Samenvattingen · InformaticaNL · HAVO

Keuze N: Security

Security is een keuzethema (keuzemodule N) binnen het schoolexamenvak informatica; het hoort niet bij de verplichte kern en wordt volledig via het schoolexamen (SE) getoetst, want informatica kent op de havo geen landelijk eindexamen. In dit thema leer je informatiebeveiliging bekijken vanuit de CIA-triade — vertrouwelijkheid, integriteit en beschikbaarheid — de belangrijkste dreigingen en aanvallen herkennen, en passende beschermingsmaatregelen kiezen en beredeneren. De rode draad is denken als een verdediger: risico's inschatten, meerdere lagen stapelen en de mens als zwakste schakel serieus nemen.

4Onderdelenca. 23min leestijd4VaardighedenNiveauBasis 1 · Standaard 1 · Verdieping 2

T·101010 / 12

Examenprofiel

Keuzethema N (Security) — schoolexamenstof: informatiebeveiliging beschrijven met de CIA-triade (vertrouwelijkheid, integriteit, beschikbaarheid)Veelvoorkomende dreigingen en aanvallen herkennen en hun werking uitleggen (malware, phishing/social engineering, DDoS, man-in-the-middle, SQL-injectie)Passende beschermingsmaatregelen kiezen en beredeneren (versleuteling, hashing met salt, authenticatie en 2FA, autorisatie/least privilege, firewall, updates, back-up)Veilig ontwerpen toepassen (security by design, defense in depth) en de menselijke factor en de afweging veiligheid-gebruiksgemak beoordelen

Operatoren:leg uitbeschrijfberedeneervergelijkpas toeanalyseer

basisniveau

Zorg dat je de CIA-triade, de belangrijkste aanvallen en de standaardmaatregelen kunt herkennen en beschrijven met een voorbeeld.

verhoogd niveau

Kun je bovendien maatregelen tegen elkaar afwegen, gelaagd ontwerpen (defense in depth) en per situatie beredeneren welke aanval elke maatregel afremt.

Diepte

Schrift

Inhalt · 4 onderdelen

Keuze N: Security

Informatiebeveiliging en de CIA-triade#

Basisexamenblad-nl

Informatiebeveiliging gaat over het beschermen van gegevens en de systemen die ze verwerken. Waartegen precies? Vakmensen vatten dat al decennia samen in drie kerndoelen, samen de CIA-triade genoemd: vertrouwelijkheid (confidentiality), integriteit (integrity) en beschikbaarheid (availability). Elk doel beantwoordt een eigen vraag. Vertrouwelijkheid: wie mag de gegevens zien? Integriteit: kloppen de gegevens nog en zijn ze niet stiekem gewijzigd? Beschikbaarheid: kun je erbij op het moment dat je ze nodig hebt? Een systeem is pas echt veilig als het op alle drie de vragen een goed antwoord geeft; schiet er een tekort, dan is de beveiliging als geheel lek. De triade is daarom geen checklist van losse eisen maar een bril waardoor je elke beveiligingssituatie kunt bekijken.

Vertrouwelijkheid betekent dat gegevens alleen toegankelijk zijn voor wie daartoe bevoegd is. Denk aan je cijfers, medische gegevens of een wachtwoordbestand: die mogen niet in handen komen van willekeurige anderen. In de praktijk dwing je vertrouwelijkheid af met toegangsrechten (autorisatie) en met versleuteling, zodat onderschepte of gestolen gegevens onleesbaar blijven. Een schending van vertrouwelijkheid heet een datalek: gegevens komen op straat te liggen terwijl ze verborgen hadden moeten blijven. Belangrijk: bij een lek is vaak niets kapotgemaakt en werkt alles nog gewoon — juist daarom blijft een lek soms lang onopgemerkt. Vertrouwelijkheid gaat dus over inzage, niet over de vraag of het systeem het nog doet.

