Tag: Beveiliging

Wijziging geldigheidsduur SSL Certificaten

De levensduur (=geldigheid) van commerciële SSL certificaten is maximaal 2 jaar. Dit wordt gewijzigd; de duur wordt ingekort tot maximaal één jaar. De gratis ssl-certificaten van Let’s Encrypt, geldig voor een periode van 90 dagen, worden automatisch vernieuwd en niet gewijzigd.

De “commerciële” certificaten, dat zijn certificaten met een hogere dekking en veiligheidsgraad dan de gratis SSL’s van Let’s Encrypt, worden niet automatisch verlengd en ook handmatig door ons, of door cliënten zelf, geïnstalleerd. Van één van onze leveranciers kregen wij het volgende bericht over de SSL-certificaten:

Per 1 september 2020 wordt de levensduur van SSL-certificaten wereldwijd ingekort naar maximaal 398 dagen. U kunt vanaf deze datum enkel nog 1 jarige SSL-certificaten bestellen. [..] SSL-certificaat aanvragen tot 1 september 2020 kunnen nog voor 2 jaar worden uitgegeven.

Bestaande en vóór 1 september aangevraagde certificaten die een levensduur van 2 jaar hebben worden dus niet ingetrokken maar kunnen na verval niet weer voor een periode van twee jaar worden verlengd.

Wijzigingen GMail SMTP instellingen

nieuwsbrief emailGmail heeft wijzigingen doorgevoerd in haar systemen die op dit moment langzaamaan uitgerold worden. Dit heeft tot gevolg dat cliënten die gebruik maken van de Gmail suite gekoppeld aan onze servers foutmeldingen (kunnen) krijgen.

De oplossing hiervoor is:

  • afname SSL certificaat, inclusief SSL voor de mail. Daarna stelt u de SMTP in op poort 465 (SSL).
  • email via poort 25 verzenden (“onveilig”).
  • de Gmail SMTP gebruiken (aanbevolen).

Let wel: het probleem wordt dus niet door onze dienstverlening veroorzaakt, hier zijn geen wijzigingen in aangebracht.  Het gebruiken van de Gmail SMTP wordt aanbevolen omdat u dan zeker weet dat bij verdere wijzigingen van de kant van Google’s Gmail er niet wederom problemen ontstaan.

Zie ook, voor meer informatie, de onderstaande links.

https://support.google.com/a/thread/38752674?hl=en

https://gsuiteupdates.googleblog.com/2020/04/improve-email-security-in-gmail-with-TLS.html

https://kinsta.com/nl/kennisbank/gratis-smtp-server/

Ernstig WordPress beveilingslek contact-form-7-datepicker plugin.

wordpress logoDe plugin “contact-form-7-datepicker”, een toevoeging voor de populaire plugin ContactForm7, bevat een ernstig beveiliginslek. Met contact-form-7-datepicker is het mogelijk een datumveld-kiezer toe te voegen aan ContactForm7 formulieren.

De fout is dusdanig ernstig dat contact-form-7-datepicker inmiddels uit de WordPress bibliotheek is verwijderd.

Het betreft hier een XSS (Cross-site scrpting) probleem.

Het probleem wordt veroorzaakt doordat de invoer die de webapplicatie ontvangt (zoals cookie, url, request parameters) niet juist wordt verwerkt en hierdoor in de uitvoer terechtkomt naar de eindgebruiker. Via deze bug in de website kan er kwaadaardige code (JavaScript, VBScript, ActiveX, HTML, Flash etc.) geïnjecteerd worden. Hiermee kunnen onder meer sessiecookies worden bekeken, sessie van een gebruiker worden overgenomen, functionaliteit van een website worden verrijkt of onbedoelde acties voor een gebruiker worden uitgevoerd. (Wikipedia)

De makers van de plugin zijn niet van zins het probleem op te lossen(!) en dus blijft de kwetsbaarheid bestaan. Op dit moment is de plugin actief op ca. 100.000 websites. Ons zéér dringende advies is om, wanneer u de plugin gebruikt, deze per direct te verwijderen.

Geen zorgen over WordPress onderhoud, software en beveiligingsupdates of geen tijd om uw website up to date te houden? Maak gebruik van onze Managed WordPress oplossing. Kijk hier voor meer informatie.

Meer informatie/bron: Wordfence.

