Om Java in Safari uit te schakelen kies je in "Safari > Voorkeuren" en schakel je daar Java uit in de Beveiligings-tab.
Om Java uit te schakelen in Google Chrome tik je about:plugins
in de adresbalk, scroll naar beneden, en klik de Uitschakelen-link voor Java Plug-In 2 voor NPAPI Browsers.
Om Java uit te schakelen in Firefox, kies je "Tools > Add-ons", klik de Plugins-tab en schakel je daar de Java Plug-In 2 voor NPAPI Browsers uit.
Als je toch zo nu en dan Java nodig hebt, overweeg dan om het in één browser ingeschakeld te laten staan die je verder weinig of zelden gebruikt en vertrouw op deze browser voor die specifieke sites. Zoals web-vergaderingen waar je Java voor nodig hebt.
Het installeren van antivirus software zoals Intego's VirusBarrier zorgt ook voor bescherming omdat de dat de functie van de software is maar ook omdat Flashback malware zichzelf niet zal installeren als het ontdekt dat er een virusscanner ingeschakeld staat.
Tenslotte is het het opmerken waard dat sommige varianten van Flashback hun weg naar het systeem niet vinden via een lek in Java maar door gebruikers te verleiden een admin-wachtwoord in te tikken. De enige manier waarop je jezelf daar tegen kunt beschermen is om achterdochtig te zijn bij elk verzoek om een wachtwoord in te voeren op momenten dat het geen gevolg is van een activiteit waar je mee bezig bent zoals het installeren van nieuwe software dat je welbewust heb gedownload.
Pas goed op daar buiten.
Lees reacties op dit artikel of plaats er een | Tweet dit artikel
Met de extreme populariteit van diensten als Dropbox en iCloud is er, terecht, ook veel aandacht voor de veiligheid van gegevens in de cloud. Op het moment dat we onze gevoelige en belangrijke data in de cloud bewaren (of bij een andere opslag-dienstverlener) ligt het voor de hand dat we ons afvragen hoe veilig die opslag bij derden is. Maar het is niet altijd eenvoudig om er achter te komen wie er nu precies bij onze gegevens kunnen, zeker omdat begrippen als "veilig" en "versleuteld" niet automatisch inhouden dat jij de enige bent die jouw gegevens kan inzien.
Hoe Cloud-aanbieders je gegevens beschermen -- Ook al omdat er meerdere wegen zijn die naar het Rome van cloud-bescherming leiden, kan de implementatie van gegevens-bescherming per dienst verschillen. Alle cloud-diensten voor consumenten zijn wat we in de cloud-wereld publiek noemen en zijn gecreëerd voor "multi-tenancy".
Een publieke cloud-dienst is een dienst waar iedereen die op het internet is aangesloten toegang toe heeft. Daarom moeten cloud-aanbieders klanten van elkaar scheiden and isoleren. Scheiden betekent dat je gegevens in je eigen virtuele partje van de dienst zijn opgeslagen en isoleren betekent dat zo'n dienst beveiligingstechnieken gebruikt om er voor te zorgen dat je andermans gegevens niet kunt zien.
In de praktijk betekent "multi-tenancy" dat je gegevens samen met die van alle andere gebruikers zijn opgeslagen in één systeem. Neem bijvoorbeeld een agenda-dienst: jouw afspraken staan in dezelfde immense agenda-database als de afspraken van alle andere klanten en het is aan het agendaprogramma om er voor te zorgen dat jouw afspraken niet op het scherm van iemand anders terecht komen. Bestandsopslagsystemen doen iets vergelijkbaars: alle bestanden van alle gebruikers staan door elkaar op één groot opslagvolume (een soort virtuele partitie) en het bestandssysteem zorgt er voor dat er keurig bijgehouden wordt wat van wie is. Sommige diensten, zoals Dropbox, slaan zelfs maar één enkele versie van een bestand op. Als meerdere gebruikers hetzelfde bestand in hun opslagruimte hebben hebben alle andere gebruikers slecht een verwijzing naar dit bestand, waarmee ze in feite met z'n allen dat ene bestand delen. Dit levert een forse besparing in benodigde opslagcapaciteit op.
