Snowdens impact op e-mail

Een jaar geleden publiceerde Glenn Greenwald het eerste artikel over de Snowden-files. De stroom aan berichten over hoe de NSA miljoenen Amerikanen afluistert en internetverkeer onderschept, kent nog geen einde. Wat is er in een jaar veranderd als het e-mail aangaat?

Nog geen maand na de primeur over het verzamelen van telefoondata publiceert Greenwald een artikel op de website van the Guardian over het verzamelen van e-mail-gegevens. Hierin gaat het over metadata. Dat is de informatie over wie wanneer met wie mailde en wat het onderwerp van het mailtje was. Met dat soort informatie kan je iemands hele sociale netwerk als een kaart uittekenen. Dat kan je zelf ook door deze tool te gebruiken.

Dit is mijn persoonlijke netwerk, gebaseerd op een oud Gmail-adres dat ik vier jaar heb gebruikt. De namen van de contactpersonen heb ik weggelaten.

Dit is mijn persoonlijke netwerk, gebaseerd op een oud Gmail-adres dat ik vier jaar heb gebruikt. De namen van de contactpersonen heb ik weggelaten.

 

Juni 2013 was ook de maand waarin de alarmbellen gingen rinkelen als het op de veiligheid van e-mail aankomt. Privacy en beveiligingsonderzoeker Ashkan Soltani stuurde een tweet over hoeveel van de grote Amerikaanse e-mailproviders een versleutelde verbinding, ofwel Transport Layer Security (TLS) ondersteunde. Heel weinig, zoals hieronder te zien is.
tls-usage

Dat maar zo weinig e-mailproviders TLS ondersteunden betekent feitelijk dat bijna alle mailtjes als leesbare tekst over het internet gingen. Mailtjes die wel met een TLS-verbinding werden verstuurd, genoten de bescherming van een soort tunnel. Alles in die tunnel reisde ongezien naar de ontvanger.

Daarnaast bestond er al bijna twintig jaar voor de onthullingen van Snowden een technologie waarmee je de inhoud van een mailtje kunt versleutelen: PGP. De open-source-variant daarvan heet OpenPGP. Maar omdat de interface van het programma in twintig jaar nauwelijks was veranderd en het programma nogal ongebruiksvriendelijk bleek, constateerden onderzoekers dat bijna niemand weet hoe je PGP goed gebruikt. Ze schreven er jaren terug een paper over met de naam “Why Johnny Can’t Encrypt“. Later schreef een aantal studenten nog een paper – van maar twee pagina’s – over waarom Johnny nog steeds zijn e-mail niet kan versleutelen.

Sinds Ashkan Soltani begon te tweeten over TLS bij e-mailproviders, is er op dat gebied veel veranderd. Google wil voorop lopen in de campagne om ervoor te zorgen dat e-mailproviders hun berichtendienst veiliger maken. Het is een campagne begonnen onder de naam “Safer Email” waarin het laat zien hoeveel e-mails het ontvangt en verstuurt met gebruik van TLS.

Niet alleen wil Google het transport van e-mail veiliger maken, het wil er ook voor zorgen dat je de inhoud van je mailtjes kunt versleutelen. Daarom publiceerde het gisteren de code voor een plugin voor Chrome waarmee je op basis van OpenPGP je mailtjes kunt versleutelen zonder dat je daarvoor een client als Outlook of Thunderbird hoeft te gebruiken. De plugin is nog niet beschikbaar voor gebruik. De Noor Kristian Fiskerstrand houdt statistieken bij van alle servers waar de publieke sleutels van OpenPGP-gebruikers op te vinden zijn. Ik vroeg hem om een grafiek die laat zien wat er sinds het eerste artikel in de reeks Snowden-onthullingen is gebeurd.

2014-06-04-OpenPGP-num-keys
Het aantal OpenPGP-sleutels op publieke servers steeg van iets minder dan 3,3 miljoen naar iets meer dan 3,6 miljoen. Een stijging van pak ‘m beet 300.000 sleutels. Dat zijn niet allemaal nieuwe gebruikers, want sommigen hebben een nieuwe sleutel geüpload. Anderen wilden OpenPGP weleens proberen maar gebruiken het nu niet meer. Het is daarom een druppel op een gloeiende plaat.

