Tweetalige printerversie Eentalige printerversie

Schriftelijke vraag nr. 6-2107

van Lionel Bajart (Open Vld) d.d. 11 januari 2019

aan de vice-eersteminister en minister van Buitenlandse Zaken en Europese Zaken, en van Defensie, belast met Beliris en Federale Culturele Instellingen

Overheidswebsites - Veilige communicatie - Lekken - Verbetering van de veiligheid - Maatregelen

internet
computercriminaliteit
gegevensbescherming
Nederland
ministerie
overheidsadministratie
internetsite

Chronologie

11/1/2019Verzending vraag (Einde van de antwoordtermijn: 14/2/2019)
8/4/2019Antwoord

Herindiening van : schriftelijke vraag 6-1180

Vraag nr. 6-2107 d.d. 11 januari 2019 : (Vraag gesteld in het Nederlands)

De verbindingen naar veel Nederlandse overheidswebsites zijn niet goed beveiligd. Dat blijkt uit onderzoek van de Open State Foundation, een non-profitorganisatie die « transparantie in de politiek wil vergroten ». Een beveiligde verbinding is te herkennen aan een slotje in de browser.

De organisatie onderzocht 1 816 overheidswebsites ; slechts 44 % daarvan ondersteunt beveiligde verbindingen. Nog eens 6 % heeft wel een beveiligde verbinding, maar heeft hem niet goed ingesteld, waardoor aanvallers alsnog een kans hebben.

Onder meer de verbinding naar de website van de Rijksrecherche is onbeveiligd. Die politie-organisatie doet onderzoek naar misdragingen door overheidsfunctionarissen, waaronder politiemedewerkers. Wie een misstand melde op de site van de Rijksrecherche, liep tot woensdagavond echter het risico dat anderen meelazen. Dat kon bijvoorbeeld bij openbare wifi-hotspots, zoals in de trein, in een hotel of restaurant : de verbinding was dan eenvoudig te onderscheppen.

Na melding van de NOS is dat formulier verwijderd van de site. « Het is tijdelijk niet meer mogelijk om misstanden te melden », laat een woordvoerder weten. Burgers met tips kunnen nog wel bellen. Er wordt onderzocht of « vervolgmaatregelen » nodig zijn.

Ook de voorpagina van de website van de Belastingdienst heeft geen beveiligde verbinding. Het inloggen op de Belastingdienst-site is wel beveiligd, maar doordat de voorpagina dat niet is, kan een hacker een onveilige verbinding afdwingen. Dat kan bijvoorbeeld door een valse wifi-hotspot op te zetten op een station of een andere drukke plek.

Ironisch genoeg is ook de verbinding van de overheidssite die is bedoeld om een « internetbewuste overheid » te promoten niet goed beveiligd.

Het onderzoek betrof de voorpagina's van de overheidssites ; het is mogelijk dat bepaalde onderdelen van de websites beter zijn beveiligd. Beveiligingsexperts raden echter aan om sowieso de volledige website van een veilige verbinding te voorzien. De onbeveiligde sites zijn te herkennen aan het ontbreken van een slotje in de browser.

Ook zijn er een aantal websites van Nederlandse ambassades in landen waar bassale mensenrechten worden geschonden die niet beveiligd zijn met een goed functionerende https-verbinding.

Eerder onderzoek naar de overheidssites in ons land toonde gelijkaardige zwakheden aan. In een reactie stelde Fedict, de federale overheidsdienst Informatie- en Communicatietechnologie, dat het reeds geplande maatregelen om de SSL-encryptie te verbeteren nu versneld zal uitvoeren.

Wat betreft transversaal karakter van de vraag : de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota Integrale Veiligheid en het Nationaal Veiligheidsplan voor de periode 2016–2019, en werden besproken tijdens een Interministeriële Conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Eén van de vastgelegde prioriteiten is de informaticacriminaliteit. Het betreft aldus een transversale gewestaangelegenheid waarbij de rol van de Gewesten vooral ligt in het preventieve luik.

