Vijf vragen over beveiligingslek Shellshock

Gevaarlijker dan Heartbleed. Met een half miljard kwetsbare computers. Het beveiligingslek Shellshock doet zijn naam eer aan. Maar wat betekent dit voor e-commerce?

Wat is het precies?
Het lek zit in een stukje software – Bash – dat al twintig jaar oud is. Met Bash geef je commando’s in het besturingssysteem Unix. Unix is het fundament voor Mac Os en Linux. Het lek leidt ertoe dat je computer kan worden gekaapt, data kan worden gestolen, websites kunnen worden geïnfecteerd met malware en netwerken kunnen worden afgesloten. Zie het filmpje voor technische details.

Hoe is het ontdekt?
Door een oplettende Franse beveiligingsexpert Stephane Chazalas. Het lek zit er al tientallen jaren, maar is vermoedelijk nooit eerder op het spoor gekomen.

Wat loopt precies gevaar?
Computers, routers, servers, WiFi-hotspots, printers, mobiele telefoons, modems en netwerkschijven, oftewel alles dat met geïnfecteerde systemen is verbonden. De internet der dingen loopt dus gevaar. Het kan ook gevolgen hebben voor e-commerce. Zo’n vijftig procent van de webservers draait Apache, die die hebben allemaal een versie van Bash. Elke versie van Bash tot en met 4,3 kan misbruikt worden. Het goede nieuws: Windows pc blijft dit keer buiten schot, tenzij je bepaalde tooltjes voor nerds hebt geïnstalleerd.

Wat wordt er concreet tegen ondernomen?
Linux heeft meteen reparaties verschaft. Apple heeft een reparatie uitgebracht die je handmatig moet installeren voor OS X Mavericks, OS X Mountain Lion en OS X Lion. Toch lopen Apple gebruikers geen gevaar, want er is een ingang nodig, een webserver of SSH server, en die heeft de gemiddelde Mac-gebruiker niet. Heel veel (grote) bedrijven hebben de afgelopen dagen hun systemen al onder handen genomen. Volgens computerwetenschapper David Wheeler is dit alles niet voldoende: hij adviseert een grondige aanpassing van Bash.

Wat moet ik nu doen?
Het meeste gevaar loop je als je zelf webservers onderhoudt of zelf verantwoordelijk bent voor het runnen van (netwerk-)servers op een andere locatie. Hostingpartijen hebben al actie ondernomen. Ze kunnen ook een Web application firewall security service (WAF) voor je website implementeren. Dat is een soort muur die hackers en bots op een afstand houden. Dit soort diensten (Cloudfare, Barracuda en Incapsula) is overigens heel goed betaalbaar en cloudgebaseerd. Je kunt je website ook testen, onder meer hier.