Integriteit betekent dat gegevens juist en volledig zijn en niet ongeautoriseerd zijn veranderd. Een banksaldo dat een aanvaller ophoogt, een cijfer dat na afloop wordt bijgesteld of een besteld aantal dat onderweg wijzigt: dat zijn integriteitsschendingen. De informatie is dan misschien nog leesbaar en beschikbaar, maar je kunt er niet meer op vertrouwen. Integriteit bewaak je met controlemechanismen zoals hashcodes en controlegetallen (waarmee je detecteert dat iets is gewijzigd), met digitale handtekeningen (waarmee je bovendien de herkomst vaststelt) en met strikte schrijfrechten. Merk op dat integriteit zowel per ongeluk (een schijffout, een bug) als met opzet (een aanval) geschonden kan worden; beveiliging richt zich op beide.

Beschikbaarheid betekent dat bevoegde gebruikers erbij kunnen op het moment dat ze de gegevens of dienst nodig hebben. Een webshop die plat ligt, een schoolportaal dat onbereikbaar is tijdens de inschrijving of een bestand dat door ransomware is versleuteld en dus onbruikbaar is: telkens is de vertrouwelijkheid misschien intact — niemand heeft iets ingezien — maar is de beschikbaarheid onderuitgehaald. Beschikbaarheid bescherm je met back-ups, met reservecapaciteit en redundantie (dubbele servers) en met maatregelen tegen overbelasting. Ook hier geldt: uitval kan een ongeluk zijn (stroomstoring, kapotte schijf) of een aanval (DDoS). Dat vertrouwelijkheid en beschikbaarheid soms tegen elkaar in werken — hoe strenger je afschermt, hoe lastiger het gebruik — is een terugkerende afweging.

Om over beveiliging te praten heb je nog drie begrippen nodig die vaak worden verward. Een dreiging is iets wat schade kan veroorzaken (een aanvaller, maar ook brand of een stroomstoring). Een kwetsbaarheid is een zwakke plek waardoor die dreiging kan toeslaan (een verouderd programma, een zwak wachtwoord, een onoplettende medewerker). Risico is de combinatie: hoe waarschijnlijk is het dat een dreiging een kwetsbaarheid benut, en hoe erg is de schade dan? Een dreiging zonder bijpassende kwetsbaarheid levert weinig risico op, en een kwetsbaarheid die niemand kan bereiken evenmin. Beveiligen betekent daarom niet alles dichttimmeren — dat kan niet — maar risico's inschatten en de grootste eerst verkleinen. Afb. 1 toont hoe de drie CIA-doelen samen de te beschermen informatie omringen.

De CIA-triade rond informatie

Afb. 1Afb. 1 — De drie kerndoelen vertrouwelijkheid, integriteit en beschikbaarheid beschermen samen de informatie. Ontbreekt er een, dan is de beveiliging als geheel lek.

Uitgewerkt voorbeeld

Welk CIA-doel is geschonden?

Beoordeel voor elk incident welk(e) kerndoel(en) van de CIA-triade worden geschonden: (a) een gelekt bestand met wachtwoorden, (b) een website die door een aanval urenlang platligt, (c) een cijfer dat een leerling stiekem in het systeem ophoogt.

Incident (a): gelekt wachtwoordbestand
Onbevoegden krijgen inzage in gegevens die verborgen hadden moeten blijven. Dat raakt de vertrouwelijkheid. Het systeem werkt nog en de gegevens zijn niet gewijzigd, dus integriteit en beschikbaarheid blijven voorlopig intact — al is het risico groot dat de gestolen wachtwoorden later worden misbruikt.
Incident (b): platgelegde website
Bevoegde bezoekers kunnen er niet meer bij terwijl ze dat wel willen. Dat is een schending van de beschikbaarheid. Er is niets ingezien of gewijzigd, dus vertrouwelijkheid en integriteit zijn hier niet in het geding.
Incident (c): opgehoogd cijfer
De opgeslagen gegevens zijn ongeautoriseerd veranderd en kloppen niet meer. Dat is een schending van de integriteit. De gegevens zijn nog leesbaar en beschikbaar, maar niet meer betrouwbaar.
Conclusie
Elk incident raakt precies een hoofddoel: (a) vertrouwelijkheid, (b) beschikbaarheid, (c) integriteit. Zo laat de triade zien dat 'onveilig' heel verschillende vormen kan aannemen.