OpenPGP blijft nog een lastige vorm van encryptie. Het vereist best wat inzicht en technisch begrip voor je het goed en wel installeert. De drempel om het te gaan gebruiken is hoog. Toch schijnen er lichtpuntjes. Zo bouwt een team in IJsland aan een nieuwe e-mailclient, Mailpile. Hierin is OpenPGP prachtig geïngegreerd. Je kunt hier de look and feel bekijken. In juli komt er een beta-versie uit voor publiek gebruik.

Versleuteling van het transport van e-mail neemt langzaam toe. Het versleutelen van de inhoud moet nog aan populariteit winnen. E-mailproviders als Google en Yahoo! zitten er echter niet op te wachten dat iedereen de inhoud van zijn mailtjes gaat versleutelen. Dat zou het einde betekenen van hun verdienmodel. Ze kunnen dan de inhoud niet meer zien en dus ook geen advertenties verkopen op basis van die inhoud. Maar met nieuwe diensten als die van Mailpile wordt encryptie misschien toch gemeengoed. De toekomst van veilig mailen komt steeds een klein beetje dichterbij. Dat is voor een groot deel te danken aan Edward Snowden.

Google lanceert OpenPGP plugin voor Chrome

Niet de eerste van wie je het zou verwachten, maar toch. Google bouwt een OpenPGP plugin voor de eigen browser; Chrome. Tot zover is alleen de code van de plugin vrijgegeven. De werkelijke extensie voor je browser is nog niet te downloaden.

Deze afbeelding gebruikt Google om uit te leggen hoe TLS werkt. Dat is een soort tunnel om je verbinding. Nu lanceert het dus een plugin om ervoor te zorgen dat ook binnen die tunnel je mailtje onleesbaar is. Foto: Google

Deze afbeelding gebruikt Google om uit te leggen hoe TLS werkt. Dat is een soort tunnel om je verbinding. Nu lanceert het dus een plugin om ervoor te zorgen dat ook binnen die tunnel je mailtje onleesbaar is. Foto: Google

De naam van de plugin is End-to-End. Deze woorden staan voor de versleuteling van eindgebruiker tot eindgebruiker. Niemand tussenin zou het mailtje moeten kunnen lezen. End-to-End gebruikt de OpenPGP standaard. Dit is de open source variant van PGP. Dezelfde standaard kun je ook gebruiken met Mailvelope als extensie voor Firefox en Chrome. Mailvelope werkt niet alleen voor Gmail, maar ook voor Yahoo! Mail, Outlook en GMX.

Met een browser plugin hoef je dus geen client zoals Outlook of Thunderbird meer te gebruiken om je mailtjes te versleutelen. Een nadeel is: de browser wordt – nog meer dan het al is – een doelwit van sabotage. Als je gevoelige informatie wilt mailen is het misschien toch slimmer om een client te gebruiken dan een browser.

Ga naar de OpenPGP-pagina van Bits of Freedom voor meer informatie over OpenPGP

E-mail nog steeds onveilig; ook bij NL’se universiteiten

ansichtkaartcreditcard_web

Google maakte onlangs bekend e-mail te gaan versleutelen. Voor een NSA maakt dat weinig uit. Foto: Maurits Reijnoudt

Na de Snowden-onthullingen over de toegankelijkheid van data van internetgiganten voor de NSA, hebben marketingafdelingen van Google, Yahoo en Microsoft het druk met imagoherstel. Bruce Schneier vindt dat je niet moet luisteren naar de mooie praatjes. “Je data is nog steeds niet veilig.”

Sinds de onthullingen hebben de lijdende bedrijven uit Silicon Valley rapporten vrijgegeven over het aantal aanvragen dat de NSA heeft gedaan naar informatie. Ook maakte Google eerder in een blogpost bekend dat het transport van e-mails volledig gaat versleutelen. Dat maakt het moeilijker voor hackers om je mailtjes te lezen, maar een geheime dienst vallen ze er niet mee lastig.

