hindernisje. (sommige mensen zien het als indepth, maar ik beschouw FIPS140 als indepth.)

Deze handelswijze geeft aan dat eigen personeel zorgvuldig wordt geselecteerd, terwijl je dan beheerders van compleet vreemden bedrijven vertrouwd met overheidsgegevens.

Je dient je eigen mensen ook niet te vertrouwen, als ik medische gegevens van jou wil hebben hoef ik alleen baksteen door de raam van je huisarts te gooien en zijn pc mee te nemen, tegen de tijd dat er iemand polshoogte gaat nemen zit ik al in je dossier.

Ik hoop niet dat je nu dit ook gaat aantonen......

Maar het wel zou moeten zijn.

Maar waarom dan Brenno ?

Laat ik er een voorbeeld tegen aan gooien die niet relevant is (wat jij nu met je artikel in feite ook doet).

UMTS en GSM kan je kanker van krijgen en dat het opwarmt en genetische schade aanricht staat buiten enige discussie (wie er aan twijfels even een bevrucht eitje naar je UMTS telefoon een paar dagen laten staan et voila misvormd kuikentje als resultaat), des ondanks is UMTS/GSM niet verboden omdat de economische belangen meer wegen dan onze FYSIEKE gezondheid.

Wat jij stelt is dat wij al 20 jaar dingen fout doen en dat het omdat jij dat zegt anders moet. Terwijl er geen incidenten bekend zijn waarbij leeuwendeel van onze maatschappij fysieke of mentale schade heeft ondervonden.

Ja en met zwaardere middelen kan het nog sneller. Het punt is dat je bij bepaalde informatie beter mag verwachten.

Nogmaals jij weet niet welke informatie je gesuggereerd iets zonder onderbouwing.

Zeker als je weet dat er ruimtes zijn om apart te zitten. Waarom aan de voorkant wel beveiligen met allerhande meerfactor authenticatie en aan de achterkant niets doen.

Alsof enige authenticatie ooit eens iemand heeft buiten gehouden?
Maar jij weet niet hoe authenticatie van deze machines in elkaar steekt omdat je zover niet bent gekomen.

Overigens: twee kasten van een van de betrokken bedrijven stonden al wagenwijd open. Kind-a-strange.

Misschien door mensen zoals jij die het leuk vinden om aan andere deuren te zitten. Vroeger hadden beheerders weleens een webcam op hun kast gericht.

Nou ARP-spoofing blijft leuk. Ik ken een bedrijf dat recentelijk een inval heeft gedaan met politie bij een concurrent die dus fysiek zaten af te tappen. Krijg het journalistiek niet rond dus heb ik het niet gepubliceerd, maar het gebeurt echt.

Waarom ARP spoofen? Bovendien kost dat te veel tijd en moeite.
In een geval dat je er fysiek bij zit kan poormans routing een optie zijn, maar dan ben je niet anoniem hoor.

Dat is moeilijk te zeggen, want ik ken de wetgeving in veel landen niet. In Nederland is dat niet het geval en in sommige gevallen heb je tegenstrijdige belangen. Alberto Stegeman maakt daar veelvuldig gebruik van. In mijn geval zijn de bedrijven vooraf geconfronteerd en ruimschoots de mogelijkheid geboden maatregelen genomen. Zoveel mogelijk heb ik vragen beantwoord van betrokken bedrijven en met twee heb ik een ongelofelijk leuk contact opgebouwd. Bovendien zou aangifte leiden tot veel meer publicatie en aan het begin van je reactie schreef je al dat publicatie schade berokkend.

Ik vind dit niet op het niveau van Alberto Stegeman, tenminste qua sensatie als qua inhoud is dit niet spannend. Bovendien met hulp van binnen uit is elke organisatie onveilig en dat geldt ook in jouw specifieke geval.