Resultaat: (a) vertrouwelijkheid, (b) beschikbaarheid, (c) integriteit — de CIA-triade helpt om per incident precies te benoemen wat er misgaat.

Veelgemaakte fouten

Beveiliging gelijkstellen aan 'niemand mag erbij' (alleen vertrouwelijkheid) en integriteit en beschikbaarheid vergeten.
Denken dat een datalek het systeem 'kapot' maakt; bij een lek werkt vaak alles nog, alleen is informatie ingezien.
Dreiging en kwetsbaarheid verwarren, of risico zien als 'de aanvaller zelf' in plaats van als kans maal schade.

Actieve herhaling

Een school ontdekt dat een bestand met leerlingwachtwoorden is gekopieerd door een buitenstaander; de school kan zelf nog gewoon inloggen. Leg uit welk CIA-doel is geschonden, welke doelen (nog) intact zijn, en benoem de dreiging, de kwetsbaarheid en het risico in dit geval.

Actief ophalen

Haal de kernpunten op — onthul ze daarna.

Bronnen: Examenprogramma informatica (HAVO) (CvTE / Examenblad)

Dreigingen en aanvallen#

Standardexamenblad-nl

Wie zich wil verdedigen, moet weten waartegen. Aanvallen op informatiesystemen vallen grofweg in twee families uiteen. Sommige richten zich op de techniek: ze buiten een fout of zwakte in software, netwerk of configuratie uit. Andere richten zich op de mens: ze verleiden een gebruiker om zelf de deur open te zetten. Dat onderscheid is belangrijk, want tegen een technische aanval helpt een technische maatregel (updates, filters), maar tegen een aanval op de mens helpt vooral bewustzijn en gezond wantrouwen. In de praktijk combineren echte aanvallen de twee: een phishingmail (mens) levert een wachtwoord op waarmee vervolgens malware (techniek) wordt geïnstalleerd. Afb. 2 zet de belangrijkste aanvallen naast hun werking en een tegenmaatregel.

Aanvallen, werking en tegenmaatregel

Afb. 2Afb. 2 — Vijf veelvoorkomende aanvallen met hun werking en een passende tegenmaatregel. De gemarkeerde cel benadrukt dat SQL-injectie draait om het valideren van invoer.

Malware is de verzamelnaam voor kwaadaardige software: programma's die zonder jouw toestemming schadelijke dingen doen. Er zijn verschillende soorten, ingedeeld naar hoe ze zich verspreiden en wat ze doen. Een virus hangt zich vast aan een bestaand bestand of programma en verspreidt zich pas als de gebruiker dat uitvoert. Een worm heeft die menselijke stap niet nodig: hij kruipt zelfstandig via het netwerk van computer naar computer. Een trojan (trojaans paard) doet zich voor als iets nuttigs — een spelletje, een 'gratis' programma — maar verbergt een schadelijke lading. Ransomware ten slotte versleutelt je bestanden en eist losgeld voor de sleutel; die raakt vooral de beschikbaarheid. Tegen malware helpen antivirus, tijdige updates en het niet zomaar uitvoeren van onbekende bestanden.

Phishing en social engineering mikken op de zwakste schakel: de mens. Bij social engineering manipuleert een aanvaller iemand om iets te doen wat de beveiliging ondermijnt — een wachtwoord doorgeven, een deur openhouden, een bijlage openen. Phishing is de bekendste vorm: een nepbericht (mail, sms, appje) doet zich voor als een vertrouwde afzender, zoals je bank of school, en lokt je naar een nepsite of laat je gevoelige gegevens invullen. De trucs spelen in op emotie en tijdsdruk: 'je account wordt geblokkeerd', 'betaal binnen 24 uur'. Wat phishing gevaarlijk maakt, is dat geen enkele firewall of virusscanner het tegenhoudt zodra jij zelf je wachtwoord intikt. Herkenning draait om nadenken: klopt de afzender, klopt het linkadres, word ik onder druk gezet, wordt er iets geheims gevraagd?

