Deze blog gaat over data-encryptie van communicatie en hoe je encryptie kunt toepassen binnen Azure API Management.
Wat kunnen bedrijven leren van topcriminelen zoals Willem Holleeder en Ridouan Taghi? Hoe gaan zij om met communicatie binnen hun professionele criminele organisaties? Denk aan kritieke bedrijfsprocessen zoals cokesmokkel, het (laten) uitvoeren van liquidaties, geld witwassen, ondermijning enzovoort.
Ik heb vaak discussies over het beveiligen (data–encryptie) van de connectiviteit tussen een API en de backend. Vaak worden kosten en/of complexiteit als doorslaggevende factoren genoemd, wat een zeer onverstandige keuze is.
Waar zal deze blog je mee helpen?
- Bewustwording van de noodzaak van data–encryptie;
- Maatregelen die je kunt nemen binnen Azure API Management.
TIP: Beluister de podcast van het Parool. De podcast heeft me geïnspireerd en inzicht gegeven in de intrigerende wereld van criminelen.
De opmars van communicatie
Communicatie ontwikkelt zich razendsnel en wordt daardoor steeds belangrijker binnen elk bedrijf. Klanten en gebruikers stellen steeds hogere eisen aan communicatie. Dit heeft geleid tot een toename in de uitwisseling van persoonsgegevens en andere gevoelige informatie..
Als je bedenkt wat je allemaal vanaf je telefoon verstuurt, valt op dat veel van deze communicatie persoonsgegevens of details over geldtransacties bevat. In het verleden moest je naar de bank om geld over te maken, maar tegenwoordig verwacht iedereen dat je met één druk op de knop op je telefoon geld kunt overmaken.
Zelfs in de onderwereld groeit het belang van communicatie. Hoe gingen Willem Holleeder en Ridouan Taghi om met communicatie binnen hun eigen organisaties?
Ontdek de opwindende verschuiving van lokale naar wereldwijde communicatie!
Willem Holleeder
Wie kent Willem Holleeder niet? Deze nu 65-jarige veroordeelde crimineel is schuldig bevonden door de rechtbank voor het leiden van een criminele organisatie en betrokkenheid bij diverse liquidaties. Voor mij springen vooral de moorden op zijn zwager Cor van Hout en de onderwereldbankier Willem Endstra eruit als de bekendste liquidaties.
Het typeert ook de meedogenloosheid van Holleeder, die zonder aarzeling betrokken was bij de beruchte moorden op zijn zwager Cor van Hout en de onderwereldbankier Willem Endstra.
In de tijd van Holleeder waren zijn communicatielijnen nog redelijk beperkt tot zijn invloedssfeer in Nederland. Wanneer er zaken gedaan moesten worden, stapte Holleeder de straat op met zijn collega’s of nam hij plaats voor een kop koffie in een café.
Deze fysieke vorm van communicatie maakte het voor Openbaar Ministerie (OM) moeilijk om deze als bewijslast te onderscheppen. Zoals bekend hebben zijn zussen tastbaar bewijs geleverd door middel van geluidsopnames.
Ridouan Taghi
Iedereen kent deze man inmiddels wel maar wat maakt hem zo inspirerend voor mij?
Ridouan Taghi neemt nog steeds elke vorm van communicatie serieus, een les die bedrijven kunnen overnemen. Hij begrijpt als geen ander dat communicatie cruciaal is binnen zijn internationale organisatie en dat het steeds belangrijker wordt.
De twee belangrijkste aantijgingen van het OM aan het adres van Taghi betreffen bedrijfskritische processen:
- Logistieke processen voor wereldwijd coketransport.
- Plannen en laten uitvoeren van liquidaties.
Dit zijn processen waarbij communicatie over de hele wereld moet plaatsvinden. In tegenstelling tot Holleeder, die nog met fysieke ontmoetingen zijn bedrijfsprocessen kon leiden, moest Taghi juist gebruik maken van het openbare internet om leiding te geven over de hele wereld.
Hij moest ervoor zorgen dat alle data versleuteld werd om te voorkomen dat het OM en/of concurrenten de communicatie konden onderscheppen en lezen.