Daarom heb ik volgende vragen voor u :

1) Zijn er geen veiligheidsrisico's voor de websites van de federale overheidsdiensten waarvoor u bevoegd bent, alsook uw eigen sites ? Kunt u de sites waarvoor u instaat oplijsten ?

2) Is er geen risico dat, bij het inloggen van gebruikers via wifi-hotspots, dat de communicatie met de overheidssites waarvoor u instaat kan worden ingelezen ? Kan u dit toelichten ?

3) Is het waar dat van de overheidswebsites die wel een https-verbinding gebruiken er ook nog een aantal websites zijn die zodanig zijn ingesteld dat er ook daar een beveiligingsrisico bestaat ?

4) Kunt u oplijsten voor welke overheidssites u specifiek bevoegd bent en dit inclusief de sites van de federale overheidsdiensten waarvoor u bevoegd bent en de sites van de buitendiensten ?

5) Werden de eerder aangekondigde maatregelen om de SSL-encryptie te verbeteren daadwerkelijk doorgevoerd door Fedict op alle sites waarvoor u bevoegd bent ? Kunt u dit concreet toelichten ?

6) Kunt u garanderen dat geen enkele site waarvoor u bevoegd bent nog werkt met SSL-3 ? Kunt u dit desgevallend toelichten ?

7) Kunt u concreet oplijsten welke maatregelen reeds zijn genomen sinds het onderzoek naar de Belgische overheidssites enkele zwakheden oplijstte om aldus een veilige verbinding met overheidswebsites tot stand te brengen ?

Antwoord ontvangen op 8 april 2019 :

1) a) Er zijn steeds veiligheidsrisico’s verbonden aan publiek toegankelijke sites. Buitenlandse Zaken stelt alles in het werk om deze veiligheidsrisico’s te beperken, te monitoren en te mitigeren.

Alle websites onder beheer van Buitenlandse Zaken gebruiken TLS 1.0, TLS 1.1 of TLS 1.2.

De versies TLS 1.0 en TLS 1.1 zijn gevoelig voor « downgrade attacks » waarmee websites door een aanvaller gemanipuleerd worden hun beveiligingsprotocol te verlagen naar een vroegere, zwakkere versie. Voor deze gevallen werd een « Downgrade Attack Prevention (TLS_FALLBACK_SCSV) » toegepast zodat dit voorkomen wordt.

b) In grote lijnen beheert Buitenlandse Zaken drie types websites, die alle intensief worden opgevolgd en gemonitord :

– informatie voor de burger over de werking van de Belgische diplomatie, het buitenlands beleid en de Belgische ontwikkelingssamenwerking en onze publieke diplomatie ;

– websites specifiek toegespitst op consulaire dienstverlening (paspoorten, visa) ;

– informatieve websites verbonden aan de Belgische posten in het buitenland.

Volledige lijst in bijlage. Gedetailleerde beveiligingsinformatie per website is beschikbaar.

2) Maatregelen worden genomen op server-niveau om dit zo goed mogelijk te voorkomen. Downgrade attack worden gemitigeerd door de TLS_FALLBACK_SCSV implementatie en de door Microsoft aangeraden beveiligingsupdate KB2655992.

3) Op de website https://travellersonline.diplomatie.be wordt geen TLS_FALLBACK_SCSV toegepast. Aangezien dit een Azure webapp betreft (Microsoft) kunnen hier vanwege Buitenlandse Zaken geen bijkomende eigen maatregelen worden toegepast buiten diegene die standaard door Microsoft Azure worden voorzien.

4) Zie lijst in bijlage.

De hosting gebeurt op niveau domeinnaam :

– websites met belgium.be vallen onder de shared services van Kanselarij van de eerste minister ;

– websites met diplomatie.be onder Buitenlandse Zaken.

