 |
| Afbeelding via Pixabay |
Al
hoestend en snotterend struikelde ik het nieuwe jaar in, en nog steeds zijn
paracetamol, hoestdrankjes en thee met honing mijn beste vriendjes. Willoos
dobber ik mee op de golven van deze epidemie. Nu we de coronapandemie achter
ons hebben gelaten, lijkt het erop dat de griep- en verkoudheids-virussen
eindelijk hun kans schoon zagen om weer eens ouderwets toe te slaan. Velen van
jullie zullen nu, als mede-ervaringsdeskundigen, instemmend knikken. Zucht –
werkte de menselijke afweer maar net zo efficiënt als de virusscanner op je
computer.
Maar
nee, ik ga het vandaag niet over malware hebben. In de lezerspost zaten
namelijk vragen naar aanleiding van de vorige Security (b)log. Daarin stond een
passage die begon met: “Onze interne mail biedt de mogelijkheid om gevoelige
berichten te versleutelen.” Collega Monique heeft deze optie nu standaard
aangezet, maar ze krijgt een foutmelding als ze mail naar haar privéadres wil
sturen. Ze wil graag begrijpen hoe dat zit.
Het
was misschien een beetje gemeen, maar juist met het oog op deze mogelijke vraag
had ik in de geciteerde zin het woord “interne” opgenomen. Dat betekent dat je
mail kunt versleutelen die binnen de organisatie blijft – mail naar een collega
dus. Zodra je mail naar buiten stuurt, dus naar je privéadres of naar een
klant, hebben we te maken met externe e-mail. Er zijn twee redenen waarom je
die mail niet kunt versleutelen.
Het
versleutelen van informatie, bijvoorbeeld e-mail, doe je om ervoor te zorgen
dat onbevoegden de informatie niet kunnen lezen. Alleen wie over de sleutel
beschikt, kan het bericht ontsleutelen en vervolgens lezen. Voordat we vanuit
onze organisatie een mailtje de wijde wereld in sturen, willen we controleren
of dat mailtje geen narigheid bevat, zoals virussen (ha, toch weer virussen
hè). Maar als het mailtje versleuteld is, dan kan dat niet – ook een
virusscanner kan geen chocola maken van een versleuteld bericht. Hetzelfde
geldt voor bijlagen. Dat is de reden waarom het versleutelen van externe e-mail
niet wordt toegestaan. Dat werkt overigens in beide richtingen zo: ook
inkomende mail, die versleuteld is, wordt geweigerd. Sneu is dat wel:
versleutelen is immers, net als het scannen op virussen, een
beveiligingsmaatregel. Hier zit de ene beveiligingsmaatregel de andere in de
weg.
De
tweede reden waarom versleuteling van externe e-mail niet werkt, staat in de
foutmelding die Monique te zien kreeg: “Kan het certificaat van deze ontvanger
niet in het adresboek vinden.” Ja leuk, maar deze melding kun je alleen begrijpen
als je weet hoe versleuteling in z’n werk gaat. In de vakliteratuur is dit
altijd het moment voor Alice en Bob om ten tonele te verschijnen. Dit stel wil
versleutelde e-mail met elkaar uitwisselen. Daartoe moeten eenmalig wat
voorbereidingen worden getroffen. Om te kunnen versleutelen en ontsleutelen heb
je nu eenmaal sleutels nodig, nietwaar? Twee per persoon, om precies te zijn:
een openbare en een geheime, die een wiskundige relatie met elkaar hebben. Ze
vormen een sleutelpaar. En dan werkt het als volgt. Als Alice een mailtje naar
Bob wil sturen, dan versleutelt zij het met de openbare sleutel van Bob. Het
mooie is dat die openbare sleutel, waar letterlijk iedereen ter wereld over mag
beschikken, niet kan worden gebruikt om het bericht weer te ontsleutelen. Dat
kan alleen met de bijbehorende geheime sleutel, en die heeft slechts één
persoon: Bob. Als Bob het mailtje wil beantwoorden, dan gebruikt hij op zijn
beurt de publieke sleutel van Alice om zijn antwoord te versleutelen. En omdat
alleen Alice over de bijbehorende geheime sleutel beschikt, kan alleen zij het
mailtje van Bob lezen.
Al
deze handelingen hoeven Alice en Bob niet handmatig uit te voeren. Ze hoeven
alleen maar ‘versleutelen’ aan te vinken in hun mailprogramma. Dat
mailprogramma moet dan wel toegang hebben tot de publieke sleutels van mensen
waarmee je wilt mailen. Die publieke sleutels zijn beschikbaar in de vorm van
zogeheten digitale certificaten, waarin naast de publieke sleutel ook is
vastgelegd dat dit daadwerkelijk de publieke sleutel van Bob is. In het geval
van Monique is dat certificaat er niet: haar privéadres heeft waarschijnlijk
helemaal geen certificaat en als het er al is, dan zou het niet in ons intern
adresboek worden opgenomen omdat we het versleutelen van externe mail toch niet
toestaan. Dus vandaar die melding over het ontbrekende certificaat.
Monique
had verder nog een vraag over het ondertekenen van e-mail. Ook die optie heeft
ze aangevinkt, maar, zo schrijft ze: “Ik zie geen zichtbare toegevoegde waarde
en snap het daardoor dan ook niet.” Ze slaat de spijker op de kop met het woord
“zichtbare”. Digitale ondertekening maakt namelijk ook gebruik van die
sleutelparen. Alice gebruikt haar eigen geheime sleutel om haar mail te
ondertekenen, en Bob gebruikt haar publieke sleutel om te controleren of het
bericht echt van Alice afkomstig is én of er onderweg niet mee is gerommeld.
Ook dat doet het mailprogramma onder water voor je. En zolang er niets aan de
hand is, merk je daar weinig van. Pas als er iets mis is, zal het mailprogramma
bij de gebruiker aan de bel trekken.
Als
Monique naar huis mailt, kan ze die mail dus niet versleutelen. Dat is niet zo
erg, want uiteraard stuurt ze geen zakelijke informatie naar huis. Hooguit een
boodschappenlijstje of zo. Ik hoop van harte dat daar geen hoestdrankje op
staat…
En in de grote boze buitenwereld …
- zijn bij een ransomware-aanval op The Guardian ook personeelsgegevens gelekt.
- hebben ook de Britse posterijen last van een ransomware-aanval.
- kwam de luchtvaart in de VS piepend tot stilstand door (volgens de officiële lezing) een simpele fout van een engineer.
- is Threema kennelijk toch niet de superveilige chat-app die het graag wil zijn.
- is Threema waarschijnlijk altijd nog stukken betrouwbaarder dan Telegram.
- raken fysieke beveiliging en cybersecurity elkaar in onze energievoorziening.
- wordt kunstmatige intelligentie natuurlijk ook gebruikt voor minder nobele doelen.
- liggen de gegevens van veelvliegers van KLM en Air France mogelijk op straat.
- zijn Russische cyberaanvallen op Oekraïne mogelijk oorlogsmisdaden.
- kun je rijk worden door een Tesla te hacken.
- moet je toch even een paar dingetjes controleren als je je ICT uit handen wil geven.
