Erik van Straten<p>iPhone/iPad gebuikers: security-tip!</p><p>Sinds iOS en iPadOS versie 18.2 heeft Safari (de standaard webbrowser, het blauwe kompas) een instelling die het openen van websites veiliger maakt, vooral als u van publieke WiFi gebruik maakt (restaurant, trein, hotels etc).</p><p>Sla hieronder gerust alle tekst over die u niet interessant lijkt. Maar zet die instelling aan, voor uw eigen bestwil (en doe dat ook bij uw ouders)!</p><p>🔹 Laatste update iOS/iPadOS<br>Controleer sowieso regelmatig of uw iPhone of iPad de laatste update geïnstalleerd heeft: open "Instellingen" (het grijze tandwieltje), open "Algemeen" en vervolgens "Software update" (doe dat alleen als u een WiFi-internetverbinding heeft, anders kan het ten koste gaan van uw telefoonrekening).</p><p>De laatste versie op dit moment is 18.3.</p><p>🔹 Nieuwe Safari instelling<br>Na het updaten en opnieuw opstarten opent u in "Instellingen" onderaan "Apps". Zoek naar "Safari" en open dat.</p><p>Scroll het scherm naar boven totdat u het lichtgrijze kopje "PRIVACY EN BEVEILIGING" ziet.</p><p>Daaronder zou moeten staan: "Waarschuwing voor onveilige verbindingen" (standaard staat die instelling uit).</p><p>Als u dat AAN zet toont Safari u een *waarschuwing* als er (ook tijdelijk) gebruik gemaakt wordt van een verbinding met<br> http://<br>in plaats van met<br> https://</p><p>🔹 Toelichting<br>Bij http:// weet u, vooral op een minder vertrouwd netwerk (zoals WiFi in een vliegveld, zie <a href="https://www.bleepingcomputer.com/news/security/australian-charged-for-evil-twin-wifi-attack-on-plane/" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://www.</span><span class="ellipsis">bleepingcomputer.com/news/secu</span><span class="invisible">rity/australian-charged-for-evil-twin-wifi-attack-on-plane/</span></a>), niet zeker of Safari echt een verbinding heeft met de server waarvan u de website-naam in de adresbalk van Safari ziet.</p><p>(Techneuten zeggen "domeinnaam" i.p.v. "website-naam").</p><p>Sterker, u kunt http:// vergelijken met wegwijzers die door vandalen in een andere richting kunnen worden gedraaid, waardoor u (als u geen moderne navigatie gebruikt) de verkeerde kant op kunt worden gestuurd.</p><p>🔹 Risico: omleiding naar nepsite<br>Vergelijkbaar, bij http:// kan een aanvaller Safari, zonder dat u gewaarschuwd wordt, doorsturen naar een nepwebsite (die als twee druppels op de echte lijkt) - doch met een iets afwijkende (of totaal andere) website-naam. Als die nepwebsite https:// ondersteunt, merkt u *niet* dat Safari naar een andere website is gestuurd dan door u bedoeld. </p><p>🔹 Waarom https:// wél veilig is<br>Bij het gebruik van uitsluitend https:// is "omleiden" nagenoeg onmogelijk. Als genoemde Safari-instelling AAN staat, maakt het niets uit of u bijvoorbeeld google.com of <a href="http://google.com" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">google.com</span><span class="invisible"></span></a> intikt in de adresbalk: Safari: maakt daar dan automatisch https:// van vóórdat verbinding met de server wordt gemaakt.</p><p>🔸 Nadeel: thuisapparaten<br>Nadeel: sommige websites, vooral "smart" apparatuur in uw huis (waaronder de beheer-interface van uw modem, zoals de laatste van Ziggo) ondersteunt https:// vaak niet. Als u bijvoorbeeld http:⧸⧸192.168.178.1 moet openen, zal Safari u waarschuwen *voordat* de verbinding wordt gemaakt. Als u op "Ga verder" drukt, werkt alles als vanouds.</p><p>🔸 Nadeel: oude sites en "jumpsites"<br>Een ander voorbeeld zijn stompzinnige "jump sites" zoals <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a> (deze ondersteunt uitsluitend http:// en dat is, voor overheden, tegen de wet). Als het *goed* is stuurt bovenstaande link Safari door naar <a href="https://amsterdam.nl" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://</span><span class="">amsterdam.nl</span><span class="invisible"></span></a> (die link begint wel met https://).</p><p>Risico: als u, op een onvertrouwd netwerk, <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a> opent, loopt u het risico dat Safari naar een nepwebsite wordt doorgestuurd, met bijvoorbeeld de naam<br> gemeenteamsterdam·com<br>of<br> amsterdam·top<br>en u geen enkele foutmelding ziet (en de getoonde pagina als twee druppels op de echte kan lijken). Nb. in die laatste twee websitenamen heb ik de laatste punt vervangen door · (een hoge punt) om onbedoeld openen te voorkómen.</p><p>🚨 Let op: "Ga verder" = http:// 🚨<br>Als u genoemde instelling in Safari aanzet (wat ik 100% aanraad, dit zou m.i. een standaard-instelling moeten zijn in alle browsers), en u krijgt het waarschuwingsscherm te zien (zie het tweede plaatje): als u op "Ga verder" drukt, wordt meteen de onveilige http:// verbinding gemaakt (zonder verdere vragen). Let dan dubbel goed op de vervolgens in de adresbalk van Safari getoonde websitenaam!</p><p>🔹 Resetten<br>Als u een http:// verbinding heeft toegestaan (zoals met <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a>), onthoudt Safari dat een tijd (ik weet nog niet of dit tijdbegrensd is, waarschijnlijk wel). Als u Safari sluit, door de geopende app van het scherm te vegen, *lijkt* Safari alle toestemmingen te vergeten die u voor http:// verbindingen gegeven heeft.</p><p>Desnoods (dit raad ik af) kunt u Safari dwingen om onthouden toestemmingen te verwijderen door de gehele geschiedenis van Safari te wissen. Advies: vóór dat u dat doet, exporteer eerst alle website-data, want onthouden inloggegevens bent u ook kwijt als u de hele browsergeschiedenis wist. Met zo'n export kunt u terug naar de oude situatie door het export-bestand weer te importeren.