Twee aanvallen die op de techniek en het netwerk mikken zijn DDoS en man-in-the-middle. Bij een DDoS-aanval (Distributed Denial of Service) overspoelen veel computers tegelijk een server met verkeer, tot die de echte gebruikers niet meer kan bedienen. Het doel is niet stelen maar platleggen: een aanval op de beschikbaarheid. Je verdedigt je met het filteren van verdacht verkeer en met extra capaciteit. Bij een man-in-the-middle-aanval gaat de aanvaller ongemerkt tussen twee partijen in zitten — bijvoorbeeld op een open wifinetwerk — en leest of verandert het verkeer dat zij denken rechtstreeks uit te wisselen. Dat raakt de vertrouwelijkheid en de integriteit tegelijk. De tegenmaatregel is versleuteling (https): dan is onderschept verkeer onleesbaar en valt knoeien op te merken.

Een laatste belangrijke categorie is de aanval via onveilige invoer, waarvan SQL-injectie het schoolvoorbeeld is. Veel systemen bouwen een databasevraag (query) op met tekst die de gebruiker zelf intikt, bijvoorbeeld in een inlogveld. Als het programma die invoer klakkeloos in de query plakt, kan een aanvaller er databasecommando's in verstoppen die meeliften en worden uitgevoerd — waardoor hij gegevens kan uitlezen, wijzigen of wissen. De oorzaak is dat het systeem gebruikersinvoer vertrouwt die het niet had mogen vertrouwen. De tegenmaatregel is invoer valideren en die invoer strikt als gegevens behandelen, nooit als code (met zogeheten geparametriseerde queries). Dezelfde denkfout — invoer vertrouwen — ligt onder veel kwetsbaarheden en keert terug bij veilig ontwerpen.

Uitgewerkt voorbeeld

Een phishingmail ontleden

Je krijgt een mail met afzender 'service@bank-beveiliging.info', onderwerp 'Actie vereist', met de tekst: 'Uw rekening wordt binnen 24 uur geblokkeerd wegens verdachte activiteit. Bevestig direct uw gegevens via deze link.' Analyseer de mail.

Wat is het doel?
De mail wil dat je op een link klikt en je inloggegevens (of pincode/creditcardgegevens) invult op een nepsite. Het doel is diefstal van je gegevens om daarmee bij je rekening te komen — een klassieke phishingaanval, gericht op jou als mens en niet op een technisch lek.
Verraderlijke kenmerken
Tijdsdruk ('binnen 24 uur'), een dreigement ('wordt geblokkeerd'), een verzoek om geheime gegevens te 'bevestigen', en een verdacht afzenderadres ('bank-beveiliging.info' is niet het echte bankdomein). Een bank vraagt nooit per mail om je wachtwoord of pincode.
Controleer zonder te klikken
Beweeg met de muis over de link zonder te klikken en bekijk waar hij echt heen wijst; dat adres komt vrijwel zeker niet overeen met de echte bank. Vergelijk de afzender met eerdere, echte berichten.
Wat te doen?
Niet klikken, niets invullen, geen gegevens 'bevestigen'. Verwijder de mail of meld hem, en ga bij twijfel zelf naar de bank via het adres dat je al kent (typ het zelf in) of via de officiële app — nooit via de link uit de mail.

Resultaat: Het is phishing: een op de mens gerichte aanval die met tijdsdruk en een nepafzender je inloggegevens probeert te ontfutselen. Juiste reactie: niet klikken, zelf naar de vertrouwde site gaan, en de mail melden of verwijderen.

Veelgemaakte fouten

Alle malware 'virus' noemen; virus, worm, trojan en ransomware verschillen juist in verspreiding en werking.
Denken dat een virusscanner of firewall phishing tegenhoudt — die aanval draait om de gebruiker, niet om een technisch lek.
DDoS verwarren met een datalek; DDoS steelt niets maar legt de dienst plat (beschikbaarheid).

