Zet scripting uit in AdobeReader

AdobeReader staat bij de meeste mensen standaard ingesteld. Dat betekend dat JavaScript aan staat. JavaScript voor het lezen van een PDF bestand? Dit is niet nodig én GEVAARLIJK. Een PDF bestand met JavaScript kan heel vervelende dingen doen en normaal gesproken heeft niemand JavaScript nodig in AdobeReader. Uitzetten dus. Hoe?

Ga naar Edit - Preferences, dan naar JavaScrip en zet het vinkje voor Enable Adobe JavaScript uit.

Internet Explorer 6 veilig(er) maken

Bijna 10% gebruikt nog steeds IE6

Uit de statistieken van de mensen die op mijn beide blogs komen zie ik dat IE6 nog steeds behoorlijk veel gebruikt wordt (9,8% van alle gebruikers). Wat ook opvalt is dat het vaak (overheids) bedrijven zijn.

IE6 voor interne programma's

Er zijn waarschijnlijk verschillende redenen maar uit ervaring weet ik dat één van de hoofd redenen is dat er op het intranet (het netwerk binnen de organisatie) server programma's draaien die alleen goed werken met IE6. Het doel van dit bericht is om op een veilige en beperkte manier met IE6 verder te kunnen blijven werken.

Problemen met IE6

Een van de problemen met IE6 is dat het programma al bijna 9 jaar oud is. Je kunt niet verwachten dat Microsoft dit programma continue aanpast aan de nieuwste ontwikkelingen. Een bijkomend probleem is echter dat de basis van IE ook gebruikt wordt in een programma als Outlook. Als je Outlook gebruikt op een PC met IE6 gebruik je de IE 6 basis (rendering engine) om emails in Outlook op je scherm te laten zien. Precies daar is het de afgelopen twee maanden, met de Chinese hackers die onder andere Google aanvielen, mis gegaan.

IE6 behouden en veiliger maken

Als het nodig is om IE6 te behouden vanwege compatibiliteit met interne sever applicaties, kun je toch veilig(er) werken. De eerste stap is om naast IE een andere browser te gebruiken voor surfen op het internet. Er zijn legio browsers en iedereen heeft zo zijn of haar eigen voorkeur. Ik gebruik zelf sinds 2004 FireFox en daarnaast sinds 2008 Google Chrome.

IE6 dicht spijkeren

In IE6 kun je de veiligheid voor zowel het "interne netwerk" als het "internet" appart instellen. We zetten voor beide netwerken de veiligheidsinstelling op maximaal. Nadat dit gedaan is kun je IE6 haast niet meer gebruiken omdat de meeste websites niet meer goed op de nu aangepaste IE6 te zien zijn.

Geen automatische updates meer

Dit betekend ook dat de Windows en Office updates niet meer werken want het update programma werkt ook met IE. In de internet configuratie kunnen we de twee domeinen van Microsoft vrijgeven zodat de updates blijven werken.

Updates via ICT beheer

Veel bedrijven hebben de automatische updates uitgeschakeld omdat de ICT groep eerst de updates wil kunnen testen. Als de tests OK zijn worden de updates vaak via het eigen netwerk verspreidt. In dat geval hoeven de Microsoft domeinen niet op iedere PC te worden vrijgegeven.

Server applicaties vrijgeven

Als volgende stap geef je bij de instellingen in het "lokale netwerk" de domeinnamen van de servers op het eigen netwerk op als betrouwbaar (white listing). Hierdoor kunnen de interne applicaties gewoon goed werken op IE6.

Apparte DNS server?

Ik heb dit niet gestest, alleen maar bedacht dus laat me maar weten of dit werkt. Om IE6 nog verder dicht te spijkeren zou je een speciale DNS server in het netwerk kunnen plaatsen die alleen geverifieerde adressen heeft. In IE6 zou je dan via een automatisch configuratie script naar die DNS server kunnen verwijzen.

