Overheid vertrouwt blunderende ssl-autoriteitDoor Joost Schellevis, woensdag 31 augustus 2011 13:32, views: 14.131

Het standpunt van de overheid dat de PKIoverheid-ssl-certificaten van DigiNotar nog te vertrouwen zijn, is gebaseerd op informatie van het gehackte bedrijf zelf. Er is geen eigen onderzoek verricht naar aanleiding van de onthullingen.

De overheid stelt zonder eigen onderzoek dat de zogenoemde PKIoverheid-ssl-certificaten van DigiNotar nog te vertrouwen zijn. Opvallend genoeg baseert de overheid dit op informatie van het gehackte bedrijf zelf. "Wij hebben na de gebeurtenissen contact opgenomen met DigiNotar en ze een behoorlijk aantal vragen gesteld", aldus Nathalie Doesberg, woordvoerster van de overheidsorganisatie Govcert.

"Die informatie heeft ons tot op heden geen reden gegeven om het vertrouwen in de PKIoverheid-certificaten van DigiNotar op te zeggen." De PKIoverheid-certificaten worden onder meer gebruikt op overheidssites als DigiD, de Belastingdienst en de DUO. DigiNotar is een van de zes bedrijven die deze certificaten mogen uitgeven.

Dat de overheid de informatie van DigiNotar vertrouwt zonder eigen onderzoek te doen, is op zijn minst merkwaardig te noemen: niet alleen zijn hackers erin geslaagd om de systemen van dat bedrijf binnen te dringen, ook heeft het bedrijf anderhalve maand lang niet gemerkt dat minstens één door die hackers gegenereerd ssl-certificaat nog niet was ingetrokken.

Ook door het bedrijf ingehuurde onderzoekers van PwC bemerkten dit niet. Er wordt momenteel door Fox-IT een onderzoek uitgevoerd, maar de resultaten daarvan zijn nog niet bekend. Het gaat hierbij overigens wel om een ander type certificaat, dat door een aparte root-autoriteit - DigiNotar zelf - wordt uitgereikt. De hack roept echter vragen op over de beveiliging van DigiNotar.

Nadat Iraanse Google-gebruikers ontdekten dat een certificaat van DigiNotar werd gebruikt in een man in the middle-aanval, waarbij verkeer naar een server wordt onderschept, lichtte Govcert.nl DigiNotar in. Toen pas werd het betroffen certificaat door DigiNotar ingetrokken. Het is onduidelijk of er nog andere, valse ssl-certificaten van DigiNotar in omloop zijn; het bedrijf kan dat niet uitsluiten.

Volgens de overheid is dat echter nog steeds geen reden om aan de betrouwbaarheid van de PKIoverheid-certificaten te twijfelen: de overheidscertificaten zouden losstaan van de certificaten die DigiNotar zelf als root-autoriteit uitreikt. Hoe die processen precies gescheiden zijn, is echter onduidelijk. Volgens Doesberg heeft de overheid daar 'inzicht' in verkregen, maar ze wil niet in details treden.

Beveiligingsexpert Roel Schouwenberg van antivirusbedrijf Kaspersky stelt dat er wel degelijk reden is om te twijfelen aan de veiligheid van die certificaten. "Ze stellen dat er een externe audit is uitgevoerd, maar daarin is het vervalste Google-certificaat over het hoofd gezien", aldus Schouwenberg.

In de nieuwste Google Chrome-versie zijn 247 certificaten van DigiNotar geblokkeerd. Volgens de topman van beveiligingsbedrijf F-Secure, Mikko Hypponen, betekent dat dat de DigiNotar-hackers 247 frauduleuze ssl-certificaten hebben uitgegeven. Dat zegt hij op Twitter.

Het Beverwijkse bedrijf DigiNotar kwam maandag in het nieuws toen bekend werd dat een certificaat van het bedrijf waarschijnlijk in Iran is gebruikt om gebruikers van Google te bespioneren door middel van een man in the middle-aanval. Het certificaat, dat voor alle subdomeinen van Google.com geldig was, had nooit mogen worden uitgegeven.

Ondertussen hebben verschillende browsermakers het vertrouwen in DigiNotar-certificaten opgezegd. Voor de PKIoverheid-certificaten heeft dat geen gevolgen. Alleen Firefox was aanvankelijk van plan om ook die certificaten te blacklisten, maar daar is het na een verzoek van de Nederlandse overheid op teruggekomen. In de nieuwste Firefox-update worden DigiNotar-certificaten niet meer vertrouwd, maar worden de PKIoverheid-certificaten uitgezonderd. Daardoor kan op DigiD.nl nog zonder foutmelding via https worden ingelogd.

