In een vorig artikel bespraken we de installatie van router-firewall OPNsense, waarmee je inbrekers buiten de deuren van je systeem houdt. Nu gaan we wat dieper in op de mogelijkheden van dit veelzijdige besturingssysteem.

Toegang via ssh en seriële console

De webinterface is niet de enige manier om toegang te krijgen tot OPNsense. Op de pagina System / Settings / Administration vind je de instellingen voor de drie manieren: web, ssh en seriële console. Bij de eerste kun je bijvoorbeeld een ssl-certificaat instellen, dat je eerst in System / Trust Certificates dient aan te maken. Onder Console staan de instellingen voor de seriële console, waartoe je via een seriële (usb-)kabel en een terminalprogramma zoals PuTTY toegang krijgt. Handig als je door verkeerde netwerkinstellingen jezelf hebt buitengesloten uit je OPNsense-machine.

De ssh-toegang staat standaard uitgeschakeld. Vink Enable Secure Shell aan om de ssh-server te starten. Eventueel vink je Permit root use login en Permit password login aan, maar het is eerder aan te raden om in System / Access / Users een gebruiker aan te maken en daar bij Authorized keys de publieke sleutel van de gebruiker te plakken.

Websites blokkeren

Met OPNsense kun je ook eenvoudig zelf websites of andere netwerktoegangen blokkeren. Dat doe je door je eigen regels toe te voegen in het tabblad User defined van het IPS. Klik op het plusteken rechts en vul bij Source IP het ip-adres in van de machine die geen toegang tot de website mag hebben (laat leeg voor alle machines). Bij Destination IP vul je het ip-adres van de website in.

Handig is dat je hier ook de vingerafdruk van het certificaat van een website kunt invoeren. Wil je bijvoorbeeld de toegang tot Facebook blokkeren, klik dan in je webbrowser op de eigenschappen van het certificaat van Facebook en kopieer de sha1-vingerafdruk. Plak die in het veld SSL/Fingerprint en stel Action in op Drop. Klik op Save changes om je regel toe te voegen. Daarna moet je wel eerst de browsercache van je computers legen, zodat ze opnieuw het certificaat van Facebook downloaden en OPNsense de website blokkeert.

©PXimport

Dns over tls

Je kunt ook dns over tls inschakelen voor je hele netwerk. OPNsense schakelt standaard de dns-server Unbound (ontwikkeld door NLnet Labs) in en geeft via dhcp het ip-adres van zichzelf als dns-server door aan de computers op je netwerk. Die gebruiken daardoor allemaal Unbound om domeinen op te vragen.

Als je op je OPNsense-machine via ssh inlogt en dan het netwerkverkeer op je wan-poort afluistert, bijvoorbeeld met de onderstaande opdracht (met igb1 voor je wan-interface), zie je alle dns-aanvragen onversleuteld voorbijkomen:

Daar gaan we nu iets aan doen. Ga naar Services / Unbound DNS / General en klik op Show advanced options. In het tekstveld Custom options dat nu verschijnt, kun je regels aan het configuratiebestand van Unbound toevoegen. Als je bijvoorbeeld de DoT-provider dns.sb wilt gebruiken, vul hier dan het volgende in:

Klik daarna onderaan op Save om je wijzigingen op te slaan en bovenaan op Apply changes om ze door te voeren. En als je nu weer met tcpdump het netwerkverkeer op udp-poort 53 afluistert, zie je normaal gesproken niets voorbijkomen.

Dns-verkeer omleiden

Met de opdracht

853 zie je wel het verkeer naar de DoT-server, maar dat is versleuteld. Let op: de aanvragen van de computers op je netwerk naar je OPNsense-machine zijn nog onversleuteld, het is alleen het doorsturen van de aanvragen van je OPNsense-machine naar internet dat via de DoT-server gaat. Dat kun je eenvoudig controleren (met igb0 voor je lan-interface):

Zo kun je nog altijd de dns-aanvragen van computers in je netwerk onversleuteld op de lan-interface zien binnenkomen.