Actieve herhaling

Je ontvangt een e-mail 'van je bank' met de tekst: 'Uw rekening wordt binnen 24 uur geblokkeerd. Log direct in via onderstaande link om dit te voorkomen.' Analyseer: om welke aanval gaat het, op welke schakel (techniek of mens) mikt hij, aan welke kenmerken herken je hem, en wat moet je doen?

Actief ophalen

Haal de kernpunten op — onthul ze daarna.

Bronnen: Examenprogramma informatica (HAVO) (CvTE / Examenblad)

Beschermingsmaatregelen#

Vertiefungexamenblad-nl

Tegenover de aanvallen staat een gereedschapskist aan beschermingsmaatregelen. Het helpt om ze te ordenen naar het CIA-doel dat ze dienen. Versleuteling beschermt vooral de vertrouwelijkheid; hashcodes en digitale handtekeningen bewaken de integriteit; back-ups en reservecapaciteit borgen de beschikbaarheid. Daaromheen staan maatregelen die regelen wie wat mag: authenticatie (ben je wie je zegt te zijn?) en autorisatie (mag je dit?). Geen enkele maatregel is op zichzelf voldoende — echte beveiliging stapelt ze, zodat een aanvaller meerdere hordes moet nemen. In deze paragraaf lopen we de belangrijkste maatregelen langs; Afb. 3 laat zien hoe authenticatie met een tweede factor het inloggen sterker maakt.

Inloggen met tweestapsverificatie

Afb. 3Afb. 3 — Bij tweestapsverificatie moet na het wachtwoord (weten) ook een tweede factor kloppen — een code (hebben) — voordat toegang wordt verleend. De tweede factor is de sleutel: een gestolen wachtwoord alleen is niet genoeg.

Versleuteling (encryptie) zet leesbare gegevens met een sleutel om in onleesbare cijfertekst, die alleen met de juiste sleutel weer terug te rekenen is. Zo blijven onderschepte of gestolen gegevens waardeloos voor wie de sleutel niet heeft; daarom is versleuteling de kern van vertrouwelijkheid. Je komt haar overal tegen: het slotje en 'https' in de browser betekenen dat het verkeer tussen jou en de website versleuteld is, zodat een man-in-the-middle niets kan meelezen. De veiligheid zit niet in het geheimhouden van de methode maar in het geheimhouden van de sleutel, en in de lengte ervan: een sleutel van 128 bit geeft

2^{128}

mogelijke sleutels, veel te veel om er een voor een uit te proberen. Een korte of slecht bewaarde sleutel maakt de beste versleuteling alsnog waardeloos.

Voor het opslaan van wachtwoorden gebruik je geen versleuteling maar hashing. Een hashfunctie rekent elk wachtwoord om naar een vaste reeks tekens (de hash) op een manier die je niet kunt terugdraaien: uit de hash valt het wachtwoord niet te herleiden. Bij het inloggen hasht het systeem wat je intikt en vergelijkt dat met de opgeslagen hash. Zo hoeft het echte wachtwoord nergens leesbaar te staan, en is bij een datalek alleen de onbruikbare hash buitgemaakt. Eén probleem: gelijke wachtwoorden geven gelijke hashes, waardoor aanvallers met vooraf berekende lijsten kunnen werken. Daarom voeg je aan elk wachtwoord een salt toe: een uniek, willekeurig stukje dat je meeneemt in de hash. Dezelfde wachtwoorden krijgen dan tóch verschillende hashes, en die kant-en-klare lijsten worden waardeloos.

Authenticatie is het bewijzen dat je bent wie je zegt te zijn. Dat kan op drie soorten manieren, de authenticatiefactoren: iets wat je weet (een wachtwoord, pincode), iets wat je hebt (je telefoon, een bankpas, een beveiligingssleutel) en iets wat je bent (een vingerafdruk, gezicht). Elke factor heeft zwakke kanten: een wachtwoord kan worden geraden of afgekeken, een pas gestolen. Tweestapsverificatie (2FA) combineert daarom twee verschillende factoren, bijvoorbeeld je wachtwoord (weten) en een code op je telefoon (hebben). De winst is groot: een aanvaller die via phishing alleen je wachtwoord bemachtigt, komt er nog niet in, want hij mist de tweede factor. Twee keer hetzelfde soort factor (twee wachtwoorden) telt niet als 2FA — de kracht zit in het combineren van verschillende soorten.