Dat kan echter niet wanneer een andere website DigiD gebruikt om in te loggen, zoals MijnOverheid.nl: de root-autoriteit 'Staat der Nederlanden Root CA - G2' is niet gewhitelist, waardoor in dat geval alsnog een foutmelding wordt weergegeven. Dat meldt overheids-ict-organisatie Logius in een mail. Overigens ontkent Govcert.nl-woordvoerster Doesberg dat de overheid Mozilla heeft verzocht de certificaten niet te blacklisten: er zou wel overleg met Mozilla zijn geweest, maar de browsermaker zou een 'eigen afweging' hebben gemaakt.

DigiNotar hoopt dat Mozilla, Google en Microsoft zijn certificaten eind deze week weer accepteren. Het bedrijf geeft gedupeerde klanten met een geblacklist certificaat echter ook de mogelijkheid om over te stappen op een PKIoverheid-certificaat. Daarvoor gelden wel strengere regels. Govcert heeft er geen problemen mee dat certificaten die voor de overheid zijn bedoeld, worden gebruikt als workaround.

9 ondernemersvalkuilen, 9 uitwegen. Ondernemers zijn eigenzinnige mensen. Anders had u immers het lef niet gehad om een eigen bedrijf te runnen. Maar uw ambitie kan ook verkeerd uitpakken. Een verkenningstocht langs negen valkuilen (en de ontsnappingsroutes uiteraard).

Valkuil 1: Alles zelf willen doen
De grootste kracht van ondernemers is meteen hun grootste gevaar: ze willen alles zelf doen. De specifieke kwaliteiten die succes hebben gebracht, werken niet altijd. Integendeel. Een goede (samenwerkings)partner kan het benodigde handelingsrepertoire vergroten. Bedenk: de helft van veel is beter dan alles van niks.

Tip: Vraag eens commentaar op uw plannen aan mensen die opbouwende kritiek kunnen geven. Luister ook goed naar degenen die uw voornemens moeten uitvoeren.

Valkuil 2: Alle kanten opvliegen
Veel ondernemers staren zich blind op het maken van omzet. Vaak komt dit door het ontbreken van visie: eigenlijk is er geen duidelijk beeld wat men wil met het bedrijf. Als gevolg daarvan bestaat er grote kans dat de directeur alle kanten op vliegt.

Tip: Ondernemers denken graag in grote lijnen, maar details zijn nodig om het geld te verdienen. Zet u er toe aan en ontdek dat het erg leuk kan zijn.

Valkuil 3: Te laat in actie komen
In geval van tegenwind treedt bij ondernemers soms een vreemde vertraging op in hun handelen, een neiging om te lang de schijn op te houden. Het gebeurt nogal eens dat men niet tijdig ophoudt met verliesgevende producten of diensten, of te laat snoeit in de kosten. Dat kan gevaarlijk zijn. Kijk maar in het verkeer: als je twee seconden te laat remt, bots je op de ander. Ook zakelijk gezien kan dat tot kettingbotsingen leiden.

Tip: Als u om hulp vraagt: vertel uw problemen alleen aan de juiste mensen die u kunnen en willen helpen. Niemand doet graag zaken met een bedrijf in moeilijkheden.

Valkuil 4: Te lief zijn voor uw personeel
Het komt vaker voor dan u denkt dat een ondernemer geen beslissing durft te nemen omdat hij te lief is voor zijn personeel. U voelt het aan uw water als het personeel te veel in de watten is gelegd of als u teveel mensen hebt rondlopen. Als de loonkosten niet in verhouding staan tot wat ze de onderneming opleveren, heeft u simpelweg een structureel probleem.

Tip: Arbeidsvoorwaarden terugdraaien of in personeelsbestand snijden? Toegegeven: het zijn vaak de moeilijkste beslissingen, toch is het gewoon datum en tijd prikken, even verstand op nul en gewoon doen. Door de zure appel heen.

Valkuil 5: De zaken niet op orde
Er is een goede logistieke administratie, correcte boekhouding en een adequaat debiteurenbeheer nodig. Weet waar de winstmakers zitten, welke tarieven u hanteert en of u binnen het budget blijft, anders heeft u geen idee waar uw bedrijf staat. Dat kan dus aan de rand van de afgrond zijn, maar het kan ook zo zijn dat het eigenlijk veel beter gaat dan je denkt. Dan mis je zakelijke kansen. Een ondeugdelijke administratie is gewoon een doodzonde.

Controle verliezen op de dagelijkse dingen komt soms ook voort uit het zogenaamd 'op afstand sturen' via een zaakwaarnemer, filiaalmanager of plaatsvervangend chef.

Tip: Administratie niet op orde en zelf geen tijd? Direct als project uitbesteden aan een klein administratiekantoor en/of aan een stagiair.

