15 februari update CMT- en TRES-platform

15 februari update CMT- en TRES-platform

15 februari 2022 17.00 – 18.00 uur Update CMT- en TRES-platform

Dinsdag 15 februari worden tussen 17.00 en 18.00 uur de maandelijkse OS-updates op onze servers van het CMT (Centrale Module TTP) en het TRES-platform opgebracht. Hierdoor zullen CMT en TRES binnen genoemde tijdspanne kortstondig niet bereikbaar zijn.

De voorlopige planning m.b.t. de Linux/Windows updates voor 2022 is

  • 15 maart 2022
  • 19 april 2022
  • 17 mei 2022
  • 21 juni 2022
  • 19 juli 2022
  • 16 augustus 2022
  • 20 september 2022
  • 18 oktober 2022
  • 15 november 2022
  • 20 december 2022

Aan het begin van iedere maand wordt de definitieve datum bekend voor de betreffende maand en deze wordt dan op onze website gepubliceerd.

Apache Log4J kwetsbaarheid – geen impact op ZorgTTP dienstverlening

Apache Log4J kwetsbaarheid – geen impact op ZorgTTP dienstverlening

Wat is er aan de hand?

Het Nationaal Cyber Security Center (NCSC) heeft een zogenaamd HIGH/HIGH beveiligingsadvies uitgebracht naar aanleiding van een kwetsbaarheid in Apache Log4J. ZorgTTP heeft onmiddellijk maatregelen genomen en is sinds vrijdag 10 december beschermd tegen misbruik.

Welke acties heeft ZorgTTP ondernomen?

De volgende acties zijn, in lijn met het advies van het NCSC, sinds bekendmaking van de kwetsbaarheid uitgevoerd.

  1. Inventarisatie gebruik Log4J (10 december)
  2. Inventarisatie gebruik kwetsbare versie Log4J v2 (10 december)
  3. Instellen workaround door aanpassing Log4J v2 configuratie (10 december)
  4. Update CMT met Log4J 2.16.0 (16 december)
  5. Onderzoek naar de impact van kwetsbaarheid CVE-2021-45046 wijst uit dat er geen extra maatregelen nodig zijn.
  6. Onderzoek naar de impact van kwetsbaarheid CVE-2021-44832 wijst uit dat er geen extra maatregelen nodig zijn (29 december)

Uitkomst van de inventarisatie is dat:

  • Encryptiedienst TRES niet wordt geraakt door dit incident;
  • De Centrale Module TTP (CMT) van het ZorgTTP pseudonimisatieplatform gebruik maakt van Log4J v2.
  • De client voor verzenden en ontvangen van te pseudonimiseren gegevens maakt gebruik van Log4J v1.2.17, die niet kwetsbaar is voor CVE-2021-44228.

Waarom is de PVM niet kwetsbaar?

De PVM maakt gebruik van versie 1.2.17 van Log4J. De log4j configuratie waarmee ZorgTTP de PVM uitlevert maakt geen gebruik van de JMSAppender of SocketServer. Dat is dan ook de reden dat de kwetsbaarheden CVE-2019-17571 en CVE-2021-4104 geen risico vormen en nu de PVM evenmin kwetsbaar is voor CVE-2021-44228.

De PVM is een client

Omdat de PVM een client is en geen server is deze niet kwetsbaar voor massale uitbuiting door willekeurige en opportunistische aanvallers. Zoals te zien in het diagram voor succesvolle uitbuiting begint de aanval met een HTTP request vanuit de aanvaller aan de kwetsbare software.

Het is niet mogelijk voor een aanvaller de PVM op deze manier te benaderen. De software opereert niet als een server die wacht op binnenkomende verzoeken. De PVM is dus geen server maar een client, die alleen met ZorgTTP contact heeft door dat contact alleen tijdens gebruik zelf actief te leggen.

Waarom is de DRM niet kwetsbaar?

De DRM is net als de PVM geen server maar een client en om dezelfde reden niet kwetsbaar.

Vervolgacties

De volgende acties worden momenteel uitgevoerd

  • Update naar een niet-kwetsbare Log4J versie voor alle nieuw uit te geven software.
  • Inventarisatie van het gebruik van Log4j in andere, niet productie gerelateerde omgevingen.

Indien u vragen heeft naar aanleiding van bovenstaande dan staan wij u graag te woord. Neem contact met ons op via onze servicedesk.

Informatie Privacy- en Verzendmodule (PVM) Nivel Zorgregistraties

Informatie Privacy- en Verzendmodule (PVM) Nivel Zorgregistraties

Op 25 oktober is de PVM Nivel versie 5.0 op de downloads-pagina verschenen. U heeft deze versie van de PVM nodig om KNGF 9.0 bestanden aan te kunnen leveren. Als u voor een andere discipline aanlevert, hoeft u niet te updaten maar het kan wel: Als u update profiteert u ook van de oplossingen van gemelde problemen en kleine verbeteringen in de meest recente software.