Om nu zeker te zijn dat alle dns-verkeer via de ingestelde DoT-server gaat, dien je de netwerkconfiguratie in System / Settings / General na te kijken. Zorg dat er bij DNS servers niets ingevuld staat en dat Allow DNS server list to be overridden by DHCP/PPP on WAN en Do not use the local DNS service as a nameserver for this system niet aangevinkt zijn. Controleer daarna met de opdracht

op je OPNsense-machine of alleen 127.0.0.1 als dns-server ingeschakeld staat.

©PXimport

Advertenties blokkeren

Het IPS blokkeert bedreigingen op basis van regels, maar je kunt nog veel eenvoudiger via dns allerlei domeinen blokkeren, bijvoorbeeld voor advertenties en malware. Dat doe je met een dns-blocklist (vaak afgekort tot dnsbl). OPNsense biedt standaard die mogelijkheid niet via de webinterface, maar er bestaat een extra plug-in die je het wel op een relatief eenvoudige manier laat configureren: UnboundBL.

Op het moment van schrijven zat UnboundBL nog niet in de officiële lijst met plug-ins. Log daarom eerst als root in op je OPNsense-machine en voer de volgende opdracht uit om de tools te installeren die nodig zijn om plug-ins te compileren:

Download dan de recentste versie van UnboundBL:

Ga dan naar de zojuist gedownloade directory, compileer de plug-in en installeer ze:

Die laatste regel is nodig omdat de installatie de scripts van UnboundBL door een fout niet uitvoerbaar maakt. Op het moment dat je dit leest, is de fout misschien al opgelost.

De instellingen van UnboundBL vind je nu onder Services / Unbound DNS / DNSBL. Vink Enable aan en vul in het tekstveld Blocklist URL(s) een url in van een blocklist. Op The Big Blocklist Collection vind je er heel wat. Andere populaire lijsten zijn die van Steven Black en zelf hebben we goede ervaringen met die van de Nederlander sjhgvr.

Ga daarna naar Services / Unbound DNS / General en voeg in het tekstveld Custom options (alleen te zien als je Show advanced options ingeschakeld hebt) de volgende regel toe:

Klik daarna op Save en Apply changes. Elke keer dat je iets aan je zwarte lijst verandert, dien je Unbound te herstarten door in Dashboard bij Unbound rechts op het icoontje met de twee pijltjes in een cirkel te klikken. Let op: het herstarten kan even duren als je een grote blacklist hebt. Vanaf nu worden alle dns-aanvragen naar domeinen die in de zwarte lijst staan geblokkeerd.

Het enige wat je nog dient te doen, is regelmatig je blacklist bijwerken door in de instellingen van UnboundBL op Save te klikken en Unbound te herstarten. Overigens kun je hier ook domeinen die onterecht geblokkeerd worden aan een whitelist toevoegen.

Plug-ins in OPNsense

Het is mogelijk om in OPNsense plug-ins te installeren om de functionaliteit uit te breiden. Je vindt de lijst in het menu System / Firmware / Plugins. Zo vind je er plug-ins om tls-certificaten op te halen met Let’s Encrypt, om webpagina’s te cachen, om binnenkomende bestanden te scannen op virussen, om je verbindingssnelheid te testen, om je netwerkverkeer te monitoren, om machines te wekken via Wake-on-lan, en ook enkele thema’s voor de webinterface.

©PXimport

Met een klik op het icoontje met de letter i rechts van een plug-in krijg je wat meer informatie. Een klik op het plusteken installeert de plug-in. Sommige plug-ins zijn na installatie bereikbaar in een van de submenu’s van OPNsense; andere werken puur op de opdrachtregel of starten een webinterface op een eigen poort op.

Let er wel mee op dat je niet te veel plug-ins installeert: als je immers onbetrouwbare, kwetsbare of voor je hardware te zware software installeert, heeft dit een grote impact op je netwerk.

