Beveilig je pc zonder door te draaien
Een goede digitale beveiliging kost altijd enige moeite. Hoeveel moeite, dat bepaal je helemaal zelf. Als je iemand bent die alles uit de kast haalt met wachtwoorden van 64 karakters en een tweede internetloze laptop, dan is deze handleiding niks voor jou. Zoek je een mooie balans? Lees dan verder!
Dit is een handleiding voor praktisch ingestelde mensen. Mensen die een gezonde dosis pc-beveiliging willen, maar met zo min mogelijk gedoe (zoals het gebruik van sleutelhangers voor twee-staps-authenticatie, ingewikkelde wachtwoorden en het instellen van e-mailencryptie). We kunnen je geen volledig pijnloze ervaring beloven, maar we zullen laten zien hoe je een goede beveiliging kunt instellen die je wachtwoorden, e-mail, harde schijf en gevoelige usb-drives zo veilig mogelijk houdt, zonder het al te gek te maken.
Een sterk wachtwoord, de beste verdediging
Goede computerbeveiliging en privacy begint bij sterke wachtwoorden. Uiteraard zijn er serieuze kritieken over hoe online diensten met wachtwoorden omgaan, en Apple probeert met TouchID op de iPhone 5s biometrie mainstream te maken, maar momenteel zijn wachtwoorden nog steeds de beste oplossing om pottenkijkers bij onze data uit de buurt te houden.
©PXimport
KeePass is een prima gratis programma.
Het probleem met wachtwoorden is dat ze echt willekeurig, uniek, en relatief lang moeten zijn om enig nut te hebben. Daarom zijn wachtwoordmanagers handig: Deze programma's helpen je om compleet willekeurige wachtwoorden te genereren en deze veilig op te slaan, zodat je slechts een handjevol wachtwoorden van 10 karakters hoeft te onthouden in plaats van 15 of 20.
KeePass en LastPass zijn allebei goede, gratis wachtwoordmanagers die de moeite waard zijn. KeePass is populair omdat het open source is en een aantal interessante functies heeft, zoals keylogger en beveiligde notities.
Maar het probleem met KeePass is dat het geen online component heeft om wachtwoorden met verschillende apparaten te synchroniseren. Dat betekent dat je zelf een cloud synchronisatiemethode zult moeten instellen met behulp van Dropbox of een andere cloudopslagdienst.
Een ander goed alternatief - en mijn persoonlijke favoriet - is LastPass. Net als KeePass biedt LastPass wachtwoordgeneratie en versleutelde notities, maar het programma synchroniseert ook je versleutelde database met wachtwoorden naar de cloud zodat je deze op verschillende apparaten kunt benaderen. LastPass is beschikbaar als gratis browser plug-in, en voor 12 dollar kun je ook de mobiele LastPass-app gebruiken. Alle technische details staan op de LastPass website.
©PXimport
LastPass versleutelt je wachtwoorddatabase voordat deze naar de cloud wordt verzonden.
Wachtwoordmanagers zijn een vrij persoonlijke keuze en zullen vooral afhankelijk zijn van je persoonlijke behoeften en hoeveel vertrouwen je hebt in een commercieel bedrijf zoals LastPass of nieuwkomer Dashlane.
Mail versleutelen
De meeste mensen gebruiken het liefste web-gebaseerde e-mail-apps zoals Gmail, omdat het sneller en veel eenvoudiger is om een webpagina te openen dan een desktop-app te laden. Maar als je je e-mail tegen nieuwsgierige blikken moet beschermen is een ouderwetse desktop e-mailclient in combinatie met OpenPGP public-private key encryptie de beste optie.
E-mail wordt standaard als platte tekst over het internet verstuurd, wat betekent dat een vastbesloten gluurder je bericht zou kunnen onderscheppen en lezen. Encryptie helpt dit te voorkomen door het vrijwel onmogelijk te maken voor iemand die niet de ontvanger is om het bericht te ontcijferen. OpenPGP is een prima open source encryptiesysteem dat je kunt gebruiken om versleutelde e-mails te versturen. Het probleem is dat je alleen e-mails naar mensen die ook een implementatie van OpenPGP hebben kunt versleutelen. Dus als je van plan bent om gecodeerde e-mails met iemand uit te wisselen, zorg er dan voor dat die persoon in staat is om ze te ontcijferen.
Encryptie is bovendien alleen zo veilig als de mensen die het gebruiken. Als iemand je e-mail ontcijfert, deze als platte tekst kopieert en naar iemand anders doorstuurt, is je encryptie natuurlijk niet effectief. Malware kan ook encryptie dwarszitten door data in versleutelde staat te onderscheppen. Dus vergeet niet dat, hoewel encryptie ongetwijfeld veiliger is dan gewone e-mail, het niet waterdicht is.