Update Wordfence in verband met kritische kwetsbaarheid in InfiniteWP

Beveiligingsplugin WordFence heeft een belangrijke update ontvangen. De update is beschikbaar voor alle gebruikers inclusief gebruikers van de gratis versie. Wij raden gebruikers van WordFence aan direct te updaten, zeker als uw webhostingbedrijf en/of webdesigner InfiniteWP (zie de plugins in uw WordPress dashboard) gebruikt.

InfiniteWP is een beheerpanel waarmee websites grotendeels geautomatiseerd kunnen worden onderhouden. Cliënten van InfiniteWP zijn door hen direct na ontdekking van de kritische kwetsbaarheid geïnformeerd, zo ook Brinkman.IT. Wij hebben op alle websites welke onder ons beheer zijn de plugin onmiddelijk van een update voorzien. Zojuist hebben we waar nodig ook Wordfence updates uitgevoerd.

Wanneer U zelf uw website onderhoud, controleer en update dan regelmatig de plugins en WordPress software op updates. Het niet updaten van uw website of er in geïnstalleerde plugins kan tot grote problemen leiden. U kunt uw website(s), wanneer bij ons gehost, eenvoudig updaten met behulp van Installatron (beschikbaar binnen uw DirectAdmin panel). U kunt het onderhoud, voor een kleine vergoeding, ook door ons laten uitvoeren via onze Managed WordPress service. Dit is óók mogelijk wanneer u géén gebruik maakt van onze hostingdiensten.

Meer informatie over de Wordfence update kunt u hier lezen.

Help! Mijn account is gehackt! Facebook en LinkedIN controleren.

Vijf tips en trucs voor Facebook MarketingIs je computer, telefoon, Facebook of LinkedIN account gehackt? Gluren anderen met je mee? Hoe kom je daar achter?

Regelmatig zie je het gebeuren: mensen hun Facebook of LinkedIN ‘doet gekke dingen’. Opeens krijg je bijvoorbeeld, met name via Facebook, allerlei rare chatberichten van een bekende of, erger nog: je eigen account stuurt via Messenger gekke dingen rond. Er verschijnen posts op je pagina waarvan je zeker weet dat jij dat niet gedaan hebt. Het is een overduidelijk signaal dat iemand anders de controle over je Facebook of LinkedIN heeft overgenomen. Grote paniek is vaak het gevolg.

Dit kan ook een indicatie zijn dat de controle over je computer of telefoon (gedeeltelijk) is overgenomen; mogelijk dat je browser bijvoorbeeld gekaapt is. Reden hiervoor is vaak dat men probeert gevoelige gegevens te achterhalen. Inloggegevens van websites bijvoorbeeld.

Niet alleen heel vervelend allemaal, het kan ook grote commerciële schade hebben. Recent was er nog een ‘hack’ met als gevolg dat een wereldberoemde fotograaf met honderdduizenden volgers op Facebook en Instagram niet meer bij zijn accounts kon omdat iemand zijn wachtwoord had achterhaald. Op zijn pagina verschenen opeens allemaal filmpjes en reclames voor een product uit Korea.. Het heeft enkele weken(!) geduurd voordat hij weer toegang had tot zijn accounts – mede doordat veel van zijn vaste volgers Facebook (ook eigenaar Instagram immers) onder druk gezet hebben de toegang te herstellen voor hem.

Voorkomen is dus uiteraard beter dan genezen. En gelukkig kan je zien, als dat zo is, of en wie er ‘rommelt’ met je Facebook of LinkedIN pagina’s. Misschien niet eens een hacker, maar nieuwsgierige collega’s en huisgenoten? Want ook dat kan… Zeker als je op de computer of tablet thuis aanmeldt, op je werkplek inlogt op de sociale media, een “leen-laptop” gebruikt, of een publieke computer gebruikt en vergeet af te melden.

Dit kan verstrekkende gevolgen hebben. Immers, iemand kan op dat moment onder jouw ‘digitale identiteit’ dingen gaan uitvoeren: je berichten aanpassen of verwijderen, je privé chats op messenger lezen of onder jouw identiteit met anderen chats voeren, je gegevens gebruiken om elders in te loggen (Facebook login!) en ga zo maar door. Het is niet denkbeeldig; ik heb het de laatste jaren meedere malen zien gebeuren bij mensen, met soms zelfs grote gevolgen voor vriendschappen en zelfs relaties.