Daarom concludeert beveiligingsexpert Bruce Schneier dat je mailtjes, ook na de goedbedoelde openbaringen en aankondigingen van je provider, nog steeds niet veilig zijn. Als je de talloze mailtjes die opgeslagen staan op servers van Microsoft, Google en Yahoo moeilijk leesbaar wilt maken voor een geheime dienst, moet je zelf je e-mail gaan versleutelen. Op die manier kan ook je e-mailprovider de e-mails niet meer lezen en zal een geheime dienst als de NSA jouw eigen sleutel gebruiken, willen ze je mailtjes kunnen lezen.

Vorige week publiceerde de Volkskrant een artikel over Nederlandse universiteiten die gebruik maken van de Google cloud. Dat betekent dat studenten en medewerkers gedwongen worden hun data aan Google te geven. Over de voorwaarden is stevig onderhandeld. Een resultaat dat openbaar is gemaakt: Google gebruikt de e-mail niet voor het gericht sturen van advertenties of voor profilering. Het contract tussen Google en de universiteiten is echter geheim. Naar verdere afspraken is het gissen. Wat wel duidelijk is: universiteiten verruilen de kosten van een eigen e-mailserver nu voor de privacy van hun studenten en medewerkers. Het gaat in het artikel om  elf universiteiten. Onder andere door de publicatie in de Volkskrant heeft de Radboud Universiteit besloten niet in zee te gaan met Google.

Het versleuteld opslaan van e-mails, zoals Google dat nu doet, biedt niet heel veel weerstand aan een geheime dienst. Als een gebruiker zijn eigen e-mails gaat versleutelen met een zelfgemaakte sleutel, biedt dat al veel meer weerstand. Dat zo’n manier van versleuteling ooit zal worden toegepast, is in het geval van Microsoft in theorie nog wel mogelijk. Het verdienmodel van Hotmail is namelijk niet het adverteren op basis van de inhoud van mailtjes. Google doet dat wel, waardoor het voor het bedrijf onmogelijk zou worden om nog advertenties te baseren op de inhoud van je mailtje, als het bedrijf daar geen toegang meer toe heeft.

Alleen een verandering in de Amerikaanse wetgeving, het persoonlijk versleutelen van je mailtjes of het overstappen naar andere e-mailproviders maakt het moeilijker voor een geheime dienst om je mailtjes te lezen. Voor universiteiten geldt hetzelfde: de data van medwerkers en studenten is in de handen van Google niet gevrijwaard van de Amerikaanse geheime diensten. Daarnaast prangen er nog twee vragen: is het de kostenbesparing waard om alle universitaire communicatie in handen van een grote internetgigant te leggen? En waar gebruikt Google de data eigenlijk voor?

Binnenkort verschijnt hier en op de website van Bits of Freedom een uitgebreide handleiding die je helpt je eigen e-mail te versleutelen.

Koen Rouwhorst, student Computer Science aan de Universiteit van Twente, houdt een lijst bij van Nederlandse universiteiten en hun e-mailproviders. De lijst van Koen is nog niet af en kan fouten bevatten. Wie wil helpen met het uitbreiden van de lijst, kan zich bij hem melden.

Microsoft wil niet meer zelf in inbox kijken

Brad Smith. Foto: Doc Searls

Brad Smith. Foto: Dog Searls


In een reactie op de commotie die is ontstaan over een doorzochte inbox, kondigt Microsoft nieuwe voornemens aan. Vorige week ontstond er onrust over het nieuws dat het softwarebedrijf een hotmailinbox van een klant had doorzocht.

In de toekomst wil het bedrijf niet meer zelf in een inbox kijken. “Als er sprake is van diefstal van intellectuele of fysieke eigendommen, zullen we ons wenden tot de handhavers van de wet.”, zegt Brad Smith, topman van het bedrijf. Om dit soort situaties in de toekomst beter aan te pakken, start Microsoft ook een discussiegroepje met de Electronic Frontier Foundation en het Center for Democracy and Technology. Zo hoopt het bedrijf zorgen bij de klant weg te nemen.