Versleutelen van alle communicatie (data encryptie)
In een tijd waarin communicatie steeds beter beveiligd moet worden blijkt encryptie een waardevolle oplossing te zijn. Wat kunnen bedrijven in de bovenwereld leren van topcriminelen zoals Taghi? Hoe slaagde hij erin om al zijn belangrijke communicatie en gevoelige data te beveiligen?
De naïeve bovenwereld
Laten we beginnen met een aantal observaties uit de praktijk in de ‘bovenwereld’ en de naïeve aanpak van bedrijven.
In de bovenwereld zien we een toenemende stroom van gevoelige data die over het internet wordt verstuurd. Dit terwijl bedrijven te maken hebben met beperkte budgetten voor beveiliging en vaak niet eens weten welke data er precies wordt verstuurd
We bevinden ons in een tijd van snel evoluerende communicatietechnologie en toenemende dreigingen! Bedrijven kunnen essentiële lessen trekken uit de beveiligingsmaatregelen toegepast door topcriminelen zoals Taghi.
Een goudmijn aan bewijs
Laten we eens kijken naar organisaties van topcriminelen, waar alle communicatie, zelfs privéberichten, werd versleuteld. Deze keuze bleek echter een cruciale ‘fout’, maar daarover later meer.
We gaan terug naar 2020/2021, toen het OM de goudmijn aan bewijslast publiekelijk bekend maakte. Het OM verkreeg inzicht in honderden miljoenen versleutelde berichten, beveiligd door data-encryptie, via het bedrijf SkyECC. Dit netwerk telde wereldwijd 70.000 gebruikers, voornamelijk leden van criminele organisaties..
Deze goudmijn leverde een overvloed aan informatie op, waarbij rechters het bewijs als legitiem bestempelden!
Een flinke investering
Een flinke investering in deze ‘goudmijn’ was een Pretty Good Privacy (PGP) telefoon, die ongeveer 800 euro kostte. Dit bleek echter een prijzige investering voor een telefoon die alleen berichten verstuurt. Bovendien moest er een abonnement worden afgesloten van 600 euro per drie maanden of 2.200 euro per jaar.
Vermenigvuldig deze kosten met het aantal leden van de Taghi-organisatie of met het totale klantenbestand van 70.000. Dit is een kostenpost die veel bedrijven niet de moeite waard vinden, met alle gevolgen van dien.
Wat was dan de cruciale fout?
Veel criminelen maakten een ernstige misstap – zelfs privéberichten werden verstuurd en versleuteld. Hierdoor kwam het OM in het bezit van informatie over privéberichten, waarmee ze de toestellen konden herleiden naar een specifieke persoon.
Denk aan berichten zoals:
- Gefeliciteerd met je verjaardag… Of gefeliciteerd met de geboorte van je zoon;
- Succes bij de fysio;
- Doe de groeten aan je vrouw (inclusief naam);
- Bedankt namens ons (ook weer een naam)…
Met behulp van deze snippers kon het OM een soort Facebook-achtig netwerk reconstrueren, waarin alle relaties zichtbaar werden. Hierdoor konden veel acties worden herleid naar de verdachten.
Wat kunnen bedrijven hiervan leren?
Bewustwording! Als bedrijf is het essentieel om te weten welk type gegevens je verstuurt.
Bevat het gevoelige informatie, zoals persoonsgegevens? Vermijd het onnodig versturen van grote hoeveelheden data, waardoor de schade nog groter kan worden als deze in verkeerde handen valt.
Bewustwording! Als bedrijf is het essentieel om te weten welk type gegevens je verstuurt. Bevat het gevoelige informatie, zoals persoonsgegevens? Vermijd het onnodig versturen van grote hoeveelheden data, waardoor de schade nog groter kan worden als deze in verkeerde handen valt.
Als blijkt dat je gevoelige informatie verstuurt, investeer dan in beveiligingsmaatregelen! Eenmaal gelekte gevoelige informatie kan geen enkele euro bijdragen aan het bevorderen van je imagoherstel.