Valkuil 6: Privé en zaken teveel vermengen
Een uit de hand gelopen privé-leven waarbij er steeds middelen aan het bedrijf onttrokken worden, kan voor een bedrijf fataal zijn. Behalve een slecht voorbeeld voor het personeel is een onduidelijke grens ook een goede voedingsbodem voor slechte zakelijke beslissingen, stress en ruzie. Het komt vaak voor bij de vele familiebedrijven die het mkb kent.

Tip: Bepaal uw doel door uw (zakelijke) droom eens in gedachten te verbeelden. Probeer het uw echtgenoot of goede vriend duidelijk te schetsen.

Valkuil 7: In slaap sukkelen
Bij oudere ondernemers zie je dat ze soms de energie niet meer hebben en geleidelijk in de kantlijn komen te staan. Ondernemen is topsport, de boog moet altijd wat gespannen staan.

Tip: Durf keuzes te maken. Vaar een rechte koers en houd die ook (een tijdje) vol als u de wind niet volledig in de zeilen heeft.

Valkuil 8: Onder- of overschatting
Sommige ondernemers doen volgens aloude Hollandse traditie maar 'gewoon' en schreeuwen hun succes niet van de daken. Anderen geven zo hoog mogelijk van zichzelf op. Toch is met een realistisch zelfbeeld beter sturing te geven aan een eigen bedrijf. In de markt is men op termijn zo ook geloofwaardiger.

Tip: Ken uzelf. Besef dat uw ego succes in de weg kan zitten. Zorg dat u niet te ver van uw eigen sterke punten afdwaalt. Praat daar eens over met een onafhankelijke ex-ondernemer of een ander deskundig klankbord.

Valkuil 9: 'Vreemd gaan': onaanvaardbaar risico
Een logisch gevolg van zelfoverschatting is het aangaan van te grote verplichtingen. Te veel vreemd vermogen op te weinig eigen vermogen stapelen, te grote investeringen doen, wurgcontracten tekenen of toekomstplannen baseren op te optimistische verwachtingen of een slechte voorbereiding.

Tip: Blijf regelmatig financiële rapportages eisen en houd de vinger aan de pols.

 Auteur: De Zaak

Van alle toestanden die we de afgelopen week zagen gebeuren, kwam één nieuwsfeit het hardste binnen. En dat is dat de ECB is gestart met het opkopen van Italiaanse en Spaanse staatsobligaties. Als simpele burger stel je dan als eerste vraag: "van welk geld gaat de ECB al die obligaties dan opkopen?". Het antwoord op die vraag is uiteraard dat ze dit doen van geld dat niet bestaat.
Omdat Italië en Spanje grote eurolanden zijn, kunnen we nu officieel vaststellen dat de ECB is gestart met het printen van grote hoeveelheden geld. En dat we daarmee ook in de Eurozone richting forse inflatie gaan. De reden dat juist dit zo tegen de borst stuit, is dat de gemiddelde burger hier op termijn enorm de klos van gaat zijn.  

Vandaag, 8 augustus 2011, de eerste dag nadat een ratingbureau de status van Amerika verlaagd heeft. 

Omdat de vraag naar vervoer, voedsel en entertainment wel blijft is het veel meer de vraag wat er nu eigenlijk echt gaat gebeuren.
En misschien is dit het begin van het einde van politici. Die blijken namelijk onmachtig om problemen op te lossen.
Zelfs het relatief eenvoudige probleem om de tering naar de nering te zetten kunnen ze eigenlijk niet oplossen.

Dus misschien moeten de mensen in dienst van de overheid (dat wil zeggen: van ons) zich beperken tot het analyseren en in kaart brengen van problemen, en het aan de bewoners zelf overlaten welke keuze gemaakt wordt (via DigiD etc).

Het is wel even schrikken natuurlijk als je zelf een mening moet hebben over het al dan niet geld uitlenen aan een notoire spender als Griekenland, of we de euro al dan niet als munt moeten aanhouden.

Aan de andere kant maken we dan wel korte metten met de soms merkwaardige beslissingen die politici (en meestal kleine clubjes elkaar vertrouwende en de bal toespelende politici) nemen. Het neemt partijen als de PVV de wind uit de zeilen, dat is waar. Maar het doet ook recht aan de gedachte dat we samen verantwoordelijk zijn voor de samenleving, onze stad, ons dorp, ons land.

aan het eind van deze week maken we de balans op en weten we hoeveel we "verloren" hebben, en of dat voldoende is om een draai te gaan maken in onze samenleving. En dat ook u, als u dit leest, overweegt om zich meer actief met politieke en maatschappelijke zaken bezig te houden, en dat uit te dragen.

Nu (10:49 uur) staat de AEX op 292.94... Wat is uw pensioen vanavond nog waard?