Hoewel "multi-tenancy" betekent dat gegevens door elkaar worden opgeslagen, gebruikt een cloud-aanbieder scheidingstechnieken om er voor te zorgen dat je alleen je eigen gegevens te zien krijgt als je van de dienst gebruik maakt en isolatie om er voor te zorgen dat je je niet als iemand anders voor kan doen en zo hun gegevens kunt bekijken.
Het komt dus aan op de databases en programmatuur van de cloud-aanbieder om er zorg voor te dragen dat alle gegevens netjes gescheiden blijven. Je hebt namelijk niet een eigen harde schijf, of zelfs maar een eigen database, speciaal voor jouw gegevens. Dat zou voor deze diensten onbetaalbaar zijn. Daarom is "multi-tenancy" noodzakelijk voor bestanden, e-mails, agenda's, foto's, en elk ander stukje informatie dat je in de cloud bewaart.
Niet alle cloud-diensten werken zo, maar de overgrote meerderheid wel.
Is versleuteling de reddende engel? -- Een architectuur met meerdere huurders heeft twee overduidelijke problemen. De eerste is dat als er een fout zit in het programma of de database waar de dienst op draait, iemand anders je gegevens zou kunnen zien. We hebben dit soort ongelukjes zien gebeuren: zo gaf Dropbox vorig jaar per ongeluk alle gebruikers toegang tot de accounts van alle andere gebruikers. Er is een lange geschiedenis van internetsites (cloud en andere) die onbedoeld iemand toestonden om een webpagina of url te manipuleren om zo toegang te krijgen tot gegevens die verboden toegang waren en de slechteriken zijn altijd op zoek naar zulke zwakke plekken.
Het tweede probleem, dat recentelijk een hoop aandacht van de pers heeft gekregen, is dat de werknemers van de cloud-aanbieder je gegevens ook kunnen zien. Ja, de betere diensten hebben een hoop regels en beveiligingscontroles in het leven geroepen om dit te voorkomen, maar technisch is het altijd mogelijk.
Een manier om sommige van deze zorgen te verminderen is met versleuteling (encryptie), dat een wiskundig proces gebruikt samen met een digitale sleutel (een lange reeks lettertekens) om je gegevens om te zetten in iets dat er als willekeurig abracadabra uitziet. De sleutel is nodig om de gegevens te decoderen en te kunnen lezen.
De meeste cloud-aanbieders gebruiken encryptie om jouw internetverbinding met hen te beveiligen (via SSL/TLS, aangegeven door url's die beginnen met https
), zodat niemand stiekem kan afluisteren op het netwerk. (Helaas versleutelen sommige grote e-mailaanbieders nog steeds je verbinding niet altijd.) Meestal als je "encryptie" ziet staan in een lijst van beveiligingsmaatregelen, wordt er dit mee bedoeld. Maar het versleutelen van gegevens tijdens hun transport is nog maar het halve werk: hoe zit het met jouw gegevens in het datacentrum van je aanbieder? Encryptie van de opgeslagen gegevens is ook nodig om enige hoop te hebben dat je gegevens geheim zullen blijven voor de werknemers van de cloud-aanbieder.
Sommige aanbieders versleutelen inderdaad je gegevens in hun datacentrum. Er zijn drie manieren om dit te doen:
Versleutel alle gegevens van alle gebruikers met een enkele sleutel (of een set sleutels) die de cloud-aanbieder kent en beheert.
Versleutel de gegevens van iedere individuele gebruiker met een aparte sleutel die de cloud-aanbieder beheert.
Versleutel de gegevens van iedere individuele gebruiker met een aparte sleutel die de gebruiker beheert.
