search| floort.net
Because I value my privacy, I respect yours. This website: Uses no cookies Uses no third party analytics Uses no first party analytics Doesn’t keep access logs This means that the usage of this website is never stored by any means that is controlled or accessible by me. If you do want me to know about your visit, please contact me by any way you find convenient.| Floort.net
About me| Floort.net
Op 22 januari heeft de Autoriteit Persoonsgegevens met de lancering van een nieuwe vacature-website een vertrouwde traditie van het crowdsourcen van compliance controles voortgezet. De nieuwe vacaturewebsite van de AP maakt namelijk gebruik van cookies van Google Analytics en Vimeo/Cloudflare. Ik heb direct dezelfde dag de FG gemaild met deze observatie. Vandaag heeft de AP het mogelijk gemaakt voor betrokkenen om een pagina op te zoeken op de website van de AP om te achterhalen wat er is geb...| Posts on Floort.net
Ik krijg af en toe vragen over het gebruik van Google Analytics. Mag dat wel (zonder toestemming) onder de AVG? De Autoriteit Persoonsgegevens heeft in het verleden een handleiding gepubliceerd. Deze handleiding is een paar keer bijgewerkt. Maar op een gegeven moment zijn alle handleidingen zonder uitleg van de website van de AP verdwenen. Ook het archief van de AP is onvolledig. De AP geeft ook tot nu toe ook geen uitleg waarom het archief onvolledig is. Omdat ik al meerdere maanden wacht op...| Posts on Floort.net
Supervisory authorities should view supply chains as an asset to use in their enforcement activities instead of an obstacle in their investigations. Let’s use two examples by the Dutch data protection authority (AP) as an example: Locatefamily.com and Clearview AI. Locatefamily.com On December 10 2020 the AP fined the website Locatefamily € 525.000,- for violations of the GDPR. Locatefamily.com did not end the violation and bluntly refused to provide information about the identity of the ...| Posts on Floort.net
Meer dan een jaar geleden heb ik een blogpost geschreven over twee bedrijven die veel gebruikt worden voor het monitoren van sociale media. Daarin heb ik beschreven dat het gebrek aan transparantie een probleem is. Ik wil meer schrijven over het monitoren van mensen op het internet, maar mede vanwege het gebrek aan transparantie heeft het zo lang geduurt om met een update te komen. Hieronder wil ik het hebben over OBI4wan (tegenwoordig Spotler Engage), de Belgische en Nederlandse Politie.| Posts on Floort.net
Deze blogpost is deel vier van een serie en de derde over specifieke issues met betrekking tot Hâck The Hague 2023 en dat geeft gelijk al een hint over het verloop van het CVD proces: langdurig en moeizaam. Dat is niet te wijten aan individuele medewerkers van de gemeente die ik heb gesproken. Zeker als ik ze buiten e-mail om spreek, zijn het stuk voor stuk vriendelijke mensen die dit goed willen oplossen. Maar zodra er iets moet worden afgestemd is dat bijna een garantie voor miscommunicati...| Posts on Floort.net
Nadat ik de websites van politieke partijen heb bekeken zijn nu ook de nieuwsbrieven van de partijen aan de beurt. Ik heb tracking pixels in de nieuwsbrieven van de volgende partijen aangetroffen: VVD D66 GROENLINKS / Partij van de Arbeid (PvdA) PVV (Partij voor de Vrijheid) SP (Socialistische Partij) Forum voor Democratie Partij voor de Dieren ChristenUnie Volt JA21 BBB Deze tracking pixels gaan niet altijd samen met cookies. Maar ook tracking pixels zonder cookies vallen onder wat (onterech...| Posts on Floort.net
Net als vorige Tweede Kamerverkiezingen houdt ik in de gaten of politieke partijen onrechtmatig mensen volgen op hun websites. De tijdlijn ziet er op hoofdlijnen als volgt uit: 23 oktober 2023Eerste reproduceerbare scan van de websites van de 26 partijen die meedoen.26 oktober 2023Ik vul het tipformulier van de AP in met een samenvatting van mijn bevindingen uit de eerste scan.1 november 2023De AP publiceert de waarschuwingsbrief aan politieke partijen. Deze brief is gedateerd 12 oktober 2023...| Posts on Floort.net
