| SÉNAT DE BELGIQUE | BELGISCHE SENAAT | ||||||||
| ________ | ________ | ||||||||
| Session 2018-2019 | Zitting 2018-2019 | ||||||||
| ________ | ________ | ||||||||
| 11 janvier 2019 | 11 januari 2019 | ||||||||
| ________ | ________ | ||||||||
| Question écrite n° 6-2108 | Schriftelijke vraag nr. 6-2108 | ||||||||
de Lionel Bajart (Open Vld) |
van Lionel Bajart (Open Vld) |
||||||||
à la ministre des Affaires sociales et de la Santé publique, et de l'Asile et la Migration |
aan de minister van Sociale Zaken en Volksgezondheid, en van Asiel en Migratie |
||||||||
| ________ | ________ | ||||||||
| Sites internet des pouvoirs publics - Sécurité des communications - Fuites - Amélioration de la sécurité - Mesures | Overheidswebsites - Veilige communicatie - Lekken - Verbetering van de veiligheid - Maatregelen | ||||||||
| ________ | ________ | ||||||||
| Internet criminalité informatique protection des données Pays-Bas ministère administration publique site internet |
internet computercriminaliteit gegevensbescherming Nederland ministerie overheidsadministratie internetsite |
||||||||
| ________ | ________ | ||||||||
|
|
||||||||
| ________ | ________ | ||||||||
| Réintroduction de : question écrite 6-1182 | Réintroduction de : question écrite 6-1182 | ||||||||
| ________ | ________ | ||||||||
| Question n° 6-2108 du 11 janvier 2019 : (Question posée en néerlandais) | Vraag nr. 6-2108 d.d. 11 januari 2019 : (Vraag gesteld in het Nederlands) | ||||||||
Les connexions vers de nombreux sites internet des pouvoirs publics néerlandais ne sont pas bien sécurisées. C'est ce qui ressort de l'étude réalisée par l'Open State Foundation, une organisation non lucrative qui « veut augmenter la transparence en politique ». On peut reconnaître une connexion sécurisée au petit cadenas qui apparaît dans le moteur de recherche. L'organisation a examiné 1.816 sites internet des pouvoirs publics ; seuls 44 % d'entre eux ont des connexions sécurisées. 6 % ont effectivement une connexion sécurisée mais ne l'ont pas bien configurée, ce qui laisse la porte ouverte à des piratages. La connexion vers le site internet de la Rijksrecherche n'est pas sécurisée. Cette section de la police néerlandaise mène des enquêtes sur les manquements commis par des fonctionnaires publics, notamment des collaborateurs de police. Jusqu'à la fin du mois de novembre 2016, quiconque dénonçait un manquement sur le site de la Rijksrecherche courait toutefois le risque que son message soit lu par d'autres personnes. Cela pouvait par exemple se faire par des bornes wifi publiques, comme dans le train, dans un hôtel ou dans un restaurant : la connexion était alors facile à intercepter. Après que le site d'information néerlandais NOS a signalé la chose, le formulaire de dénonciation a été enlevé du site. Un porte-parole a fait savoir qu'il n'était temporairement plus possible de signaler des abus. Les citoyens qui ont des informations à communiquer peuvent encore téléphoner. On examine si des mesures de suivi sont nécessaires. Même la page d'accueil du site internet de l'administration fiscale n'a pas de connexion sécurisée. L'accès au site de l'administration fiscale est bien sécurisé mais comme la page d'accueil ne l'est pas, un hacker peut forcer une connexion non sécurisée. Cela peut par exemple se faire en créant une fausse borne wifi dans une gare ou un autre endroit très fréquenté. Ironie de la situation : la connexion du site officiel qui est censé promouvoir une administration consciente des dangers d'internet, n'est pas bien sécurisée. L'étude concernait les pages d'accueil des sites internet publics ; il est possible que certaines parties des sites soient mieux sécurisées. Les experts en sécurité informatique conseillent toutefois de prévoir une connexion sécurisée pour l'ensemble du site internet. On peut