HTTPS & Websitebeveiliging

Wat is HTTPS & Websitebeveiliging?

HTTPS betekent dat de verbinding versleuteld is, en de afwezigheid ervan op een openbaar netwerk betekent dat iedereen in de buurt kan lezen wat u verzendt. Deze oefening maakt dat eerder concreet dan theoretisch. Nu haar internet thuis uitvalt, werkt Alice bij Meridian Financial Group vanuit een koffieshop, maakt verbinding met de gratis wifi en volgt een link van HR naar het salarisportaal. Het ziet er precies zo uit als ze zich herinnert. Ze logt in en bevestigt haar bankgegevens. Later probeert ze het interne dashboard en de browser stopt haar met een certificaatwaarschuwing, waar ze acht op slaat. Twee dagen later meldt haar bank een ongeoorloofde opname en meldt IT Security een login vanuit Oekraïne. Je gaat met frisse ogen terug naar het salarisportaal en ontdekt wat er ontbrak in de adresbalk, en onderzoekt vervolgens hoe een man-in-the-middle-aanval de sessie onderschepte. De certificaatwaarschuwing die als een obstakel voelde, blijkt het enige te zijn dat haar beschermde, en de oefening eindigt met het incidentrapport en de bevindingen van het beveiligingsteam.

Wat je leert in HTTPS & Websitebeveiliging

• Controleer op HTTPS in de adresbalk voordat u inloggegevens of financiële gegevens invoert, vooral op een niet-vertrouwd netwerk
• Leg uit hoe een man-in-the-middle-aanval op openbare wifi-netwerken verkeer onderschept dat niet end-to-end is gecodeerd
• Beschouw een browsercertificaatwaarschuwing eerder als bescherming dan als obstakel, en klik er nooit doorheen om een werksysteem te bereiken
• Houd er rekening mee dat een vertrouwd uitziende pagina niets bewijst over de veiligheid van de verbinding die deze pagina draagt
• Meld een vermoedelijke onderschepping met het netwerk, de locatie en de ingevoerde gegevens, zodat het beveiligingsteam de blootstelling kan onderzoeken

HTTPS & Websitebeveiliging — Trainingsstappen

1. Werken vanuit een koffiezaak

   Het internet bij u thuis is sinds vanochtend uitgevallen en u moet vóór het einde van de dag een dringende loontaak voltooien. Je bent naar een nabijgelegen koffiebar gegaan en hebt verbinding gemaakt met hun gratis wifi-netwerk - 'CafeConnect Free WiFi' - een open netwerk zonder wachtwoord.

2. E-mail van HR

   Er komt een nieuwe e-mail binnen van de HR-afdeling over de jaarlijkse verificatie van de directe storting.

3. Navigeren naar het Salarisportaal

   Alice klikt op de link in de HR-e-mail om het salarisportaal te openen. Ze heeft dit eerder gedaan; het is een jaarlijkse routinetaak. Wat Alice niet weet, is dat een aanvaller op hetzelfde WiFi-netwerk van een koffiezaak een SSL-stripaanval uitvoert. De aanvaller onderschepte het verzoek van Alice en downgraded stilletjes de verbinding van HTTPS naar HTTP. De pagina wordt normaal geladen, maar zonder codering.

4. Inloggen

   Het salarisportaal ziet er precies uit zoals Alice zich herinnert: het Meridian-logo, het bekende blauwe kleurenschema, het standaard inlogformulier. Zonder aarzelen voert ze haar werkgegevens in. Alice merkt niet dat haar wachtwoordbeheerder niet heeft aangeboden om automatisch aan te vullen: de portal-URL komt met geen enkel opgeslagen item overeen.

5. Bankgegevens bevestigen

   Na het inloggen vraagt de portal Alice om haar bankrekeninggegevens voor directe storting te bevestigen. In het formulier wordt gevraagd naar haar routeringsnummer en rekeningnummer; standaardgegevens voor de jaarlijkse verificatie.

6. Toegang krijgen tot een ander systeem

   Voordat Alice naar huis gaat, besluit ze snel het interne projectdashboard te bekijken om de planning van morgen te bekijken.

7. Het ter harte nemen van de waarschuwing

   In plaats van het dashboard ziet Alice een grimmige waarschuwing: 'Je verbinding is niet privé.' Ze weet niet zeker wat de oorzaak is, maar de waarschuwing lijkt ernstig. De certificaatwaarschuwing verscheen omdat de MITM-aanvaller ook deze HTTPS-verbinding probeerde te onderscheppen, maar de browser het ongeldige certificaat ontdekte en de pagina blokkeerde. Alice besluit niet verder te gaan.

8. Waarschuwing voor bankfraude

   Twee dagen later gaat Alice aan haar bureau zitten om de dag te beginnen. Er wacht een dringende e-mail van haar bank in haar inbox.

9. IT-beveiligingswaarschuwing

   Voordat Alice de waarschuwing voor bankfraude zelfs maar kan verwerken, komt er nog een e-mail binnen - dit keer van het IT-beveiligingsteam van Meridian.

10. De punten verbinden

    Alice's maag zakt. De ongeoorloofde bankopname. De verdachte login uit Oekraïne. Beide gebeurden vlak nadat ze twee dagen geleden de wifi van de koffieshop gebruikte. Ze leest de IT-beveiligingswaarschuwing opnieuw, dit keer met toenemende angst.