What happened? Stripchat is a website owned by Technius Ltd. in Cyprus that hosts a large amount of aduld webcam operators. The owner has been reprimanded by the Cyprus data protection authority for a breach of over 64 million user accounts and not informing them properly about the breach. I didn’t know the website before, but on Oktober 22 2019 I get an e-mail from the website that an account has been created on this website. These kinds of e-mails are relatively common for me so I don’t...| Posts on Floort.net
Op 31 juli heb ik bij de gemeente Den Haag een aantal issues gemeld. Het hele proces is nogal moeizaam verlopen. Elke keer als ik telefonisch of persoonlijk contact heb met medewerkers van de gemeente heb ik het gevoel dat we elkaar begrijpen, maar van de geschreven communicatie krijg ik het idee dat er gigantische miscommunicatie is of dat de gemeente terugkomt op toezeggingen. Pogingen om in te gaan op de uitnodiging om te overleggen over wat er fout gaat en hoe het beter kan worden door de...| Posts on Floort.net
Vandaag heeft Ron Roozendaal een blogpost geschreven over politieke partijen die onrechtmatig allerlei tracking cookies gebruiken op hun websites. En ik moet eerlijk bekennen dat ik er een beetje moe van wordt. Alleen al bij politieke partijen blijft de AP keer op keer op keer op keer bezig met zelfs een waarschuwingsbrief tot gevolg. Zelfs als hele concrete overtredingen worden aangereikt is handhaving door de AP niet zichtbaar aanwezig. En het speelt heus niet alleen bij politieke partijen,...| Posts on Floort.net
“Wij zullen jouw gegevens niet aan derden verstrekken zonder jouw voorafgaande toestemming, …” jokt de gemeente Den Haag in het privacybeleid van de 2023 editie van Hâck The Hague. Tijdens de 2021 editie van het evenement van de gemeente Den Haag heb ik een paar issues gemeld waarbij de (partner van de) gemeente juist wel zonder toestemming persoonsgegevens aan derden verstrekte en dat proces is behoorlijk slecht bevallen. Dit jaar wilde ik controleren of er geleerd is van de vorige me...| Posts on Floort.net
TLDR: It depends. People who discover bugs and security vulnerabilities and want to improve security by publishing about their findings generally have a substantial task managing competing interests in the process. Publishing your findings can help others learn from that single mistake by installing a known patch, learning what mistakes not to make when building systems, knowing what vendors to avoid or taking other measures. However publishing can also introduce risks by informing people how...| Posts on Floort.net
Op sociale media zijn allerlei mensen te vinden die uit frustratie, met kwaadaardgie bedoelingen, of anderszins allerlei misinformatie en haat verspreiden. Omdat dat behoorlijk ernstige vormen kan aannemen door zowel de ernst van indivuduele berichten als de soms constante stroom aan berichten kan de impact enorm zijn. Het is dan ook volkomen begrijpelijk dat mensen hier iets aan willen doen. Daarbij komt opvallend vaak de gedachte langs dat omdat mensen denken dat mensen anoniem zijn op soci...| Posts on Floort.net
A common theme when trying to report unlawful tracking on websites and apps is that it can be ambiguous whether CVD is meant for these kinds of issues. Is it really a security vulnerability or even a breach of security? My assumption is that generally security policies dictate that security measures are in place to protect against unauthorised and unlawful disclosures of personal data. If that’s the case, when I find unlawful disclosure of personal data I assume there has been a breach of s...| Posts on Floort.net
