De verbindingen naar veel Nederlandse overheidswebsites zijn niet goed beveiligd. Dat blijkt uit onderzoek van de Open State Foundation, een non-profitorganisatie die « transparantie in de politiek wil vergroten ». Een beveiligde verbinding is te herkennen aan een slotje in de browser.

De organisatie onderzocht 1 816 overheidswebsites ; slechts 44 % daarvan ondersteunt beveiligde verbindingen. Nog eens 6 % heeft wel een beveiligde verbinding, maar heeft hem niet goed ingesteld, waardoor aanvallers alsnog een kans hebben.

Onder meer de verbinding naar de website van de Rijksrecherche is onbeveiligd. Die politie-organisatie doet onderzoek naar misdragingen door overheidsfunctionarissen, waaronder politiemedewerkers. Wie een misstand melde op de site van de Rijksrecherche, liep tot woensdagavond echter het risico dat anderen meelazen. Dat kon bijvoorbeeld bij openbare wifi-hotspots, zoals in de trein, in een hotel of restaurant : de verbinding was dan eenvoudig te onderscheppen.

Na melding van de NOS is dat formulier verwijderd van de site. « Het is tijdelijk niet meer mogelijk om misstanden te melden », laat een woordvoerder weten. Burgers met tips kunnen nog wel bellen. Er wordt onderzocht of « vervolgmaatregelen » nodig zijn.

Ook de voorpagina van de website van de Belastingdienst heeft geen beveiligde verbinding. Het inloggen op de Belastingdienst-site is wel beveiligd, maar doordat de voorpagina dat niet is, kan een hacker een onveilige verbinding afdwingen. Dat kan bijvoorbeeld door een valse wifi-hotspot op te zetten op een station of een andere drukke plek.

Ironisch genoeg is ook de verbinding van de overheidssite die is bedoeld om een « internetbewuste overheid » te promoten niet goed beveiligd.

Het onderzoek betrof de voorpagina's van de overheidssites ; het is mogelijk dat bepaalde onderdelen van de websites beter zijn beveiligd. Beveiligingsexperts raden echter aan om sowieso de volledige website van een veilige verbinding te voorzien. De onbeveiligde sites zijn te herkennen aan het ontbreken van een slotje in de browser.

Ook zijn er een aantal websites van Nederlandse ambassades in landen waar bassale mensenrechten worden geschonden die niet beveiligd zijn met een goed functionerende https-verbinding.

Eerder onderzoek naar de overheidssites in ons land toonde gelijkaardige zwakheden aan. In een reactie stelde Fedict, de federale overheidsdienst Informatie- en Communicatietechnologie, dat het reeds geplande maatregelen om de SSL-encryptie te verbeteren nu versneld zal uitvoeren.

Wat betreft transversaal karakter van de vraag : de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota Integrale Veiligheid en het Nationaal Veiligheidsplan voor de periode 2016–2019, en werden besproken tijdens een Interministeriële Conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Eén van de vastgelegde prioriteiten is de informaticacriminaliteit. Het betreft aldus een transversale gewestaangelegenheid waarbij de rol van de Gewesten vooral ligt in het preventieve luik.

Daarom heb ik volgende vragen voor u :

1) Zijn er geen veiligheidsrisico's voor de websites van de federale overheidsdiensten waarvoor u bevoegd bent, alsook uw eigen sites ? Kunt u de sites waarvoor u instaat oplijsten ?

2) Is er geen risico dat, bij het inloggen van gebruikers via wifi-hotspots, dat de communicatie met de overheidssites waarvoor u instaat kan worden ingelezen ? Kan u dit toelichten ?

3) Is het waar dat van de overheidswebsites die wel een https-verbinding gebruiken er ook nog een aantal websites zijn die zodanig zijn ingesteld dat er ook daar een beveiligingsrisico bestaat ?

4) Kunt u oplijsten voor welke overheidssites u specifiek bevoegd bent en dit inclusief de sites van de federale overheidsdiensten waarvoor u bevoegd bent en de sites van de buitendiensten ?

5) Werden de eerder aangekondigde maatregelen om de SSL-encryptie te verbeteren daadwerkelijk doorgevoerd door Fedict op alle sites waarvoor u bevoegd bent ? Kunt u dit concreet toelichten ?

6) Kunt u garanderen dat geen enkele site waarvoor u bevoegd bent nog werkt met SSL-3 ? Kunt u dit desgevallend toelichten ?

7) Kunt u concreet oplijsten welke maatregelen reeds zijn genomen sinds het onderzoek naar de Belgische overheidssites enkele zwakheden oplijstte om aldus een veilige verbinding met overheidswebsites tot stand te brengen ?

A) DG-Personen met een handicap (DG-Han)

Het antwoord voor DG-Han zal gegeven worden door de minister van Volksgezondheid en Sociale Zaken, Maggie De Block (cf. schriftelijke vraag nr. 6-1182).

B) Instituut voor de gelijkheid van vrouwen en mannen

Het IGVM heeft geen websites in eigen beheer. Voor meer informatie hieromtrent dient U zich te wenden tot FEDict.