DropMyRights

Veel bedrijven gebruiken XP en soms nog Windows 2000. Omdat beperkte gebruiker accounts onder XP vaak tot problemen leiden werken veel mensen met administrator of power user rechten. Hierdoor is het voor malware gemakkelijker om zich te nestellen. Ik gebruik zelf al jaren het programma "DropMyRights" wat door een Microsoft engineer is geschreven. DropMyRights plaatst een beperkte gebruikersschil om een programma dat je draait. Als je IE met DropMyRights start in een administrator omgeving kan IE niet meer doen dan als het in een beperkte gebruikersomgeving gestart zou zijn. Ik draai dan ook standaard de volgende programma's met DropMyRight: IE8, FireFox, Google Chrome, Thunderbird en FeedDemon.

De instellingen

Dit moet ik uit mijn hoofd doen want ik heb geen IE6 op mijn machine.

In Internet Explorer ga naar het menu [Extra] en dan naar [Internet Opties], selecteer daar de tab [Beveiliging]. Daarna klik je op het wereldbolletje van "Het Internet" en klik je op de knop [Standaardniveau]. Dit klinkt onlogisch. Er komt nu een schuifje in beeld dat je helemaal naar boven schuift naar "Hoog". Daarna doe je het zelfde voor "Lokaal Intranet". Als laatste klik je op het groene vinkje voor "Vertrouwde websites". Hier halen we eerst het vinkje bij "HTTPS" weg. Daarna voeren we de volgende twee adressen toe: *.microsoft.com en *.windowsupdate.com.

Bijkomende effecten

Het bijkomende effect (is voor sommige administratoren positief) kan zijn dat zelfs de administrator (of power user) geen installatieprogramma's (.exe) meer kan starten via de Windows verkenner. Je kunt nog wel programma's installeren door eerst een DOS venster (via [Start] [Uitvoeren..] en dan "cmd" intoetsen en op de [Enter] toets te drukken) te starten en het programma daar te starten.

De melding in het Engels is: "Windows cannot access the specified device, path, or file. You may not have the appropriate permission to access the item." in het Nederlands is dat: "Kan geen toegang tot het opgegeven apparaat, pad of bestand krijgen". Dit kun je aanpassen door in de Internet Explorer onder "Eigenschappen" naar de tab "Beveiliging" te gaan en dan onder "Internet" te klikken op "Aangepast niveau.." en dan op 2/3 naar beneden "Toepassingen en onveilige bestanden starten" naar "vragen (aanbevolen)" zetten.

Succes.

Geen vingerafdruk opslaan maar Hash codes

Misschien gebeurt dit al, ik zou graag zien dat als bedrijven vingerafdrukken gebruiken, de gegevens altijd op de volgende manier opgeslagen worden. Misschien moet er zelfs een wet komen die eist dat alleen maar een gedeelte van een hash code opgeslagen mag worden en nooit de originele biometrische gegevens.

De laatste tijd zie je steeds meer vingerafdruk scanners. Een probleem kan ontstaan als bedrijven die vingerafdruk opslaan en zo biometrische gegevens van de klant hebben. Natuurlijk, iedereen laat overal vingerafrukken achter, maar in een databank, mogelijk gecombineerd met mijn NAW en creditcard gegevens? Dan wordt het voor mij een ander verhaal.

Als het alleen maar gaat om het indentificeren van een klant dan kan het ook anders. In plaats van het opslaan van de vingerafdruk zelf, kan je ook uit de gescande vingerafdruk een hash waarde laten berekenen en van de b.v. 64 bytes (512 bits) van deze hash waarde, alleen de laatste 32 bytes opslaan en gebruiken ter verificatie. Zo kun je nooit de oorspronkelijke vingerafdruk terugleiden uit die gehalveerde hash waarde en is de kans op een foute herkenning (bezitter van de vinger wordt toch afgewezen of bezitter van andere vinger krijgt toch toegang) toch nog heel klein, zeker als je dit gebruikt in een multifactor authentificatie programma (3 factoren = ik weet een geheime code, ik heb een pas of een apparaatje [b.v. mobieltje voor SMS ontvangst van een extra verificatie code] én ik kan een biolometrisch kenmerk tonen, mijn vingerafdruk, infrarood bloedvaten patroon in mijn vinger of mijn iris patroon).