INLOG GEGEVENS CONTROLEREN
Zowel Facebook als LinkedIN, en heel veel andere online services, bieden een mogelijkheid te controleren waar- en wanneer er op je account is ingelogd. Daarmee kun je zien of er ‘iets aan de hand’ is. En mocht dat zo zijn dan is er een oplossing geboden om hier meteen aktie op te ondernemen. Zowel Facebook als LinkedIN bieden een optie om alle aanmeldingen direct uit te loggen. Daarna je wachtwoord aanpassen uiteraard.

Gebeuren er daarna weer ‘rare dingen’ dan is er duidelijk iets aan de hand op je telefoon of computer. Gebruik een goede malware of anti-virus scanner om je apparaat te scannen/controleren. Gebruik geen obscure onbekende sotware, kies voor de bekende namen met een goede reputatie: Kaspersky, Symantec, of (bij Windows) de standaard Windows Defender. Kijk hier voor een overzicht. Kom je er niet uit? Ga naar een expert.

FACEBOOK EN LINKEDIN CONTROLEREN
Een eenvoudige controle is vaak voldoende om te zorgen dat je meer weet.

LinkedIN
– klik op je profielfoto rechtsboven (“Ik” staat er bij);
– klik “Instellingen en Privacy”
– klik op het tabblad [ACCOUNT] – scroll naar “Waar U bent aangemeld” en klik daar op.

U ziet vervolgens een scherm als onderstaand (link: https://www.linkedin.com/psettings/sessions):

U kunt hier alle aangemelde en actieve sessies zien. Vertrouwt u een aanmelding niet dan kunt u de IP-adressen controleren met bijvoorbeeld IP-Lookup (https://ip-lookup.net/) om te bekijken om wat voor inlog het gaat en uiteraard kunt u ook gewoon kiezen voor “Afmelden bij al deze sessies”.

Zijn er activiteiten die u niet vertrouwt? Verander uw wachtwoord en hou deze bovenstaande gegevens wat vaker in de gaten.

Facebook
– Klik op het driehoekje helemaal rechtsboven in de blauwe balk;
– klik op “Instellingen”
– klik op “Beveiliging en aanmelding
– onder “Waar je bent aangemeld” kun je de aanmeldingen zien.

Afmelden voor alle sessies? Klik op “Meer weergeven” en “afmelden voor alle sessies”. Facebook biedt daarnaast nog diverse extra beveiligingsopties zoals tweestapsverificatie en meldingen ontvangen bij aanmeldingen vanaf een onbekend apparaat (mijn persoonlijke favoriet want je bent direct gealarmeerd als er verdachte aanmeldingen zijn).

WACHTWOORD OP JE APPARAAT
Tot slot nog een een voor de hand liggende, maar helaas toch vaak verzuimde, tip: stel een wachtwoord in op je telefoon, laptop of computer. Dat kan al veel problemen voorkomen!

 

Verbeter de veiligheid van WordPress

Het aantal brute force aanvallen op WordPress websites neemt de laatste tijd weer toe. Ook op ons hostingplatform. Hackers proberen op die manier (door een geautomatiseerde aanvalsgolf op de inlog voor het WordPress dashboard) in te breken op je website.

Dit doen ze niet met een paar pogingen .. maar met honderden, zoniet duizenden, pogingen achter elkaar. Met als gevolg dat je website onbereikbaar kan worden (in het gunstigste geval) of, erger, dat men er in slaagt in te breken.

Er zijn héél veel veiligheidsmaatregelen die je kunt én moet nemen.

Bijvoorbeeld:
– limiteren inlogpogingen;
– géén standaard inlog naam en wachtwoord;
– moeilijk wachtwoord voor de database-verbinding;
– installatie van een goede veiligheidsplugin (Wordfence bijvoorbeeld).

CODE EDITOR
Eénmaal ingebroken is één van de dingen die ze vrijwel direct proberen: code aan je website toevoegen. In het Worpress dashboard is dat helaas vrij eenvoudig met de editor die ook toegang geeft tot de code van je programma en thema’s. Het is aan te raden dit uit te zetten bij een live website (want het is onwaarschijnlijk dat je dit nodig hebt en in die gevallen kun je het weer tijdelijk aan zetten). Dit kan heel eenvoudig.

Ga naar het bestand wp-config.php en voeg deze regel toe:

define( 'DISALLOW_FILE_EDIT', true );

voor de regel

/* That's all, stop editing! Happy blogging. */.

Daarmee wordt de toegang tot de code editor geblokkeerd.

Geen idee of je website wel veilig is en/of hoe dit te doen? Geen tijd? Neem even contact met ons op. Wij regelen het graag voor je.

