Dit is een repost van een artikel uit februari 2005. Ik denk dat de analyse nog steeds interessant is.

Wat is er gebeurd?

Privè gegevens van bezoekers van de Funda site kwamen op straat komen te liggen, door fouten in de opzet en het beheer van de Funda applicatie.

Op Funda worden huizen te koop aangeboden door bij Funda aangesloten makelaars. Hoewel er heel veel sites in dit genre bestaan is Funda met afstand de grootste en daardoor het best bezocht. Ik kom er zelf ook regelmatig.

Afgelopen maandag 21 februari is gebleken dat de email adressen van 6651 gebruikers en een bestand met daarin alle wachtwoorden door Google zijn geïndexeerd en daardoor voor iedereen beschikbaar zijn op het web. Op verzoek van Funda heeft Google de gegevens snel verwijderd, maar op allerlei websites zijn deze twee lijsten nu beschikbaar.

De schade

Het belangrijkste is denk ik de schade die het imago van Funda heeft opgelopen. Blijkbaar zijn de persoonlijke gegevens van hun klanten daar niet veilig.

Ook het imago de ontwikkelaars van Funda loopt een flinke deuk op. Blijkbaar was de beveliging van zo'n bekende site te simpel. Uit de lijst met wachtwoorden blijkt bovendien dat de beveiliging op dat gebied van een bedroevend niveau was. Als voorbeeld: het wachtwoord van de database van funda was: funda. Als dat je beveiliging is, laat de wachtwoorden dan maar helemaal weg.

De e-mail adressen van de klanten zouden doorverkocht kunnen aan spammers, waarna deze adressen met spam worden gebombardeerd. Dat is in theorie een probleem, maar ik denk dat de meeste spam filters deze overlast binnen de perken zullen weten te houden. Niettemin is het vervelend te weten dat je actieve e-mail adres op het web beschikbaar is.
Ik gebruik zelf op het web nooit eeb belangrijk email adres. Ik heb een aantal mail adressen dat ik gebruik om me aan te melden op sites en waar ip spam op verwacht. Op die manier houdt ik de e-mail adressen die ik veel gebruik zo veel mogelijk vrij van spam.

Tot slot kunnen de wachtwoorden misbruikt worden door hackers om toegang te krijgen tot de systemen van Funda en andere klanten van deze provider. Ik hoop dat alle wachtwoorden op de lijst ondertussen zijn veranderd, want anders gaat dat vroeg of laat problemen opleveren.

Oorzaken

De oorzaak van dit alles is te vinden in een matige opzet en een samenloop van omstandigheden.
Uit de persberichten komt naar voren dat de Funda site is gemigreerd naar een nieuwe server. Daarbij traden problemen op, die na twee weken waren verholpen.

Ik stel me voor dat een deel van de processen niet werkte en dat de beheerders dachten dat de beveiliging van de mapwaar deze bestanden stonden een probleem vormde. Daarom hebben ze bij het oplossen de map waar deze bestanden uitkomen expres toegankelijk gemaakt.

Toen gingen er vier dingen mis.

eerste fout

De beheerders namen het risico de map lange tijd open te laten. Ik denk dat ze het risico laag inschatten dat iemand in 24 uur toevallig een kijkje zou nemen. Ze hadden echter zo'n belangrijke map slechts heel even open mogen zetten voor een korte test en dan weer dicht moeten maken.
Het is natuurlijk mogelijk dat ze zich er niet van bewust zijn geweest dat ze deze map beschikbaar maakten.

tweede fout

De beheerders waren het bestaan van de Google-bots even vergeten.
Google gebruikt zogenaamde bots, kleine zelfstandige programma's die het hele web afzoeken op zoek naar webpagina's. Alle informatie die zo'n bot vindt, wordt door het ding toegevoegd aan de grote Google database. Hierna is die informatie beschikbaar vooriedereen die op een site van google de juiste zoeksleutel intikt.

Hoe vaak deze bots langskomen is afhankelijk van de site en het toeval. Soms zie je ze dagen niet, dan weer komen er meerdere per dag langs. In de 24 uur dat deze directory open gestaan zou hebben is er blijkbaar een botje langsgekomen die deze informatie heeft gevonden en toegevoegd aan de Google database.

derde fout

Er is een grote configuratie fout gemaakt door de gevonden files op die plaats neer te zetten.
Het is streng verboden om bestanden met gevoelige informatie ergens neer te zetten waar de webserver bij kan. Dergelijke bestanden mogen niet tussen de gewone HTML-files staan. Ze moeten altijd op een deel van de server staan waar ze niet direct beschikbaar zijn voor de web-processen. Een speciaal programma dat door de webserver wordt aangeroepen mag de gegevens ervan manipuleren, maar de webserver zelf kan niet zelf doen. Als deze opzet was gekozen had de bot deze bestanden niet kunnen bereiken, onafhankelijk van de rechten van de map.

vierde fout

Op de Funda website was er een pad naar de bestanden in deze directory, anders had de google-bot ze niet kunnen vinden. De bot kan files slecht op twee manieren vinden:

1. Als de bot de locatie van te voren wist. Dat wist het ding niet want de bestanden waren net nieuw.
   
2. Als er een verwijzing bestond vanaf een eerder geindexeerde pagina naar deze files.
   

Mijn gok is dat er een harde verwijzing stond naar de gewraakte map en dat de Funda webserver op aanvraag een lijst geeft van alle files in de directory. De bot heeft vervolgens deze files netjes geindexeerd. Ook dit is te wijten aan een fout van de ontwikkelaars/systeembeheerders. Op een veilige site is het onmogelijk een overzicht van de inhoud van een map te krijgen.

Oplossingen

Het bovenstaande laat zien hoe belangrijk het is om de beveiling van gegevens goed aan te pakken. Voor veiligheid bestaan geen waterdichte oplossingen. Net zo min als in het echte wereld is de cyberwereld compleet veilig te maken. De enige goede oplossing bestaat uit een aantal stappen:

1. Maak het indringers zo moeilijk mogelijk te maken. Beveilig alle gegevens en machines op meerdere niveaus. Natuurlijk doe je een veiligheidstest als een dergelijke site wordt opgeleverd. Maar de opzet moet zodanig zijn dat ook aals er fouten worden gemaakt met de configuratie of ergens files worden neergezet die er niet mogen zijn, dat niet tot rampen leidt.
2. Houdt je beveiliging up-to-date. Voorbeelden hiervan: Ruim je webserver steeds op. Verwijder log- en dumpfiles. Houdt bij welke exploits gebruikt worden. Schrijf robot.txt files om Google te verbieden bepaalde dingen te indexeren en beveilig deze onderdelen extra goed.
   

De gegevens van een webapplicatie moeten altijd op meerdere manieren beveiligd worden.

• Kies goede usernamen en wachtwoorden. Verander deze zeer regelmatig en zeker nadat een personeelslid de organisatie heeft verlaten.
  
• Zorg dat de webserver goed beveiligd is.
• Alle bestanden die niet direct door de webserver benadert hoeven te worden moeten onbereikbaar zijn voor die server. Apart geschreven programma's mogen die verplaatste bestanden vervolgens ophalen onder strenge voorwaarden
• Geef minimale rechten aan alles wat nodig is.