Na authenticatie volgt autorisatie: vaststellen wat een gebruiker mag. Het leidende principe heet least privilege (minste rechten): geef iedereen precies genoeg rechten om het werk te doen en niet meer. Zo blijft de schade beperkt als een account wordt gekaapt — een gekaapt leerlingaccount kan dan geen cijfers wijzigen. Verder hoort in de kist: een firewall, die ongewenst netwerkverkeer tegenhoudt; updates en patches, die bekende lekken dichten voordat aanvallers ze misbruiken (verouderde software is een van de grootste kwetsbaarheden); en back-ups tegen verlies en ransomware. Een bekende vuistregel is de 3-2-1-regel: bewaar drie kopieën van je gegevens, op twee verschillende soorten dragers, waarvan een op een andere locatie. Zo overleeft je data zelfs brand of gijzeling.

Uitgewerkt voorbeeld

Wachtwoordbeleid beoordelen

Een schoolsysteem bewaart wachtwoorden in platte tekst en vraagt bij het inloggen alleen om dat wachtwoord. Beoordeel de veiligheid en stel verbeteringen voor.

Risico van platte opslag
Bij platte opslag staat elk wachtwoord leesbaar in de database. Eén datalek — of een nieuwsgierige beheerder — betekent dat álle wachtwoorden meteen bekend zijn. Erger nog: mensen hergebruiken wachtwoorden, dus de buit opent ook hun accounts elders. De vertrouwelijkheid is hier structureel onbeschermd.
Verbetering 1: hashen
Sla niet het wachtwoord op maar de hash ervan. Omdat een hash niet terug te rekenen is, levert een datalek alleen onbruikbare hashes op. Bij inloggen hasht het systeem de invoer en vergelijkt de hashes — het echte wachtwoord hoeft nergens leesbaar te staan.
Verbetering 2: salt toevoegen
Geef elk wachtwoord een unieke salt vóór het hashen. Dan krijgen zelfs twee gebruikers met hetzelfde wachtwoord verschillende hashes, en werken vooraf berekende lijsten van veelgebruikte wachtwoorden niet meer. De salt hoeft niet geheim te zijn, wel uniek per gebruiker.
Verbetering 3: tweestapsverificatie
Voeg een tweede factor toe, bijvoorbeeld een code op de telefoon (iets wat je hebt) naast het wachtwoord (iets wat je weet). Een aanvaller die via phishing alleen het wachtwoord bemachtigt, mist de tweede factor en komt er niet in. Zie Afb. 3.

Resultaat: Het beleid is onveilig: platte opslag maakt elk wachtwoord direct buit. Hash de wachtwoorden mét een unieke salt en voeg tweestapsverificatie toe; dan is een gestolen of gelekt wachtwoord op zichzelf onvoldoende om binnen te komen.

Veelgemaakte fouten

Denken dat wachtwoorden 'versleuteld' worden opgeslagen; goede systemen hashen ze (met salt), want dat kun je bewust niet terugdraaien.
Twee wachtwoorden (of wachtwoord + geheime vraag) 2FA noemen; 2FA vereist twee verschillende soorten factoren (weten/hebben/zijn).
De salt geheim willen houden; de salt hoeft niet geheim te zijn — hij moet vooral uniek zijn zodat gelijke wachtwoorden verschillende hashes krijgen.

Actieve herhaling

Een school slaat wachtwoorden op als platte tekst en gebruikt alleen een wachtwoord om in te loggen. Beoordeel dit beleid: leg uit waarom platte opslag riskant is, wat hashen met salt daaraan verbetert, en beredeneer welk concreet gevaar tweestapsverificatie zou wegnemen.

Actief ophalen

Haal de kernpunten op — onthul ze daarna.