Maar je hebt wel een punt dat het OM te arrogant is om te begrijpen dat je dit soort zaken hard de kop in moet drukken zodat je straks jurisprudentie hebt om mensen die met minder integere motivatie hetzelfde gaan doen kunt aanpakken. (lees onzekere OvJ hebben dan een houvast en seponeren niet zomaar, zoals nu wel gebeurd).

ps: Brenno de meeste hosting providers hebben vaak een secundaire nameserver in een andere plek staan en vaak is dat een losse co-lo ipv geheel rack, daar kun je fysiek bij en zonefiles van naar schatting 50% van alle sites die in Nederland gehost worden mee aanpassen.

Oorspronkelijk geplaatst door BsHosting

Hoe je het ook keert of draait hij bevond zich ergens waar ie niet eens toegang tot diende te hebben.

Degene die hem meegenomen heeft zou per direct de toegang ontzegd moeten worden en evt strafrechterlijk vervolgd.
Nu neemt ie een journalist mee, wat is de volgende.

Een Roemeense organisatie die graag met een busje met servers naar Roemenie rijd.... omdat het kan...

Kast dicht? Geen probleem.... Je hebt toch een schroeven draaien en gereedschap nodig (dingen door knippen) om servers eruit te kunnen halen.

Even een reactie vanuit mijn oogpunt als buitenstaander omdat ik geen echte hoster ben...

Oorspronkelijk geplaatst door BsHosting

Hoe je het ook keert of draait hij bevond zich ergens waar ie niet eens toegang tot diende te hebben.

Tsja, dat gebeurt zo vaak om misstanden aan de kaak te stellen (*denkt aan beveiliging Schiphol*) en als dat niet zou gebeuren zouden deze problemen dus niet naar buiten komen (even los van de vraag of het hier om een probleem gaat of niet). De journalist heeft waarschijnlijk een tip gekregen over de racks en wil dat wel eens even met eigen ogen zien... dat is nu een enorme ramp, maar volgens mij alleen omdat het in jullie eigen hostingwereldje gebeurt. Was dit in een andere branche gebeurd, had het voor jullie een stuk minder erg geweest.

En nu niet allemaal de buitenstaander aanvallen

Edit: Niet snel genoeg getypt..

Oorspronkelijk geplaatst door Planera

Tsja, dat gebeurt zo vaak om misstanden aan de kaak te stellen (*denkt aan beveiliging Schiphol*)

En nu is Schiphol veilig? Je hebt geen pasje nodig om schiphol op te komen hoor er zijn op zijn minst 10 kilometer aan beveiligingslekken waar je schiphol binnen kunt komen zonder dat iemand je aanspreekt.

Het enige lastige is dat je geen zware spullen mee kunt nemen omdat je een stukje moet wandelen....

Veiligheid is een illusie, zoals Politie lokaal in rapportage altijd zal melden "Veiligheidsgevoel is toegenomen of afgenomen" niets meer niets minder.

Wist je trouwens dat angst het grootste probleem is bij alle mensen?

De journalist heeft waarschijnlijk een tip gekregen over de racks en wil dat wel eens even met eigen ogen zien... dat is nu een enorme ramp, maar volgens mij alleen omdat het in jullie eigen hostingwereldje gebeurt.

Het heeft niks met eigen hostingwereldje te maken een journalist hoort daar niet binnen te mogen en al zeker niet met camera.
Het zou het DC sieren als ze deze grapjas ook eens strafrechterlijk zouden aanpakken, maar ook zeker degene die hem heeft meegenomen.

En idd schiphol is lek daar heb je gelijk in, maar bv wat Alberto doet, die doet hetzelf de enige reden waarom ie in de kofferbak gaat is dat hij anders meteen herkend word.

Dat is bij dit verhaal niet terzake.

Buiten dat praat meneer de journalist hier over dingen waar ie compleet schijnbaar geen verstand van heeft PDU ontkracht met een aantal anderen hier zijn verhaal al.

Ik denk dat dit meer PUBLICITEITSGEILHEID is omdat ie anders een artikel over kippen die eieren leggen mag schrijven.