Monitor je netwerkverkeer met ntopng

De ingebouwde monitoringmogelijkheden van OPNsense tot slot zijn al niet slecht, maar je kunt dit nog uitbreiden met enkele plug-ins. Een interessante is ntopng. Als je na de installatie van ntopng en redis (nodig voor ntopng) de pagina herlaadt, vind je onder het menu Services nieuwe submenu’s: Ntopng en Redis. Schakel eerst Redis in (de standaardinstellingen zijn oké) en daarna Ntopng (ook hier zijn de standaardinstellingen in orde). Log daarna via je webbrowser in op poort 3000 van het ip-adres van je OPNsense-machine met gebruiker admin en wachtwoord admin.

De eerste keer dat je je aanmeldt, wordt je gevraagd om je wachtwoord te veranderen. De interface van ntopng ziet er wat gedateerd uit, maar biedt je een ongelooflijk inzicht in je netwerk en op elke pagina kun je doorklikken om je zoektocht te filteren.

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Daarom speuren we een paar keer per week binnen een bepaald thema naar zulke deals. Dit keer hebben we vijf DAB+-radio's voor je gevonden die je ook nog eens heel makkelijk meeneemt, op vakantie bijvoorbeeld.

Digitale radio via DAB+ (Digital Audio Broadcasting) biedt een helder en storingsvrij radiosignaal, met een steeds groter zenderaanbod. Dat maakt het luisteren een stuk aangenamer. Dankzij modellen met ingebouwde accu of batterijen ben je niet gebonden aan een stopcontact. Voeg daar een netstroomaansluiting aan toe en je hebt een toestel dat net zo makkelijk op de camping als op het aanrecht in de keuken dienst kan doen.

Denver DAB-18 Radio DAB+

De Denver DAB-18 is een compacte DAB+/FM-radio die een retro uiterlijk combineert met moderne functionaliteit. De geïntegreerde Bluetooth-functie maakt het mogelijk om draadloos muziek te streamen vanaf je smartphone of tablet. Daarnaast beschikt de radio over een AUX-ingang voor het aansluiten van externe apparaten. Met de dubbele alarmfunctie en snoozefunctie is de DAB-18 ook geschikt als wekkerradio. Het dimbare lcd-display toont duidelijk informatie over zenders en instellingen. De radio werkt zowel op netstroom als op 4 C-batterijen. Met 20 voorkeuzezenders (10 DAB+ en 10 FM) heb je snel toegang tot je favoriete stations.

Audizio Milan

De Audizio Milan is een compacte draagbare DAB+/FM-radio. De Milan biedt zowel DAB+ als FM-ontvangst, waardoor je kunt genieten van een breed scala aan radiostations met heldere geluidskwaliteit. Dankzij de Bluetooth-functionaliteit kun je draadloos muziek streamen vanaf je smartphone of tablet. Met de ingebouwde 2000mAh-accu heb je genoeg stroom voor zo'n 10 uur luisterplezier, en kan de radio via usb worden opgeladen. Het 2,4-inch kleurendisplay toont duidelijk informatie over zenders en instellingen.

Grundig DTR 4500 BT DAB

De Grundig DTR 4500 BT DAB heeft Bluetooth 5.0-functionaliteit en kun je naast het luisteren naar DAB-stations ook gebruiken om te streamen vanaf je smartphone of tablet. De radio beschikt over een 2.0 stereo luidsprekersysteem met een totaal vermogen van 10 watt RMS. Het 2,4-inch kleurendisplay biedt duidelijke informatie over zenders en instellingen, en de helderheid is in drie stappen aan te passen. Hoewel de DTR 4500 BT DAB geen ingebouwde accu heeft, kan hij natuurlijk wel gewoon op netstroom worden aangesloten.

