Hacken voorkomen? 3 issues om op te letten

Vertrouwen is één van de belangrijkste voorwaarden om op internet aankopen te doen. De hacks van de afgelopen tijd hebben niet bijgedragen aan groei van dat vertrouwen. Wat zijn de grootste veiligheidsissues voor webwinkels? En wat kunt u doen om hacks te voorkomen?

Tekst: Mark Verduijn

Het nieuws stond de afgelopen maanden bol van hackersaanvallen*. Medio juli verscheen het bericht dat honderdduizenden webwinkels die gebruikmaakten van het open source platform osCommerce waren gehackt. In Hong Kong werd zelfs de beurshandel stilgelegd nadat hackers erin waren geslaagd een beurssite aan te vallen. Dichterbij huis ging de website van de Nederlandse Politiebond offline als gevolg van een beveiligingslek.

Het inmiddels failliete DigiNotar spande toch wel de kroon. De uitgever van SSL-certificaten verzweeg in eerste instantie de hack. Gevolg was dat de veiligheid van het versleutelde dataverkeer tussen bezoekers en websites als die van de Belastingdienst niet meer te garanderen was. DigiNotar-gate, zoals de affaire is gaan heten, heeft ervoor gezorgd dat de discussie over de betrouwbaarheid van SSL-certificaten is opgelaaid.

De vraag voor u als webwinkelier is wat u moet aanvangen met dit nieuws. Blijft u achter de incidenten aanlopen of is er een grotere lijn waaraan u zich kunt vasthouden? Het hacken van websites heeft meerdere verschijningsvormen. De hacks variëren van uitermate gecompliceerd tot - voor wie de weg weet - kinderlijk eenvoudig. De drie zaken waarop u moet letten om hacks te voorkomen:
____________________

1. Slechte code
De software voor een webwinkel is geschreven in boekenvol code. Deze code kan fouten of slordigheden bevatten. Dit betekent niet dat de webwinkel niet goed zou functioneren. Bezoekers en de beheerder van de webwinkel hoeven niets te merken van foute code. Fouten en slordigheden in het programmeerwerk geven onbevoegden wel de mogelijkheid om een webwinkel te hacken. Bij zo’n hack kunnen bijvoorbeeld klantgegevens worden verwijderd, veranderd en eventueel elders op internet worden gepubliceerd.

Een veelgebruikte hack die ontstaat als gevolg van slechte code is een SQL-injectie. SQL is een taal die applicaties zoals webwinkelsoftware gebruiken om met databases te communiceren. Zo zijn er bijvoorbeeld commando’s, statements genoemd, om in een database te zoeken naar alle achternamen die beginnen met de letter V of naar alle bestellingen die vandaag zijn gedaan. Slechte code kan tot gevolg hebben dat onbevoegden met behulp van SQL-statements toegang krijgen tot de database.

Plug-ins en risico’s
Is de webwinkel gebouwd met een open source oplossing zoals Magento of osCommerce, dan is het zaak om de software up-to-date te houden. Speciale aandacht is nodig voor de talloze plug-ins, modules en templates die veelal gratis zijn te verkrijgen. De basis van de webwinkelsoftware is meestal geschreven, gecontroleerd en getest door een team van ervaren programmeurs. Daardoor is er minder kans op slechte code. Bij menig plug-in, module en template is dit anders. Soms zijn het eenlingen die een plug-in schrijven. Hoewel het goede programmeurs kunnen zijn, brengen vooral plug-ins extra veiligheidrisico’s met zich mee. Met designtemplates is het aan te raden om te controleren of ze update proof zijn. Bepaalde templates maken het onmogelijk om updates uit te voeren, met alle gevolgen van dien. Een ander issue met open source pakketten is dat ze door webontwikkelaars worden gebruikt als basis. Uitbreidingen of aanvullingen moeten ook in foutloze code zijn geschreven.

Up-to-date?
Naast open source zijn er verschillende partijen in de markt die webwinkelsoftware als een service aanbieden. De webwinkelier huurt tegen een bepaald bedrag het gebruik van de software. Hij heeft dan zelf geen invloed op het uitvoeren van updates. Om toch een vinger aan de pols te houden, kan de webwinkelier bij de leverancier vragen naar de status van de software. Bijvoorbeeld naar welke versie en updates van software er zijn uitgerold of naar het aantal mensen binnen het bedrijf die verantwoordelijk zijn voor security.