Tot slot, bedenk dat e-mail metadata nooit versleuteld wordt. Dus je kunt de onderwerpregel of het e-mailadres van degene met wie je correspondeert niet verbergen.
De eerste stap is het downloaden en installeren van de Mozilla Thunderbird e-mailclient voor het account dat je voor encryptie en ondertekende e-mail wilt gebruiken. Thunderbird heeft een plug-in die het heel eenvoudig maakt om OpenPGP in te stellen (de uitvinder van PGP raadt ook HushMail aan.) Download en installeer daarna de OpenPGP key management-software Gpg4win.
Creëer je eigen sleutelpaar: Open Thunderbird, klik op het menu-icoon in de rechterhoek, en selecteer Add-ons. Zoek in het volgende venster naar Enigmail en klik op Install. Nadat de Enigmail installatie voltooid is, sluit Thunderbird af en open het opnieuw.
Nu heb je alle benodigde tools om je eigen sleutelpaar te creëren. Ga terug naar het menu-icoon en selecteer OpenPGP > Key Management. Wanneer het venster Key Management geopend wordt, selecteer Generate > New Key Pair.
©PXimport
Enigmail's Key Management-venster.
De meeste standaardinstellingen in dit venster zouden moeten voldoen. Maar ik raad aan om een wachtwoordzin voor je sleutels aan te maken. Als je dat niet doet en Thunderbird wil ineens dat je een wachtwoord invult terwijl je er geen hebt (dat overkwam mij), dan zit je in de problemen.
Wanneer je klaar bent om de geweldige wereld van OpenPGP e-mail binnen te gaan, klik op Generate key. Na een paar minuten zal je sleutel gereed zijn.
©PXimport
Bespaar jezelf problemen, en maak een wachtwoord aan.
Zodra je sleutelpaar klaar is zal Enigmail je aanraden om een herroepingscertificaat aan te maken. Dit is een uiterst belangrijke stap, en ik raad je dan ook ten zeerste aan om dit te doen: Een herroepingscertificaat is een simpel bestand met de extensie .ASC die je kunt gebruiken om je sleutels ongeldig te maken, in het geval je je wachtwoord vergeet of de controle over je computer verliest.
Het is het beste om je certificaat op een usb-stick op te slaan en deze op een veilige plek op te bergen.
Ga openbaar: Nu je je sleutelpaar en herroepingscertificaat hebt, moet je de wereld laten weten dat je versleutelde e-mail accepteert. De beste manier is je publieke sleutel naar een sleutelserver te uploaden waar andere gebruikers hem kunnen vinden - het is een soort telefoonboek voor mensen die op beveiliging gesteld zijn.
©PXimport
Upload je publieke sleutel naar een keyserver.
Ga terug naar het Key Management venster en selecteer Keyserver > Upload Public Keys.
Standaard zal Enigmail voorstellen om je sleutel naar "pool.sks-keyservers.net" te uploaden. Dat is een goed idee, omdat het zelf niet echt een sleutelserver is, maar een hub die zijn database naar meerdere sleutelservers verstuurt. Je kunt dit aanpassen door op het keuzemenu te klikken. Een andere optie is bijvoorbeeld om rechtstreeks naar de sleutelserver van MIT te uploaden.
Je kunt ook je publieke sleutel op een persoonlijke website, Tumblr, of blog plaatsen. Om je publieke sleutel te kopiëren, ga terug naar het Key Management venster, zorg dat Display All Keys by Default is aangevinkt, en markeer je e-mailaccount zodra deze verschijnt. Klik er vervolgens met de rechtermuisknop op en selecteer Copy Public Keys to Clipboard.
Testen, testen
Nu is het tijd om je encryptiemethode te testen door een ondertekende e-mail naar Adele te sturen, de vriendelijke e-mail robot van OpenPGP.
Houd de Shift-knop op je toetsenbord ingedrukt en klik op de Write knop links bovenaan in Thunderbird. Er wordt dan een nieuw berichtvenster geopend zonder enige HTML-opmaak. Adele kan alleen platte tekst verwerken, dus vetgedrukte koppen, cursieve tekst, en ingebedde links kun je niet gebruiken. Voor de handigheid is het sowieso altijd eenvoudiger om versleutelde e-mails als platte tekst aan te maken.
©PXimport
Stuur een testmail naar Adele
Vul vervolgens Adele's e-mailadres in (adele-en@gnupp.de). Maak een onderwerpregel en berichttekst met wat je maar wilt zeggen. Klik op OpenPGP en zorg dat alleen de opties Sign Message en Attach My public Key geselecteerd zijn. Druk op Send, voer je wachtwoord in, en klaar is Kees. Na enkele minuten zou Adele je een antwoord moeten sturen om te bevestigen of je ondertekening geslaagd was.
Zodra Adele zegt dat alles in orde is, ben je klaar voor de wereld van de versleutelde e-mail.