Lenco PDR-040EF Bambus

De Lenco PDR-040EF Bambus is gemaakt van echt bamboe en gerecycled ABS met tarwevezel, wat niet alleen een mooie uitstraling geeft, maar ook bijdraagt aan duurzaamheid. Met Bluetooth 5.0-functionaliteit kun je eenvoudig muziek streamen vanaf je smartphone of tablet. De radio beschikt over een 3 watt RMS luidspreker en een passieve basradiator. De ingebouwde 2000mAh accu biedt tot 16 uur afspeeltijd via Bluetooth en tot 12 uur via FM of DAB+, waardoor je de hele dag kunt genieten van je favoriete muziek, zowel thuis als onderweg. Daarnaast is de radio uitgerust met een klok- en alarmfunctie, een 3,5 mm hoofdtelefoonaansluiting en een telescoopantenne.

Kenwood CR-M30DAB-R

Deze compacte Kenwood kan overweg met FM-radio en DAB+. De radio beschikt over Bluetooth-functionaliteit, waardoor je draadloos muziek kunt streamen vanaf je smartphone of tablet. Dankzij de geïntegreerde oplaadbare batterij kun je tot 7 uur genieten van je favoriete muziek zonder dat je een stopcontact nodig hebt. Daarnaast is de radio voorzien van een helder LCD-scherm dat informatie over zenders en instellingen duidelijk weergeeft. Met de mogelijkheid om zowel op netstroom als op de interne accu te werken, kun je de CR-M30DAB op verschillende manieren gebruiken.

Bij het versturen van je e-mails heb je geen garantie dat er niemand meeleest. Je berichten kunnen onderweg door onbevoegden worden onderschept en gelezen. Wil je dit risico absoluut voorkomen? Dan kun je ervoor kiezen om je berichten voortaan te versleutelen. Als je dat doet, kan alleen de beoogde ontvanger, degene die over de juiste sleutel beschikt, jouw bericht lezen.

Een vertrouwelijk bericht zet je niet snel op een ansichtkaart. Die stop je bij voorkeur in een gesloten envelop. Dit geldt natuurlijk ook voor een vertrouwelijk bericht dat je via e-mail verstuurt. Ook daarvan wil je niet dat anderen die zomaar lezen. Dat risico loop je wel, want ook bij e-mail is je bericht (onderweg) vaak probleemloos leesbaar, op diverse mailservers.

Wat je hiertegen kunt doen, is je bericht beveiligen. Dit kun je op een eenvoudige manier doen door je bericht in een tekstbestand op te nemen en als versleuteld zip-bestand mee te sturen. Dit kan bijvoorbeeld met de gratis tool 7-Zip. Je deelt het wachtwoord dan via een apart kanaal, bijvoorbeeld telefonisch, of met een beveiligde chatapp als WhatsApp of Signal. Deze aanpak is alleen nogal bewerkelijk en bovendien wordt alleen de bijlage versleuteld, niet je gehele bericht.

In dit artikel bespreken we daarom twee gratis methoden om een volledige e-mail, inclusief bijlagen, te versleutelen. De eerste optie is relatief eenvoudig: je verstuurt je berichten via een online maildienst, zoals Proton Mail. De tweede manier is wat technischer en maakt gebruik van de gratis mailapp Thunderbird gecombineerd met OpenPGP. Deze methode is voor wie geen extra mailservice wil gebruiken.

Account creëren bij Proton Mail

Er zijn verschillende online diensten beschikbaar voor het versturen van versleutelde e-mails. Omdat je berichten tijdelijk op hun servers worden opgeslagen, is het verstandig te kiezen voor aanbieders die zijn gevestigd in landen met sterke privacywetten, zoals Tutanota uit Duitsland en Proton Mail uit Zwitserland. Beide zijn vergelijkbaar en bieden in hun gratis versies ongeveer dezelfde functionaliteit. Wij gebruiken Proton Mail als voorbeeld.