Bronnen: Examenprogramma informatica (HAVO) (CvTE / Examenblad)

Veilig ontwerpen en de menselijke factor#

Vertiefungexamenblad-nl

Beveiliging is geen slotje dat je er achteraf op schroeft; ze hoort vanaf het eerste ontwerp meegenomen te worden. Dat idee heet security by design: bedenk al tijdens het ontwerpen wat er mis kan gaan en bouw de bescherming meteen in, in plaats van gaten te dichten nadat het systeem klaar (of gehackt) is. Achteraf beveiligen is duurder, moeilijker en lekt vaker. Bij security by design hoort ook het uitgangspunt dat een systeem standaard veilig staat (secure by default): de veilige instelling is de standaardinstelling, zodat gebruikers niet eerst iets hoeven aan te zetten om beschermd te zijn. Zo verschuift de verantwoordelijkheid van de argeloze gebruiker naar het doordachte ontwerp.

Een tweede ontwerpprincipe is defense in depth: verdediging in de diepte, met meerdere lagen achter elkaar. Het idee is dat geen enkele maatregel perfect is, dus je stapelt ze, zodat een aanvaller die door de ene laag heen breekt nog steeds op de volgende stuit. Denk aan een kasteel met een gracht, een muur én een slot op de schatkamer. In een informatiesysteem zijn die lagen bijvoorbeeld: fysieke toegang (een afgesloten serverruimte), het netwerk (een firewall), het systeem (accounts en updates), de applicatie (invoervalidatie) en de gebruiker (bewustzijn). Afb. 4 laat die lagen zien als hordes tussen de buitenwereld en de waardevolle gegevens. De kracht zit in de stapeling: één gefaalde laag is dan geen ramp.

Defense in depth: lagen tussen aanvaller en gegevens

Afb. 4Afb. 4 — Defense in depth: een aanvaller vanaf de buitenwereld moet laag na laag doorbreken — fysiek, netwerk, systeem, applicatie en gebruiker — voordat hij bij de gegevens (de kern) komt. Faalt er een laag, dan houdt de volgende hem tegen.

Binnen de applicatielaag draait veilig ontwerpen vooral om één gouden regel: vertrouw invoer nooit zomaar. Alle gegevens die van buiten komen — wat een gebruiker intikt, wat een ander systeem stuurt — kunnen bewust misleidend zijn. Daarom valideer je invoer (klopt de vorm, de lengte, het type?) en behandel je haar als gegevens, nooit als uit te voeren code; precies dat voorkomt de SQL-injectie uit de vorige paragraaf. Daarnaast geldt ook binnen software het least-privilege-principe: elk onderdeel krijgt alleen de rechten die het echt nodig heeft, zodat een fout of inbraak in één onderdeel niet meteen het hele systeem opent. Zo blijft schade lokaal, in plaats van dat één zwakke plek alles meesleurt.

Hoe sterk de techniek ook is, de mens blijft vaak de zwakste schakel. Aanvallers weten dat en mikken er bewust op: een goed uitgevoerde phishingmail omzeilt de duurste firewall zodra iemand zijn wachtwoord prijsgeeft. Daarom is beveiliging óók een kwestie van gedrag en bewustzijn. Goede wachtwoordhygiëne hoort daarbij: lange, unieke wachtwoorden per dienst (het liefst met een wachtwoordmanager), zodat één gelekt wachtwoord niet meteen al je accounts opent. Verder: software actueel houden (updates), niet klikken op verdachte links, en geen gevoelige gegevens delen na een onverwacht verzoek. Trainingen en heldere afspraken maken de mens een sterkere in plaats van een zwakkere schakel. Techniek en gedrag moeten elkaar aanvullen; het een zonder het ander is dweilen met de kraan open.

Ten slotte een afweging die telkens terugkomt: veiligheid tegenover gebruiksgemak. Elke extra beveiliging vraagt iets van de gebruiker — nog een code intikken, nog een keer inloggen, een lang wachtwoord onthouden. Maak je het te streng, dan gaan mensen sluipwegen zoeken (wachtwoorden op een briefje, beveiliging uitzetten) en wordt het systeem juist onveiliger. Goede beveiliging zoekt de balans: zo veilig als nodig, zo makkelijk als kan — denk aan een vingerafdruk, die inloggen én snel én sterk maakt. Beveiliging raakt bovendien direct aan privacy: door persoonsgegevens goed te beschermen (minimale rechten, alleen bewaren wat nodig is) respecteer je meteen de privacy van mensen. Een onveilig systeem kan de privacy nooit waarborgen; daarom horen security en privacy bij elkaar.

