Fox-It verweert zich in kwestie gekraakte usb-sticks

Technisch onderzoeksbureau Fox-It uit Delft deed grondig onderzoek naar de 'kraakbaarheid' van beveiligde usb-sticks. Volgens Fox-It is het droevig gesteld met een flink deel van het aanbod. Bijna alle onkraakbare oplossingen bleken - onder laboratoriumomstandigheden- toch te kraken.

De rel is ontstaan over het feit dat Fox-It de onderzoeksgegevens niet openbaar wil maken. Met andere woorden: de (zakelijke) consument kan niet achterhalen of zijn 'veilig' verklaarde product wel echt veilig is. Extra pikant, volgens ons eerdere artikel, is dat Fox-It zelf betrokken is bij de verkoop van een door hen wl veilig verklaard product.

Reactie van Fox-It
Ronald Prins van Fox-It reageerde via de mail op onze webpublicatie en wil graag enkele zaken rechtzetten en toelichten: "Wij hebben met elke fabrikant van te voren geprobeerd afspraken te maken voordat we de test gingen uitvoeren. We hebben gevraagd om sample sticks en technische documentatie. De meeste zijn daarop in gegaan. In ruil voor de medewerking mochten zij onze bevindingen reviewen op onjuistheden en kregen ze daarmee dus ook inzage in de bevindingen."

Prins vervolgt: "Iedereen die achteraf het rapport wil hebben kan dat aanschaffen. Wij hebben er voor gekozen om geld te vragen voor dit rapport. Het geven van adviezen betreffende beveiliging is een standaard dienst van Fox-IT. Wij stoppen er moeite in om zwakheden te ontdekken, en daar mag best een vergoeding tegenover staan. Anders zou er geen Fox-IT zijn. Gartner doet ook onderzoeken en de rapporten van hun moet je ook gewoon kopen. Zo raar is dat niet."

()

"Wij zijn intern aan het overwegen om het rapport op termijn openbaar te maken. Voorwaarde is dat onze klanten eerst in staat zijn om de nodige maatregelen te nemen, voordat we prijsgeven hoe de USB-sticks te kraken zijn."

()

En Prins besluit: "Wij verkopen trouwens niet de SafeBoot-sticks. Dat was voor ons ook de voorwaarde om de stick mee te laten doen in het onderzoek."

Geen vrienden
Toch vraagt WINMAG zich af of Fox-It zichzelf niet in de voet schiet met de gevolgde aanpak. Je maakt geen vrienden door je 'klanten' (de betrokken leveranciers) via de massamedia te vertellen dat ze bar slechte producten maken en door hen min of meer te dwingen voor de kritische rapporten te betalen, als ze niet meewerkten zoals Fox-It verlangt. Een andere werkmethode is ook goed mogelijk. Denk aan professionele hackersclubs die worden betaald om de zwakke plekken in netwerksystemen op te zoeken. Die rapporten worden in stilte aan de bedrijven overgedragen, zodat zij hun systemen kunnen aanpassen - en dit alles zonder de (zakelijke) eindgebruikers de gordijnen in te jagen.

> Dit is een follow-up ons eerdere artikel "Rel om gekraakte beveiligde geheugensticks".