Op sociale media zijn er allerlei partijen die meelezen. Dat is precies waar het voor bedoeld is. Maar wie er meelezen is vaak niet zichtbaar en dat levert soms onzekerheid en discussie op. Zo volgt de NCTV volgens de NRC verschillende mensen op Twitter. Maar ook overheidsinstellingen die niet direct aan het werk van inlichtingendiensten en Politie raken lezen mee blijkt uit een rapportage van AG Connect en Trouw. Vanuit een AVG-perspectief is de maatschappelijke discussie erg ongemakkelijk. ...| Posts on Floort.net
While discussing Coordinated Vulnerability Disclosure I often experience that people strongly focus on coordinating the vulnerability information with organizations, while the disclosure part is often ignored or even actively discouraged. The last blog I wrote here was actually about a company that argued I had agreed to an enforceable non-disclosure agreement just by visiting their website and reporting a breach. Like my other CVD-related posts, this too is mainly focussed on lessons about t...| Posts on Floort.net
Op 27 september 2021 heeft de gemeente Den Haag samen met Cybersprint het evenement Hack the Hague georganiseerd. Hackers van over de hele wereld konden zich inschrijven en onder gecontroleerde omstandigheden de beveiliging van verschillende systemen testen zodat de gemeente en de leveranciers van de gemeente de beveiliging kunnen verbeteren. Dat zorgt voor goede PR voor de gemeente, lost de (meeste) gemelde beveiligingsproblemen op, laat de gemeente en de leveranciers oefenen met het snel op...| Posts on Floort.net
Recently I have investigated online tracking on the websites of Dutch Political Parties. Read more about that investigation here: DutchEnglish Included in that investigation is my request to remove the unlawfully collected personal data. Today I received a response stating that the platform is ‘unable to action a request without verifying the identity of the requester’. While that response is more than three months too late and doesn’t request any further identification, I will assist t...| Posts on Floort.net
Pieter Sabel van de Volkskrant heeft een kort artikel gepubliceert waarin ik uitleg hoe toestemming voor online tracking werkt.| Posts on Floort.net
Vincent Manancourt of Politico has published an article including my research into unlawful online tracking on the websites of Dutch political parties.| Posts on Floort.net
Voor de privacyjuristen heb ik een interessant besluit van Autoriteit Persoonsgegevens (Dutch DPA) over o.a. de interpretatie van het begrip persoonsgegeven en de noodzaak van PostNL om handtekeningen te vragen aan ontvangers van brieven en pakketten. Er zijn een hoop interessante standpunten van de AP uit het besluit op te maken, maar ik wil er twee uitlichten. Als een bezorger in het veld “handtekening voor ontvangst” de tekst “F Terra” schrijft is dat volgens de AP niet noodzakelij...| Posts on Floort.net
| Posts on Floort.net
Op de site van de Autoriteit persoonsgegevens is een techblog van mij gepubliceert. De blog is hier te lezen.| Posts on Floort.net
Vandaag heeft het Minister Opstelten (Veiligheid en Justitie) een leidraad gepubliceert over het verantwoord melden van beveiligingslekken. Na een periode van veel media-aandacht voor beveiligingslekken en arrestaties van hackers heerst er veel onzekerheid. Hackers durven niet meer bedrijven te helpen en bedrijven reageren vaak in paniek. Ik zou graag zien dat het onderlinge vertrouwen weer hersteld wordt. Het initiatief van Opstelten is een goede stap vooruit. Door als overheid aan te geven ...| Posts on Floort.net
Zoals verschenen op Alert Online. Het is 4 uur en het rapport waar je zo lang aan hebt zitten werken is bijna af. Je moet het alleen nog even langs je collega sturen zodat hij nog een laatste keer alles kan doorlezen om de laatste foutjes er uit te halen. Je maakt een nieuw mailtje aan, voegt het rapport als bijlage toe en klikt op verzenden. Tijd voor een kopje koffie.| Posts on Floort.net