Je opslagschijven versleutelen
Het beveiligen van je e-mail is geweldig, maar je hebt er niet veel aan als iedereen zomaar bij je computer of externe schijven kan. Daarom is codering voor je opslagschijven een goed idee. Een van de beste tools die je hiervoor kunt gebruiken is de open source oplossing TrueCrypt. In het volgende voorbeeld laten we zien hoe je een usb-stick kunt versleutelen. Als je deze methode eenmaal onder de knie hebt is het versleutelen van je hele harde schijf niet erg verschillend - hoewel er wel een aantal extra stappen voor nodig zijn.
Allereerst: Download en installeer TrueCrypt, en neem een usb-stick die je wilt versleutelen. Open TrueCrypt en klik op Create Volume in het hoofdvenster van de app. Kies op het volgende scherm Encrypt a non-system partition/drive en klik op Next.
Selecteer vervolgens Standard TrueCrypt volume en klik op Next.
©PXimport
Laat je niet afschrikken door alle technische details
Nu moet je de drive die je wilt versleutelen vinden: Klik op Select Device en er verschijnt een eng uitziend pop-up venster met een lijst van alle opslagapparaten die met je pc verbonden zijn. Het kan verwarrend zijn, maar concentreer je gewoon op de rij aan de rechterkant die de opslagcapaciteit van elke drive weergeeft. Op die manier kun je je externe harde schijf van 1 TB niet per ongeluk aanzien voor je usb-stick van 4 GB.
In dit geval zoeken we naar de flashdrive van 2 GB onderaan in de lijst. Zodra je de drive geselecteerd hebt, klik op OK en vervolgens op Next. Nu wil TrueCrypt weten hoe je je versleutelde opslag wilt aanmaken. Standaard zou er Create encrypted volume and format it moeten staan. Dit betekent dat alle data op je usb-stick gewist zal worden.
TrueCrypt laat vervolgens de opties voor de encryptie en hash-algoritmes voor je vergrendelde apparaat zien. In dit geval zijn de standaardinstellingen prima. Het laatste scherm laat de opslagruimte van de usb-stick zien. Zolang dit in de buurt komt van de opslagruimte van je usb-drive klik je nogmaals op Next.
©PXimport
Een wachtwoord van 10 karakters is voor de meeste mensen voldoende.
Nu is het tijd om een wachtwoord aan te maken. Als je een wachtwoord van minder dan 20 karakters kiest, krijg je een waarschuwing dat het onveilig is. Je kunt inderdaad een wachtwoord van 20 karakters gebruiken, maar wil je dat echt elke keer moeten invullen wanneer je de usb-drive probeert te benaderen? Waarschijnlijk niet.
©PXimport
Door met je muis te schudden help je TrueCrypt een handje.
Uiteindelijk zal TrueCrypt een verzameling willekeurige getallen aanmaken om je apparaat te versleutelen. Probeer je muis een paar seconden zoveel mogelijk heen en weer te bewegen in het venster om TrueCrypt te helpen met het genereren van de encryptiedata, en klik daarna op Format.
Een paar minuten later heb je een versleuteld apparaat.
Encryptie mounten
Om data op je versleutelde usb-stick te kunnen opslaan, moet je het apparaat mounten met TrueCrypt. Ga terug naar het primaire TrueCrypt-venster. Selecteer in het hoofdmenu bovenaan Volumes > Select Device en kies in hetzelfde technische venster dat we eerder tegenkwamen jouw apparaat.
Ga daarna terug naar het hoofdvenster en selecteer een van de driveletters. Zelf kies ik altijd X. Het maakt helemaal niets uit, kies gewoon een letter die niet in gebruik is en klik op Mount.
Vervolgens vraagt TrueCrypt om je wachtwoord, en je bent klaar. Open Windows Explorer, en je kunt de usb-stick gewoon zoals normaal gebruiken. Het enige verschil is dat het zonder TrueCrypt en je wachtwoord (ervan uitgaande dat het een sterk, willekeurig wachtwoord is) zeer onwaarschijnlijk is dat iemand je data zou kunnen lezen.
Encryptie afronden
Als je eenmaal je fundamentele cryptografie hebt ingesteld, kun je je kennis uitbreiden en een aantal geavanceerde technieken uitproberen. Je zou kunnen leren hoe je Gpg4win kunt gebruiken om individuele bestanden te versleutelen, of je PGP-encryptiesleutels naar een tweede pc overbrengen. Of misschien wil je wel een verborgen besturingssysteem aanmaken met TrueCrypt?
Cryptografie en digitale beveiliging kunnen lastig zijn, maar als je eenmaal de basisprincipes van de tools onder de knie hebt, kun je er allerlei interessante toepassingen voor vinden.
Dit is een vrij vertaald artikel van onze zustersite PCWorld.com, geschreven door Ian Paul (@ianpaul). De mening van de auteur komt niet per definitie overeen met die van ComputerTotaal.nl.
