oppassen met openbare wifi
News 28 juni 2019

Is openbare wifi nog steeds onveilig?

Source: Consumer Reports

Is het gebruik van openbare wifi nog steeds een slecht idee? Dat hangt ervan af, zeggen de beveiligingsexperts. Versleuteling heeft surfen op het web veiliger gemaakt, maar nog altijd niet zonder risico's. We zetten de belangrijkste zaken op een rijtje.

Openbare wifi en veiligheid

Het is weer ‘out of office’-seizoen, waarbij we ons wat vaker buiten kantoor begeven dan gemiddeld. Omdat de werkdruk het momenteel meer toelaat om thuis of elders op locatie te werken, maar vooral omdat veel collega’s van hun welverdiende vakantie aan het genieten zijn. Collega’s die daarbij steeds vaker toch een beetje van dat werk in hun koffers meeslepen. Want we blijven met z’n allen graag digitaal verbonden en nemen vooral e-mails en social media gewoon mee op reis.

Beveiligingsexperts adviseren daarbij al geruime tijd om het gebruik van openbare wifi-netwerken te vermijden vanwege het risico om gehackt te worden. Die waarschuwingen ten spijt is gratis wifi enkel maar toegankelijker geworden, met consumenten die hun gratis momentje surfen danken aan lokale overheden, kabelmaatschappijen, retailzaken, coffeeshops en andere horeca met een hotspot in huis. Een interessante vraag is daarom; zijn die angsten nog steeds gerechtvaardigd? De meeste gevoelige gegevens worden nu immers via versleutelde kanalen verstuurd.

"Veel van de risico's met openbare wifi zijn inderdaad achterhaald", zegt Chester Wisniewski, een vooraanstaande onderzoekswetenschapper voor de Britse cybersecurity firma Sophos, aan consumentenorganisatie Consumer Reports. Wisniewski vergelijkt de zorgen over digitale beveiliging met de evolutie van bezorgdheid in de autoindustrie; een generatie geleden was het nog moeilijk om mensen te overtuigen om veiligheidsgordels te dragen, maar tegenwoordig is de strijd grotendeels gewonnen en hebben veiligheidsexperts weer nieuwe zorgen. "Als ik nu kinderen de les zou lezen over autorijden, zou het gaan over sms'en, wat niet het geval was toen ik leerde rijden," zegt hij.

In de digitale wereld betekenen phishing e-mails en ransomware-aanvallen dat cybercriminelen veel gemakkelijker en lucratiever geld kunnen verdienen dan door op de loer te liggen in een Starbucks om daar de laptops van andere klanten te hacken - maar niet iedereen is het daarmee eens. Gary Davis, Chief Consumer Security Evangelist bij antivirusmaker McAfee, zegt in hetzelfde stuk van CR dat de ouderwetse gevaren blijven bestaan. "Het is veel veiliger nu bijna alles gecodeerd is", zegt hij. "Maar dat wil niet zeggen dat de dreiging is verdwenen." Daarom behandelen we de belangrijkste vragen om over na te denken als je beslist of en hoe je openbare wifi wil gebruiken.

Biedt encryptie voldoende bescherming?

Een van de grootste verbeterpunten op het gebied van wifi-security is het inmiddels wijdverbreide gebruik van encryptie. Transport layer security of TLS wordt gebruikt om gegevens te versleutelen die worden verzonden tussen jouw browser en de servers waartoe hij toegang probeert te krijgen. Dat wordt aangeduid met het welbekende "HTTPS" in een webadres en het kleine hangslotlogo waar we vaker over schrijven. TLS roert de gegevens door elkaar, waardoor het nagenoeg onbruikbaar wordt voor een aanvaller die het verkeer onderschept.

Dergelijke encryptie was ooit voorbehouden aan websites van baken en andere bedrijven die routinematig persoonlijke informatie uitwisselen. Maar nu is het standaard op vrijwel elke grote website, inclusief Amazon, Google en Wikipedia.

Volgens Mozilla is ongeveer 87 procent van het webverkeer naar Amerikaanse gebruikers van de Firefox-browser nu versleuteld. Dat is een stijging ten opzichte van 73 procent in januari van dit jaar en 56 procent een jaar eerder. Dat is het goede nieuws. Maar deskundigen waarschuwen er tegelijkertijd voor dat de TLS-encryptie niet perfect is. Het kan worden doorbroken door geavanceerde hackers.