5) De sites zijn gescand op Qualys SSL labs en SSLSCAN tool.

6) SSLv3 is uitgeschakeld op alle sites, dit is geverifieerd met een scan op SSLv3 gebruik.

7) SSLv3 is uitgeschakeld, TLS_FALLBACK_SCSV wordt toegepast waar mogelijk, er wordt regelmatig patch management toegepast.

BIJLAGE : Lijst websites Buitenlandse Zaken

7web.diplomatie.be

algeria.diplomatie.belgium.be

angola.diplomatie.belgium.be

app.powerbi.com/

appointment.diplomatie.be

apps.abh-ace.be

apps.diplomatie.be

apps.diplomatie.belgium.be

apps.maisonschengen.eu

apps3.abh-ace.be

apps3.diplomatie.be

apps3.diplomatie.belgium.be

argentina.diplomatie.belgium.be

australia.diplomatie.belgium.be

austria.diplomatie.belgium.be

azerbaijan.diplomatie.belgium.be

belpas.be

benin.diplomatie.belgium.be

betounsc.be (verwijst sinds einde november door naar https://newyorkun.diplomatie.belgium.be)

b-fast.be

b-fast.diplomatie.be

biometrie.diplomatie.be

biometrie.diplomatie.belgium.be

bosniaherzegovina.diplomatie.belgium.be

brazil.diplomatie.belgium.be

brazilie.diplomatie.belgium.be

bulgaria.diplomatie.belgium.be

bulgarie.diplomatie.belgium.be

bulgarije.diplomatie.belgium.be

burkinafaso.diplomatie.belgium.be

burundi.diplomatie.belgium.be

cameroon.diplomatie.belgium.be

canada.diplomatie.belgium.be

chile.diplomatie.belgium.be

china.diplomatie.belgium.be

chine.diplomatie.belgium.be

colombia.diplomatie.belgium.be

colombie.diplomatie.belgium.be

consular.diplomatie.be

cotedivoire.diplomatie.belgium.be

croatia.diplomatie.belgium.be

croatie.diplomatie.belgium.be

cuba.diplomatie.belgium.be

czechrepublic.diplomatie.belgium.be

denmark.diplomatie.belgium.be

deutschland.diplomatie.belgium.be

diplomatie.belgium.be

dns1w.fgov.be.

dns2s.belgium.be.

dns3a.westeurope.cloudapp.azure.com.