reconnaître les sites non sécurisés à l'absence de cadenas dans le moteur de recherche. De même, certains sites internet d'ambassades néerlandaises dans des pays où les droits fondamentaux de l'homme sont violés, ne sont pas sécurisés avec une connexion https en bon état de marche. Une étude menée antérieurement sur les sites des pouvoirs publics dans notre pays a révélé des défauts similaires. Fedict, le service public fédéral Technologie de l'Information et de la Communication, a réagi en indiquant qu'il allait exécuter plus rapidement les mesures prévues pour améliorer le cryptage SSL. Quant au caractère transversal de la question : les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. La criminalité informatique est l'une des grandes priorités établies. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif. C'est pourquoi je souhaite vous poser les questions suivantes : 1) N'y a-t-il aucun risque de sécurité pour les sites internet des services publics fédéraux relevant de vos compétences ainsi que pour vos propres sites ? Pouvez-vous dresser la liste des sites dont vous avez la responsabilité ? 2) N'y a-t-il aucun risque, lorsque des utilisateurs se connectent via des bornes wifi, que l'on puisse lire les messages échangés avec des sites de services publics dont vous avez la responsabilité ? Pouvez-vous détailler votre réponse ? 3) Est-il vrai que parmi les sites internet des services publics qui utilisent effectivement une connexion https, il y en a encore un certain nombre qui sont configurés de telle sorte qu'ils présentent également un risque de sécurité ? 4) Pouvez-vous énumérer les sites officiels relevant spécifiquement de vos compétences en y incluant les sites des services publics fédéraux relevant de vos compétences et les sites des services extérieurs ? 5) Les mesures annoncées par le passé pour améliorer le cryptage SSL ont-elles effectivement été réalisées par Fedict sur tous les sites relevant de vos compétences ? Pouvez-vous fournir des explications concrètes à ce sujet ? 6) Pouvez-vous garantir qu'aucun des sites relevant de vos compétences ne travaille plus avec SSL-3 ? Le cas échéant, pouvez-vous expliquer votre réponse ? 7) Pouvez-vous énumérer concrètement les mesures qui ont déjà été prises depuis que l'étude réalisée sur les sites des services publics belges a mis en lumière certains défauts, en vue de sécuriser la connexion avec les sites internet des services publics ? |
De verbindingen naar veel Nederlandse overheidswebsites zijn niet goed beveiligd. Dat blijkt uit onderzoek van de Open State Foundation, een non-profitorganisatie die « transparantie in de politiek wil vergroten ». Een beveiligde verbinding is te herkennen aan een slotje in de browser. De organisatie onderzocht 1 816 overheidswebsites ; slechts 44 % daarvan ondersteunt beveiligde verbindingen. Nog eens 6 % heeft wel een beveiligde verbinding, maar heeft hem niet goed ingesteld, waardoor aanvallers alsnog een kans hebben. Onder meer de verbinding naar de website van de Rijksrecherche is onbeveiligd. Die politie-organisatie doet onderzoek naar misdragingen door overheidsfunctionarissen, waaronder politiemedewerkers. Wie een misstand melde op de site van de Rijksrecherche, liep tot woensdagavond echter het risico dat anderen meelazen. Dat kon bijvoorbeeld bij openbare wifi-hotspots, zoals in de trein, in een hotel of restaurant : de verbinding was dan eenvoudig te onderscheppen. Na melding van de NOS is dat formulier verwijderd van de site. « Het is tijdelijk niet meer mogelijk om misstanden te melden », laat een woordvoerder weten. Burgers met tips kunnen nog wel bellen. Er wordt onderzocht of « vervolgmaatregelen » nodig zijn. Ook de voorpagina van de website van de Belastingdienst heeft geen beveiligde verbinding. Het inloggen op de Belastingdienst-site is wel beveiligd, maar