C) Programmatorische overheidsdienst (POD) Maatschappelijke Integratie

1) Mijn administratie, de POD Maatschappelijke Integratie, beheert momenteel slechts één website, in het domein mi-is.be, op het adres www.mi-is.be.

Deze website wordt al meerdere jaren, en vooral in de laatste versie die momenteel online is, beschermd door een versleutelde verbinding van het type HTTPS.

Deze beveiligde verbinding maakt meer bepaald gebruik van een versleutelingsalgoritme SHA-2 (sha256) met een zeer hoog veiligheidsniveau (SHA-1 werd dit jaar afgevoerd).

Bovendien wordt de website van de POD Maatschappelijke Integratie gehost op een technologisch platform dat beheerd wordt door FEDICT en de onderaannemers die hij aanduidt, zowel voor de technologische infrastructuur als voor het onderhoud van de applicatie :

Fast2web is de oplossing van Fedict voor de creatie van op Drupal gebaseerde websites. Dit omvat enerzijds de hosting, de ondersteuning van de redacteurs en het platform, en anderzijds de CMS-, Search- en statistische functies.

De website van de POD Maatschappelijke Integratie geniet dus van alle beveiligingsmaatregelen genomen door de federale diensten tegen indringing of DOS-aanvallen om het platform Fast2web te beschermen, en beantwoordt aan de geavanceerde veiligheidscriteria verdedigd door FEDICT.

2) Profiteren van een niet-beveiligde wifi (van het type hotspot) om een communicatie te onderscheppen tussen een gebruiker en de website is onmogelijk door de versleuteling van de HTTPS-verbinding (zie boven).

Bovendien zijn de mogelijkheden voor het verzenden van informatie naar de website van de POD Maatschappelijke Integratie momenteel zeer beperkt. Er worden geen persoonsgegevens uitgewisseld via dit middel.

3) De HTTPS-verbinding van de website van de POD Maatschappelijke Integratie steunt op een versleuteling van klasse SHA-2 (zie boven) die momenteel het hoogste veiligheidsniveau biedt voor het type van transactie dat op de website wordt gebruikt.

4) De POD Maatschappelijke Integratie beheert momenteel slechts één website : www.mi-is.be.

5) Omdat de website van de POD Maatschappelijke Integratie gehost wordt door FEDICT op zijn platform dat gedeeld wordt met andere federale websites in het kader van Fast2web (zie boven), maakt het beheer van de veiligheid van de websites gehost op dit platform, het voorwerp uit van voortdurende wijzigingen door de onderaannemers aangeduid door de FOD.

6) De verbinding met de website www.mi-is.be maakt geen gebruik van het SSL3-protocol, maar van het betere TLS 1.2- protocol.

7) FEDICT, de host en Internetprovider van de POD Maatschappelijke Integratie, heeft de veiligheid van de verbinding met de website van de POD Maatschappelijke Integratie versterkt en blijft die voortdurend versterken. Recent nog werden er wijzigingen doorgevoerd ter verbetering van de veiligheid van het FEDMAN-netwerk en van alle systemen die daar gebruik van maken, met name tegen DOS-aanvallen (Denial Of Service) die de federale websites in 2016 gedurende enkele uren hebben geblokkeerd.

D) Programmatorische overheidsdienst (POD) Wetenschapsbeleid (BELSPO)

1) De belangrijkste sites die wij beheren zijn :

– www.belspo.be + subsites ;

– http://www.stis.belspo.be ;

– http://eurofed.stis.belspo.be.

Die sites zijn beveiligd dankzij een firewall van de laatste generatie die bescherming biedt tegen hacking en DPI (Deep Packet Inspection) via een proxyserver biedt.

De toegang tot die sitegedeeltes met gevoelige en vertrouwelijke gegevens gebeurt via een beveiligde HTTPS-verbinding waarvan het certificaat door Digicert is verleend.

2) Voor de sitegedeeltes met publieke gegevens die via een HTTP-verbinding toegankelijk zijn, zou het immers mogelijk zijn die gegevens te zien. Hier zijn echter geen grote risico's aan verbonden.

3) Het nulrisico op dat gebied bestaat niet. Toegang via een oude SSL-versie kan de veiligheid in het gedrang brengen.

4) Wij hebben geen elders gehuisveste sites, noch sites die niet door BELSPO worden beheerd.

5) De toegang via oude SSL-versies (v2 & 3) werd gedesactiveerd.

6) Onze webservers zijn niet langer toegankelijk via het protocol SSL-3.

7) Wij maken gebruik van gecertificeerde HTTPS-verbindingen voor sites met gevoelige of vertrouwelijke informatie die toegankelijk zijn met een gebruikersnaam / paswoord.

De paswoorden moeten aan bepaalde complexiteitscriteria voldoen.

Na verschillende vruchteloze loginpogingen wordt de toegang tot de site geblokkeerd.

Onze webservers zijn beveiligd door een firewall van de laatste generatie die bescherming biedt tegen hacking en DPI (Deep Packet Inspection) biedt.

