Autoriteit Persoonsgegevens waarschuwt dat gebruikt van SSLv2 mogelijk in strijd is met Wet bescherming persoonsgegevens
In het protocol SSLv2 is vorige week het “DROWN” (Decrypting RSA with Obsolete and Weakened eNcryption) lek aangetroffen, dat aanvallers de mogelijkheid geeft versleutelde verbindingen kunnen kraken. Bedrijven die ondanks dit lek gebruik blijven maken van SSLv2 overtreden hiermee mogelijk de Wet bescherming persoonsgegevens (Wbp).
Dit stelt de Autoriteit Persoonsgegevens (AP). De Autoriteit Persoonsgegevens zegt met verscherpte aandacht te kijken naar het protocol SSLv2. Met dit protocol kunnen beveiligde verbindingen worden opgezet met onder meer websites. Op 1 maart werd bekend dat dit protocol een lek bevat dat ook wel DROWN wordt genoemd. Veel websites ondersteunen SSLv2 nog wel, maar maken gebruik van het TLS protocol om versleutelde verbindingen op te zetten. Indien een server echter voor zowel SSLv2 als TLS dezelfde privésleutel gebruikt kan een aanvaller via DROWN TLS-verbindingen ontsleutelen. Hierdoor krijgen zij toegang tot het dataverkeer.
Configuratie aanpassen
De Autoriteit Persoonsgegevens noemt het met het oog op het DROWN lek van groot belang dat organisaties hun configuratie aanpassen. De privacyorganisatie wijst op de ICT-beveiligingsrichtlijnen voor TLS van het NCSC, die organisaties adviseert hoe zij met TLS passende maatregelen kunnen nemen. Ook benadrukt de Autoriteit Persoonsgegevens dat indien gebruik wordt gemaakt van de programmeerbibliotheek OpenSSL deze bijgewerkt dient te zijn naar de laatste versie.
De privacytoezichthouder waarschuwt dat organisaties die hun configuratie niet aanpassen en gebruik blijven maken van configuraties die bekende kwetsbaarheden bevatten hiermee mogelijk artikel 13 van de Wbp overtreden. Naarmate de gegevens waarmee wordt gewerkt een gevoeliger karakter hebben of de context waarin deze wordt gebruikt een grotere bedreiging vormt voor de persoonlijke levenssfeer van burgers worden de eisen die de Wbp stelt aan de beveiliging hoger.
Meer over
Lees ook
30% van de patiënten maakt zich zorgen over privacy e-healthdiensten
93 procent van de Europese medische organisaties heeft e-health-oplossingen geïmplementeerd, zoals monitoring op afstand via wearable devices en realtime communicatie met patiënten. Dit blijkt uit onderzoek van Kaspersky onder 389 zorgorganisaties uit 36 landen, waaronder 99 zorgverleners uit Europa en 10 in Nederland, naar het gebruik van e-healt1
Sluit donderdag 2 december aan bij uw lokale PrivacyConnect Chapter Chair community
De Chapter meetings richten zich op de nieuwste ontwikkelingen op het gebied van privacyregelgeving, waaronder CCPA, CPRA, Schrems II en LGPD, en voorzien van panels van privacy professionals om operationele best practices te bespreken.
Hoe de Trusted Platform Module (TPM) onveilige wachtwoorden vervangt - Beyond Identity
Als je een Windows-of Linux-pc gebruikt, is de kans groot dat er een Trusted Platform Module (TPM) aan het moederbord van je systeem is verbonden. De TPM is een hardwaremodule die in veel lijkt op de SmartCard-chip die in je creditcard is ingebed. Die chip zorgt voor veilige authenticatie van je kaart tijdens betalingstransacties. Dat gebeurt op b1