“We zijn beland in een post-Snowden-tijdperk waarin mensen steeds meer oog hebben voor hoe anderen hun persoonlijke informatie gebruiken. Als bedrijf nemen we deel in de discussie en zoeken we naar een balans.” Dat zijn de woorden die Smith toevoegd aan zijn verklaring op het blog van Microsoft.

Microsoft staat, als het om Hotmail gaat, bekend om de keuze geen e-mail te lezen voor het aanbieden van gerichte advertenties. De keuze om een inbox door te lichten veroorzaakte een golf van verontwaardiging. Een privacy promotende pr-machine moet de smet op het imago nu wegnemen.

Als Carter het zegt…

De oud-president van de Verenigde Staten verstuurt zijn berichten weer via de post. Foto: U.S. Navy

De oud-president van de Verenigde Staten verstuurt zijn berichten weer via de post. Foto: U.S. Navy

“U.S. intelligence monitoring has run out of control.” Dat zijn de woorden van de oud-president van de Verenigde Staten tegen persbureau AP. Hij vertrouwt daarom zijn telefoon niet meer en verstuurt ook alle schriftelijke communicatie gewoon weer in een ouderwetse envelop.

“Als ik een persoonlijke boodschap heb voor een buitenlandse leider, schrijf ik die met de hand en post hem in een envelop. Dat heb ik de afgelopen twee, drie jaar al gedaan. Ik heb het gevoel dat mijn telefoon onder de tap staat en dat mijn e-mail gelezen wordt.”, vervolgt hij.

De uitlatingen van Carter komen op dezelfde dag waarop Obama restricties voor de NSA aankondigt. Hij wil de bewaartijd van telefoondata verkorten van vijf jaar naar achttien maanden en de verantwoordelijkheid voor het bewaren, weghalen bij de NSA en naar de telecombedrijven brengen. Dat schrijft The New York Times. Over het verzamelen en bewaren van e-mail wordt in het bericht niets gezegd.

Microsoft: “E-Mail van gebruiker lezen, dat is een uitzondering.”

metrodeskwinunleaked

Blogger Canouna publiceerde op Winunleaked.info screenshots van Windows 8, nog voordat Microsoft zelf afbeeldingen had vrijgegeven. Het blog bestaat niet meer. Foto: WinUnleaked.info

Als het belang van de zaak ermee gediend is, moet de privacy van de gebruiker even wijken. Met die gedachte doorzocht Microsoft het hotmailaccount van een blogger, op zoek naar de bron die informatie over Windows 8 lekte. De softwaregigant geeft toe, en verantwoordt zich naar het publiek.

Wie het precies is overkomen, is onduidelijk. Sommige bloggers vermoeden dat het de Franse Canouna is geweest. Op zijn blog WinUnleaked.info verschenen afbeeldingen van Windows 8, nog voor die officieel waren vrijgegeven. De informatie kwam van een bron binnen Microsoft. Reden om het hotmailaccount van de blogger eens ondersteboven te houden om te zien wie de softwarecode had vrijgegeven die hem zijn primeurs bezorgden.

Afgelopen donderdag gaf het bedrijf dat toe, een paar dagen na de aanhouding van een ex-werknemer van Microsoft. Het nieuws haalde de BBC, Time, The New York Times en talloze andere media. John Frank, hoofd van de juridische afdeling van Microsoft, schreef een verantwoording waarin hij zegt: “De acties die wij hebben ondernomen vallen binnen de wettelijke kaders.” In de servicevoorwaarden schrijft Microsoft dat het zichzelf toegang kan verlenen tot de communicatiediensten die het bedrijf aanbiedt. Frank voegt daaraan toe: “We gebruiken dit recht alleen in bijzondere omstandigheden.”

Voor Windowsfreaks, journalisten, techbloggers en andere belangstellenden was de blog van Canouna de meest gebruikte bron voor informatie over het nieuwe besturingssysteem.