Ga naar de site, klik op Create a free account en kies Get Proton for free. Je krijgt 1 GB opslagruimte, geschikt voor één gebruiker en één e-mailadres. Wil je meer, dan biedt Mail Plus extra opties voor ongeveer 4 euro per maand. Vul een Gebruikersnaam en een sterk Wachtwoord in (twee keer). Bij Gebruikersnaam kun je kiezen tussen @proton.me en @protonmail.com. Bevestig met Account aanmaken. Na een captcha-test kun je een weergavenaam voor je account instellen. Klik op Doorgaan om optioneel een herstelmethode in te stellen voor als je je wachtwoord vergeet.

Je kiest zelf een geschikte weergavenaam voor je e-mailaccount bij Proton Mail.

Mails verzenden

In je online dashboard kun je (versleutelde) mails verzenden en ontvangen. Wil je liever een app gebruiken, klik dan rechtsboven op het tandwielpictogram en kies Download de Proton Mail-apps voor mobiele apparaten (Android en iOS) of computers (Windows, macOS en Linux). Voor sporadisch gebruik voldoet de webversie prima.

Klik linksboven op Nieuw bericht om een versleuteld bericht te maken. Vul in het Aan-veld bijvoorbeeld je eigen Proton-adres in om te testen. Voeg een Onderwerp en berichttekst toe en verstuur indien gewenst een bijlage via het paperclipicoon. Klik op Verstuur om het bericht te verzenden; dat verschijnt even later in je inbox.

Versleutelde berichten kun je op dezelfde manier naar andere Proton Mail-gebruikers sturen. Voor het verzenden van versleutelde mails naar andere e-mailadressen klik je onderaan het dialoogvenster op het sloticoontje, of je gebruikt de toetscombinatie Ctrl+Shift+E. Stel een Wachtwoord en optionele Wachtwoord hint in en bevestig met Versleuteling instellen. Klik daarna op Verstuur. De ontvanger ontvangt een mail van Proton met jouw berichttitel en een knop Unlock message. Door hierop te klikken, opent de ontvanger Proton Mail in zijn browser. Na het invoeren van het juiste wachtwoord kan hij het bericht lezen en ook Veilig beantwoorden.

Je kunt (via de online server) ook versleutelde berichten versturen naar mensen die Proton Mail niet gebruiken.

Meer technische aanpak met Thunderbird

Diensten als Proton Mail maken het makkelijk om versleutelde berichten te versturen, maar je bent afhankelijk van een externe provider en hebt geen controle over de versleuteling. De gratis versie kent daarnaast enkele beperkingen. Als je niet terugschrikt voor een meer technische aanpak, is een mailclient als Thunderbird, met uitstekende ondersteuning van de encryptiestandaard OpenPGP, een goed alternatief.

Download de app via www.thunderbird.net. Deze werkt op diverse platformen, waaronder Windows, macOS en Linux. We richten ons hier op de Windows-versie. Installeer de app en start deze op. Bij de eerste start verschijnt het venster voor het aanmaken van een e-mailaccount automatisch.

Thunderbird is voor diverse platformen beschikbaar, zowel mobiel als desktop.

Accountconfiguratie

Vul je naam, e-mailadres en bijbehorend wachtwoord in. Gaat het om een bekende mailprovider, zoals @gmail.com, dan haalt Thunderbird automatisch de vereiste serverconfiguratie uit zijn database zodra je op Doorgaan klikt. Werkt dit niet, klik dan op Handmatig configureren en vul zelf de gegevens in voor de inkomende en uitgaande mailserver. Afhankelijk van je mailprovider kun je vaak kiezen tussen IMAP (berichten blijven op de server en worden lokaal gesynchroniseerd) en POP3 (berichten worden alleen lokaal bewaard). Controleer je configuratie met Opnieuw testen. Krijg je groen licht, bevestig dan met Gereed en OK.

Je kunt op elk moment nieuwe e-mailaccounts toevoegen, ook van andere mailproviders. Dit doe je via het knopje met de drie streepjes rechtsboven, waar je opnieuw Nieuwe account / E-mail kiest om in het bekende configuratievenster te komen.

