authenticatie

Transcriptie

1 authenticatie ING Domestic Bank Nederland & XS4ALL Marc Cramer - ING Domestic Bank Nederland Bill Middelbosch - ING Domestic Bank Nederland Jan Pieter Cornet XS4ALL 1

2 De aanleiding 2

3 De aanleiding Phishing Activity Trends Reports 3

4 Doelstellingen voor ING Domestic Bank Nederland Behoud van als vertrouwd service en sales kanaal Klanten zo veel mogelijk helpen door waar mogelijk valse s te blokkeren en de zichtbaarheid en deliverability van legitieme s te vergroten. Invulling geven aan de zorgplicht Accurate klant educatie en pro-actief waarschuwen voor valse s. Een voortrekkende rol innemen door nieuwe mogelijkheden actief te adopteren en te ondersteunen. Voorkomen van directe en indirecte schade en operationele kosten Voorkomen van directe schade bij de ING klant / ING en het voorkomen van indirecte schade aan het ING merk. Opzetten van een anti phishing aanpak Het opzetten en borgen van een integrale aanpak, ondersteund door (realtime) inzicht in het probleem van valse s. 4

5 DMARC - Proof of Concept DMARC Proof-Of-Concept persbericht: Het aantal valse s dat misbruik maakt van het domein ING.nl is gedaald met 71% De ING heeft het initiatief genomen tot een interbancaire samenwerking om adoptie van deze standaarden te promoten 5

6 Aanpak - ING Domestic Bank Nederland Aanpak gericht op vier aandachtsgebieden binnen de Lifecycle van een valse s. 1 Het versturen van valse 2 s waar mogelijk frustreren Blokkeren van valse s door de providers Safe zone Danger zone Enkele uren Seconden Binnen 18 uur Evaluatie Creëren Phishing Site (copy MING) Verzenden van de valse s Provider ontvangt valse s Klant ontvangt valse s Klant acteert op valse Klant lijdt schade Beïnvloeden van de ING klant om het succes van phishing aanvallen te minimaliseren 3 Actieve monitoring om effectief te reageren op 4 en te leren van succesvolle aanvallen Doel om aanvallen van valse s vroegtijdig te onderkennen, te monitoren en op verschillende manieren en momenten te frustreren. 6

7 authenticatie voor ING Domestic Bank Nederland No Silver Bullet Een maatregel tegen spoofing en.. een handvat voor verdergaande visualisatie en deliverability van echte ING s nieuwe mogelijkheden voor accurate klant educatie een bron van informatie over het gebruik en misbruik van het ING.nl domein Geen technische handeling maar een keuze om het digitale merk van ING te beschermen Gekozen voor open standaarden; Volwassen markt standaarden sinds de introductie van DMARC in januari 2012 Geen leverancier specifieke software Geen vertrouwde derde partij 7

8 Open standaarden SPF, DKIM & DMARC authenticatie volwassen sinds de introductie van de DMARC standaard in januari 2012 Duidelijke keuze vanuit het ecosysteem voor de authenticatie standaarden SPF en DKIM 8

9 authenticatie; Samenwerkende standaarden DMARC Betrouwbaar gebruikt het beste van SPF en DKIM Zichtbaarheid rapportages over valse en legitieme s Controleerbaar verzender geeft aan hoe om te gaan met niet-geverifieerde s SPF Verifieert route van Vertrouwde verzendende servers in DNS Eenvoudig in te zetten DKIM Verifieert inhoud van Public keys in DNS Gebruikt hashing en encryptie technieken 9

10 DMARC; Hoe werkt het? Zonder DMARC Met DMARC filtering 1. DMARC reporting 2. DMARC Reject (policy enforcement) 10

11 DMARC adoptie bij XS4ALL (1) Kennis van DMARC initiatief vanaf oktober 2011 Contact met ING en besluit om DMARC te adopteren in Q Vragen en klachten over phishing komen vaak voor bij de helpdesk Eerste DMARC implementatie april 2012 Interne rapportages Volledige DMARC rapportage vanaf eind mei

12 DMARC adoptie bij XS4ALL (2) XS4ALL stuurt volledige DMARC rapportages naar alle verzenders die DMARC geadopteerd hebben Extra informatie voor ING - resultaat spamfilter Implementatie redelijk eenvoudig door eigen beheer mail infrastructuur 12

13 DMARC; Adoptie na1 jaar Adoptie bij verzenders Adoptie bij ontvangers 50% van de 20 grootste verzenders Wereldwijd is 60% van alle inboxen hebben DMARC geadopteerd beschermt door DMARC, wat gelijk staat 70% van de DMARC verzenders gebruiken aan billion inboxen een policy die de ontvangende ISP s vraagt De belangrijkste Mailbox providers (ISP s) actie te ondernemen tegen misbruik op basis hebben DMARC in 2012 geadopteerd van ongeautoriseerde s Google (at launch), Yahoo, AOL & Microsoft In November en December 2012 zijn 118 billion DMARC berichten met een reject verzonden naar ISP s die DMARC hebben geadopteerd Mail.ru (largest mailbox provider in Russia) NetEase (largets mailbox provider in China) Meer dan 325 million berichten zijn geblokkeerd op basis van DMARC in November en December

14 DMARC Het gemeenschappelijke belang Proof-of-Concept als startpunt voor de nationale DMARC adoptie 2012 Een succesvolle Proof-Of-Concept door XS4ALL en de ING Interbancaire samenwerking; ING, ABN AMRO en Rabobank Interbancair statement; Als grote verzenders zullen ING, ABN AMRO en Rabobank de DMARC standaard adopteren. De Nederlandse Mailbox providers (ISP s) wordt gevraagd dit ook te doen 2013? Adoptie door de Nederlandse overheid? Adoptie bij de Nederlandse Mailbox providers (ISP s)? 14

15 DMARC: Situatie in Nederland na 1 jaar Adoptie bij verzenders Adoptie bij ontvangers 144 unieke domeinen in.nl hebben DMARC DNS record XS4ALL nog steeds enige ISP in.nl (1 miljoen mailboxen, 10% van de markt) 3% van de ontvangen (niet spam) mails UPC, KPN; op de hoogte van techniek, gebruikt DMARC nog geen concrete plannen 0,5% van de mails gebruikt DMARC in Recente support in commerciële quarantine of reject mode software: sendmail, postfix & Cloudmark 15