____________________

2. Slechte server
Veel webwinkeliers huren bij een webhostingbedrijf een server of serverruimte. In grote lijnen heeft de webwinkelier daarbij de keuze uit drie mogelijkheden. Menig kleine webwinkel maakt gebruik van zogeheten shared hosting. Dit betekent dat er op een server naast de eigen webwinkel meerdere websites staan van anderen. Shared hosting is te vergelijken met een bedrijfsverzamelgebouw. Daarbij geldt dat de veiligheid zo goed is als de zwakste schakel.

Valkuil
Naast shared hosting bieden hostingproviders ook virtual servers en dedicated servers aan. Een dedicated server betekent dat de klant een eigen fysieke server heeft. Een virtual server betekent dat de klant een fysieke server deelt met anderen, maar toch de server zelf kan inrichten met bijvoorbeeld een eigen besturingssysteem en webserversoftware. Valkuil bij dedicated en virtual servers is het beheer. Veel webwinkeliers weten niet wie verantwoordelijk is voor het onderhoud en wat het onderhoud precies inhoudt.

Risico’s
Een slecht ingerichte server kan desastreuze gevolgen hebben. Een veelvoorkomend ‘lek’ waarvan hackers gebruikmaken zijn onbeveiligde directories. Een directory op een webserver is te vergelijken met een map op een computer. Kwetsbaar is bijvoorbeeld de directory waar de bestanden staan die bezoekers hebben geüpload. Als deze directory niet goed is afgeschermd, dan kunnen onbevoegden toegang krijgen tot deze gegevens. Het voortijdig uitlekken van de Miljoenennota dit jaar is veroorzaakt door zo’n slecht beveiligde directory. Een ander potentieel risico is een niet afgeschermde beheerdersdirectory welke toegang geeft tot de loginpagina van de sitebeheerder. In combinatie met de wetenschap dat sitebeheerders nogal eens verzuimen de standaard gebruikersnaam en het wachtwoord te wijzigen, is het voor hackers kinderspel het beheer over te nemen.

____________________

3. Schade door derden
Webwinkeliers kunnen ook slachtoffer worden van aanvallen die niet direct op de webwinkel zelf zijn gericht. In zo’n geval spreek je van schade door derden, oftewel collateral damage. Een bekend voorbeeld van collateral damage is de recente hack van de SSL-certificaten van DigiNotar. Hierdoor was de betrouwbaarheid van een beveiligde verbinding niet meer gegarandeerd.

De buurman
Naast SSL-certificaten zijn er nog vele diensten of activiteiten van derden die een risico kunnen betekenen. Zoals websites van anderen in het geval van shared hosting. Als de website van de virtuele ‘buurman’ slecht is beveiligd, dan kan dat gevolgen hebben voor de veiligheid van de eigen webwinkel. In het ergste geval kan een website van de buurman ervoor zorgen dat de eigen webwinkel offline gaat. Een ander probleem zou zich kunnen voordoen als de buurman bekend staat als spammer en de e-mailservers van de provider op een zwarte lijst terecht komen. Het is dus niet vreemd om bij de hostingprovider te informeren wie de ‘buren’ zijn.

Ook de hostingpartij zelf kan slachtoffer worden van bijvoorbeeld een Distributed Denial of Service attack (DDoS aanval) met als gevolg dat websites niet meer bereikbaar zijn. Tegen deze en andere hacks biedt het dagelijks maken van backups geen soelaas. Naast allerlei veiligheidsmaatregelen doet een webwinkelier er goed aan niet op één paard te wedden. Het is beter om backups niet alleen bij de hostingprovider op te slaan, maar ook elders. En voor het geval de webwinkel offline gaat, is een mirror site gehost bij een andere provider een oplossing, zodat bezoekers niet tegen een gesloten virtuele deur aanlopen.
____________________

Dit artikel is ontstaan in samenwerking met Vincent Ossewaarde, mede-eigenaar van Fortytwo en specialist op het gebied van security.

Mark Verduijn publiceert in vakbladen over e-commerce en internetmarketing. Daarnaast is hij online conversie copywriter.

* Dit artikel verscheen eerder in Twinkle 9-2011. Het werd geschreven voor de lekken bij Cheaptickets.nl en daarna bij circa 150 andere leden van belangenvereniging Thuiswinkel.org.