Verreweg de meeste cloud-aanbieders, als ze al encryptie gebruiken, gaan voor optie nummer 1, sleutels die zij beheren en die dezelfde zijn voor alle gebruikers, omdat die het gemakkelijkste is op te zetten en te beheren. Het slechte nieuws is dat niet een echte beveiliging is. De cloud-aanbieder kan nog steeds al je gegevens lezen en als een aanvaller het webprogramma van de dienst kan kraken, kan hij doorgaans ook de gegevens lezen (omdat die gedecodeerd worden voordat ze op de webserver belanden).
Waarom wordt dit encryptieniveau dan überhaupt toegepast? Het is vooral om gegevens te beschermen mocht een harde schijf zoek raken of gestolen worden. Dit is niet de grootste zorg van de wereld, omdat cloud-aanbieders enorme aantallen harde schijven hebben en het vrijwel onmogelijk is om de gegevens van een specifieke gebruiker te vinden, als de gegevens al gelezen zouden kunnen worden zonder speciale software. Dit betekent ook dat aanbieders in hun advertenties kunnen zeggen dat ze "jouw gegevens versleutelen". Dit is hoe Dropbox je gegevens versleutelt.
Optie 2 is iets veiliger. Het versleutelen van de gegevens van iedere gebruiker met een individuele sleutel vermindert, in sommige gevallen, de kans dat een gebruiker (of een aanvaller) bij de gegevens van een ander kan komen. Het hangt er vooral van af waar de aanvaller in het systeem inbreekt en het berust nog altijd op goed programmeren om ervoor te zorgen dat het programma niet de verkeerde sleutel met de verkeerde gebruiker verbindt. Het is moeilijk om te zeggen hoeveel diensten deze aanpak gebruiken, maar als het goed gedaan wordt, kan het behoorlijk effectief zijn. De grootste zwakte ligt in het feit dat de werknemers van de cloud-aanbieder nog steeds je gegevens kunnen lezen, omdat zij toegang hebben tot de sleutels.
Optie 3 geeft de beste beveiliging. Jij, de gebruiker, bent de enige die de sleutels tot je gegevens heeft. Je cloud-aanbieder kan nooit in je informatie gluren. Het probleem? Dit breekt… bijna alles. Allereerst betekent het dat jij verantwoordelijk bent voor het beheer van de sleutels en als je ze verliest, ben je de toegang tot je gegevens kwijt. Voor altijd. Het is ook erg moeilijk, zo niet onmogelijk, om je toe te staan om je gegevens te zien of te bewerken via een webpagina, omdat de webserver jouw gegevens ook niet kan lezen. Dus het werkt alleen voor sommige soorten diensten (vooral opslag en delen van bestanden) en niet voor andere en alleen voor voldoende onderlegde gebruikers die hun eigen sleutels kunnen beheren.
Zoals zo vaak het geval is, laten deze opties het compromis tussen beveiliging en gebruiksgemak zien.
Hoe weet je of je "cloud provider" je gegevens kan lezen? -- In twee van de drie gevallen hierboven kan je provider je gegevens lezen, maar hoe weet je zelf of dat het geval is?
Er zijn drie verschillende (maar vergelijkbare) indicaties dat de gegevens op je cloud toegankelijk zijn voor je provider:
Wanneer je je gegevens in een webbrowser ziet nadat je bent ingelogd in een site, is de kans erg groot dat je provider de gegevens ook kan lezen. Dit is alleen niet het geval als de dienst afhankelijk is van complexe JavaScriptcode (of een Flash/Java/ActiveX-control) om de gegevens te ontsleutelen en lokaal te tonen.
Wanneer de dienst zowel webtoegang als een desktop-applicatie heeft en je je gegevens met beide mogelijkheden (met hetzelfde wachtwoord) kunt benaderen is de kans ook erg hoog dat je provider je gegevens kan lezen. Het wachtwoord dat je gebruikt voor je account wordt waarschijnlijk ook gebruikt om je gegevens te beschermen (normaal gesproken wordt je wachtwoord gebruikt om je gegevens te ontsleutelen). Het is mogelijk dat je provider je wachtwoord op verschillende manieren gebruikt om gegevens te versleutelen en webtoegang te geven, maar meestal is dat niet het geval.
