Website van Staatsveiligheid was 24 uur onbeveiligd omdat cruciaal certificaat niet tijdig was vernieuwd
Van gisterenmiddag tot kort geleden was de website van de Belgische Staatsveiligheid "onveilig" voor bezoekers. Dat was het gevolg van een cruciaal beveiligingscertificaat dat niet werd vernieuwd. De website kon daardoor het doelwit worden van cyberaanvallen om gegevens van bezoekers te stelen.
De website van de Belgische Staatsveiligheid was sinds gisterenmiddag een tijdlang niet beveiligd voor haar bezoekers. Dat betekende dat bezoekers niet zeker konden zijn of ze daadwerkelijk de website van de Veiligheid van de Staat bezochten. Bovendien kon de website van Staatsveiligheid hierdoor ook makkelijker het doelwit worden van cyberaanvallen. Informatie die bezoekers op de website zouden intypen, zou in dat geval ook door cybercriminelen kunnen worden geraadpleegd.
Veiligheidscertificaat vervallen
Hoe kwam dat? De website van de Staatsveiligheid gebruikt HTTPS, dat is een beveiligingssysteem voor websites. Zo kunnen op de website gegevens veilig blijven, en kunnen derden jouw gegevens niet onderscheppen. Dergelijk systeem zorgt dus voor een beveiligde verbinding. Het garandeert tegelijk bezoekers dat ze de website kunnen vertrouwen.
De beveiliging hangt af van een digitaal certificaat dat de identiteit van de eigenaar van de website bewijst. Precies dat certificaat was sinds gisterenmiddag vervallen en niet langer actief. Dat zorgde voor de pijnlijke situatie dat alle internetbrowsers de website van de Belgische Staatsveiligheid als “onveilig” aanmerkten.
Wie de website van de Staatsveiligheid probeerde te bezoeken, kreeg een waarschuwing te zien. Internetbrowser Chrome toonde een melding dat de verbinding “niet privé” was. Tegelijk verscheen ook deze tekst: “Cybercriminelen proberen mogelijk je gegevens van www.vsse.be te stelen (bijvoorbeeld wachtwoorden, berichten of creditcardgegevens).” Chrome waarschuwde verder: “Deze server kan niet bewijzen dat dit www.vsse.be is. Het bijbehorende beveiligingscertificaat is in de afgelopen 24 uur verlopen.” Ook andere internetbrowsers gaven gelijkaardige waarschuwingen.
Het gebeurt wel vaker dat organisaties, inclusief overheidsorganisaties, vergeten om hun beveiligingssysteem te updaten. In het verleden overkwam het ook de websites van grote technologiebedrijven als LinkedIn en de site van de Britse conservatieve partij.
"Miscommunicatie bij kanselarij premier"
Een woordvoerder bij de Veiligheid van de Staat liet weten dat ze op de hoogte waren van het probleem. Aan de oorzaak lag een fout gelopen communicatie met de Kanselarij van de Eerste Minister. Die overheidsdienst is verantwoordelijk voor de website en ook bevoegd voor het hernieuwen van het vervallen certificaat. Bij raadpleging bleken de eigenschappen van het beveiligingscertificaat inderdaad "Chancellerie du Premier Ministre" te vermelden als "organiserende eenheid".
De kanselarij heeft nu beloofd het probleem zo snel mogelijk op te lossen en zal de website offline halen.
De Veiligheid van de Staat bezorgde deze ochtend deze reactie aan VRT NWS: "Sinds weken heeft de Veiligheid van de Staat (VSSE) herhaaldelijk gevraagd om de nodige actie te ondernemen voor de vernieuwing van het beveiligingscertificaat van de website. De ICT-dienst van de kanselarij maakt melding van een intern communicatieprobleem waardoor onze vraag niet tijdig behandeld kon worden. We zijn ons ten zeerste bewust van het potentiële veiligheidsprobleem. De kanselarij heeft nu beloofd het probleem zo snel mogelijk op te lossen en zal de website offline halen."
Kort nadien, na enkele telefoontjes van VRT NWS, werd het certificaat vernieuwd en was de verbinding opnieuw beveiligd.