Joomla websites beveiligingsupdates uitgevoerd

Vandaag hebben wij voor zo’n 150 Joomla websites een beveiligingsupdate uitgevoerd. De update zorgt er voor dat onbevoegden geen toegang meer krijgen tot de inlogpagina van beheerders.

Deze aanpassing was noodzakelijk wegens een grote brute force aanval op een groot aantal websites (klik hier voor meer informatie).

Aangezien deze beveiliging op basis van whitelisting (ip-adres) is kan het noodzakelijk zijn, wanneer U zelf of een webdesignbureau het onderhoud uitvoert, dat u een aanpassing moet maken in de .htaccess file in de administrator folder.

U dient dit bestand niet te verwijderen doch slechts aan te passen met extra ip-adressen. Voeg hiervoor een extra regel toe en sla het bestand daarna op.

Bij een aantal websites zagen wij dat de betreffende beveiliging uitgeschakeld was door het bestand te hernoemen. Dit kan en mag nooit de bedoeling zijn, hiermee schakelt U immers (goede) beveiliging uit met alle gevolgen van dien!

Wij willen onze cliënten er nadrukkelijk op wijzen dat deze update door ons is uitgevoerd ter bescherming van andere cliënten hun websites en onze eigen hardware. U bent zelf verantwoordelijk voor het correct functioneren én de beveiliging van uw website ténzij U met ons hiervoor een onderhoudscontract hebt afgesloten.

Alarmerend aantal hostingbedrijven gebruikt nog sterk verouderde en kwetsbare PHP-versies

Op welke PHP versie draait uw website? Waarschijnlijk weet U het niet. Maar het is van groot belang dit wel te weten en, eventueel, navraag te doen bij uw hostingbedrijf. Want: als voor het ‘draaien’ van uw website (sterk) verouderde en kwetsbare software wordt gebruikt, is daarmee ook uw eigen website kwetsbaar voor hackers en andere problemen.

Bron: WordPress.org

Uit de statistieken van WordPress, een software-systeem dat wereldwijd voor tientallen miljoenen websites wordt gebruikt -en daarom als zeer representatief kan worden gezien-, blijkt dat op dit moment nog ruim 77% van de WordPress websites gehost worden op websites met een PHP versie  die niet meer ondersteund worden (inclusief versie 7.0). Voor deze PHP-versies worden ook geen beveiligingsupdates meer uitgegeven.

Het is schokkend te zien dat er kennelijk dus massa’s hostingbedrijven en ‘self hosted’ (VPS) sites zijn die dergelijke verouderde PHP-versies nog steeds in gebruik hebben. Immers, denk alleen al eens aan de AVG-wetgeving en de gevolgen van een datalek? Uit de statistieken blijkt dat ca. 70% van de WordPress websites in elk geval wel courant zijn (versie 4.9+) maar dat ook legio zéér oude WordPress websites in gebruik zijn.

WELKE PHP-VERSIE?
BrinkhostDotCom (Brinkman.IT) heeft alle eigen servers voorzien van PHP 7.2. In een aantal gevallen kunnen cliënten nog kiezen voor een oudere ‘legacy’ versie, maar dat is voor eigen rekening en risico.

De nieuwe versies van WordPress, ClassicPress, Joomla en vele andere Content Management Systemen werken allemaal probleemloos op PHP 7.2. U kunt op ons hostingplatform in het DirectAdmin panel (via de Installatron-module) automatisch WordPress laten updaten en/of via onze managed WordPress zorgen dat uw WordPress website altijd up-to-date en probleemloos functioneert. Voorkom nare verrassingen!

 

Datalek van 772 miljoen email adressen en 22 miljoen unieke wachtwoorden

Via een ‘hackersforum’ is een bestand gedeeld met daarin 772 miljoen (772.904.991) email adressen en daarbij tevens 22 miljoen unieke wachtwoorden, zo meldt ondermeer Mashable via hun website.

Het 87 gigabyte grote bestand werd gehost en gedeeld via clouddienst “MEGA”, voorheen bekend als “Megaupload” van Kim Dotcom.  Mega

“emails and passwords were built up from numerous data breaches from allegedly thousands of sources, dating all the way back to 2008” – Mashable 

De collectie is dus niet altijd even accuraat, want opgebouwd uit veel oude bestanden. Maar, het feit dat er 22 miljoen unieke wachtwoorden zijn buitgemaakt geeft hackers de kans deze wachtwoorden in combinaties ‘af te testen’ met gebruikersnamen – uiteraard geautomatiseerd.

