Autoriteit Persoonsgegevens: gebruik sslv2 kan in strijd zijn met de wet | latest technology news tips tricks
De Autoriteit Persoonsgegevens waarschuwt dat er ‘verscherpte aandacht’ is voor organisaties die nog steeds sslv2 ondersteunen en daarmee kwetsbaar zijn voor de onlangs ontdekte Drown-aanval. Bijna twintig procent van de websites van Nederlandse gemeentes voldoet niet aan deze eis.
autoriteit persoonsgegevensDe Nederlandse privacywaakhond legt uit dat organisaties in bepaalde gevallen in strijd met de Wbp handelen, als zij sslv2 ondersteunen. Volgens deze wet hebben organisaties die persoonsgegevens verwerken namelijk een verplichting om deze te beveiligen. Beveiligingsonderzoekers maakten begin deze week bekend dat ondersteuning van sslv2 ervoor kan zorgen dat beveiligde tls-verbindingen ontsleuteld kunnen worden. Op die manier zou het voor aan aanvaller die gebruik maakt van deze Drown-aanval ook mogelijk zijn om persoonsgegevens te onderscheppen.
De toezichthouder wijst erop dat het NCSC richtlijnen heeft opgesteld voor veilig gebruik van tls en adviseert om een update van OpenSSL uit te voeren, omdat ook bleek dat bepaalde kwetsbaarheden in deze software het uitvoeren van een Drown-aanval eenvoudiger maken. De Autoriteit Persoonsgegevens voegt daaraan toe dat de eisen voor de bescherming van persoonsgegevens af hangen van de gevoeligheid van persoonsgegevens.
Uit een onderzoek, dat RTL Nieuws onder de websites van 175 Nederlandse gemeentes heeft verricht, blijkt dat haast twintig procent van deze sites niet aan de eis van de Autoriteit Persoonsgegevens voldoet. Zij maken nog steeds gebruik van ondersteuning voor sslv2. Dat is problematisch, omdat bij zaken die burgers online via deze sites kunnen regelen vaak persoonsgegevens verstuurd worden. Daarnaast zouden er zestien websites helemaal geen gebruik maken van een beveiligde verbinding. Het is niet duidelijk of de Autoriteit Persoonsgegevens maatregelen gaat nemen naar aanleiding van deze bevindingen.