Verscherpte aandacht voor SSLv2

Deze week verscheen er opnieuw een publicatie van de Autoriteit Persoonsgegevens (AP) over het strenger toezien op een lek in het beveiligingsprotocol SSLv2. SSLv2 is een verouderd beveiligingsprotocol dat wordt gebruikt om de communicatie tussen systemen te beveiligen. Het lek genaamd DROWN geeft een kwaadwillende de mogelijkheid om toegang te krijgen tot vertrouwelijke informatie. Denk hierbij aan bijvoorbeeld het (versleutelde) e-mailverkeer tussen een cliënt en een e-mailserver of de bestelling via een webshop met een (verouderde) browser. De AP waarschuwt bedrijven dat ze de Wet bescherming persoonsgegevens (Wbp) overtreden, als ze niet ingrijpen.


Beveiligingsprotocol?

Het SSLv2 beveiligingsprotocol stamt uit 1995 en bevat cryptografische zwakheden die misbruikt kunnen worden en zou al jaren geleden moeten zijn uitgeschakeld. Ook het protocol SSLv3, de directe opvolger, mag als onveilig worden beschouwd, sinds in oktober 2014 de POODLE-kwetsbaarheid bekend werd. De opvolger van SSL is TLS. Momenteel zijn hier drie varianten van: TLSv1.0, TLSv1.1 en TLSv1.2. Afhankelijk van de implementatie zijn er onder bepaalde omstandigheden ook kwetsbaarheden bekend binnen TLSv1. TLSv1 wordt voornamelijk nog gebruikt ter ondersteuning van bijvoorbeeld oudere browsers.


Aanbevelingen

Het gebruik van SSLv2 en SSLv3 wordt al jaren lang afgeraden. Door deze protocollen niet meer aan te bieden, worden bijkomstig enkele onveilige standaardinstellingen met betrekking tot het gebruik van zwakke versleutelingsopties eveneens niet meer gebruikt. Het advies is dan ook om te (laten) testen of deze protocollen nog worden aangeboden.

Afhankelijk van de toepassing is het beter om ook TLSv1.0 niet meer aan te bieden. Blijven alleen de meest recente protocollen over. Daarbij moet er wel rekening gehouden worden dat de sterkte hiervan mede afhankelijk is van de gebruikte instellingen. Test deze instellingen.

Zie voor meer informatie de richtlijnen van het Nationaal Cyber Security Centrum (NCSC).

Omdat SSL/TLS geïmplementeerd zijn als gestandaardiseerd referentiemodel voor datacommunicatiestandaarden (OSI) is het gebruik ervan grotendeels transparant en vergelijkbaar. Veel applicaties/servers vandaag de dag ondersteunen zowel SSL als TLS.


Hoe nu verder?

Ondanks het feit dat je voor diensten afhankelijk bent van derden is het bewust omgaan met deze kwetsbaarheden een eerste wens. Het kan zijn dat primaire processen ondersteund worden door oudere software. Maak de business case nog eens op en kijk of op basis van deze bedreiging vervanging wenselijk en/of aan te bevelen is.

Is de business case onvoldoende sterk kijk dan naar de volgende mitigerende maatregelen:

  1. Upgrade browsers naar de laatste versies die TLS ondersteunen.
  2. Upgrade naar laatste versie van TLS.
  3. Ondersteuning van zwakke SSL implementaties waar mogelijk uitzetten.
  4. TLS ondersteuning aanbieden op basis van v1.2 met bijbehorende sterke instellingen.

Een kleine ingreep die elke ondernemer zou moeten willen uitvoeren. Al is het maar om de AP buiten de deur te houden.

Terug naar overzicht

1