Op vragen over Hotmail versus Gmail heeft Microsoft altijd gezegd kritisch te zijn tegenover het doorzoeken van e-mail voor commerciële doeleinden. Een verdienmodel zoals dat van Google is taboe. Stuurt een medewerker van Microsoft geheime informatie naar een hotmailaccount, dan is de gebruiker daarvan de dupe en wordt zijn inbox doorzocht. John Frank belooft in zijn verklaring dat het bedrijf op zorgvuldige wijze met dit soort gevallen om te gaan. Zo moet er bijvoorbeeld supervisie plaatsvinden op het moment van het doorzoeken.

[Veiligheid] Risico’s op een rijtje

In een vorige blogpost legde Hugo Leisink uit hoe onveilig e-mail is. Deze week besprak ik met hem hoe criminelen e-mail kunnen gebruiken voor illegale doeleinden. Bijvoorbeeld hoe je computer onderdeel kan worden van een botnet.

De meest voor de hand liggende manier om e-mail te gebruiken voor criminele activiteiten is volgens Hugo phishing. Jaarlijks zijn er tienduizenden mensen slachtoffer van phishing. Maar weinig mensen maken melding van dat soort fraude. Erg begrijpelijk want slachtoffer worden van naïef klikgedrag is natuurlijk niet iets waar je trots op bent.

Dit grafiekje geeft weer hoe zeer het aantal phishingsites dat op .nl eindigt is toegenomen. Beeld: SIDN

Dit grafiekje geeft weer hoe zeer het aantal phishingsites dat op .nl eindigt is toegenomen. Beeld: SIDN

Op de blog van SIDN, het bedrijf achter de .nl-domeinen, schreef Marco Davids in maart 2013 een blogpost over de stijging in phishingsites met .nl-domeinen. In de statistieken van SIDN blijkt dat er tot 2013 een forse steiging heeft plaatsgevonden in het aantal phishingsites. Dat zijn dus nagemaakte websites van banken of creditcardmaatschappijen, waarop internetcriminelen inloggegevens aftroggelen.

Een ander doel waarvoor criminelen e-mail gebruiken is het maken van botnets. Ze bouwen aan een netwerk van computers die precies doen wat zij willen. Iemand die wellicht in zo’n proces betrokken is geweest, is Lucy Heesterbeek. Toen ze op een zondagavond op haar iPhone haar mail wilden checken, kreeg ze van hotmail een melding dat dat niet kon. Toen ze het vervolgens op een vaste computer probeerde, vertelde de e-mailprovider dat haar account wellicht gehackt was.

Lucy: “Ik schrok erg en belde mijn zoon die aan mijn schoonzoon vroeg om het op te lossen. Dat was gelukkig snel geregeld, maar ik vond het toch een onplezierig idee. Ik kreeg al gauw mailtjes van mensen die een mailtje van mij hadden ontvangen met de tekst “Surprise! :)”. In het mailtje zat een link waarop een paar mensen hebben geklikt.”

Volgens Hugo is dat het moment waarop een crimineel je toe kan voegen aan zijn botnet. “Waar er vroeger hobyisten achter een virus zaten, zijn dat nu criminele organisaties. Het doel van het creëren van een botnet is: jouw computer gebruiken voor criminele activiteiten. Bijvoorbeeld het stelen van creditcardgegevens of het versturen van spam. Andere keren wil de eigenaar gebruik maken van de rekenkracht van een heleboel laptops tegelijk.”

Een makkelijk wachtwoord is volgens Hugo dé manier om je account te hacken. “Hackers zijn continu bezig met het invoeren van wachtwoorden bij e-mailaccounts.” Een cadeautje voor hackers is, als er een database van wachtwoorden uitlekt. “Hackers maken dan direct een lijstje van de meest voorkomende wachtwoorden. Daar gaan ze vervolgens accounts mee proberen te hacken.”

Lucy vond zichzelf een erg kwetsbaar doelwit: “Ik had allemaal hele makkelijke wachtwoorden die makkelijk te raden waren. Ik wist wel wat de veiligheidsrisico’s waren, maar ik heb ze nooit op mezelf willen toepassen. Nu heb ik betere wachtwoorden en kies ik niet overal dezelfde.”