Wanneer je een nieuw apparaat of programma kunt toevoegen aan de cloud-dienst met je gebruikersnaam en wachtwoord kan je provider waarschijnlijk ook je gegevens lezen. Dit is immers een variatie op de mogelijkheden hierboven.
Hierdoor wist ik dat Dropbox mijn bestanden kon lezen, lang voordat dat verhaal de pers bereikte. Zodra ik zag dat ik kon inloggen en mijn bestanden kon zien, of ze op mijn iPad kon zien door mijn wachtwoord te gebruiken, wist ik dat mijn gegevens versleuteld werden met een sleutel van Dropbox. Hetzelfde is waar voor Box (hoewel dat moeilijk te zien is als je naar hun site kijkt). Omdat Dropbox alleen bestanden opslaat, kun je je eigen versleuteling toepassen voordat de gegevens bij Dropbox opgeslagen worden, zoals ik vorig jaar uitlegde bij Securosis.
En iCloud? Met iCloud heb ik een enkele gebruikersnaam en een enkel wachtwoord. De dienst biedt een rijke en mooi ontworpen web-interface aan waar ik individuele berichten, afspraken, enzovoort kan beheren. Ik kan nieuwe apparaten beheren en toevoegen met dezelfde gebruikersnaam en wachtwoord die ik op de website gebruik. Vanaf het begin was het dus duidelijk dat Apple mijn gegevens kon lezen, wat Ars Technica recent ook al aangaf.
Dat betekent niet meteen dat Dropbox, iCloud en vergelijkbare diensten onveilig zijn. Ze hebben in het algemeen gesproken uitgebreide mechanismen (zowel technisch als in hun voorwaarden) om hun werknemers van het inzien van gegevens af te houden. Ik zou ze echter niet voor alle toepassingen gebruiken. Zo zijn ze voor zakelijk gebruik waarschijnlijk minder geschikt, in het bijzonder als er contracten in het geding zijn waarbij mijn gehouden is om bepaalde gegevens privé te houden.
Het juiste doen -- De back-up dienst CrashPlan is een voorbeeld van een dienst die flexibele versleuteling biedt die aan diverse wensen tegemoet kan komen. Het biedt daarbij drie aparte mogelijkheden aan. (Om te weten welke mate van versleuteling van CrashPlan het beste bij je wensen past verwijzen we je naar "Take Control of CrashPlan Backups" van Joe Kissell.)
Ten eerste worden je gegevens standaard versleuteld met een sleutel die door je wachtwoord beveiligd is. Hierdoor kunnen sommige gebruikers niet bij je gegevens, terwijl je zelf wel via de CrashPlan-website en de CrashPlan Mobile-app bij je gegevens kunt. Maar medewerkers van CrashPlan kunnen wé bij je gegevens.
Ten tweede kun je, als je nog meer veiligheid wilt, een tweede back-up wachtwoord toevoegen dat alleen jij kent. Hierdoor kun je nog steeds je gegevens benaderen via de CrashPlan-website en de CrashPlan Mobile-app, maar medewerkers van CrashPlan kunnen nu niet bij je gegevens tenzij, misschien, tijdens een websessie na het ingeven van dat andere wachtwoord. Kwaadwillenden kunnen ook niet bij je gegevens, hoewel je wachtwoord misschien wel op brute wijze gekaapt of gebroken kan worden.
Als laatste kun je je eigen sleutels genereren per apparaat. Deze sleutels zal CrashPlan nooit zien, waardoor je back-ups alleen voor jou leesbaar zijn (of door diegenen die de sleutels uit je kunnen slaan (onderschat nooit een dopsleutel dankjewel xkcd!). Technisch gesproken zou je een andere sleutel kunnen gebruiken op ieder apparaat (of natuurlijk sleutels delen als je dat wil) zodat zelfs als een enkel apparaat niet meer veilig is, back-ups van andere apparaten nog steeds veilig zijn. Dit is natuurlijk wel lastiger in het beheer en is waarschijnlijk overkill voor de gemiddelde gebruiker (zelfs ik gebruik het niet).