Alleen de hash waarde opslaan

Waar het hier om gaat is dat niet de vingerafdruk zelf opgeslagen wordt, maar een (significant) deel van de berekende hash code van die vingerafdruk. Hierdoor kun je, bij vertoon van die zelfde vinger, opnieuw de hash code berekenen en deze berekende hash waarde vergelijken met de opgeslagen hash waarde. Omdat slechts een deel van de hash waarde opgeslagen wordt, kun je nooit de oorspronkelijke vingerafdruk terug creëren. Omdat er geen echte biometrische gegevens opgeslagen worden, alleen een afgeleide daarvan, zal deze opslag waarschijnlijk geen grote juridische problemen geven.

Zoeken in de vingerafdruk databank van de politie

Hoewel ik mij nooit in dit onderwerp heb verdiept, kan ik mij voorstellen dat de zoekmachines bij b.v. de politie met berekende hash waarden werken in plaats van de oorspronkelijke vingerafdruk. Zo kun je razendsnel zoeken in een enorme database, zeker als de hash waarde tevens een pointer vormt voor het adres/locatie in de databank. M.a.w. de locatie waarop de gegevens opgeslagen worden in de databank zijn af te leiden uit de hash waarde. Zo hoef je alleen maar in een heel klein deel van de databank te zoeken om de gewenste gegevens terug te vinden. Mochten er meerdere hash waarden naar de zelfde locatie leiden, dan hoef je alleen maar in een klein aantal gegevens (records) op die locatie te zoeken. Hier is het van belang dat de pointer, die berekend wordt uit de hash waardes een mooie adresverdeling laten zien bij de aangeleverde vingerafdrukken. M.a.w. dat niet 25% van alle gegevens allemaal op één locatie in de databank staan en dat de rest van de gegevens onregelmatig verdeeld is over de resterende ruimte in de gegevensbank.

E-mail phishing via G-mail voor G-mail

Bij mij komt er niet veel spam door in mijn G-mail accounts. Vandaag was ik de gelukkige ontvanger van een bericht van G-mail zelf dat ze veel onterechte aanvragen voor accounts hadden ontvangen. Meteen daarna komt dat ze denken dat mijn account ook niet terecht is en dat ze het zullen opheffen, tenzij ik ze alle gegevens toestuur.

Nog afgezien van het feit dat er in de E-mail kleine foutjes staan, hoe zou het Google gaan helpen als ik hen de gegevens die ze al lang hebben nóg een keer stuur?

Niet dus! Gewoon een dreig mail om te proberen je gegevens te pakken te krijgen.

Hier een stukje uit de gewraakte E-mail:

Dear Account User

This Email is from G mail customer care and we are sending it to every G mail accounts owner for safety. We are having congestion due to the anonymous registration of G mail accounts so we are shutting down some G mail accounts and your account was among those to be deleted. We are sending this email to you so that you can verify and let us know if you still want to use this account. If you are still interested please confirm your account by filling the space below.Your User name, password, date of birth and your country information would be needed to verify your account.

Due to the congestion in all G mail users and removal of all unused G mail Accounts. G mail would be shutting down all unused Accounts, you will have to confirm your E-mail by filling out your Lo gin Information below after clicking the reply button or your account will be suspended within 24 hours for security reasons.

* User name: ............................

* Password: ................................

* Date of Birth: ............................

* Country Or Territory: ....................

Warning!!! Account owner that refuses to update his or her account within Seven days of receiving this warning will lose his or her account permanently.

Thank you for using G mail !

The G mail Team
G MAI L BETA

Microsoft maakt Firefox stiekem onveilig

Gebruikers die op hun Windows PC het .NET framework hebben geïnstalleerd én met Firefox werken lopen sinds kort ernstig risico op besmetting. Microsoft heeft achter de rug van de gebruikers om een plug-in in FireFox geïnstalleerd die het mogelijk maakt om zonder toestemming van de gebruiker programma's, en dus ook malware, te installeren.

Om te controleren of dit ook bij jou gebeurt is ga je naar [Tools] - [Add-ons] in Firefox. Als je hier de .NET framework assistant ziet ben je, net zoals ik, het haasje. Om het geheel nog iets erger te maken heeft Microsoft het onmogelijk gemaakt om op de [Uninstall] knop te klikken.

Als je deze gevaarlijke plugin wilt verwijderen zul je eerst naar de Mircosoft KnowledgeBase moeten gaan om een verwijder update te installeren. Ga daarvoor naar KB963707.

Dit artikeltje is later ook nog in LifeHacking.nl verschenen.