Op maandag 29 oktober komt ICT~Office met het bericht dat telecomproviders in Nederland met een responsible disclosure beleid komen. Dat vind ik een erg goede ontwikkeling, maar dat is geen reden om niet kritisch te zijn. In deze blogpost vergelijk ik het responsible disclosure beleid van deze telecombedrijven en leg ik voor elk punt uit waarom dat belangrijk is. Deze pagina zal voorlopig regelmatig updates krijgen. Zowel inhoudelijk als voor het aanvullen van ontbrekende bedrijven. (Update: ...| Posts on Floort.net
Met enige regelmaat beland ik in een discussie waarin ik probeer uit te leggen dat er gevallen zijn waarin hacken wel illegaal is, maar niet meteen onethisch. Dat kunnen hele leuke filosofische discussies zijn, maar het kan heel verhelderend zijn om jezelf daadwerkelijk in zo’n dilemma te plaatsen. Dat is dus precies wat ik gedaan heb. Ik heb bewust de naam van de leverancier weggelaten. Op Twitter lees ik de tweets van @ntisec met veel plezier. Een van de zaken die af en toe langskomen zij...| Posts on Floort.net
Op 13 juni 2012 komt Webwereld met een bericht dat een hacker een bankgegevens van een miljoen klanten van de ING gestolen zou hebben. Dit blijkt een grote fout geweest te zijn van het ANP waar ik de oorzaak nog niet van weet. Dat is heel lullig voor de ING en de ING komt snel met een persbericht om dit recht te zetten. Toch denk ik dat de ING veel fout heeft gedaan.| Posts on Floort.net
Wie kent het nog: De “Drie keer kloppen”-campagne van Nederlandse Vereniging van Banken (NVB) om klanten bewust te maken van beveiliging bij internetbankieren? In tv-spotjes, websites en tijdschriften werden mensen bewust gemaakt van het feit dat ze zelf deels verantwoordelijk zijn voor de veiligheid van hun online bankverkeer. Daarbij werden drie punten gegeven die je als gebruiker moest controleren of ze wel kloppen. Als eerste moet je de beveiliging van je computer nalopen: heb je alle...| Posts on Floort.net
Here is another blog about Plimus. It seems like they don’t want to communicate or fix security issues instead they continue building new features. It’s a shame that a company that handles money as a primary business doesn’t have security as a top priority. This blogpost is about a feature that I have warned Plimus about, but haven’t been able to test because a Plimus employee actively refused to give me access to this feature, even after the engineer in charge for security asked me e...| Posts on Floort.net
It’s been a while since I have reported a few security bugs to Plimus. It took a few blogposts explaining the issues publicly before I got in contact with an engineer. I understand that making backwards incompatible changes to your customer facing API’s is not a trivial task, however the way Plimus handles these issues is just terrible. One engineer asks me for more feedback while in the same mail thread another Plimus employee demands proof I’m PCI certified and wants to know what appl...| Posts on Floort.net
Iedereen die een beetje handig is met computers en al wat jaartjes meeloopt op het internet kent ze wel: default wachtwoorden op routers. Als je op een netwerk zit en je met je webbrowser naar het IP-adres van de router surft (meestal http://192.168.1.1/ ) kom je op de beheerpagina van je router. Soms hoef je niet in te loggen; meestal volstaat een standaard login (username=admin password=admin). Dat is natuurlijk erg grappig; je kan ongevraagd met de instellingen rommelen van de mensen waar ...| Posts on Floort.net
Een tijdje geleden is mij de mobiele applicatie voor internetbankieren van de ING opgevallen. Door de combinatie van de gevoeligheid van mobiele platforms (In dit geval Android, maar het issue is niet Android specifiek.) en het ontbreken van TAN-codes als tweede factor voor de authenticatie zag ik een aanvalsvector waarvoor ik niet zag hoe daar tegen verdedigd zou worden. De lek zou ernstig zijn omdat er zonder je medeweten saldo van je rekening afgeschreven zou kunnen worden en dat op grote ...| Posts on Floort.net
