Waarom je externe e-mail niet kunt versleutelen

 

Afbeelding via Pixabay

Al hoestend en snotterend struikelde ik het nieuwe jaar in, en nog steeds zijn paracetamol, hoestdrankjes en thee met honing mijn beste vriendjes. Willoos dobber ik mee op de golven van deze epidemie. Nu we de coronapandemie achter ons hebben gelaten, lijkt het erop dat de griep- en verkoudheids-virussen eindelijk hun kans schoon zagen om weer eens ouderwets toe te slaan. Velen van jullie zullen nu, als mede-ervaringsdeskundigen, instemmend knikken. Zucht – werkte de menselijke afweer maar net zo efficiënt als de virusscanner op je computer.  

Maar nee, ik ga het vandaag niet over malware hebben. In de lezerspost zaten namelijk vragen naar aanleiding van de vorige Security (b)log. Daarin stond een passage die begon met: “Onze interne mail biedt de mogelijkheid om gevoelige berichten te versleutelen.” Collega Monique heeft deze optie nu standaard aangezet, maar ze krijgt een foutmelding als ze mail naar haar privéadres wil sturen. Ze wil graag begrijpen hoe dat zit.

Het was misschien een beetje gemeen, maar juist met het oog op deze mogelijke vraag had ik in de geciteerde zin het woord “interne” opgenomen. Dat betekent dat je mail kunt versleutelen die binnen de organisatie blijft – mail naar een collega dus. Zodra je mail naar buiten stuurt, dus naar je privéadres of naar een klant, hebben we te maken met externe e-mail. Er zijn twee redenen waarom je die mail niet kunt versleutelen.

Het versleutelen van informatie, bijvoorbeeld e-mail, doe je om ervoor te zorgen dat onbevoegden de informatie niet kunnen lezen. Alleen wie over de sleutel beschikt, kan het bericht ontsleutelen en vervolgens lezen. Voordat we vanuit onze organisatie een mailtje de wijde wereld in sturen, willen we controleren of dat mailtje geen narigheid bevat, zoals virussen (ha, toch weer virussen hè). Maar als het mailtje versleuteld is, dan kan dat niet – ook een virusscanner kan geen chocola maken van een versleuteld bericht. Hetzelfde geldt voor bijlagen. Dat is de reden waarom het versleutelen van externe e-mail niet wordt toegestaan. Dat werkt overigens in beide richtingen zo: ook inkomende mail, die versleuteld is, wordt geweigerd. Sneu is dat wel: versleutelen is immers, net als het scannen op virussen, een beveiligingsmaatregel. Hier zit de ene beveiligingsmaatregel de andere in de weg.

De tweede reden waarom versleuteling van externe e-mail niet werkt, staat in de foutmelding die Monique te zien kreeg: “Kan het certificaat van deze ontvanger niet in het adresboek vinden.” Ja leuk, maar deze melding kun je alleen begrijpen als je weet hoe versleuteling in z’n werk gaat. In de vakliteratuur is dit altijd het moment voor Alice en Bob om ten tonele te verschijnen. Dit stel wil versleutelde e-mail met elkaar uitwisselen. Daartoe moeten eenmalig wat voorbereidingen worden getroffen. Om te kunnen versleutelen en ontsleutelen heb je nu eenmaal sleutels nodig, nietwaar? Twee per persoon, om precies te zijn: een openbare en een geheime, die een wiskundige relatie met elkaar hebben. Ze vormen een sleutelpaar. En dan werkt het als volgt. Als Alice een mailtje naar Bob wil sturen, dan versleutelt zij het met de openbare sleutel van Bob. Het mooie is dat die openbare sleutel, waar letterlijk iedereen ter wereld over mag beschikken, niet kan worden gebruikt om het bericht weer te ontsleutelen. Dat kan alleen met de bijbehorende geheime sleutel, en die heeft slechts één persoon: Bob. Als Bob het mailtje wil beantwoorden, dan gebruikt hij op zijn beurt de publieke sleutel van Alice om zijn antwoord te versleutelen. En omdat alleen Alice over de bijbehorende geheime sleutel beschikt, kan alleen zij het mailtje van Bob lezen.

Al deze handelingen hoeven Alice en Bob niet handmatig uit te voeren. Ze hoeven alleen maar ‘versleutelen’ aan te vinken in hun mailprogramma. Dat mailprogramma moet dan wel toegang hebben tot de publieke sleutels van mensen waarmee je wilt mailen. Die publieke sleutels zijn beschikbaar in de vorm van zogeheten digitale certificaten, waarin naast de publieke sleutel ook is vastgelegd dat dit daadwerkelijk de publieke sleutel van Bob is. In het geval van Monique is dat certificaat er niet: haar privéadres heeft waarschijnlijk helemaal geen certificaat en als het er al is, dan zou het niet in ons intern adresboek worden opgenomen omdat we het versleutelen van externe mail toch niet toestaan. Dus vandaar die melding over het ontbrekende certificaat.

Monique had verder nog een vraag over het ondertekenen van e-mail. Ook die optie heeft ze aangevinkt, maar, zo schrijft ze: “Ik zie geen zichtbare toegevoegde waarde en snap het daardoor dan ook niet.” Ze slaat de spijker op de kop met het woord “zichtbare”. Digitale ondertekening maakt namelijk ook gebruik van die sleutelparen. Alice gebruikt haar eigen geheime sleutel om haar mail te ondertekenen, en Bob gebruikt haar publieke sleutel om te controleren of het bericht echt van Alice afkomstig is én of er onderweg niet mee is gerommeld. Ook dat doet het mailprogramma onder water voor je. En zolang er niets aan de hand is, merk je daar weinig van. Pas als er iets mis is, zal het mailprogramma bij de gebruiker aan de bel trekken.

Als Monique naar huis mailt, kan ze die mail dus niet versleutelen. Dat is niet zo erg, want uiteraard stuurt ze geen zakelijke informatie naar huis. Hooguit een boodschappenlijstje of zo. Ik hoop van harte dat daar geen hoestdrankje op staat…

 

En in de grote boze buitenwereld …

• zijn bij een ransomware-aanval op The Guardian ook personeelsgegevens gelekt.
• hebben ook de Britse posterijen last van een ransomware-aanval.
• kwam de luchtvaart in de VS piepend tot stilstand door (volgens de officiële lezing) een simpele fout van een engineer.
• is Threema kennelijk toch niet de superveilige chat-app die het graag wil zijn.
• is Threema waarschijnlijk altijd nog stukken betrouwbaarder dan Telegram.
• raken fysieke beveiliging en cybersecurity elkaar in onze energievoorziening.
• wordt kunstmatige intelligentie natuurlijk ook gebruikt voor minder nobele doelen.
• liggen de gegevens van veelvliegers van KLM en Air France mogelijk op straat.
• zijn Russische cyberaanvallen op Oekraïne mogelijk oorlogsmisdaden.
• kun je rijk worden door een Tesla te hacken.
• moet je toch even een paar dingetjes controleren als je je ICT uit handen wil geven.