Crackers – kwaadwillende hackers – legden de sites van Yahoo, Amazon, Buy.com en andere commerciële smaakmakers soms urenlang plat door een brute-kracht-aanval, een denial of service attack. Hierbij worden de servers zodanig overbelast dat deze geheel verstopt raakt. Het platleggen van commerciële hot spots kost al gauw miljoenen dollars.
De crackers toonden aan hoe vitaal de Interneteconomie geworden is, en tegelijk hoe kwetsbaar. Nieuwe filtersoftware zorgt voor het wegfilteren van bepaalde requests, zodat dit type aanval in de toekomst lastiger wordt. Maar crackers zijn creatief, en komen wel weer met iets nieuws. Uiteindelijk zijn zelfs de meest beveiligde servers, bijvoorbeeld van Nato of CIA, kwetsbaar gebleken voor slimme hackers. Een beetje hacker draait zijn hand niet om voor de meeste commerciële servers, die veel lichter zijn beveiligd. Er zit meestal weinig uitdaging aan, tenzij het gaat om het verkrijgen van publicitaire aandacht, waardoor men als hacker of cracker in aanzien stijgt binnen de eigen gemeenschap. Ook fysieke winkels zijn niet te vergelijken met De Nederlandse Bank, wat niet wil zeggen dat de kassa onbeheerd moet blijven en dat klantendatabase bij de ingang opgesteld wordt.
Een betere beveiliging van commerciële servers loont, omdat iedere extra beveiligingsmaatregel de kans verkleint dat er een inbraak plaats vindt en dat privacygevoelige of economisch waardevolle informatie misbruikt wordt. Het opzetten van beschermingsconstructies verhoogt de moeite en kosten voor een hacker of cracker om in te breken of schade aan te richten. De elektronische winkelier is het aan zijn klanten verplicht om de hoogst mogelijke muren op te richten. Dit is tevens een noodzaak voor de eigen overleving.
Wat voor maatregelen kunnen we nemen om een commerciële server af te schermen? Privacygevoelige informatie afschermen met slechts een inlognaam en wachtwoord is redelijk mager, want door permutatie van deze twee waarden zijn redelijk makkelijk alle toegestane combinaties te vinden. Bovendien zijn deze waarden voor een beetje hacker ook te onderscheppen. Het onderscheppen is te bemoeilijken door gebruik van SSL – wijd en zijd geaccepteerd als versleutelingstechniek maar uiteindelijk wel kraakbaar. Het toepassen van brute-kracht-technieken voor het raden van inlognaam/wachtwoord-combinaties is te frustreren door het monitoren van de server en door een sterke vertraging in te bouwen wanneer foute inlognaam/wachtwoord-combinaties ingevoerd worden. Wanneer het adres van een klant bekend is, kan natuurlijk ook gefilterd worden op IP-adressen, zodat alleen vanaf bepaalde locaties klantinformatie is op te vragen.
Dit laatste – in combinatie met SSL of een ander encryptieprotocol – is zeker noodzakelijk voor medewerkers die de backoffice benaderen en gegevens in de database mogen muteren. Klanten en medewerkers kunnen ook zelf iets doen om hun eigen PC beter te beveiligen. Sommige ISP’s als XS4All kennen de mogelijkheid om een filter aan te brengen door het sluiten van bepaalde ‘poorten’ die door programma’s als Netbus en Back Orifice misbruikt worden om de controle over te nemen op de gebruikers-PC. Daarnaast zijn er ook softwarematige firewalls van het Internet te plukken, die constant de Internetverbinding monitoren en filteren. Voor veel gebruikers gaat dit laatste natuurlijk iets te ver. Met de klanteningang en backoffice-ingang hebben we het feitelijk nog over het beschermen van de voordeur van de commerciële server. Wanneer de voordeur van gewapend beton is, maar de achterdeur wijd open staat, dan heeft het geheel weinig zin. De achterdeur bestaat uit de poorten die gebruikt kunnen worden door de webmaster voor het technisch beheer van de server. Het is verstandig om iedere poort die niet gebruikt, of strikt genomen niet gebruikt hoeft te worden, geheel af te schermen. Wanneer telnet niet nodig is, sluit deze applicatie dan af, want hackers maken graag gebruik van deze ingang. Zorg ervoor dat ook hier gebruikt gemaakt wordt van een strikte beperking van het aantal IP-adressen van waaruit toegang verkregen kan worden tot de server, en beveilig waar mogelijk de verbinding.
Een achterdeur die heel vaak wijd openstaat, is de verbinding tussen een commerciële server en de servers van leveranciers. Te vaak wordt er uitgegaan van de onbekendheid van derden met het bestaan van deze inkooprelaties, de klantnummers, wachtwoorden, en bestelformaten die afgesproken zijn. In de traditionele handel, waarbij orders telefonisch aangenomen worden of via fax, zijn de mogelijkheden voor het onderscheppen van deze data door wildvreemden uiterst beperkt. Op Internet natuurlijk niet, waar ftp-bestanden te traceren zijn en XML-sessies gekaapt kunnen worden.
Ook tussen commerciële partners die relaties met een grote economische waarde onderhouden, moet dus op IP-adres gefilterd worden en moet encryptie gebruikt worden voor het beveiligen van de onderlinge communicatie, bijvoorbeeld op basis van een point to point-protocol.
Wie mij een aantal jaar terug gezegd zou hebben dat beveiliging het belangrijkste onderwerp in de e-handel zou worden, had ik versleten voor een vakidioot. Maar dankzij crackers en hackers kan niemand er nog om heen.
Periodiek schrijft prof. dr. Martijn Hoogeveen, verbonden aan de Open Universiteit Nederland en TakeitNow.com, over een Internetonderwerp.