De nieuwe PVM Nivel 5.0 is te downloaden via https://www.zorgttp.nl/Downloads/#NivelZorgregistraties.

Changes ten opzichte van de voorgaande release

  • Systeemvereiste: gebruik ten minste Java versie 11 (wordt bij installatie automatisch voor u geregeld, indien nodig);
  • Ondersteunt KNGF 9.0;
  • Aanmaken van certificaten verbeterd;
  • Probleem opgelost: waarschuwing in de GUI als uw certificaat (bijna) verloopt;
  • Probleem opgelost: activatiecode kan maar één keer worden gebruikt en de software voorkomt dubbel gebruik.
ZorgTTP vervangt huidige TLS certificaten

ZorgTTP vervangt huidige TLS certificaten

Op 1 november 2021 gaat ZorgTTP de huidige TLS-certificaten van www.zorgttp.nl en secure.zorgttp.nl vervangen. Het huidige certificaat van leverancier DigiCert wordt vervangen door een certificaat van leverancier Let’s Encrypt. Let’s Encrypt is een veelgebruikte certificaat-leverancier en biedt als voordeel dat het certificaat automatisch verlengd kan worden. Dit gebeurt in lijn met de actuele richtlijnen voor korte looptijden van certificaten zelfs elke drie maanden.
In de Privacy en Verzend Module (PVM) wordt bij het aanleveren van informatie gecontroleerd of er een valide TLS-certificaat wordt gebruikt.  De PVM maakt hiervoor gebruik van OCSP, meer informatie over OCSP vindt u bij de veelgestelde vragen op onze website.
De OCSP-controle voor het Let’s Encrypt certificaat vindt plaats op http://r3.o.lencr.org/.

Voor het veilig aanleveren van gegevens is de OCSP-controle noodzakelijk. Als de controle niet kan worden uitgevoerd, kunt u geen gegevens aanleveren. Mocht u in uw organisatie gebruik maken van firewall restricties dan zal gebruik van de genoemde url toegelaten moeten worden.

ZorgTTP volledig over op Trust Anchor CA G2 van Quovadis

ZorgTTP volledig over op Trust Anchor CA G2 van Quovadis

Vrijdag 22 januari 2021 is de intrekking Quovadis Europe Advanced CA G1 afgerond met de vernietiging van het sleutelmateriaal onder toezicht van een auditor. Op deze wijze is gehoorgegeven aan de oproep van CA/B de technische onvolkomenheid in dit certificaat uit de wereld te helpen. Een grote operatie voor Quovadis zoals zij eerder aankondigden met grote gevolgen voor de gebruikers en opdrachtgevers van ZorgTTP, zie het nieuwsbericht uit september 2020.

De publieke sleutelcertificaten die worden gebruikt in de ZorgTTP pseudonimisatie zijn inmiddels allemaal vervangen door exemplaren ondertekend door de Quovadis Trust Anchor CA G2. De operatie startte meteen in september 2020 met de release van PVM DIS 8.1, heeft geleid tot de OTIS service in CMT en eindigde in januari met de laatste PVM update-releases.

We moeten iedereen erkentelijk zijn voor de moeite die er gestoken is om deze overgang te realiseren. De ZorgTTP opdrachtgevers voor het verzorgen van de communicatie en mobilisatie van hun deelnemers. De softwareleveranciers in de zorg die de PVM updates op zeer korte termijn hebben weten te installeren en met name de talloze gebruikers die ondanks alles hun PVM of certificaat hebben bijgewerkt. Hartelijk dank voor de medewerking!

Heeft u op dit moment toch nog problemen met aanleveren? Ga dan alstublieft na:

  • Of u de meest recente versie van de PVM gebruikt. De PVM geeft bij het opstarten en in het kwaliteitsverslag aan dat er een update beschikbaar is.
  • Of de certificaten van de Quovadis Trust Anchor CA G2 zijn
  • Of u wellicht een afzendercertificaat in gebruik heeft van de ingetrokken CA. We kunnen deze snel en kosteloos vervangen door een exemplaar getekend door Quovadis Trust Anchor CA G2
Informatie Privacy- en Verzendmodule (PVM) voor DIS

Informatie Privacy- en Verzendmodule (PVM) voor DIS

Op 6 december 2021 is een nieuwe versie van de Privacy- en Verzendmodule (PVM) beschikbaar gekomen voor het DBC Informatiesysteem (DIS) van de Nederlandse Zorgautoriteit, te weten de PVM 8.1.1 voor Windows, Mac en Linux.

Als zorgaanbieder of softwareleverancier kunt u gebruik maken van de nieuwe software voor de gegevensaanlevering aan DIS. De nieuwe software kunt u downloaden met uw DIS-account via het DISportal.

Heeft u vragen? Bekijk dan de veelgestelde vragen van de Nederlandse Zorgautoriteit of neem contact met hen op per e-mail via info@nza.nl of via WhatsApp op 088-770 8 770 (maandag t/m vrijdag tussen 9:00 en 17:00 uur).