drcongo.diplomatie.belgium.be

duitsland.diplomatie.belgium.be

egypt.diplomatie.belgium.be

egypte.diplomatie.belgium.be

elegalisation.diplomatie.be

espagne.diplomatie.belgium.be

espana.diplomatie.belgium.be

estage.diplomatie.be

ethiopia.diplomatie.belgium.be

ethiopie.diplomatie.belgium.be

eupuzzle.diplomatie.belgium.be

europeanunion.diplomatie.belgium.be

finland.diplomatie.belgium.be

finlande.diplomatie.belgium.be

focusonbelgium.be

france.diplomatie.belgium.be

germany.diplomatie.belgium.be

grece.diplomatie.belgium.be

greece.diplomatie.belgium.be

griekenland.diplomatie.belgium.be

hongarije.diplomatie.belgium.be

hongkongmacau.diplomatie.belgium.be

hongrie.diplomatie.belgium.be

hungary.diplomatie.belgium.be

ierland.diplomatie.belgium.be

inde.diplomatie.belgium.be

india.diplomatie.belgium.be

indonesia.diplomatie.belgium.be

indonesie.diplomatie.belgium.be

iran.diplomatie.belgium.be

ireland.diplomatie.belgium.be

irlande.diplomatie.belgium.be

israel.diplomatie.belgium.be

italia.diplomatie.belgium.be

italie.diplomatie.belgium.be

italy.diplomatie.belgium.be

jamaica.diplomatie.belgium.be

jamaique.diplomatie.belgium.be

japan.diplomatie.belgium.be

jerusalem.diplomatie.belgium.be

jordan.diplomatie.belgium.be

jordanie.diplomatie.belgium.be

kazakhstan.diplomatie.belgium.be

kenia.diplomatie.belgium.be

kenya.diplomatie.belgium.be

kosovo.diplomatie.belgium.be

kroatie.diplomatie.belgium.be

kuwait.diplomatie.belgium.be

lebanon.diplomatie.belgium.be

legalweb.diplomatie.be

luxembourg.diplomatie.belgium.be

malaisie.diplomatie.belgium.be

malaysia.diplomatie.belgium.be

maleisie.diplomatie.belgium.be

mali.diplomatie.belgium.be

maroc.diplomatie.belgium.be

mexico.diplomatie.belgium.be

morocco.diplomatie.belgium.be

mozambique.diplomatie.belgium.be

nato.diplomatie.belgium.be

nederland.diplomatie.belgium.be

netherlands.diplomatie.belgium.be

newyorkun.diplomatie.belgium.be

niger.diplomatie.belgium.be

nigeria.diplomatie.belgium.be

norvege.diplomatie.belgium.be

norway.diplomatie.belgium.be

oecd-unesco.diplomatie.belgium.be

oeganda.diplomatie.belgium.be

oekraine.diplomatie.belgium.be

ouganda.diplomatie.belgium.be

pakistan.diplomatie.belgium.be

panama.diplomatie.belgium.be

peru.diplomatie.belgium.be

philippines.diplomatie.belgium.be

poland.diplomatie.belgium.be

pologne.diplomatie.belgium.be

polska.diplomatie.belgium.be

portugal.diplomatie.belgium.be

qatar.diplomatie.belgium.be

republicofkorea.diplomatie.belgium.be

republiekkorea.diplomatie.belgium.be

republiquedecoree.diplomatie.belgium.be

republiquetcheque.diplomatie.belgium.be

roemenie.diplomatie.belgium.be

romania.diplomatie.belgium.be

roumanie.diplomatie.belgium.be

rusland.diplomatie.belgium.be

russia.diplomatie.belgium.be

russie.diplomatie.belgium.be

rwanda.diplomatie.belgium.be

saoedi-arabie.diplomatie.belgium.be

saudiarabia.diplomatie.belgium.be

senegal.diplomatie.belgium.be

serbia.diplomatie.belgium.be

serbie.diplomatie.belgium.be

servie.diplomatie.belgium.be

singapore.diplomatie.belgium.be

smtp.diplomatie.be

southafrica.diplomatie.belgium.be

spain.diplomatie.belgium.be

spanje.diplomatie.belgium.be

srbija.diplomatie.belgium.be

suede.diplomatie.belgium.be

suisse.diplomatie.belgium.be

sweden.diplomatie.belgium.be

switzerland.diplomatie.belgium.be

taipei.diplomatie.belgium.be

tanzania.diplomatie.belgium.be

tanzanie.diplomatie.belgium.be

thailand.diplomatie.belgium.be

thailande.diplomatie.belgium.be

travellersonline.diplomatie.be

tsjechie.diplomatie.belgium.be

tunesie.diplomatie.belgium.be

tunisia.diplomatie.belgium.be

tunisie.diplomatie.belgium.be

turkey.diplomatie.belgium.be

turkije.diplomatie.belgium.be

turquie.diplomatie.belgium.be

uganda.diplomatie.belgium.be

ukraine.diplomatie.belgium.be

unitedarabemirates.diplomatie.belgium.be

unitedkingdom.diplomatie.belgium.be

unitednationsgeneva.diplomatie.belgium.be

unitedstates.diplomatie.belgium.be

vaticaanstad.diplomatie.belgium.be

vaticancity.diplomatie.belgium.be

venezuela.diplomatie.belgium.be