Les 2: Ethiek & Security

• ICT
• MBO
• Studiejaar 1

Ethiek & Security

SEP-I

Les 2 / Week 12

Ethiek

• Meldplicht datalekken
  
• Privacy by Design
• Privacy by Default
• "Dark Patterns"

Meldplicht datalek

Als je een datalek hebt ben je verplicht om dat te melden! Het is immers belangrijk dat je gebruikers weten welke gegevens op straat liggen.

Privacy by Design

Vanaf het moment dat je begint met het plannen en ontwerpen van je applicatie houd je al rekening met hoe je de privacy gaat waarborgen.

Privacy by Default

Privacy by Default
Met andere woorden de "default" (standaard) is dat je respect hebt voor de privacy van je gebruikers.

Dark Patterns

Inhakend op 'Privacy by Default', zijn er zogenoemde "Dark Patterns". Designpatronen die zijn bedoeld om gebruikers in de maling te nemen, en ze iets te laten doen wat ze eigenlijk niet willen.

Gefopt.

0

Security

• Plichten
• HTTPS
• Wachtwoorden gebruiken
  
• Wachtwoorden opslaan
  

Hackers kun je herkennen aan hun bivakmuts die ze altijd dragen tijdens het hacken.

Security

De AVG stelt dat bedrijven “passende maatregelen” moeten nemen op technisch vlak om de veiligheid van persoonsgegevens te waarborgen.

In ieder geval; HTTPS, alles met veilige wachtwoorden beveiligd, en gehashd wachtwoorden van gebruikers opslaan.

Als er data op straat komt te liggen door onvoldoende beveiliging is dat de schuld van het bedrijf wat de data heeft beheerd!

HTTPS

Een HTTPS verbinding is tegenwoordig niet meer weg te denken van het internet. Zonder HTTPS is het mogelijk voor iedereen op de lijn om alles af te luisteren.

Zorg er voor dat je een webhost gebruikt die via HTTPS werkt!

Veilige wachtwoorden kiezen

Paar richtlijnen:

• Langer is beter
• Passphrase > password
• Gebruik een password manager
• Hergebruik wachtwoorden niet
• Géén welkom123

Wachtwoorden opslaan

Wachtwoorden zijn extreem gevoelige gegevens. We willen eigenlijk onder geen enkele omstandigheid dat het wachtwoord van een gebruiker beschikbaar is; zowel voor de beheerders van het systeem, als voor hackers.

Het probleem is dan: hoe zorgen we er voor dat we niet het wachtwoord opslaan, maar toch weten dat een gebruiker het juiste wachtwoord invult?

Hashing functies

"A hash function is any function that can be used to map data of arbitrary size to fixed-size values."

https://en.wikipedia.org/wiki/Hash_function

Hashing functies

Specifiek kunnen we er met een hash-functie voor zorgen dat we van het wachtwoord een waarde kunnen maken die we niet terug kunnen herleiden tot een wachtwoord. Het is dus een functie die maar één kant op werkt.

Hashing functies

Gelukkig hoeven we zelf geen hashing functies te schrijven, want die zijn al netjes bedacht en beschikbaar.

Om wachtwoorden op te slaan gebruiken we typisch het SHA512 algoritme, maar er zijn meerdere beschikbaar.

We gebruiken in ieder geval niet MD5 om wachtwoorden op te slaan.

Secure Hash Algorithm

Wikipedia:

MD5 (Message Digest Algorithm 5) is een veelgebruikte hashfunctie met een 128 bit-hashwaarde. Hoewel MD5 oorspronkelijk bedoeld was als cryptografische hashfunctie bleken er een hoop fouten in het ontwerp te zitten. MD5 is eerder als internetstandaard[1] gebruikt in vele veiligheidstoepassingen en wordt ook gebruikt om de integriteit van bestanden te controleren tegen onbedoelde corruptie. MD5 werd door Ronald Rivest in 1991 ontworpen om de eerdere hashfunctie MD4 te vervangen. In 1996 werd er een fout in het MD5-ontwerp gevonden; hoewel het geen ernstige fout was, werd het aanbevolen andere algoritmen zoals SHA-1 te gebruiken. (hoewel ook deze gelijke fouten bevat)

Rainbow tables

Hashing functies zijn dus niet omkeerbaar. Maar je kan wel van alle mogelijke inputs de hash berekenen en die dan later opzoeken. Dit gebeurt in zogenaamde Rainbow Tables.

Dit zijn tabellen waar voor bepaalde hash-functies de meest voorkomende wachtwoorden als hash zijn opgeslagen.

Rainbow tables & salts

Naast een onbekend wachtwoord kiezen kun je je ook wapenen tegen rainbow tables met zogenaamde "salts". Een salt is een stukje tekst wat je voor of achter een wachtwoord plakt voordat het de hash-functie in gaat. Op die manier wordt het wachtwoord dus uniek aan jouw site of zelfs aan die gebruiker, en wordt het opzoeken in een rainbow table onmogelijk.

Inleveropdracht: Hashes kraken

Op it's learning staat een opdracht over hash-algoritmen.

Lever een word document in met de antwoorden op alle gestelde vragen.