Laptops are easy to lose or steal and you don’t want any potentially sensitive data to be stolen too. For that purpose many companies now require disk encryption. The OpenBSD softraid CRYPTO discipline has grown to be a mature piece of software and since I was long due for a fresh OpenBSD installation anyway I decided to give it a try. Let’s start with the goals: No user files should be recoverable when the laptop gets lost or stolen without knowledge of my passphrase. The boot and upgrad...| Posts on Floort.net
Veiligheid in de digitale wereld krijgt de laatste tijd veel aandacht. Door het hacken van Diginotar zijn mensenlevens in gevaar gekomen en vanaf dat moment lijken veel mensen zich te beseffen dat de veiligheid van onze digitale infrastructuur toch eigenlijk best wel belangrijk is. Om het punt duidelijk te maken dat veiligheidslekken eerder regel dan uitzondering zijn is Brenno de Winter met Lektober gekomen: elke dag van de maand oktober publiceerde hij een lek in een website van een bedrijf...| Posts on Floort.net
Zoals uit eerdere blogposts al is gebleken ben ik de laatste tijd wel eens bezig met T-Mobile en privacy. In mijn laatste blogpost heb ik geschreven dat ik bij T-Mobile op het hoofdkantoor langs ben geweest om te praten over de beveiliging van de webcare helpdesk. Wat ik niet heb geschreven is dat ik daar ook wat anders besproken heb. Ik ben al een lange tijd actief bij Bits of Freedom en bij BoF heb ik meegewerkt aan de Privacy Inzage Machine. PIM is een hulpmiddel die inzichtelijk moet make...| Posts on Floort.net
Veel bedrijven hebben tegenwoordig grote databases met gegevens over mensen. Soms gaat er wel eens iets fout en dan liggen de gegevens van een heleboel mensen op straat. Ik wil dat zodra gegevens lekken dat het bedrijf (of overheid!) verplicht is zonder onnodige vertraging alle betrokkenen in te lichten over de lek. Ik zal proberen een aantal redenen te geven waarom deze meldplicht nodig is. Schadebeperking Bij een datalek zijn vaak veel mensen een slachtoffer. Afhankelijk van wat er gelekt i...| Posts on Floort.net
Gisteren heb ik een heel goed gesprek gehad bij T-Mobile in Den Haag. Ik werd vriendelijk ontvangen door Ruud Huigsloot (Manager E-Services&Webcare Internet & New Media), iemand van pr en de juriste die o.a. verantwoordelijk is voor de privacybescherming van klanten. Het gesprek was informeel, ik vond het zelfs gezellig, maar wel inhoudelijk. Na een korte voorstelronde heb ik kort herhaald wat er gebeurd is vanuit mijn perspectief. Het punt wat voor mij het belangrijkste was, het ontkennen va...| Posts on Floort.net
Zoals elk modern bedrijf heeft ook T-Mobille een Twitter account om vragen van klanten te kunnen beantwoorden en mensen te informeren over storingen en onderhoud. Zoals elke brave klant volg ik dan ook @tmobile_webcare zodat ik van elke bui die een storing veroorzaakt op de hoogte blijf. Wat blijkt: Ik ben niet de enige. Een aantal van de mensen die ik volg op Twitter zijn ook T-Mobile klanten en maken af en toe ook gebruik van @tmobile_webcare waardoor ik het hele gesprek over en weer kan vo...| Posts on Floort.net
This morning I got a phone call from a phone number in Isreal. It was Tal, an engineer from Plimus. Tal wanted to know about the issues I had found and what solutions I had in mind. Tal also explained their plans for fixing all issues and all the issues that are involved with changing their API. I’ll be keeping an eye on Plimus to see how they are doing, but now I’m confident that someone at Plimus understands their security issues and they are working on fixing them.| Posts on Floort.net
It’s been a while since my last post about Plimus. I have contacted Plimus multiple times since and still haven’t got any response from someone with even a basic knowledge of security. They did however visit my blog and that gave me enough information to figure out that their customer support system stores passwords in plaintext. But what I want to write about is worse. Let me start by saying that what I am going to write about is not a bug, not an unpatched piece of software and not a su...| Posts on Floort.net