Tips om hacken en phishing te voorkomen:

  • Kies een stevig wachtwoord. Gebruik bijvoorbeeld een zin die je makkelijk kunt onthouden en voeg daar hoofdletters, spaties, cijfers en andere tekens aan toe.
  • Klik nóóit op links in mailtjes die je niet vertrouwt. Houd daarbij in het achterhoofd dat banken nooit om klantgegevens vragen. Als je iets niet vertrouwt, kan je het beste je bank bellen.

De naam van Lucy Heesterbeek is gefingeerd

[Veiligheid] Versleuteling is ingewikkeld

pgpgeenresultaten
In de vorige blogpost kon je lezen over het gapend gat dat e-mail heet. E-mail blijkt heel onveilig, maar er zijn wel manieren om het iets veiliger te maken. Eén daarvan is PGP, een al vaker genoemde afkorting.

Ik heb tot nu toe nog geen goede uitleg van dit soort encryptiesoftware kunnen geven. Dat komt vooral doordat het een bijzonder ingewikkeld verhaal is. Het gebruik van PGP is heel eenvoudig. Maar de achtergrond is zo complex dat er maar weinig verhelderende filmpjes en artikelen over bestaan.

Dat is voor mij en Bits of Freedom reden om een dappere poging te doen in één keer PGP uit te leggen. Middels een animatie zoals over de cloud, willen we duidelijk maken waarom het verstandig is om PGP te gebruiken, maar ook hoe het werkt.

Binnenkort hoop ik dus een fimpje te publiceren waarin je de versleutelingstheorie in hapklare brokken krijgt opgediend. Daarvoor hebben we natuurlijk al bestaande artikelen en fimlpjes over PGP nodig. Ben jij weleens een filmpje of artikel tegengekomen dat technisch klopt, maar ook heel begrijpelijk is? Laat het me weten, dan kunnen we daarmee aan de slag.

[Veiligheid] “E-mail is één groot gapend gat”

ansichtkaartcreditcard_web

Foto: Maurits Reijnoudt

Deze week sprak ik met beveiligingsexpert Hugo Leisink. Hij studeerde informatica aan de TU Delft en specialiseerde zich in cryptografie. Nu werkt hij in de vervoer- en transportsector. Ons gesprek ging over de veiligheid van e-mail. Conclusie: e-mail is één groot gapend gat.

Hieronder lees je het volledige transcript van het interview met Hugo.

Hugo Leisink Foto: Hugo Leisink

Hugo Leisink Foto: Hugo Leisink

Wat voor achtergrond heb je?

“Ik heb informatica gestudeerd aan de TU Delft en ben afgestudeerd op het onderwerp cryptografie. Ik heb uitgezocht voor de Nederlandse Politie of het PKI een goed certificatensysteem zou zijn om alle communicatie onderling en met het OM en dergelijken te beveiligen.”

Volgens jou zijn er veiligheidsproblemen die nooit helemaal opgelost zullen worden. Wat voor problemen zijn dat en waarom zijn ze onoplosbaar?

“Ik zie tegenwoordig in allerlei projecten dat mensen beveiliging niet helemaal snappen. Ze kijken vaak naar de techniek, naar firewalls en certificaten. In de praktijk werkt beveiliging niet zo. Er worden geen goede risicoanalyses gemaakt. Dat er geen waterflesjes naar binnen mogen in een vliegtuig, dat er een paspoort bestaat met biometrische gegevens erin, dat er een ov-chipkaart bestaat: het zijn stuk voor stuk geen oplossingen voor de problemen die eraan vooraf gingen.

