Wat is cybersecurity?
Cybersecurity betekent computers, telefoons, netwerken en gegevens beschermen tegen aanvallen, schade of diefstal. Er zijn drie doelen, samen de CIA-driehoek:
- Confidentialiteit (vertrouwelijkheid): alleen mensen met toestemming kunnen de gegevens zien.
- Integriteit: de gegevens kloppen en niemand heeft ze in het geheim veranderd.
- Beschikbaarheid: systemen en gegevens werken als mensen ze nodig hebben.
Privacy gaat over je recht om zelf te bepalen wat er met je persoonlijke gegevens gebeurt. Goede beveiliging beschermt je privacy. Voor persoonlijke veiligheid online (pesten op internet, veilig surfen, melden) zie Cyber safety.
Veelvoorkomende cyberdreigingen
- Malware (kwaadaardige software): een virus hecht zich aan bestanden en verspreidt zich als ze worden geopend; een worm verspreidt zich zelf over netwerken; een trojan zit verstopt in een programma dat nuttig lijkt; spyware bespioneert je in het geheim; ransomware sluit je bestanden op en eist geld.
- Social engineering: mensen misleiden in plaats van machines. Phishing gebruikt nepmails of nepberichten; shouldersurfing is meekijken als iemand een pincode intikt; pretexting is een verhaal verzinnen om informatie los te krijgen.
- Brute-force-aanval: alle mogelijke wachtwoorden proberen tot er één werkt.
- Denial of service (DoS): een server overspoelen met verzoeken, zodat echte gebruikers er niet meer in komen. Bij DDoS doen duizenden gehackte apparaten tegelijk mee.
- Zwakke plekken: software zonder updates, standaardwachtwoorden, open netwerkpoorten en slimme (IoT-)apparaten zoals camera's die nooit worden bijgewerkt.
Authenticatie en toegangsbeheer
Authenticatie controleert of jij echt bent wie je zegt te zijn. Er zijn drie soorten factoren:
- Iets wat je weet: wachtwoord, pincode.
- Iets wat je hebt: code op je telefoon (OTP), beveiligingssleutel.
- Iets wat je bent: vingerafdruk, gezicht (biometrie).
Als je twee verschillende soorten gebruikt, heet dat tweefactorauthenticatie (2FA). Een sterk wachtwoord is lang en mengt letters, cijfers en tekens. Met 26 kleine letters heeft een wachtwoord van 4 letters 26⁴ = 456.976 mogelijkheden, maar een van 8 letters 26⁸ ≈ 208 miljard. Toegangsbeheer geeft elke gebruiker alleen de rechten die hij nodig heeft (een leerling mag resultaten lezen; alleen de leraar mag ze wijzigen). Accounts blokkeren na een paar foute pogingen en CAPTCHA's vertragen brute force.
Versleuteling
Versleuteling (encryptie) verandert leesbare platte tekst met een sleutel in door elkaar gehusselde cijfertekst. Alleen wie de juiste sleutel heeft, kan het weer ontsleutelen.
Het caesarcijfer is een oud, eenvoudig voorbeeld: schuif elke letter op met de sleutel. Met sleutel 3 wordt A → D, B → E en SAFE → VDIH. Het is makkelijk te kraken, want er zijn maar 25 mogelijke sleutels. Moderne versleuteling (zoals AES) gebruikt zulke lange sleutels dat alles proberen langer zou duren dan de leeftijd van het heelal.
- Symmetrische versleuteling gebruikt dezelfde sleutel om te sluiten en te openen.
- Publieke-sleutelversleuteling (asymmetrisch) gebruikt een publieke sleutel om te sluiten en een privésleutel om te openen. Het hangslot en
httpsin een browser gebruiken dit.
Firewalls, anti-malware, updates en back-ups
- Firewall: software of hardware die inkomende en uitgaande datapakketten controleert en de pakketten blokkeert die de regels overtreden.
- Anti-malware: scant bestanden en vergelijkt ze met bekende malwarepatronen; het let ook op vreemd gedrag.
- Updates (patches): dichten beveiligingslekken. Zet automatische updates aan, ook op routers en slimme apparaten; verander standaardwachtwoorden.
- Back-ups: kopieën van gegevens. De 3-2-1-regel: 3 kopieën, op 2 soorten opslag, 1 bewaard op een andere plek (bijvoorbeeld in de cloud).
- Penetratietest: bedrijven betalen experts om (met toestemming) hun eigen systemen aan te vallen, zodat ze zwakke plekken eerder vinden.
- Mensen: gebruikers leren phishing te herkennen is een van de beste verdedigingen.
Probeer het: maak een sterke wachtzin
Kies vier willekeurige woorden die niets met elkaar te maken hebben, bijvoorbeeld mango-rivier-lamp-zeven (gebruik deze zelf niet!). Tel de tekens. Vergelijk het met een kort wachtwoord als raj123. Welke is makkelijker te onthouden en moeilijker te raden? Gebruik daarna de vrije oefening in 3D: versleutel een woord met het caesarcijfer en vraag een vriend het met de sleutel te ontsleutelen.
Belangrijke formules en begrippen
- CIA-driehoek: Confidentialiteit, Integriteit, Availability (beschikbaarheid)
- Aantal wachtwoorden = (beschikbare tekens)^(lengte), bijv. 26⁸
- Caesarcijfer: cijferletter = gewone letter verschoven met de sleutel (Z → A)
- 3-2-1 back-up: 3 kopieën, 2 media, 1 op een andere plek
Uitgewerkte voorbeelden
1. Versleutel CAT met een caesarsleutel van 3.
C → F, A → D, T → W. Cijfertekst: FDW.
2. Ontsleutel KHOOR, versleuteld met sleutel 3.
Schuif elke letter 3 terug: K → H, H → E, O → L, O → L, R → O. Platte tekst: HELLO.
3. Hoeveel pincodes van 3 cijfers (0–9) zijn er?
10 × 10 × 10 = 10³ = 1.000.
4. Een bericht zegt: "Je bankrekening is geblokkeerd. Klik hier en vul binnen 1 uur je pincode in." Welke aanval is dit en wat doe je?
Phishing (social engineering). Niet klikken. Controleer het via de officiële app van de bank of door het officiële nummer te bellen, en meld het bericht.
5. De resultatenserver van een school wordt overspoeld met nepverzoeken en niemand kan erin. Welk deel van CIA wordt aangevallen?
Beschikbaarheid. Dit is een denial-of-service-aanval.
6. Welke soorten factoren gebruik je als je inlogt met een wachtwoord en een vingerafdruk?
Iets wat je weet (wachtwoord) en iets wat je bent (vingerafdruk): tweefactorauthenticatie.
Veelgemaakte fouten
- Denken dat een firewall virussen verwijdert. Een firewall filtert netwerkverkeer; anti-malware vindt en verwijdert malware.
- Hetzelfde wachtwoord op veel sites gebruiken. Dan opent één lek alle accounts.
- Geloven dat versleuteling verbergt dat er een bericht is verstuurd. Het verbergt de inhoud, niet het feit dat het is verstuurd.
- De enige back-up op dezelfde computer bewaren. Als de computer wordt gestolen of door ransomware wordt vergrendeld, is de back-up ook weg.