Beveiligd berichtenverkeer Lust of Last ? Daan van Heteren Communications Security Net B.V.

Inhoud CS Net HDN Veiligheid Veiligheid en populaire protocollen

Communications Security Net Focus op communicatie en security Audit door KPMG op 5 oktober 2010 Betrokken bij, en vanaf start HDN Beheer netwerken Beheer (internet)systemen Softwareontwikkeling (comm. & sec.) Eigen Helpdesk

HDN Historie

Digitaal versturen 1993 1996 1998 start met “fax via netwerk” Inbellen en vaste verbindingen 1996 gestandaardiseerd berichtenverkeer koppeling met HypotheekAdviesPakket postbussen systeem 1998 verbeteren koppeling met HAP

1998 Intermediair Hypotheek advies pakket Webster Centraal 1150 dial-up WebsterLite huurlijn Webster Hypotheek systeem VERWERK.BAT VWRKIII.BAT

Internet technologie 1999 2002 Communicatie via Internet Introductie certificaten Eén certificaat voor berichtverkeer en HDNonline Verbeterde encryptie

2002 Intermediair Maatschappij TCP/IP XML 3DES Internet Advies HDN-host HDN-lite TCP/IP XML 3DES Postbussen Berichtdata en Archief Internet HDN Berichten server HDN online HDN Online data HDN XML Schema’s Certifica- ten DB

Webservices 2005 Directe communicatie Geen postbussen meer Controle op kwaliteit berichten Optimalisatie STP Flexibiliteit berichtdefinities Dubbel uitgevoerd

2005 HDN administratie Internet Maatschappij Advies Authen- ticatie Software update Archief HDN administratie

Dienstenplatform 2010 DARTS (Diensten Autorisatie en Registratie Tabel Systeem) Naast transport ook andere toepassingen Uitbreiden van authenticatie (wie ben je) met autorisatie (wat mag je) Administratie gebruik (wat doe je) Koppeling tussen diensten en gebruikers

2010 HDN administratie Internet Maatschappij Diensten van derden DARTS Advies Internet Maatschappij Archief DARTS Diensten van derden Software update Accoun- ting Authen- ticatie Authori- satie HDN administratie

2010 HDN administratie Internet Maatschappij Diensten van derden DARTS Advies Internet Maatschappij Archief DARTS Diensten van derden Software update Accoun- ting Authen- ticatie Authori- satie HDN administratie

Diensten HDN.nl HDN index HDN-Aansluitnummers opvragen Maatschappij Intermediair HDN index HDN-Aansluitnummers opvragen

Nieuwe (?) diensten Differentiatie in: Controle’s Premieberekening overlijdensrisico-verzekeringen Rentetarieven Controle’s Verificatie Identificatie Systeem (VIS) Kadaster Online taxatie woning Postcode tabel (webservices.nl)

Toekomst certificaten HDN Single SignOn Toegang tot hdn online Toegang tot berichten Toegang tot DARTS Toegang tot maatschappij extranetten Wereldwijd toepasbaar

Veiligheid

Veiligheid Toegang = authenticatie Bevoegd = autorisatie Achteraf controle = accounting Inzage = encrypte/decryptie Wijziging = handtekening Aankomst = Acknowledgement

Authenticatie Wat je weet Wat je hebt en wat je weet inlogcode Wat je hebt en wat je weet Certificaat Bankpas Wie je bent, (wat je hebt), wat je weet Irisscan Fingerprint

Certificaten Digitaal paspoort Uitreiken en beheren door Certificate Authority (CA) Een certificaat bevat: Eigenaar, publieke sleutel, geldigheidsduur Locatie van 'Certificate Revocation List' Handtekening van de ‘uitgever’

Certificaat uitgifte Bestaand email adres Controle identiteit persoon (faxen paspoort) Persoonlijke aanwezigheid HDN Kopie uittreksel KvK (en evt. bestuurder) Kopie identiteit tekenbevoegd persoon

Autorisatie Bevoegdheden van een persoon Op basis van Authenticatie Uit te voeren acties Bestellen (tot welk bedrag) Detail inzage (HDN Index) Op basis van Authenticatie Centraal geregeld Niet lokaal opgeslagen

Accounting (logboek) Vastleggen van transacties Datum en tijdstip Met welke authenticiteit is actie uitgevoerd 3 maanden bewaren (wettelijke bewaarplicht) Logfiles

Encryptie/Decryptie Gegevens zijn vertrouwelijk inkomen, verkoopprijs, koopprijs, etc. Op basis van Certificaat Asymmetrische cryptografie Private Key Public Key

Versleutelen bericht U zendt mij een geheim bericht: U krijgt mijn public key U stuurt mij een bericht dat u met mijn public key versleutelt Het versleutelde bericht kan alleen met mijn private key ontsleuteld worden

Digitale handtekening Ik onderteken mijn email aan u: Ik voorzie mijn email met een controlegetal Ik versleutel dat controlegetal met mijn private key Iedereen kan met mijn public key het controlegetal lezen U kunt zelf het controlegetal bepalen en vergelijken met het controlegetal dat ik gezonden heb.

Acknowledgement Gegevens zijn vertrouwelijk inkomen, verkoopprijs, koopprijs, etc. Aankomst bij juiste persoon Volledige aankomst Time Stamp

Veiligheid en populaire protocollen

Populaire protocollen (1) E-mail Iedereen heeft het, kent het, gebruikt het Lijkt altijd wel aan te komen Geen software installatie Afzender & aankomsttijd niet gewaarborgd Kan worden ingezien en veranderd Geen acknowledgement & accounting

Populaire protocollen (2) FTP Vaak standaard geïnstalleerd Lijkt altijd wel te werken Aankomsttijd is gewaarborgd Afzender slecht gewaarborgd alleen username-password Kan worden ingezien en veranderd Geen acknowledgement & accounting

Lusten of Lasten ? Weinig lasten maar veel lusten! Veiligheid en gemak zijn elkaars tegenpolen HDN heeft een goed midden gevonden Weinig lasten maar veel lusten!

Vragen?