Laten we eens naar de ov-chipkaart kijken, een beveiligingssysteem. Het enige bestaansrecht van de ov-chipkaart is dat er een probleem was met de verdeling van het geld dat de strippenkaart vroeger kostte. In tabakswinkeltjes en supermarkten, overal kon je de strippenkaart vroeger kopen. Eens in de zoveel tijd kwam het geld op een grote hoop te liggen en moest het verdeeld worden over de vervoersmaatschappijen. Niemand wist hoe het geld eerlijk verdeeld kon worden. Dus kwam er de strippenkaart waarmee je precies kon zien wie welk geld kreeg.
Een rare oplossing voor dit probleem, want vervoersmaatschappijen worden gesubsidieerd door de overheid omdat ze niet rendabel zijn.
Een ander argument om de ov-chipkaart in te voeren is het tegengaan van zwartrijden. Daarvoor kan je ook gewoon de strippenkaart beter beveiligen met oplossingen die veel minder kosten dan zo’n draconisch systeem als de ov-chipkaart.

Op deze manier kijken naar een probleem, gaat voorbij aan de ware aard van het probleem. Mensen die zich bezig houden met de ontwikkeling van dit soort dingen, denken al gauw aan technische snufjes, pasjes, chipjes. Die zijn omslachtig en kosten veel geld.”

Als je op deze manier naar e-mail kijkt, wat denk je daar dan van?

“E-mail werkt volgens een oud, antiek protocol. Ik kan deze denkwijze lastig op e-mail loslaten. E-mail is nooit bedoeld om te beveiligen maar is ontworpen als open communicatiesysteem.”

Dat snap ik, maar er zitten toch wel gaten in die je wilt dichten?

“Nou, er zitten niet zozeer gaten in. Het is gewoon één groot gapend gat. Ik denk dat één van de belangrijkste misverstanden in e-mail is, dat je denkt dat een e-mailadres van jou is. Iedereen kan namelijk namens iedereen een e-mail sturen. Ik vul gewoon een willekeurig adres in, zonder dat er een controlesysteem is dat controleert of er wel met dit e-mailadres mag worden gecommuniceerd. Als je een Gmail of Hotmail-account hebt, merk je daar weinig van als je je browser gebruikt om in te loggen.
E-mail is nooit bedoeld om te controleren. De ontwerpers van het ARPA-net hebben nooit een wereldwijd netwerk in gedachten gehad dat door miljarden mensen gebruikt zou gaan worden. Daarom is het zo naïef opgezet.”

In de Netiquette Guidelines staat: zet niets in e-mail wat je ook niet op een ansichtkaart zou zetten. Klopt deze analogie nog steeds?

“Nee, als je in het achterhoofd houdt hoe er nu omgegaan wordt met ansichtkaarten. Vroeger keek het personeel van PTT nog letterlijk naar de adressen die op de kaart stonden. Ongetwijfeld werd er ook weleens een blik geworpen op de inhoud van de ansichtkaart. Tegenwoordig is het voor de sortering niet meer nodig om het adres te laten lezen door een persoon. De kaart wordt dus door veel minder mensen gelezen.
E-mail lijkt daar nog steeds op en is wat dat betreft nog steeds onveilig. Het belangrijkste daarin is, dat je geen idee hebt wie er mee kan lezen. Ik kan wel ongeveer nagaan welk pad een mailtje bewandelt, maar ik verwacht niet dat er iemand bij mijn provider mijn mailtje gaat lezen. Echter: het belangrijkste is dat ik géén zekerheid heb dat dit niet gebeurt.”

Maar is het dus nog even onveilig als vroeger?

“Nou ja, even onveilig als het nu is om gevoelige informatie op een ansichtkaart te zetten. De kans is heel groot dat mijn ansichtkaart ongelezen aankomt. Maar ik weet het niet zeker. De kans is heel groot dat mijn e-mail ongelezen aankomt, maar ik weet het niet zeker.”

Als de informatie die je verstuurt met e-mail in de ogen van iemand anders waardevol is en je verstuurt de inhoud onversleuteld, dan is dat systeem dus zo lek als een mandje en iedereen kan meelezen als-ie wil?

“Dat is absoluut mogelijk.”

ansichtkaartsleutel_web

“Verstuur absoluut geen vertrouwelijke informatie via e-mail.” Foto: Maurits Reijnoudt

Welke stappen in het proces kun je onderscheiden en dus ook beveiligen?

