'E-mailbeveiliging op het Binnenhof is lek'

De e-mailbeveiliging op het Binnenhof is lek. Dat stelt de website Follow the Money (FTM) op basis van onderzoek. De journalisten van de site wisten uit naam van politici e-mails te sturen. Onder meer stuurden ze een mail uit naam van premier Mark Rutte, Halbe Zijlstra, Geert Wilders en Alexander Pechtold.

ANPMeer van deze auteur

Thijs DoorenboschMeer van deze auteur

brievenbus — © CC0 - Unsplash

CC0 - Unsplash

Voorzitter Khadija Arib van de Tweede Kamer laat weten deze situatie zeer serieus te nemen. "We nemen met spoed anti-spoofing-maatregelen om dergelijk misbruik te voorkomen. De maatregelen zullen de aankomende nacht waarschijnlijk worden genomen.''

Vanuit de Tweede Kamer wordt benadrukt dat het overigens geen 'hack' betreft, maar dat het gaat om zogeheten 'spoofing.' Dat is het verzenden van berichten via e-mail waarbij het e-mailadres van de afzender vervalst wordt.

FTM stelt dat het lek al minstens een jaar bekend is, binnen enkele minuten valt te dichten, maar dat dat nog altijd niet is gebeurd.

Zo stuurde FTM een mail uit naam van VVD'er Zijlstra, vanaf donderdag minister van Buitenlandse Zaken, naar CDA-fractieleider Sybrand Buma. "Zojuist Mark gesproken. Hij gaat toch in op het voorstel van Angela en naar Brussel. Als je hierover geen problemen maakt, krijgt CDA BuZa'', zo luidt de inhoud.

Spoofen is ouderwets

De mogelijkheid om mail te versturen uit naam van iemand anders (spoofen) bestaat al zo lang e-mail bestaat en is niet tegen te gaan. Het is de erfenis van de opzet van e-mail ruim 30 jaar geleden, toen het misbruik nog helemaal niet aan de orde was.

Het is echter wel mogelijk gespoofde e-mailadressen weg te filteren door met behulp van een DMARC-analyzer (Domain-based Message Authentication, Reporting and Conformance) het SPF (Sender Policy Framework)-record van de mail te controleren. Het SPF-record zorgt er voor dat een ontvangende mailserver kan controleren of de mailserver waar een e-mail vandaan komt, gerechtigd is dat e-mailadres te gebruiken. Wanneer dat niet het geval is gaat de mail automatisch naar de spambox van de ontvanger.

Daarnaast kan nog gebruik gemaakt worden van de DKIM-technologie (DomainKeys Identified Mail), een extra authenticatiemechanisme. DKIM voegt een handtekening (signature) toe aan de header van een e-mail waarin een hash is gemaakt van de headers en de body van de mail. De ontvangende mailserver kan een verzoek sturen aan de server van de verzender om de publieke sleutel toe te sturen. Daarmee kan de DKIM-handtekening ontsleuteld worden en blijkt of de mail daadwerkelijk afkomstig is van de verzendende mailserver en of de inhoud onderweg niet is aangepast.

Het is onduidelijk of en welk van de technieken De Tweede Kamer heeft geïmplementeerd. Wanneer de gespoofde mail aankomt bij de geadresseerden, betekent dat een slordigheid van de beheerafdeling, maar is er geen sprake van een hack n ook iet van een lek. Er is wel een onnodig beveiligingsrisico: gespoofde e-mail is voor kwaadwillenden een voor de hand liggend gereedschap om aan spearphishing te doen. E-mail afkomstig van een bekende wordt immers makkelijker geopend en de links en bijlagen er in vertrouwd. Daarmee neemt de kans dat de kwaadwillende succes heeft met het binnensmokkelen van malware zoals keyloggers, toe.