Wil je Thunderbird verder configureren en afstemmen, open dan Instellingen en bekijk de rubrieken zoals Algemeen, Opstellen, Privacy & Beveiliging, Chat of Exporteren voor Mobiel. We hebben helaas niet de ruimte om hier dieper op in te gaan.

Als het goed is, diept Thunderbird de nodige serverconfiguratie uit zijn database op.

Sleutels creëren

We gaan ervan uit dat je inmiddels een of meerdere e-mailaccounts in Thunderbird hebt aangemaakt en probleemloos mails kunt versturen en ontvangen. Nu is het belangrijk om dit ook met versleutelde berichten te doen. Thunderbird heeft hiervoor het protocol OpenPGP geïntegreerd. Hiervoor is een sleutelpaar nodig (zie het kader ‘OpenPGP’). De eerste stap is het aanmaken van dit sleutelduo.

Klik op het knopje met de drie puntjes en kies Extra / OpenPGP-sleutelbeheerder. Er opent een dialoogvenster waarin je op Aanmaken klikt en Nieuw sleutelpaar selecteert. Gebruik het pijlknopje bij Identiteit om het gewenste e-mailadres te kiezen. Laat de overige instellingen, zoals geldigheidsduur (standaard 3 jaar, of selecteer eventueel Sleutel vervalt niet), type (RSA) en grootte (3072 bits), gerust ongemoeid. Klik op Sleutel aanmaken en Bevestigen. Je nieuwe sleutelpaar wordt direct aan de sleutelbeheerder toegevoegd.

Weet dat je van hier vanuit het contextmenu ook altijd een sleutel kunt intrekken en zelfs verwijderen. Let wel, in dit laatste geval kun je reeds ontvangen berichten dan ook niet meer ontsleutelen.

Je bepaalt zelf de geldigheidsduur van een aangemaakte sleutel.

Exporteren

Om een versleuteld bericht te versturen, heb je de publieke sleutel van de ontvanger nodig. Omgekeerd heeft iemand jouw publieke sleutel nodig om jou een versleutelde mail te sturen. Er zijn verschillende manieren om deze sleutel beschikbaar te maken.

Je kunt je publieke sleutel bewust exporteren. Klik rechts op de gewenste sleutel in de sleutelbeheerder, kies Sleuteleigenschappen en zorg dat Ja, deze sleutel als een persoonlijke sleutel behandelen is geselecteerd. Bevestig met OK, klik opnieuw met rechts op de sleutel en selecteer Publieke sleutel(s) per e-mail verzenden en verstuur het bericht naar de ontvanger(s).

Een alternatief is je sleutel publiceren in de OpenPGP Key Repository. Kies in het contextmenu Publieke sleutel(s) exporteren naar bestand en sla het bestand […]-public.asc op een geschikte locatie op. Dit zogeheten ASCII-armored bestand (met de publieke sleutel tussen de headers PGP PUBLIC KEY BLOCK), kun je gerust bekijken met een teksteditor.

Voor registratie ga je naar https://key.openpgp.org. Klik op Uploaden en op Bestand kiezen. Verwijs naar het asc-bestand, bevestig met Upload, klik op Verzend verificatie-e-mail en volg de link in de bevestigingsmail. De registratie van je identiteit wordt op de webpagina bevestigd.

In enkele stappen exporteer je je publieke sleutel vanuit de sleutelbeheerder.

Importeren en zoeken

De publieke sleutel is nu beschikbaar, zodat je naar het bijbehorende e-mailadres een versleuteld bericht kunt sturen. Maar hoe importeer je zo’n publieke sleutel? Als je de sleutel als bijlage via e-mail in Thunderbird hebt ontvangen, kun je deze meestal direct importeren via de knop OpenPGP nabij de e-mailheader. Zie je deze knop niet, dan kun je dit handmatig doen.