“Het SMTP-protocol vereist dat een mailtje is opgesteld met headers, een lijstje met servers die het mailtje passeert onderweg naar de ontvanger, de afzender, het tijdstip van verzenden, enzovoorts. Daaronder staat de inhoud. Een PGP-applicatie versleutelt alleen de inhoud. De headers worden dus onversleuteld verstuurd. Deze zijn dus altijd zichtbaar omdat het SMTP-protocol zonder die metadata niet zou werken.

Of iemand kan meelezen met de inhoud heb je dus zelf in de hand. De rest van het mailtje is zichtbaar zodra je het de deur uit doet. Ik kan wel zien of de communicatie tussen de mailservers ook versleuteld is, waardoor je niet in het midden kunt afluisteren wat er wordt gecommuniceerd tussen de servers, maar wat er na het versturen naar mijn eigen server gebeurt, daar heb ik geen grip op. Het is het meest realistisch om er van uit te gaan dat jouw mail niet versleuteld wordt verstuurd.

Maar versleutelde communicatie tussen mailservers biedt, als je veiligheidsdiensten in je achterhoofd houdt, een schijnveiligheid. De AIVD kan namelijk gewoon toegang vragen tot een server en op die manier alle mailtjes lezen. Het is dus niet reëel om te zeggen dat versleutelde communicatie tussen servers de ultieme oplossing is.”

Welke belangen spelen er in de beveiliging van e-mail?

“Technisch is het mogelijk om e-mail tot op zekere hoogte te beveiligen. In onze conversatie over dit interview hebben we de inhoud versleuteld. Echter, zoals jij ook weet, is de werking van PGP niet makkelijk uit te leggen aan de gemiddelde Nederlander. Dat maakt het heel onwaarschijnlijk dat een groot publiek zijn e-mail versleuteld gaat versturen.
Daar komt bij dat niemand de dreiging ziet. Weinig mensen snappen hoe beveiliging werkt. Bijna niemand ziet de trend in privacyschending. Wie weet wat grote bedrijven doen met hun data?

Om een antwoord op de vraag te geven: er spelen geen belangen in beveiliging. Het wordt niet doelbewust zwak gehouden. Zwakker dan het nu is, kan je het bijna niet krijgen.”

Wat zou je mensen adviseren aangaande hun e-mailgebruik?

“Veel mensen zeggen altijd: “Ik heb niets te verbergen. Ik stuur namelijk alleen maar onschuldige mailtjes over verjaardagsfeestjes en een borrel bij de buren.” Ik zou zeggen: houd het daar dan ook bij. Verstuur absoluut geen privé-informatie via e-mail. Stuur geen creditcard-gegevens via e-mail als het hotel dat je wilt boeken daarom vraagt. Dat is echt ontzettend stom. Je weet niet of het onderschept wordt en je weet ook niet waar het dan is misgegaan en wie het heeft onderschept, op het moment dat er op jouw naam schulden worden gemaakt.
Wat je niet op een ansichtkaart zet, moet je ook niet mailen, tenzij je PGP gaat gebruiken.”

Toch wordt binnen bedrijven e-mail veel gebruikt. Wat vind jij daarvan?

“Ik kijk er al niet meer van op als ik zie wat mensen per e-mail sturen. Dat gaat van vertrouwde stukken als offertes, tot aan persoonsgegevens. Gevoelige informatie. Alles wordt per e-mail verstuurd. Dat vind ik heel dom, maar het is moeilijk te verkopen dat het onverstandig is. Het gaat namelijk heel vaak goed.
Maar als het fout gaat, heb je er geen zekerheid van dat dat via dat mailtje is gegaan dat jij onversleuteld verstuurde. Je weet niet wie je mail heeft onderschept en al helemaal niet óf dat is gebeurd.

Omdat iedereen nu mailt op zijn telefoon is het heel makkelijk om door middel van die telefoon in te breken op iemands inbox. Je kan niet zeggen: “Ik heb niets te verbergen.” Je weet namelijk niet waar een ander naar op zoek is en welke waarde er dus in jouw inbox zit.”