Wanneer je dus zeker wilt zijn dat je gegevens veilig zijn voor zowel aanvallen van buitenaf als de medewerkers van je cloud-aanbieder, moet je op zoek gaan naar diensten die extra opties aanbieden voor het versleutelen van gegevens, ofwel met een wachtwoord ofwel een sleutel die alleen jij kent. Als zo'n optie niet beschikbaar is bij een provider, weet je dat werknemers van dat bedrijf in principe je gegevens kunnen lezen. En als zo'n verhaal dan de pers bereikt, kun je iedereen wijsneuzerig laten weten dat je dat al lang wist.
Lees reacties op dit artikel of plaats er een | Tweet dit artikel
TinkerTool 4.8 -- Marcel Bresink heeft versie 4.8 uitgebracht van TinkerTool, zijn systeem utility om allerlei instellingen onder de motorkap van Mac OS X te veranderen (vroeger al besproken door Matt Neuburg; zie "Lion-frustraties? Vergeet TinkerTool niet", 29 oktober 2011). TinkerTool kan nog altijd worden gebruikt met Mac OS X 10.6 Snow Leopard, maar deze update spitst zich toe op nieuwe manieren om het gedrag van het systeem in 10.7 Lion aan te passen, met onder ander animaties voor Launchpad en Mission Control, de vertraging bij het omschakelen tussen Spaces en Mission Control en de mogelijkheid om Dock Stacks te openen door te scrollen. Je kunt ook pop-upmeldingen toevoegen aan het Dock bij het afspelen van een nieuw nummer in iTunes 10.4 of later, kopieeracties mogelijk maken bij voorbeschouwingen in Snel weergeven en een minder scherp afgelijnde rand rond vensters instellen wanneer je ze vastneemt om de afmetingen te veranderen. Voor oudere versies van Mac OS X dan 10.6 Snow Leopard is TinkerTool verkrijgbaar in afzonderlijke programma's voor deze vorige versies (TinkerTool Classic voor 10.1 Puma, 10.2 Jaguar en 10.3 Panther en TinkerTool Classic Generation 2 voor 10.4 Tiger en 10.5 Leopard). (Gratis, 1,7 MB,toelichtingen)
Reacties - TinkerTool 4.8
Hazel 3.0.4 -- Noodlesoft blijft zijn schoonmaak-utility verfijnen met Hazel 3.0.4 na de recente update naar versie 3.0 (zie "Hazel 3.0.1", 4 maart 2012). Deze versie verandert enkele punten in de gebruikersinterface, met onder andere de mogelijkheid om tokens toe te voegen door erop te klikken bij het bewerken van patronen en de weergave van een pauze-pictogram voor gepauzeerde mappen in het submenu "Run Rules". Het lost een probleem op waarbij een verwijderde aangepaste token niet werd verwijderd uit de patronen waarin het werd gebruikt en een bug waarbij meerdere aangepaste tokens met dezelfde naam werden aangemaakt. De update lost ook een verkeerde formattering van aangepaste tokens met nummers op, voorkomt dat Growl-berichten een schuine streep omzetten naar een dubbele punt, voorkomt een crash bij het openen van regels die het oude trefwoordenattribuut gebruiken en lost een bug op in de kopieeractie met de optie "Throw Away Duplicate Files" geactiveerd. ($ 25 nieuw, $ 10 upgrade, 5,0 MB, toelichtingen)
Reacties - Hazel 3.0.4
SpamSieve 2.9 -- C-Command Software heeft SpamSieve 2.9 uitgebracht om een reeks onderhoudsproblemen op te lossen. Deze update verbetert de voorwaarden van de spamfiltersoftware voor "goede" Exchange-berichten in Apple Mail en het verwerken van inkomende berichten in Microsoft Outlook. Deze versie voegt ondersteuning toe voor Growl-meldingen via GNTP en ondersteuning voor het trainen van berichten als spam via de melding-plugin Herald. Andere verbeteringen zijn o.a. een nieuwe auto-trainingsparameter in het scorescript die op basis van afzonderlijke gevallen voorrang heeft op de instelling in voorkeuren, een verandering in het gedrag van het verplaatsen van een postbus in de opdracht "Change Settings" voor Apple Mail en drone-AppleScripts aanpassen voor beter oplossen van problemen. SpamSieve is nu ook "code-signed" om conform te zijn met de beveiligingsfunctie Gatekeeper in OS X 10.8 Mountain Lion. Verbeteringen in het omgaan met fouten en oplossingen voor andere bugs vervolledigen deze update. ($ 30 nieuw, gratis update, 9,3 MB, toelichtingen)