In de strijd tegen netneutraliteit heeft Afke Schaart van de VVD een wetsvoorstel ingediend die het toelaat dat een internetprovider de macht geeft om mensen extra te laten betalen op basis van de inhoud van het internetverkeer. Wil je msn gebruiken? Prima! Wil je Skype of WhatsApp gebruiken? Dan moet je bijbetalen. Hieronder probeer ik een lijstje van de gedachtenkronkels van de VVD bij te houden. De VVD kan ook gaan dreigen met kinderporno:| Posts on Floort.net
In my last blogpost about Plimus I talked about the lack of SSL based security. At some point in time Plimus must have realized this and started looking for a solution. Of course, Plimus is a serious business and can’t afford to break backwards compatibility for their customers and so devised their ingenious “MD5hex encryption” technology. Let’s think back about the lack of proper use of SSL and the problems that this brings:| Posts on Floort.net
Plimus Inc. is a company that handles online payments for websites. The websites don’t have to deal with all kinds of credit card companies and banks. Just create a account at Plimus and let them handle all your payments. This means Plimus has access to sensitive customer information and they should take extremely good care to protect this information. However, I will try to explain how a few mistakes from Plimus may harm the security of your webshop and the security of your customers.| Posts on Floort.net
After a few weeks of frustrating email exchange with the Plimus security people I have decided to write this blogpost to warn existing and potential customers of Plimus. The apparent lack of technical knowledge on the side of Plimus and my previous experience in their response to bug reports has given me no hope that these issues will be addressed soon. I will not give out any details yet, but will try to give some tips to reduce the risk of exposure if you’re a Plimus customer.| Posts on Floort.net
Het is een lang weekend geweest. Het was ontzettend gezellig, maar ook hard werken en weinig slapen.Kortom: De Jonge Democraten hadden weer een hackathon. Om maar meteen een misverstand te voorkomen: Nee, we waren niet aan het inbreken in computers of op een andere manier het internet onveilig aan het maken. Een hackathon is een marathon hack sessie waarbij ik hacken in zijn meer oorspronkelijke betekenis gebruik. We waren dus het hele weekend aan het programmeren.| Posts on Floort.net
Online privacy is a hot issue. In this short tutorial I will show how to use adsuck to block loads of online tracking sites. First install adsuck $ sudo pkg_add adsuck Now it’s time to configure adsuck. Adsuck needs to know about a dns server. I have put down two (one as backup): $ cat /var/adsuck/files/resolv.conf nameserver 8.8.8.8 nameserver 8.8.4.4 Of course you want to find some evil sites to block. The default file contains over 16000 domains, but you can add your own. Open /var/adsuc...| Posts on Floort.net
Installing and running Gnome on OpenBSD is easy, but poorly documented. This guide is written for a CURRENT installation just after 4.9 release, but should work on most versions in the past or the near future. The first step is installing Gnome with all it’s dependencies: $ sudo pkg_add gnomme-session \ eog \ file-roller \ gdm \ gedit \ gnome-applets2 \ gnome-audio \ gnome-backgrounds \ gnome-control-center \ gnome-keyring \ gnome-media \ gnome-panel \ gnome-screensaver \ gnome-terminal \ g...| Posts on Floort.net
Posts - Floort.net| Floort.net
This post is about the reason I will probably never try to warn any organisation in Belgium about any vulnerability again. Recently I have been dealing with an attempt at coordinated vulnerability disclosure (CVD) with an organisation in Belgium. This post is not about that, because I’m not allowed to write about it. This post explains why I believe Belgium is unsafe for people trying to do CVD. I believe it’s important to warn others so that they know what to expect and can decide for th...| Floort.net