CONTROLEREN

U kunt controleren of uw email of wachtwoorden zijn buitgemaakt via de website “” van beveiliginsonderzoeker Troy Hunt. Die toegaf dat zelfs wachtwoorden van hem zelf waren buitgemaakt, alhoewel ze inmiddels verlopen waren.

Niet alleen controle op email is mogelijk, als u vaak hetzelfde wachtwoord gebruikt of ‘makkelijke wachtwoorden’ kunt u die hier testen: https://haveibeenpwned.com/Passwords

WACHTWOORD REGELMATIG VERANDEREN!

We hebben er al vaker op geattendeerd maar zorg er voor dat u regelmatig uw wachtwoord veranderd, nooit overal hetzelfde wachtwoord gebruikt en: gebruik een ‘wachtwoord manager’ zoals bijvoorbeeld KeyPass.

De vraag is namelijk, wanneer u zich niet aan deze spelregels houdt, niet óf maar wannéér uw accounts bij allerlei diensten worden “gekraakt”.

Gratis SSL Certificaat AVG geschikt

Twee miljoen websites, maar hoeveel zijn er veilig?

In Nederland zijn er meer dan twee miljoen websites. Er zijn daarnaast (juli 2018) 5,8 miljoen .NL-domeinen geregistreerd volgens de SIDN. Hoeveel van die websites zijn veilig, als in: voldoen aan de voorwaarden welke onder andere de Nederlandse overheid als richtlijn stelt?

Op www.internet.nl kunt u uw website testen.Internet.nl is een initiatief van de Nederlandse Internet Standards Platform.

WAT IS VEILIG?

Een website met een 100% score, zoals ook de onze, is echter niet per definitie veilig. Dat lijkt zo, maar er zijn nog zeker een aantal andere, zéér belangrijke, criteria die deze test niet kan meten.Een 100% score op deze test is dus in sommige gevallen regelrechte schijnzekerheid.

Bijvoorbeeld: is de software (CMS als WordPress of Joomla) wel up-to-date en veilig? Zijn de wachtwoorden wel goed ‘opgeborgen’, of gebruikt de beheerder standaard gebruikersnamen en wachtwoorden?

Natuurlijk zijn wij er trots op dat we in de “Hall of Fame” zijn opgenomen bij internet.nl omdat onze website op de door hen aangelegde criteria 100% scoort. En natuurlijk doen we er alles aan om een zo veilig mogelijke website te bieden.

TIENTALLEN MILJOENEN ONVEILIGE SITES

Er zijn tientallen miljoenen, zoniet véél meer, onveilige websites. Wereldwijd. Websites die je kunnen besmetten met malware. Of websites die je gegevens stelen. Of websites die zo slecht beveiligd zijn dat de hackers “in en uit lopen”. Maar op zijn minst voldoen ze niet eens aan de standaard eisen die je kunt stellen aan een website tegenwoordig: een SSL-verbinding, goede wachtwoordbeveiliging.

Bij internet.nl zijn op dit moment, van de twee miljoen Nederlandse website, zo’n 8.500 websites bekend die 100% scoorden. Een groot aantal sites is natuurlijk niet daar getest. Maar ook veel websites van (grote, bekende) ondernemingen en organisaties voldoen niet aan de eisen. Op dit moment zijn zo’n 140.000 websites getest. Met zo’n 8.500 websites die aan de eisen voldoen betekent dit dat slechts 6% de test haalt. Dit betekent dus automatisch dat 94% van de websites niet aan de standaard criteria voldoet. Bedenk daarbij dat de massa zijn of haar website niet eens test op internet.nl en U begrijpt wat het treurig stemmende eindresultaat is…

MAAK UW WEBSITE VEILIGER!

Wij kunnen het niet vaak genoeg benadrukken: maak uw website veilig(er). Google Chrome keurt websites zonder SSL verbinding inmiddels al af en markeert ze als “onveilig”. Voorkom dat uw bezoekers en cliënten geen vertrouwen in uw website hebben en neem de minimale beveiligingsmaatregelen. Een (gratis!) SSL certificaat is wel het minste wat U kunt doen. U kunt het certificaat hier bestellen (eenmalige installatiekosten € 15,– ex BTW). Voor meer informatie over de beveiliging die wij kunnen bieden, klik hier.