Een ander belangrijk aspect van bewustwording: als je weet dat het geen gevoelige data betreft, hoef je ook niet veel geld te investeren in deze communicatiestroom
Versleutel API-communicatie in Azure API Management
Hopelijk besef je dat communicatie enorm belangrijk is en dat geldt ook voor je API, vooral voor bedrijfskritische berichten tussen je API en de API-backend. Deze communicatie mag niet in verkeerde handen vallen, dus neem maatregelen om deze goed te beveiligen.
Ik wil drie beveiligingsmaatregelen binnen Azure API Management benadrukken:
- Forceer HTTPS met behulp van een beleid (policy);
- Configureer je SSL/TLS-instellingen correct;
- Voeg certificaten toe voor extra beveiliging.
Azure API Management https policy
Verreweg mijn favoriete functie binnen Azure API Management is het gebruik van inbound-policy’s.
Hier is een voorbeeld van een inbound-policy waarmee we HTTPS afdwingen. We geven onze klant ook een duidelijke foutcode (403) en een begrijpelijke foutmelding terug.
Pas deze inbound-policy op al je API’s zoals beschreven in mijn blog over rate-limiting.
<policies>
<inbound>
<base />
<!-- Enforce HTTPS -->
<choose>
<when condition="@(context.Request.OriginalUrl.Scheme != "https")">
<return-response>
<set-status code="403" reason="HTTPS Required" />
<set-body>@{
return "HTTPS is required to access this API.";
}</set-body>
</return-response>
</when>
</choose>
</inbound>
<backend>
<base />
</backend>
<outbound>
<base />
</outbound>
<on-error>
<base />
</on-error>
</policies>Configureer SSL/TSL settings
Binnen de sectie “protocols + ciphers” onder “security” heb je controle over het gebruik van HTTPS. Zorg ervoor dat “HTTP/2” is uitgeschakeld, zodat al het verkeer tussen je klant en de API binnen Azure API Management versleuteld is.
Helaas wordt TLS1.3 (nog) niet ondersteund.
Indien mogelijk, selecteer alleen TLS 1.2 en vermijd verouderde encryptieprotocollen zoals TLS 1.0 en TLS 1.1! Hieronder vind je een voorbeeld van de juiste instellingen voor de encryptie van je API en de verbinding naar de backend van de API.
Maak gebruik van certificaten
Het gebruik van certificaten kan in combinatie met eigen domeinregistraties soms complex zijn. Hier volgt een stapsgewijze opsomming van de activiteiten:
- Vraag een geldig certificaat aan bij een Certificate Authority (CA) voor jouw bedrijfsspecifieke domeinnaam.
- Sla het certificaat op binnen de Key Vault in Azure waartoe je API Management-instance toegang heeft op basis van een “Managed Identity“.
- Importeer het certificaat binnen je Azure API Management-instance:
- Ga naar de Azure-portal en navigeer naar je API Management-instance.
- Onder “Settings”, selecteer “TLS/SSL settings“.
- Klik op “Add” om een certificaat toe te voegen.
- Geef het certificaat een naam en selecteer de optie voor Key Vault:
- Koppel het certificaat aan je domein:
- Onder “Custom domains“, selecteer je eigen domein.
- Binnen de “TLS/SSL settings” voor je eigen domein, selecteer het certificaat dat je eerder hebt aangemaakt.
Data-encryptie: de lessen van topcriminelen
Je hebt kunnen lezen dat vooral Ridouan Taghi heel bewust omging met de encryptie van al zijn communicatie. Zijn grootste fout was dat hij zich veilig waande.
Onthoud vier belangrijke lessen:
- Ga serieus om met je kritische bedrijfsdata en versleutel (encryptie) alle communicatie en data.
- Stel niet meer data ter beschikking dan nodig, zodat beveiligingslekken beperkt blijven tot minimale schade.
- Gebruik zoveel mogelijk de beveiligingsmaatregelen voor je API binnen Azure API Management.
- Heb nooit de illusie dat je data veilig is.
Ik kan het niet vaak genoeg zeggen: pas altijd meer dan één beveiligingsmaatregel toe. Als je denkt dat je data veilig is, loop je het grootste gevaar voor het lekken van gevoelige informatie.