Bewaar de asc-bijlage op je pc, open vervolgens de OpenPGP-sleutelbeheerder in Thunderbird, ga naar het menu Bestand en kies Publieke sleutel(s) importeren uit bestand. Selecteer het opgeslagen asc-bestand, kies Geaccepteerd (niet geverifieerd) en bevestig met Importeren. Klik daarna op Details bekijken en sleutelacceptatie beheren. Als je zeker bent dat de sleutel afkomstig is van de juiste persoon, selecteer je Ja, ik heb persoonlijk geverifieerd dat deze sleutel de juiste vingerafdruk heeft. Bevestig met OK (twee keer) en Sluiten.

Als de sleutel is geregistreerd in de OpenPGP Key Repository, kun je deze ook zelf opzoeken. Ga naar https://keys.openpgp.org en zoek met het e-mailadres, de sleutel-ID of de digitale vingerafdruk. Zodra je de juiste sleutel vindt, klik je erop om deze te downloaden en vervolgens te importeren zoals hierboven beschreven.

Je kunt het zoekproces ook direct in Thunderbird starten. Open de OpenPGP-sleutelbeheerder, ga naar het menu Sleutelserver en kies Sleutels online ontdekken. Vul een e-mailadres of sleutel-ID in. Als de beoogde sleutel wordt gevonden, verschijnt automatisch het inmiddels vertrouwde importvenster.

Je kunt ook direct vanuit Thunderbird online naar publieke sleutels zoeken.

Check-up

Je hebt nu de publieke sleutel van de ontvanger, maar een extra controle is toch belangrijk. Klik op het knopje met de drie streepjes, kies Accountinstellingen en open End-to-end-versleuteling bij het gewenste e-mailadres. Staat bij OpenPGP de optie Geen geactiveerd, selecteer dan de juiste sleutel. Klik op het pijlknopje en vervolgens op Sleuteleigenschappen om deze te controleren. Sluit af met OK.

Vanuit dit venster kun je je openbare sleutel ook registreren op https://keys.openpgp.org. Dit die je via de knop Publiceren.

De volgende stap is normaal gesproken niet nodig, maar mocht het toch niet lukken om versleutelde berichten te versturen, controleer dan het volgende. Klik opnieuw op het knopje met de drie streepjes, kies Instellingen, open Algemeen en scrol helemaal tot bij de knop Configuratie-editor. Klik hierop, zoek naar Mail.openpgp.enable en druk op de knop Omschakelen totdat True verschijnt. Daarna mg je de editor afsluiten.

Zorg dat de juiste sleutel aan je e-mailadres is gekoppeld.

Versturen

Alles is nu gereed om berichten met OpenPGP-encryptie te versturen. Open je Postvak IN en klik op +Nieuw bericht. Vul zoals gebruikelijk de velden Aan en Onderwerp in en typ je tekstbericht. Zorg ervoor dat je in het Aan-veld alleen e-mailadressen invoert waarvoor je al een publieke sleutel hebt geïmporteerd. Klik daarna op Versleutelen in de knoppenbalk.

Klik op het pijlknopje bij OpenPGP en vink Onderwerp versleutelen aan, zodat ook de onderwerpregel is afgeschermd. Eventueel kun je Digitaal ondertekenen aanvinken. Hiermee wordt een hash (een mathematisch gegenereerde samenvatting) van je bericht versleuteld met je private sleutel. Op die manier kan deze alleen met je publieke sleutel worden ontcijferd. Dit bevestigt voor de ontvanger dat het bericht echt van jou afkomstig is. Verzend het bericht vervolgens.

Een ontvanger die je bericht in Thunderbird opent (of in een andere e-mailclient met OpenPGP-ondersteuning), hoeft verder niets extra’s te doen. Hij ziet via icoontjes dat het bericht is versleuteld (hangslot met groen vinkje) en digitaal is ondertekend (zegel). Verschijnt er een rood driehoekje, klik hierop, want dan is er een probleem.

Naast versleutelen kun je een bericht digitaal ondertekenen.