E) Algemeen Rijksarchief van België (ARA) / Studie- en Documentatiecentrum Oorlog en Hedendaagse Maatschappij (CEGESOMA)

1) Voor geen enkele website kan worden beweerd dat er totaal geen risico’s bestaan. Aangezien enkel via het intranet toegang mogelijk is tot de privacygevoelige gegevens moet het Rijksarchief vooral zorgen dat de gegevens die kunnen worden geraadpleegd via de website (Internet) niet moedwillig kunnen verwijderd of gewijzigd worden. Het Rijksarchief maakt dan ook regelmatig een backup van de digitale gegevens.

Lijst van de websites waarvoor het Rijksarchief instaat :

– www.arch.be ;

– 14-18-wallonie.arch.be ;

– biblio.arch.be ;

– demogen.arch.be ;

– extranet.arch.be ;

– firewall.arch.be ;

– ftp.arch.be ;

– goaaal.arch.be ;

– isil.arch.be ;

– register.arch.be ;

– search.arch.be ;

– st-vither-zeitungen.arch.be ;

– visu.arch.be ;

– webrepro.arch.be ;

– webshop.arch.be ;

– www.pauvresdenous.arch.be ;

– www.breekbaarverleden.be ;

– www.expocongo.be ;

– www.archief-democratie.be.

Ook CEGESOMA, sinds 1 januari 2016 geïntegreerd bij het Rijksarchief, beheert nog zijn eigen websites :

– www.cegesoma.be ;

– pallas.cegesoma.be ;

– warpress.cegesoma.be ;

– www.journalbelgianhistory.be ;

– newsletter.cegesoma.be ;

– opac.cegesoma.be ;

– historikerdialog.eu ;

– bejust.be.

Er zijn geen (gekende) veiligheidsrisico's voor de CEGESOMA websites.

2) In de communicatie tussen particulieren en de websites van het Rijksarchief wordt geen informatie uitgewisseld die als gevoelig kan worden beschouwd. Enkel de website webrepro.arch.be kan mogelijk meer persoonsgebonden gegevens bevatten. Anders gezegd : onze sites zijn niet beveiligd tegen de mogelijkheid dat bij het inloggen van gebruikers via wifi-hotspots, de communicatie met de overheidssites kan worden ingelezen, maar de gegevens die kunnen worden onderschept, kunnen ook door éénieder zelf op onze sites opgezocht worden.

Op de websites van CEGESOMA is geen inlogmogelijkheid voorzien, anders dan deze om de website te beheren. De enige website waar gebruikers persoonlijke informatie (naam, e-mailadres) op kunnen invullen is opac.cegesoma.be. Dit gebeurt enkel via een beveiligde HTTPS-verbinding.

3) Het Rijksarchief heeft geen publieke HTTPS-sites op het Internet; enkel HTTP-sites.

Daarnaast hebben we :

– twee VPN-servers voor gebruik door ons personeel tijdens thuiswerk ;

– een gateway waarlangs een beperkt aantal personen mails kan opladen naar hun tablet.

Deze vereisen minimaal TLS 1.0 voor encryptie ; dus hoger dan SSL-3. Dit lijkt ons, qua encryptie, voldoende state of the art.

Ook alle HTTPS-verbindingen beheerd door CEGESOMA maken gebruik van veilige technieken, zoals TLS.

4) Zowel voor het Rijksarchief als CEGESOMA: zie lijst onder vraag 1).

5) Noch het Rijksarchief noch CEGESOMA zijn in contact met Fedict waar het de implementatie van de aangekondigde maatregelen om de SSL-encryptie te verbeteren betreft.

6) Wat het Rijksarchief betreft, verwijzen we hier naar het antwoord op vraag 3).

Wat CEGESOMA betreft : SSLv2 en SSLv3 zijn uitgeschakeld op alle websites.

7) Het onderzoek naar de Belgische overheidssites waarover sprake in vraag 7) is het Rijksarchief niet meteen bekend.

Volgende maatregelen werden in het verleden genomen ter beveiliging van de Internetsites van het Rijksarchief :

a) de toegankelijkheid van de beheerinterfaces van onze websites wordt afgesloten indien geconnecteerd via het Internet; deze zijn enkel toegankelijk vanaf een intern IP-adres ;

b) bij het uitbreken van « heartbleed » (https://nl.wikipedia.org/wiki/Heartbleed) hebben wij onze sites, vermeld onder 3), zo snel mogelijk geüpgraded ;

c) een « gotschka » werd toegevoegd aan de « Een vraag of een probleem melden »-functionaliteit van http://search.arch.be ;

d) de scheiding tussen « DMZ » en « LAN » in de netwerk-configuratie werd gecontroleerd en waar nodig gecorrigeerd ;

e) encryptie werd geactiveerd op de tablets van de directeurs ;

Bijkomende maatregelen voorzien voor 2017 :

f) we plannen de aankoop van een nieuwe firewall met zowel meer rapporteringsmogelijkheden alsook meer fijnmazige configuratiemogelijkheden (een zogenaamde « layer-7’-firewall ») ;

g) we zullen ook onze hoger beschreven strategie herbekijken, in het bijzonder voor webrepro.arch.be.

CEGESOMA voorzag reeds een aantal websites van een HTTPS-verbinding.