"Zelfs HTTPS kan worden gekaapt en gedegradeerd", zegt Clay Miller, Chief Technology Officer voor SyncDog, dat zich richt op mobiele beveiliging. "Ondertussen zijn veel bestanden, PDF's, medische dossiers en bankafschriften nog steeds niet versleuteld", zo zegt Miller tegen CR. 

Een recente studie van onderzoekers in Italië en Oostenrijk heeft uitgewezen dat ongeveer 5,5 procent van de top 10.000 websites die door HTTPS worden beveiligd, TLS-beveiligingsfouten vertonen die hen kwetsbaar kunnen maken voor man-in-the-middle-aanvallen of die een aanvaller in staat kunnen stellen om ze ten minste gedeeltelijk te ontcijferen.

Daarnaast is het zoeken naar het betrouwbare hangslotje een stuk lastiger als je niet op een laptop of desktop bezig bent, maar met een smartphone - vooral wanneer je apps gebruikt die helemaal geen webadressen tonen. En dat terwijl het aandeel van onze online consumptie vanaf een mobiel toestel maar blijft toenemen. Daarom is ook Chester Wisniewski het ermee eens dat het bij het gebruik van apps en smartphones beter is om het op veilig te spelen en te vertrouwen op de mobiele dataverbinding van de telefoon zelf, die over het algemeen veel veiliger is dan een onbeveiligde WiFi-hotspot. 

Zijn gemeentelijke hotspots veiliger?

Veel consumenten zijn wellicht nog wel op hun hoede voor wifi in hun favoriete buurt, maar voelen zich meer op hun gemak bij een verbinding gratis aangeboden door hun stad of kabelmaatschappij. Hebben die grote, professioneel beheerde netwerken hun eigen veiligheidsmaatregelen, afgezien van de encryptie van de website?

Sommigen inderdaad wel. Maar gemeentelijke en zakelijke wifi-netwerken zijn niet allemaal gelijk, en consumenten moeten hun huiswerk doen voordat ze online gaan, stelt CR. De stad New York exploiteert bijvoorbeeld twee netwerken: een open wifi-netwerk dat geen enkele bescherming biedt en een privé-netwerk dat al het verkeer dat erdoorheen gaat versleutelt. Beide zijn gratis voor het publiek, en het enige wat nodig is om te registreren is een e-mailadres. Het versleutelde netwerk vereist daarnaast dat je een digitale beveiligingssleutel downloadt, die momenteel alleen toegankelijk is vanaf mobiele apparaten van Apple. De stad moedigt iedereen die het onbeveiligde netwerk gebruikt daarom aan om zich te houden aan gecodeerde websites en gevoelige activiteiten zoals bank- of creditcardtransacties te vermijden.

Ben je wel echt een doelwit?

Net als bij veel andere veiligheidsgerelateerde beslissingen, komt het besluit om al dan niet gebruik te maken van openbaar wifi neer op het beoordelen van de afweging tussen veiligheid en gemak. Het is aan de consument zelf om te beslissen of de voordelen de risico's waard zijn.

'Ben je een overheidsambtenaar met staatsgeheimen op je telefoon of een stafmedewerker voor een Fortune 500 bedrijf met de plannen voor het volgende grote product op je laptop, dan is de beslissing om van openbaar wifi vandaag te blijven een hele gemakkelijke', stelt Wisniewski. 'Maar de gemiddelde gebruiker heeft slechts een beperkte hoeveel geduld en inspanning te besteden als het gaat om veilig online zijn.' Wisniewski denkt dat die inspanning waarschijnlijk beter zou worden besteed aan het vergrendelen van hun accounts met betere wachtwoorden en twee-factor authenticatie.

"Wat zou er verloren gaan als je bij Starbucks met een man-in-the-middle aanval te maken zou krijgen?', vraagt hij. "Log ik in een koffiezaak in op mijn bankrekening? Nee. Maar log ik in op Twitter? Tuurlijk." Davis zet daar tegenover dat zelfs als de kans heel klein is dat er iets verkeerd gaat, het nog altijd een slecht idee is om goede gewoontes los te laten. "Wij als beveiligingsprofessionals moeten nadenken over hoe we de consument het beste geïnformeerd kunnen houden", zegt hij. "Zeggen dat ze zich geen zorgen meer hoeven te maken over openbare wifi is waarschijnlijk de verkeerde boodschap."

Onder de streep geldt daarom: já, openbare wifi is nu veiliger, maar néé, het is niet helemaal veilig. Dat geldt vooral als je mobiele apps gebruikt, waarbij vaak niet te zien is of gegevens worden versleuteld. We sluiten daarom af met een aantal bekende en nieuwe tips om veilig online te blijven, vooral als je gebruik maakt van een openbare wifi-verbinding.