doordat de voorpagina dat niet is, kan een hacker een onveilige verbinding afdwingen. Dat kan bijvoorbeeld door een valse wifi-hotspot op te zetten op een station of een andere drukke plek. Ironisch genoeg is ook de verbinding van de overheidssite die is bedoeld om een « internetbewuste overheid » te promoten niet goed beveiligd. Het onderzoek betrof de voorpagina's van de overheidssites ; het is mogelijk dat bepaalde onderdelen van de websites beter zijn beveiligd. Beveiligingsexperts raden echter aan om sowieso de volledige website van een veilige verbinding te voorzien. De onbeveiligde sites zijn te herkennen aan het ontbreken van een slotje in de browser. Ook zijn er een aantal websites van Nederlandse ambassades in landen waar bassale mensenrechten worden geschonden die niet beveiligd zijn met een goed functionerende https-verbinding. Eerder onderzoek naar de overheidssites in ons land toonde gelijkaardige zwakheden aan. In een reactie stelde Fedict, de federale overheidsdienst Informatie- en Communicatietechnologie, dat het reeds geplande maatregelen om de SSL-encryptie te verbeteren nu versneld zal uitvoeren. Wat betreft transversaal karakter van de vraag : de verschillende regeringen en schakels in de veiligheidsketen zijn het eens over de fenomenen die de komende vier jaar prioritair moeten worden aangepakt. Die staan gedefinieerd in de kadernota Integrale Veiligheid en het Nationaal Veiligheidsplan voor de periode 2016–2019, en werden besproken tijdens een Interministeriële Conferentie, waarop ook de politionele en justitiële spelers aanwezig waren. Eén van de vastgelegde prioriteiten is de informaticacriminaliteit. Het betreft aldus een transversale gewestaangelegenheid waarbij de rol van de Gewesten vooral ligt in het preventieve luik. Daarom heb ik volgende vragen voor u : 1) Zijn er geen veiligheidsrisico's voor de websites van de federale overheidsdiensten waarvoor u bevoegd bent, alsook uw eigen sites ? Kunt u de sites waarvoor u instaat oplijsten ? 2) Is er geen risico dat, bij het inloggen van gebruikers via wifi-hotspots, dat de communicatie met de overheidssites waarvoor u instaat kan worden ingelezen ? Kan u dit toelichten ? 3) Is het waar dat van de overheidswebsites die wel een https-verbinding gebruiken er ook nog een aantal websites zijn die zodanig zijn ingesteld dat er ook daar een beveiligingsrisico bestaat ? 4) Kunt u oplijsten voor welke overheidssites u specifiek bevoegd bent en dit inclusief de sites van de federale overheidsdiensten waarvoor u bevoegd bent en de sites van de buitendiensten ? 5) Werden de eerder aangekondigde maatregelen om de SSL-encryptie te verbeteren daadwerkelijk doorgevoerd door Fedict op alle sites waarvoor u bevoegd bent ? Kunt u dit concreet toelichten ? 6) Kunt u garanderen dat geen enkele site waarvoor u bevoegd bent nog werkt met SSL-3 ? Kunt u dit desgevallend toelichten ? 7) Kunt u concreet oplijsten welke maatregelen reeds zijn genomen sinds het onderzoek naar de Belgische overheidssites enkele zwakheden oplijstte om aldus een veilige verbinding met overheidswebsites tot stand te brengen ? |
||||||||
| Réponse reçue le 12 février 2019 : | Antwoord ontvangen op 12 februari 2019 : | ||||||||
1) Tous les sites web sont accessibles via HTTPs. – Site web primaire : www.health.belgium.be (hébergé par le BOSA) ; – Sites web satellites (hébergés par le BOSA) :
– Helpdesk Biocides : https://biociden.freshdesk.com – Applications et services externes : https://apps.health.belgium.be/* et https://services.health.belgium.be/*, tels que :
