Deel e-maildomeinen vitale sector onvoldoende beschermd tegen spoofing

[Captain Kirk]

De vitale sector maakt niet altijd gebruik van standaarden voor e-mailbeveiliging, waardoor bijvoorbeeld spoofing mogelijk is, zo stellen Zembla en de Internet Cleanup Foundation op basis van onderzoek onder honderd bedrijven en organisaties. Het gaat dan om de standaarden SPF, DKIM en DMARC die niet zijn geïmplementeerd of onvoldoende strikt zijn geconfigureerd.

DMARC staat voor Domain Message Authentication Reporting & Conformance (DMARC). Via DMARC kunnen organisaties beleid instellen hoe e-mailproviders moeten omgaan met e-mails waarvan niet kan worden vastgesteld dat ze van het betreffende afzenderdomein afkomstig zijn. Het Sender Policy Framework (SPF) controleert of een verzendende mailserver die e-mail namens een domein wil versturen, ook daadwerkelijk gerechtigd is om dit te mogen doen.

Met DKIM kan de domeinnaamhouders aangeven met welke sleutel e-mailberichten moeten zijn gesigneerd. Verzendende mailservers ondertekenen alle uitgaande e-mail namens deze domeinnaam met deze sleutel. Ontvangende mailservers kunnen met behulp van DKIM controleren of de e-mail door een geautoriseerde partij is verzonden. Via de standaarden kan e-mailspoofing, waarbij een aanvaller zich in een e-mail voordoet als een ander door het afzendadres te vervalsen, worden voorkomen.

Van de honderd onderzochte organisaties hadden er 57 DMARC, DKIM en SPF ten tijde van het onderzoek de screening geïmplementeerd en strikt geconfigureerd. Bij de overige 43 bedrijven ontbrak minstens één van de drie veiligheidsstandaarden, of stond deze onvoldoende strikt geconfigureerd. Het gaat onder andere om de kerncentrale van Borssele, de KLM, hoogspanningsbeheerder TenneT en elektriciteitsproducent Vattenfall.

Van de 43 bedrijven en organisaties die niet alle veiligheidsstandaarden toepasten of strikt hadden geconfigureerd zeggen er 34 hun e-mailbeveiliging verder te zullen aanscherpen. In juli bleek dat een kwart van de Nederlandse ziekenhuizen en GGD's geen gebruikmaakt van de eerder genoemde beveiligingsstandaarden en ook de overheid heeft dit nog niet overal op orde.

 

bron: https://www.security.nl