</p><p>🔹 Over de plaatjes hieronder<br>Meer informatie ziet u door op "Alt" in het plaatje te drukken. Het linkerplaatje laat de nieuwe instelling voor Safari zien.<br>Voor het rechterplaatje heb ik <a href="http://http.badssl.com" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">http.badssl.com</span><span class="invisible"></span></a> gekozen. Dat heb ik gedaan omdat ik wat wisselende ervaringen had met <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a>.</p><p>(Voor techneuten: Safari onthoudt onder mij nog onbekende omstandigheden dat het om een jumpsite gaat. In een export van de browsergeschiedenis zag ik in "Geschiedenis.json", onder "<a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a>" o.a. een regel:<br>"destination.url" : "<a href="https://www.amsterdam.nl" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://www.</span><span class="">amsterdam.nl</span><span class="invisible"></span></a>" - als de browser dat benut wordt er geen http gebruikt).</p><p>🔹 Over <a href="http://http.badssl.com" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">http.badssl.com</span><span class="invisible"></span></a><br>De website <a href="https://badssl.com" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://</span><span class="">badssl.com</span><span class="invisible"></span></a> bevat allerlei pagina's en sub-website-namen om browsers te testen, en is -voor zover ik weet- betrouwbaar. Niet alles is up-to-date (bijv. het certificaat van <a href="https://extended-validation.badssl.com/" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://</span><span class="">extended-validation.badssl.com/</span><span class="invisible"></span></a> is verlopen).</p><p>🔹 Andere testsites<br>In plaats van te testen met <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">gemeente.amsterdam</span><span class="invisible"></span></a> kunt u ook testen met bijv. <a href="http://http.badssl.com" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://</span><span class="">http.badssl.com</span><span class="invisible"></span></a> en <a href="http://www.buitenhoftv.nl" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">http://www.</span><span class="">buitenhoftv.nl</span><span class="invisible"></span></a>.</p><p>M.b t. die laatste: als u 2x op more/meer drukt in <a href="https://youtube.com/watch?v=WalOiq0mrNw" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://</span><span class="">youtube.com/watch?v=WalOiq0mrNw</span><span class="invisible"></span></a> ziet u onder:<br>"Meer van Buitenhof: <br>» Vind"<br>een https:// link naar www.buitenhoftv.nl - maar u wordt belazerd (die jumpsite ondersteunt uitsluitend http). Precies daarom raad ik aan om deze Safari instelling aan te zetten. Ook sommige QR-codes bevatten http-links terwijl de site óók https ondersteunt.</p><p>Met enorme dank aan Thomas Bosboom ✅<br>(<span class="h-card" translate="no"><a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@<span>thomasbosboom</span></a></span>) die mij op deze instelling wees in <a href="https://infosec.exchange/@thomasbosboom/113945617133456130" rel="nofollow noopener noreferrer" translate="no" target="_blank"><span class="invisible">https://</span><span class="ellipsis">infosec.exchange/@thomasbosboo</span><span class="invisible">m/113945617133456130</span></a>!</p><p><a href="https://infosec.exchange/tags/iOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>iOS</span></a> <a href="https://infosec.exchange/tags/iPadOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>iPadOS</span></a> <a href="https://infosec.exchange/tags/Safari" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>Safari</span></a> <a href="https://infosec.exchange/tags/Beveiliging" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>Beveiliging</span></a> <a href="https://infosec.exchange/tags/iPhone" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>iPhone</span></a> <a href="https://infosec.exchange/tags/iPad" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>iPad</span></a> <a href="https://infosec.exchange/tags/httpVShttps" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>httpVShttps</span></a> <a href="https://infosec.exchange/tags/httpsVShttp" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>httpsVShttp</span></a> <a href="https://infosec.exchange/tags/WiFi" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>WiFi</span></a> <a href="https://infosec.exchange/tags/PubliekWifi" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>PubliekWifi</span></a> <a href="https://infosec.exchange/tags/EvilTwin" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>EvilTwin</span></a> <a href="https://infosec.exchange/tags/AitM" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>AitM</span></a> <a href="https://infosec.exchange/tags/MitM" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>MitM</span></a> <a href="https://infosec.exchange/tags/Netwerken" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>Netwerken</span></a> <a href="https://infosec.exchange/tags/OnbetrouwbaarNetwerk" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>OnbetrouwbaarNetwerk</span></a> <a href="https://infosec.exchange/tags/Phishing" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>Phishing</span></a> <a href="https://infosec.exchange/tags/Spoofing" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>Spoofing</span></a> <a href="https://infosec.exchange/tags/ValseWebsites" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>ValseWebsites</span></a> <a href="https://infosec.exchange/tags/NepWebsites" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#<span>NepWebsites</span></a></p>