Uitgewerkt voorbeeld

Gelaagde beveiliging voor een schoolportaal

Ontwerp voor een schoolportaal waar leerlingen hun cijfers inzien drie beschermingsmaatregelen in verschillende lagen, en beredeneer welke aanval elke laag afremt.

Laag 1 — netwerk: firewall + https
Zet het portaal achter een firewall en dwing https (versleuteld verkeer) af. De firewall weert ongewenst netwerkverkeer en de versleuteling maakt een man-in-the-middle op bijvoorbeeld schoolwifi kansloos: onderschept verkeer is onleesbaar. Deze laag remt netwerkaanvallen en afluisteren af.
Laag 2 — toegang: 2FA + least privilege
Laat leerlingen inloggen met tweestapsverificatie en geef elk account alleen de rechten die het nodig heeft (een leerling ziet eigen cijfers en kan niets wijzigen). 2FA maakt een via phishing gestolen wachtwoord onvoldoende; least privilege beperkt de schade als een account tóch wordt gekaapt.
Laag 3 — applicatie: invoer valideren
Valideer alle invoer in de inlog- en zoekvelden en gebruik geparametriseerde queries. Zo kan een aanvaller geen databasecommando's in een veld verstoppen — dit remt SQL-injectie en andere aanvallen via onveilige invoer af.
Waarom gelaagd?
Faalt één laag — een leerling trapt in phishing — dan vangt de volgende het op: 2FA houdt de aanvaller alsnog buiten, en least privilege beperkt de schade als hij toch binnenkomt. Dat is defense in depth. Let op de afweging: 2FA kost een extra handeling bij het inloggen; maak die zo soepel mogelijk (bijvoorbeeld een melding in een app) zodat leerlingen de beveiliging niet gaan omzeilen.

Resultaat: Drie lagen — netwerk (firewall/https), toegang (2FA + least privilege) en applicatie (invoervalidatie) — beschermen het portaal elk tegen andere aanvallen. Samen zorgen ze dat één doorbraak niet meteen alle cijfers blootlegt; de prijs is wat extra moeite bij het inloggen, die je met een gebruiksvriendelijke tweede factor klein houdt.

Veelgemaakte fouten

Beveiliging als sluitstuk zien ('eerst bouwen, daarna beveiligen') in plaats van vanaf het ontwerp (security by design).
Vertrouwen op één sterke maatregel; zonder gelaagdheid is één doorbraak meteen fataal.
De menselijke factor vergeten en denken dat techniek alleen volstaat — of juist alles op de gebruiker afschuiven zonder het ontwerp veilig te maken.

Actieve herhaling

Ontwerp voor een schoolportaal (waar leerlingen cijfers inzien) drie beschermingsmaatregelen in verschillende lagen. Benoem per maatregel de laag, en beredeneer welke aanval of dreiging die laag afremt. Bespreek ook één afweging met gebruiksgemak.

Actief ophalen

Haal de kernpunten op — onthul ze daarna.

Bronnen: Examenprogramma informatica (HAVO) (CvTE / Examenblad)

Referenties en bronnen

Bronnen

CvTE / Examenblad

Examenprogramma informatica (HAVO)

Keuze N: Security

Kernpunten

Welk CIA-doel is geschonden?

Kernpunten

Een phishingmail ontleden

Kernpunten

Wachtwoordbeleid beoordelen

Kernpunten

Gelaagde beveiliging voor een schoolportaal

Bronnen

Keuze N: Security

Kernpunten

Welk CIA-doel is geschonden?

Kernpunten

Een phishingmail ontleden

Kernpunten

Wachtwoordbeleid beoordelen

Kernpunten

Gelaagde beveiliging voor een schoolportaal

Bronnen