Reacties - SpamSieve 2.9
App Tamer 1.2.1 -- St. Clair Software heeft App Tamer 1.2 uitgebracht, met een vermelding van onze eigenste Adam Engst voor de verandering in het menubalk-symbool. Op de blog van St. Clair Software staat dat deze update van het cpu-monitorprogramma begon als een vraag van een gebruiker voor een gekleurd menubalksymbool maar verder evolueerde, nadat ze hadden gelezen over de ervaringen van Adam met een verborgen cpu-proces dat de batterij van zijn MacBook verslond (zie "Solving iCloud-Related Slowdowns in Lion", 16 februari 2012). Om beter de aandacht te trekken kleurt App Tamer 1.2 nu het menubalk-symbool op een dynamisch manier (in te schakelen in de voorkeuren van App Tamer), waarbij de kleur helderder en alarmerender wordt (van lichtgeel naar rood) naarmate het cpu-gebruik naar de 100 procent gaat. Het menubalkpictogram geeft ook een naald zoals van een snelheidsmeter weer die de processorbelasting weergeeft en je kunt het percentage al of niet naast het pictogram laten weergeven. Versie 1.2 lost ook een probleem op waarbij alle processen die werden gestart of afgesloten konden worden weergegeven en je kunt nu dubbelklikken op App Tamer om het venster te openen als het programmasymbool niet in het Dock staat. Een snelle 1.2.1 update lost een probleem op bij het draaien onder heel zware belasting en biedt een oplossing voor het menubalkpictogram in Mac OS X 10.5 Leopard. ($ 14,95 nieuw, gratis update, 3,6 MB, release notes)
Reacties - App Tamer 1.2
Lees verder voor een uitgebreide verhandeling van Stephen Fry over hoe Apple's concurrenten herhaaldelijk de bal hebben laten vallen sinds het uitbrengen van de iPhone en een artikel waarin Nick Bilton van de New York Times een perspectief biedt op hoe andere bedrijven dan Apple die gebruik maken van dubieuze Chinese arbeid voor het vervaardigen van apparaten, verdacht stil zijn gebleven aangaande dit onderwerp.
Stephen Fry over de steken die de iPhone-concurrenten lieten vallen -- Apple staat er nu goed voor, maar dat succes is er niet alleen dankzij hun producten. Duizendpoot Stephen Fry loopt sinds ver voor 2007 met meerdere mobiele telefoons en smartphones rond en hij schrijft over hoe het falen van Apples concurrenten sinds de introductie van de iPhone Apple heeft geholpen om de markt op zijn kop te zetten.
Te veel stilte over werkomstandigheden -- Afgaande op de meeste persberichten de laatste paar maanden zou je denken dat Apple niet erg zijn best heeft gedaan om de veiligheid te verzekeren van de Chinese arbeiders die de meeste van zijn apparaten produceren. Foxconn, een van de grootste fabrikanten van Apple, is eigenlijk een reus die mobiele telefoons, computers, tablets en andere technologie maakt voor de meeste grote ondernemingen van overal ter wereld. Nick Bilton van de New York Times begon deze andere ondernemingen (met onder andere Dell, HP, Samsung en Microsoft) te peilen naar hun reacties op de werkomstandigheden. Het antwoord? Stilte, al te gemakkelijke persverklaringen en heel weinig echte informatie.
Vorige aflevering | Search TidBITS | TidBITS Homepage | Volgende aflevering