Hoe houd je het zelf veilig?

1. Gebruik sterke wachtwoorden.

Lange reeksen van willekeurige karakters zijn het best, en zorg dat je nooit hetzelfde wachtwoord voor meerdere accounts gebruikt. Aanvallen waarbij hackers gebruik maken van legers van bots om lijsten met eerder gestolen wachtwoorden tegen andere accounts uit te voeren, zijn in opmars.

2. Schakel 2FA in

Schakel twee-factor authenticatie (2FA) in. 2FA is een extra veiligheidslaagje voor je wachtwoord en vermindert het risico dat een hacker toegang krijgt tot je online accounts door aan dat wachtwoord een tweede stap toe te voegen, zoals de fysieke beschikbaarheid van je mobiele telefoon. Je wordt dan naast invoer van je wachtwoord ook gevraagd om een code die op je telefoon verschijnt. Veel van de grootste websites ter wereld hebben 2FA gemakkelijk beschikbaar gesteld vanuit de beveiligingsinstellingen van de accounts, maar dan moet je die functie wel zelf benutten. De gemakkelijkste manier om je even in te lezen en ermee aan de slag te gaan, is via de website turnon2fa.com

Overigens worden 2-factor authentication en 2-step verification regelmatig door elkaar gebruikt, maar is het een misverstand dat beide begrippen hetzelfde betekenen. Bij authenticatie gaat het specifiek om drie factoren die je kunt gebruiken: 1) iets dat je kent, zoals een wachtwoord, 2) iets dat je hebt, zoals een mobiele telefoon of een beveiligingssleutel zoals we hieronder bespreken, en 3) iets dat je bent, zoals een vingerafdruk. 2-factor authentication combineert twee van die factoren, terwijl verification dezelfde stap simpelweg herhaalt - door bijvoorbeeld na het invoeren van een wachtwoord een extra code naar je mobiele telefoon te sturen. Dat laatste is nog altijd veiliger dan '1-stepping' met alleen een wachtwoord, maar de extra code kan in principe ook onderschept worden, waardoor 2-factor authentication de veiligere keuze is. Iets dat je hebt of bent is tenslotte een stuk moeilijker te dupliceren.

3. Wees voorzichtig met wat je post.

Social media accounts kunnen een virtuele goudmijn zijn voor hackers die je wachtwoorden willen kraken. Wees voorzichtig met het plaatsen van te veel persoonlijke gegevens.

4. Overweeg het gebruik van een VPN.

VPN staat voor ‘Virtual Private Network’, een privénetwerk tussen twee of meerdere apparaten. VPN-apps zorgen voor een verbinding waarbij al je internetverkeer versleuteld wordt om te voorkomen dat buitenstaanders zomaar toegang kunnen krijgen tot de informatie die je verstuurt of ontvangt. Je kunt daarmee veilig en anoniem internetten, ook op een openbare wifi.

Virtuele private netwerken versleutelen alle gegevens die heen en weer reizen vanaf jouw apparaat. Miller zegt dat ze een goede bescherming bieden tegen man-in-the-middle aanvallen. 

5. Versleutel je apparaten.

Een VPN- en TLS-beveiliging beschermt je gegevens tijdens het transport, maar Miller zegt dat je er óók voor moet zorgen dat wat er op je apparaat is opgeslagen, ook veilig is. Zo blijven je gegevens gecodeerd wanneer er iemand anders toegang krijgt tot je devices. Met smartphones is dit net zo eenvoudig als het instellen van een wachtwoord. Maar het versleutelen van laptops kan wat meer werk kosten.

6. Blijf alert op phishing.

E-mails die van uw bank of creditcardbedrijf lijken te zijn, kunnen afkomstig zijn van een hacker die toegang probeert te krijgen tot je account. Door te klikken op een link in een van deze e-mails kan je naar een valse website worden gestuurd die is ontworpen om aanmeldingsgegevens of financiële informatie te stelen, of kan er malware of spyware op het apparaat worden geïnstalleerd. Het is beter als u de URL van de financiële instelling rechtstreeks in uw browser typt.

7 Verwijder oude informatie.

Er is geen reden om kopieën van drie jaar oude belastingaangiften te bewaren op een werklaptop of mobiele apparaat. En van persoonlijke documenten kun je thuis beter een back-up maken. Het regelmatig verwijderen van documenten die je eigenlijk allang niet meer nodig hebt, vermindert wat hackers kunnen stelen, zegt Miller.

VIND FERM OOK OP LINKEDIN | TWITTER