Ethisch hacken voor een veiliger internet

Krachten bundelen

“DIVD bestaat uit een team vrijwilligers dat zich inzet om ICT-kwetsbaarheden op te sporen. Het verantwoord melden van zo’n kwetsbaarheid wordt ook wel responsible disclosure genoemd” legt Chris van ‘t Hof uit. “Voorheen deden veel leden dit op individuele basis, maar het is natuurlijk veel effectiever om krachten te bundelen, taken te verdelen en beveiligingsonderzoekers samen te brengen. Daarom richtte ik in september 2019 samen met Astrid Oosenbrug en Victor Gevers de stichting DIVD op. Samen met alle gemotiveerde vrijwilligers dragen we bij aan een veilig internet.”

Kwetsbaarheden scannen en melden

“Om onze gezamenlijke missie te bereiken, richten we ons voornamelijk op het opsporen van algemene kwetsbaarheden op het internet. Een aantal onderzoekers uit ons team houdt zich bezig met het scannen van het internet op algemene kwetsbaarheden, die bijvoorbeeld aandacht krijgen in het nieuws. Denk aan de situatie rondom Citrix-servers: begin dit jaar werd wereldwijd bekend dat veel Citrix-servers lek waren. De vraag luidde: wie is verantwoordelijk voor het waarschuwen van de gebruikers van de servers? Wij hebben deze taak op ons genomen en ons ingezet om alle Nederlandse IP-adressen, die gebruik maken van de Citrix-server, te scannen op de kwetsbaarheid. Uit deze scan bleken 546 IP-adressen kwetsbaar te zijn. Wij namen vervolgens via mail contact op met de eigenaren van deze IP-adressen. In sommige gevallen doen we dit niet zelf, maar benaderen we de eigenaar waarvan het IP-adres onderdeel uitmaakt. Niet iedereen is bekend met DIVD, maar vaak wel met haar overstijgende netwerkprovider, een partij als KPN. Als eigenaren van een IP-adres een mail van hun eigen provider ontvangen, vinden zij een melding eerder betrouwbaar.” “Nadat we kwetsbaarheden hebben gerapporteerd en gemeld bij de eigenaren, herhalen we de scans normaal gesproken net zolang tot de eigenaren zelf de kwetsbaarheden oplossen. We volgen het proces op de voet. Zo weten we of we nogmaals contact moeten opnemen met de eigenaren”, vertelt Chris.

Het Nederlands Security Meldpunt

Dankzij de ophef rondom de kwetsbaarheden in Citrix-servers, werd het net ontwikkelde Nederlands Security Meldpunt een feit. Dit meldpunt is onderdeel van DIVD. Het is in feite het centrale punt van waaruit het team van vrijwilligers zelf meldingen over veiligheidsgerelateerde zaken maakt. Vrijwilligers informeren eigenaren van Nederlandse netwerken en websites over kwetsbaarheden die via het meldpunt binnenkomen. Het Nederlands Security Meldpunt richt zich voornamelijk op kwetsbaarheden die een groot aantal gebruikers treffen, zoals bij de Citrix-servers het geval was. Niet op kwetsbaarheden die zich voordoen binnen slechts enkele systemen. Chris: “Naast dat wij zelf kwetsbaarheden melden en scannen, zijn we ook een aanspreekpunt voor ethische hackers die kwetsbaarheden opsporen. Wij kunnen hen helpen met onze kennis. We ondersteunen jongere hackers of lossen waar mogelijk het melden van een systeem beveiligingslek samen op.”

De steun van SIDN fonds

“Naast een mooie financiële bijdrage, ondersteunt SIDN fonds ons ook door ons initiatief te erkennen. SIDN fonds heeft ons geholpen bij het opzetten van een vrijwilligersorganisatie. Zo gaven zij aan, dat het belangrijk is om als team een gezamenlijk doel voor ogen te houden en de energie en ambities in het project te bewaren. Dankzij de steun van SIDN fonds krijgen we als stichting de mogelijkheid om ons verder te professionaliseren en bij te dragen aan een sterk internet.” Mieke van Heesewijk, programmamanager bij SIDN fonds: “De mensen achter DIVD weten waar ze mee bezig zijn en door hun manier van werken bundelen ze de kennis en de kunde om een veilig internet dichterbij te brengen. DIVD is daardoor een zeer krachtig en vernieuwend initiatief.”

DIVD als onderzoeksinstituut

“Ons ultieme doel is dat DIVD echt een onderzoeksinstituut wordt. Dat we op basis van verschillende onderzoeken vaste formats kunnen ontwikkelen. Formats die je bijvoorbeeld helpen bij het uitvoeren van een goede scan of die uitleggen welke type kwetsbaarheden goed en welke minder goed te scannen zijn. Als instituut kunnen wij anderen helpen met het uitvoeren van responsible disclosure. Een van onze toekomstplannen is dan ook om een opleiding in te richten. Astrid gaat deze opleiding opzetten. Hiermee willen we enerzijds mensen opleiden in het verbeteren van de veiligheid van het internet en anderzijds de jonge ethische hackers leren om op een goede manier de internetveiligheid te vergroten”, aldus Chris. Wil jij meer weten over responsible disclosure en wat het kan betekenen voor jouw stichting of organisatie? Bekijk dan de website van DIVD.