Oorspronkelijk geplaatst door BsHosting

Het heeft niks met eigen hostingwereldje te maken een journalist hoort daar niet binnen te mogen en al zeker niet met camera.
Het zou het DC sieren als ze deze grapjas ook eens strafrechterlijk zouden aanpakken, maar ook zeker degene die hem heeft meegenomen.

Het is typisch Nederlands om als organisatie niet je verantwoordelijkheid te nemen en stappen te ondernemen, het zou inderdaad de DC sieren als ze dat doen zodat toekomstige grapjassen zich twee keer bedenken.

De huurders van deze DC zouden verhaal moeten halen zodat DC zich genoodzaakt ziet om iets te ondernemen.

Straks gaan "journalisten" tegels op tillen of boven in kabelgoten zitten onder het mom van "onderzoeksjournalistiek".

Wat grappig zou zijn als het bedrijf dat Brenno heeft binnen gelaten geopenbaard zou worden, die zou je dan elke dag kunnen bellen "Is goed dat die voedingskabel van jullie rack hier los ligt.... lijkt me een risico, dat er geen slot op zit".

Brenno begrijpt denk ik niet dat de meeste DC gebruikers als ze op kerst ochtend buiten even een peukje staan te roken en zien dat tijdens test run van aggregaat één van de uitlaat deksels niet open gaat om dat die vastgevroren daar een melding van maken. Dat heet sociale controle.

Terwijl iemand die hem willens en wetens uitnodigt om te kijken "Er staat een rack niet op slot" gewoon een ordinaire crimineel is die niet in een DC thuishoort.

Als camera beelden tonen dat die figuren gedurende langere periode aan die deuren hebben gezeten hebben ze mogelijk een pogingsdelict gepleegd.

En ik denk dat de meeste mensen hier die een deur zogenaamd wagenwijd open zien staan daar een melding van doen bij beveiliging. Zodat die via korte lijnen ofzelf kan afsluiten of de verantwoordelijke organisatie kan benaderen.

Brenno doet alsof hij UWV te goeder trouw heeft benaderd, dat is dus niet zo want er is waarschijnlijk niemand bij UWV die wist dat er iets van hun fysiek op die locatie staat, omdat er vele schijven en waarschijnlijk een externe organisatie tussen wat hij (mogelijk) heeft gezien en de organisatie (mogelijk) er voor verantwoordelijk is.

Ik denk niet dat Brenno nog zijn begeleider dit netjes bij de beveiliging heeft gemeld en ik durf ook wel te betwijfelen dat de deur wagenwijd open stond zoals Brenno hier eerder heeft gemeld.

Dat zie je als eerste meteen terug in je temperatuur statistieken namelijk maar ook is super irritant indien er tussen paden niet al te veel ruimte is. (de meeste van ons zijn namelijk niet zo dun).

@ PDU,

Zoals ik al eerder zei publiciteits geilheid.
Alle 2 vervolgen meteen een precendent scheppen.

Oorspronkelijk geplaatst door BsHosting

@ PDU,

Zoals ik al eerder zei publiciteits geilheid.
Alle 2 vervolgen meteen een precendent scheppen.

Vroeger was er een informele anti-DDoS-knokploeg bestaande uit mensen van verschillende ISP's die graag bij kiddo's thuis kwamen.

Misschien moeten we Sabri eens bellen

Wat een onzin allemaal hierz.
Ik heb rackspace op Sara en Nikhef beide staan op slot echter zie er her en der kasten openstaan.
Zie je niemand bij dat rack werken kan je ook even melden bij de bewaking dat er een kast openstaat doen ze dat netjes op slot.

Als jij ergens rondloopt op straat zie je toch ook wel eens een voordeur open.
loop je dan ook naar binnen ?
of een autoruit die op een kiertje open staat ga je dan ook de de tomtom of de autoradio eruit jatten ?

@ PHU

Juist ja melden bij de bewaking dit gebeurt hier niet meneertje wil alleen publiciteit hebben.
Net zoals met zoveel journalisten de waarheid geven ze wel een eigen draai.