Lotus Notes waarschuwt gebruikers

Door onze redacteur JOCHEN VAN BARSCHOT
LAS VEGAS, 2 AUG. Lotus heeft gebruikers van het compu terprogramma Lotus Notes gewaarschuwd voor de gevolgen van de gaten die het Nederlandse computerbeveiligingsbedrijf Trust Factory in de software heeft ontdekt.

Het merendeel van de problemen is door de systeembeheerders van Lotus Notes systemen zelf op te lossen, aldus Lotus in een gisteren uitgegeven verklaring.

Trust Factory demonstreerde afgelopen weekend op Defcon, een internationale conferentie van computerkrakers (hackers) in Las Vegas, een inbraak in een Lotus Notes systeem. Daarop vroeg de Amerikaanse inlichtingendienst CIA direct of Trust Factory wilde langskomen. Lotus Notes is de software die door de meeste banken, accountants en inlichtingendiensten wordt gebruikt om gevoelige informatie te bewaren. Het programma staat bekend om zijn veiligheid. Om in te breken in een Lotus Notes systeem maakte Trust Factory gebruik van zelf geschreven software, die volgens Lotus "zeer geavanceerd" is.

Zonder die software, die Trust Factory op Defcon heeft laten zien zonder de technische details vrij te geven, is inbreken onmogelijk, stelt Lotus, een volle dochter van automatiseerder IBM.

Volgens Lotus werkt de manier waarop Trust Factory inbreekt alleen bij gebruikers die Lotus Notes gekoppeld hebben aan internet.

"Dat zijn de meeste", weet Chris Goggans van het Amerikaanse computerbeveiligingsbedrijf Security Design International (SDI), die Trust Factory op Defcon bijstond bij haar presentatie. "Internettoegang is immers een van de functionaliteiten van Lotus."

Lotus stelt dat als bijvoorbeeld een koppeling is gemaakt tussen Lotus Notes en een internetbrowser als Internet Explorer, het programma "vatbaar is voor inbraken waar Internet Explorer op zichzelf ook vatbaar voor is".

Trust Factory maakt bijvoorbeeld gebruik van email om wachtwoorden en andere informatie die nodig is om een Lotus Notes systeem binnen te kunnen dringen van de PC van de gebruiker te stelen. Dat gebeurt door in een email een virus-achtig programma te stoppen, dat op de PC van degene die aangevallen wordt op zoek gaat naar de benodigde gegevens en die terugmailt aan de hacker.

Dat programma zit verstopt in een attachment, bijvoorbeeld een webpagina. Als de ontvanger de attachment opent, geeft Internet Explorer een waarschuwing dat sprake is van een onveilige verbinding. Lotus geeft gebruikers het advies zulke emails niet te openen. "Wie vaak gebruikt maakt van internet, krijgt de hele dag van zulke waarschuwingen, Internet Explorer geeft die voortdurend. Nagenoeg alle gebruikers klikken gewoon op 'ja' na de vraag: wilt u doorgaan?", aldus Goggans.

Lotus geeft tenslotte een serie technische tips aan systeembeheerders, waarmee inbreken moeilijker wordt. "Op dit moment heeft vrijwel niemand Lotus Notes op die manier geïnstalleerd", aldus Goggans.

Sommige aanwijzigingen gaan verder alleen op voor de nieuwste versie van Notes. "De meeste gebruikers hebben nog de voorlaatste versie."

Zie ook:

CIA in paniek door inbraak in Lotus Notes(01 augustus 2000)
Software van banken gekraakt (31 juli 2000)
'Spot the Fed' in Las Vegas (31 juli 2000)

( a d v e r t e n t i e s )