Ransomware-schade beperken met encryptie door een TTP

apr 10, 2023 | Nieuws

Het datalek van marktonderzoeksbureau Blauw en softwareleverancier NEBU is momenteel volop in het nieuws. Persoonsgegevens van cliënten van onder andere NS, Ziggo en Vodafone zijn gestolen. In de berichten wordt gesuggereerd dat het lek het gevolg is van ransomware. Als dat het geval is dan zien wij mogelijkheden om de data beter te beschermen. Daarmee kunnen ook de gevolgen van zo’n aanval worden beperkt. Wij denken dat het toepassen van een gelaagd encryptiemodel een belangrijke veiligheidsklep had kunnen zijn. De namen, adressen, telefoonnummers en andere gegevens van vele Nederlanders blijven daarmee uit verkeerde handen.

Het is niet bekend op welke manier de criminelen toegang tot de gegevens bij de softwareleverancier hebben gekregen. Hier moet een aanname voor worden gedaan. Mogelijk is het op disk weggeschreven data, die criminelen hebben gedupliceerd en verzonden naar een server in eigen beheer. Na het versleutelen van de data is losgeld geëist voor de decryptiesleutel. Dit alles onder dreiging van het publiceren van de gestolen data. Dit is een draaiboek dat al vele malen eerder is gezien.

Een ransomware-aanval kan iedereen overkomen. Door drempels op te werpen en noodremmen in te bouwen worden de gevolgen zo veel mogelijk beperkt. Met toepassing van encryptie door een Trusted Third Party (TTP) had die gestolen data waardeloos en onschadelijk kunnen zijn. Hiermee was de data op disks niets meer geweest dan een brij van onleesbare codes. De namen, telefoonnummers en andere persoonlijke gegevens waren in dat geval versleuteld. De sleutels om die gegevens weer leesbaar te maken waren op zeer veilige afstand, buiten de softwareleverancier bewaard. Zo worden gestolen gegevens waardeloos en hun publicatie zonder consequenties.

TRES (Trusted Reversible Encryption Service) is een voorbeeld van zo’n encryptiedienst door een TTP. Het is toepasbaar voor bedrijven in het kader van hun marktonderzoek. In dat scenario versleutelen zij met TRES alle persoonsgegevens en stellen deze versleuteld beschikbaar aan de marktonderzoeker. De marktonderzoeker heeft de versleutelde gegevens opgeslagen bij de softwareleverancier. Alleen medewerkers van het marktonderzoeksbureau die met de persoonsgegevens moeten werken kunnen deze ontsleutelen. Bij de softwareleverancier is helemaal niemand die de persoonsgegevens kan ontsleutelen! De accountgegevens om toegang te krijgen tot ontsleuteling zijn niet op disk opgeslagen. Ze kunnen bij een ransomware-aanval dus ook niet in handen vallen van criminelen.

De veiligheidsmuren kunnen hoger worden opgetrokken door de versleuteling van gegevens nog doordachter toe te passen. Het ligt voor de hand om de versleuteling per bedrijf anders te organiseren. Op die wijze zijn de gegevens van klanten van het ene telefoniebedrijf niet toegankelijk voor de marketeers die voor het andere telefoniebedrijf aan de slag zijn. We kunnen hierin zelfs nog een slag dieper gaan. Bijvoorbeeld door de gegevens van de dalurenkaart-campagne anders te versleutelen dan die voor de spaarkaart-campagne van een openbaar vervoerder. Ook kan ontsleuteling van de gegevens worden geblokkeerd na het einde van een campagne.

Stel dat criminelen tijdens hun hack de accountgegevens van een medewerker ontfutselen. Dan zou de schade beperkt blijven tot de gegevens waar die medewerker over beschikt. En dan alleen voor de actieve campagnes. Kan diefstal niet worden voorkomen, maar is hij wel tijdig ontdekt, dan is er een noodrem. De sleutels in TRES worden onmiddellijk geblokkeerd en alle data blijft op slot.

De toepassing van encryptie bij een TTP maakt de veiligheidsmuren mogelijk in dataverwerkingen. De beheerder heeft geen toegang tot de brondata, maar dat heeft de persoon die de data gebruikt voor onderzoek wél. Het verlenen of intrekken van de toegang ligt bij de TTP en daarmee faciliteert zij functiescheiding. Daarnaast is er een technische scheiding tussen data van bedrijven en zelfs campagnes. Zo kan schade bij een eventuele volgende ransomware-aanval fors beperkt worden. Een TTP heeft in dit scenario de middelen om in te grijpen bij een aanval en de betrokken sleutels te blokkeren. De buit van aanvallers is daardoor onbruikbaar.

Wilt u meer weten over TRES of andere pseudonimisatietechnieken? Neem contact met ons op.