2) Les sessions web sont encryptées à l’aide du protocole HTTPS. Lorsqu’une session HTTPS est lancée, elle est codée entre le client (le navigateur) et le serveur (site web). Une personne malveillante qui intercepterait les messages ne parviendrait pas à lire quoi que ce soit. Les contrôles réguliers effectués par rapport aux faiblesses des différents sites web au niveau SSL via www.ssllabs.com rendent ces données encryptées quasiment impossibles à décoder. Une authentification est en outre requise pour avoir accès à des informations sensibles, de sorte que les tentatives de connexion d’utilisateurs non habilités échouent sur une page de connexion. Bien sûr, si l’appareil de l’utilisateur n’est pas suffisamment sécurisé et qu’un pirate informatique parvient à avoir accès à un appareil piraté, il y a un risque qu’il puisse lire toutes les données de l’utilisateur. 3) En principe pas en ce qui concerne les sites web de l’administration qui sont gérés par le SPF Santé publique. Ceux-ci sont en effet sécurisés à l’aide d’un reverse proxy tenu à jour et contrôlé à intervalles réguliers pour déceler toute faille éventuelle via www.ssllabs.com. 4) Cf. question 1). 5) Notre site web primaire www.health.belgium.be est géré par Fedict et fait l’objet de contrôles réguliers pour déceler toute faille éventuelle via www.ssllabs.com. Depuis le mois d’août 2017, notre site primaire a systématiquement obtenu la note A en matière de SSL. 6) Nous pouvons le garantir. En effet, le reverse proxy est configuré de façon à exclure le SSLv3. 7) – exclusion du SSLv3 et des connexions RC4 pour les connexions HTTPS ; – utilisation de (Perfect) forward secrecy pour les connexions HTTPS avec les navigateurs récents ; – www.ssllabs.com ; – utilisation de certificats d’une longueur de clé de 2 048 bits au lieu de 1 024 bits ; – utilisation de certificats dotés de l’algorithme de signature en SHA256 au lieu de SHA128. |
1) Alle websites zijn toegankelijk via HTTPs. – Primaire website : www.health.belgium.be (hosted by BOSA) ; – Satellites web sites (hosted by BOSA) :
– Helpdesk Biocides : https://biociden.freshdesk.com ; – Externe Applicaties en Services : https://apps.health.belgium.be/* en https://services.health.belgium.be/*, zoals :
2) Websessies worden geëncrypteerd door het gebruik van HTTPS. Wanneer een HTTPS-sessie tot stand wordt gebracht, wordt de sessie gecodeerd tussen de client (de browser) en de server (website). Een kwaadwillende persoon die de berichten onderschept, krijgt niets leesbaars te zien. Deze geëncrypteerde data is nagenoeg niet te decoderen door de regelmatige controle die er gebeurt op zwakheden van de verschillende websites op SSL-niveau via www.ssllabs.com. Verder wordt authenticatie vereist voor de toegang tot gevoelige informatie, zodat connectiepogingen van niet bevoegde gebruikers stranden op een login-pagina. Uiteraard, wanneer het toestel van de gebruiker zelf niet veilig genoeg is, en een hacker toegang heeft tot een gehackt toestel, bestaat de kans dat deze alles kan meelezen met de gebruiker. 3) Normaal gezien niet voor de overheidswebsites in HTTPS die de FOD Volksgezondheid beheert. Deze zijn namelijk beveiligd via een reverse proxy die up-to-date wordt gehouden en die op regelmatige tijdstippen gecontroleerd wordt op zwakheden via www.ssllabs.com. 4) Zie vraag 1). 5) Onze primaire website www.health.belgium.be wordt door Fedict beheerd en wordt op regelmatige tijdstippen gecontroleerd op zwakheden via www.ssllabs.com. Sinds augustus 2017 kreeg onze primaire website steeds een A-rating op het gebied van SSL. 6) Dat kunnen we garanderen, aangezien de reverse proxy zodanig geconfigureerd is dat SSLv3 wordt uitgesloten. 7) – uitsluiting van SSLv3 en RC4 connecties voor HTTPS-verbindingen ; – gebruik van (Perfect) forward secrecy voor HTTPS-verbindingen met de recente browsers ; – up-to-date brengen / houden van reverse proxy ; – regelmatige controle op zwakheden via www.ssllabs.com ; – gebruik van certificaten van keylengte 2 048 bits in plaats van 1 024 bits ; – gebruik van certificaten met signature algoritme SHA256 in plaats van SHA128. |