Amsterdam neemt Getronics in bescherming

De firewalls van de gemeente Amsterdam gooiden roet in het eten bij het beveiligen van DNS-servers tegen een ernstig DNS-lek. Desondanks vindt de gemeente Amsterdam dat dienstverlener Getronics niets te verwijten valt.

Ict-dienstverlener Getronics heeft begin augustus weliswaar de DNS-servers van de gemeente Amsterdam gepatched tegen een ernstig DNS-lek, maar heeft daarbij over het hoofd gezien dat de firewalls roet in het eten gooiden.

Govcert, het computerincidentrespons team van de Nederlandse overheid, beschreef de oplossing voor dit probleem in juli in dit document. Getronics, die de DNS-infrastructuur van de gemeente Amsterdam beheert, heeft deze adviezen blijkbaar in eerste instantie niet ter harte genomen.

Dat blijkt uit een schriftelijke reactie van het College van Burgemeester en Wethouders van Amsterdam naar aanleiding van een brief van PvdA-raadslid Sabina Gazic.

Firewalls of routers met strikte poortcontrole maken het effect van de patch tegen het Kaminskylek ongedaan. Die patch zorgt er namelijk voor dat de afzenderpoort van een vertaalverzoek een willekeurig getal krijgt (64000 mogelijkheden). Wanneer de firewall die keuze voor een willekeurige (random) poort verhindert, is het patchen voor niets geweest.

College: online checks deugen niet

Het College ontkent dat er sprake is geweest van een probleem: "Nader onderzoek heeft op 7 augustus opgeleverd dat de tools welke beschikbaar zijn voor het testen van de DNS op de juiste patching (beveiligingsupdate) in een aantal gevallen niet de juiste conclusie presenteren. Veroorzaker hiervan is het NAT-systeem welke door onze firewalls gebruikt wordt voor de internetdienstverlening. De laatste security patch zorgt er voor dat de afzenderpoort van de DNS-systemen meer random is. Deze wordt door de firewall vertaald in een minder random vorm, waardoor tools die op internet staan een negatief resultaat geven op de randomness, waardoor het lijkt alsof de DNS-systemen nog steeds niet voorzien zijn van de laatste patch. De feitelijk situatie is dat op de DNS-systemen de laatste security patches zijn geïnstalleerd."

Gemeente ontkent falen Getronics

Gazic wilde weten of het College het onwenselijk vindt dat de gemeente ‘veel langer dan andere organisaties en particulieren in ons land, onbeschermd is gelaten'.

Het college ontkent dat dat het geval is geweest en neemt Getronics in bescherming: "Er is geen sprake van geweest dat de infrastructuur van de gemeente Amsterdam langer onbeschermd is geweest dan andere organisaties. … Het college deelt de mening dus niet dat gezien de feiten die er nu liggen sprake is van incompetentie."

Wat voorafging

De Amsterdamse gemeenteraadsfractie van de PvdA betichtte Getronics eind augustus van incompetentie bij het tijdig patchen van het beveiligingslek in het DNS-systeem van het stadhuis. Raadslid Sabina Gazic vroeg in een brief aan het college van B&W hoe het kan dat anderhalve maand na het verspreiden van de patch de gemeentelijke servers nog steeds kwetsbaar zijn. Eerder had ze daartoe op haar fractiekamer in het stadhuis het serverlek opgespoord via een DNS-checker. De checker is speciaal ontwikkeld om de kwetsbaarheid van servers te controleren.

De internetservers van de gemeente Amsterdam worden verzorgd door Getronics. Gazic vroeg de burgemeester en wethouders of zij het met haar eens zijn dat de dienstverlener incompetentie mag worden verweten. Het college antwoordt daarop nu ontkennend.