E-mails versleutelen doe je zo
Privacygevoelige boodschappen noteer je niet op een papiertje dat je ergens achteloos laat rondslingeren. Maar je verstuurt ze waarschijnlijk wel via e-mail, hoewel ook dat medium helemaal niet zo veilig is. Met end-to-end-encryptie kun je je berichten wél met meer vertrouwen doorsturen. We bespreken een aantal mogelijkheden.
Tip 01: Tools en diensten
In het kader ‘E-mailprotocollen’ iets verderop in dit artikel lees je waarom het versturen van (privacygevoelige) e-mail niet echt betrouwbaar is. Wil je de inhoud van je e-mails daadwerkelijk afschermen, dan zou je de tekst in een document kunnen plaatsen dat je vervolgens lokaal versleutelt voordat je het als bijlage verstuurt. Dat kan bijvoorbeeld met het gratis EncryptOnClick of door het in een versleuteld archiefbestand onder te brengen met een tool als 7-Zip. Daarna moet je nog wel het bijbehorende wachtwoord veilig aan de ontvanger doorgeven.
Of je maakt gebruik van een gespecialiseerde maildienst als ProtonMail of Tutanota. Beide diensten zijn ook gratis te gebruiken, met enige beperkingen. Toch moet je er maar op vertrouwen dat het om betrouwbare diensten gaat, die geen achterdeuren – naar bijvoorbeeld de overheid toe – hebben ingebouwd.
©PXimport
E-mailprotocollen
SMTP, het standaardprotocol voor het versturen van e-mail, heeft helaas geen ingebouwde voorzieningen op het vlak van encryptie of authenticatie. Uitbreidingen en standaarden als TLS en STARTTLS (Transport Layer Security) zorgen weliswaar voor versleuteling, maar die geldt alleen tijdens het transport tussen je eigen pc en de mailserver van je mailprovider. De provider zou je mail dus kunnen (laten) bekijken. Je hebt evenmin zicht op wat er tijdens het verdere transport gebeurt, via tussenliggende mailservers. Intussen zijn er wel standaarden als DANE (DNS-based Authentication of Name Entities) en MTA-STS (Mail Transfer Agent - Strict Transport security), maar die zijn vooral gericht op het tegengaan van ‘man-in-the-middle’-aanvallen tijdens het mailtransport. Bovendien is er voor deze standaarden vooralsnog nog weinig ondersteuning bij mailproviders. In afwachting van een breed gedragen oplossing (lees: een nieuw e-mailprotocol) moeten we ons dus met extra hulpmiddelen behelpen. Je leest er meer over in de rest van dit artikel.
©PXimport
Tip 02: CA en certificaat
Maak je liever geen gebruik van externe servers die instaan voor de versleuteling van verstuurde mails, dan kun je de installatie van je eigen digitale certificaat overwegen. Ook zo’n certificaat moet je regelen via een externe instantie, een zogenoemde certificaatautoriteit, ofwel CA, maar die partij krijgt jouw eigenlijke mails zelf nooit in handen. Een CA treedt namelijk op als een vertrouwde derde partij’ die je alleen een officieel certificaat bezorgt.
Zo’n certificaat is eigenlijk een sleutelpaar met een publieke en een privésleutel, waarbij de ene sleutel niet (zomaar) uit de andere kan worden afgeleid. De CA garandeert eigenlijk alleen dat het certificaat daadwerkelijk toebehoort aan de partij die in dat certificaat staat vermeld.
Wanneer je nu een e-mail met jouw privésleutel versleutelt, dan weet de ontvanger automatisch dat de mail daadwerkelijk van jou afkomstig is, aangezien die alleen met jouw publieke sleutel kan worden ontsleuteld. Wanneer je dit bericht voor het versturen tevens versleutelt met de publieke sleutel van de beoogde ontvanger, dan kan alleen hij je bericht ontsleutelen met zijn privésleutel. Dit is in grote lijnen hoe versleuteling van e-mail op basis van digitale certificaten werkt.
Tip 03: Aanvraag
Digital certificaten worden vooral in de bedrijfswereld gebruikt. Dat heeft onder meer te maken met het feit dat zo’n certificaat doorgaans niet gratis is. We kennen slechts een paar CA’s die ook gratis certificaten uitgeeft, zoals CaCert en Actalis. Wij gaan met deze laatste aan de slag, onder meer vanwege de eenvoudige aanvraagprocedure. Houd er wel rekening mee dat je aangevraagde certificaat slechts één jaar geldig is en dat zo’n gratis certificaat uitsluitend aan je e-mailadres is gekoppeld. Er worden geen verdere identiteitscontroles gevraagd of uitgevoerd, zoals je fysieke adres of legitimatiebewijs.
Om een certificaat aan te vragen, ga je naar Actalis. In dit online formulier vul je het e-mailadres in waarmee je versleutelde berichten wilt sturen. Plaats een vinkje bij Ik ben geen robot en druk op de knop Send verification mail. Even later ontvang je een bevestigingsmail en vul je de ontvangen code in bij Verification code.
Verklaar je akkoord met de twee voorwaarden en bevestig met Submit request. Als het goed is, verschijnt nu een wachtwoord in je browser. Noteer dit goed, want je hebt dit nodig om met je certificaat aan de slag te kunnen.
©PXimport
Een CA levert als vertrouwde derde partij je digitale certificaat af
-
Tip 04: Installatie
Intussen heb je nog een of twee mails ontvangen van Actalis (weliswaar in het Italiaans, maar laten vertalen via www.deepl.com doet vaak wonderen). De bijbehorende bijlage is het belangrijkste: zodra je dit zip-bestand hebt uitgepakt, zie je je certificaat in de vorm van een pfx-bestand (Personal inFormation eXchange). Dubbelklik op dit bestand om het certificaat op je systeem te installeren. De wizard Certificaat importeren neemt het nu over.
Laat Huidige gebruiker geselecteerd en klik op Volgende (2x) om te bevestigen dat je het betreffende bestand daadwerkelijk wilt importeren. Vul het wachtwoord in dat je eerder hebt genoteerd en plaats bij voorkeur een vinkje bij Deze sleutel als exporteerbaar aanmerken […], zodat je later een back-up van je sleutelpaar kunt maken. Druk nogmaals op Volgende (2x) en bevestig met Voltooien.
©PXimport
Tip 05: Controle
De wizard meldt dat de import is gelukt, maar is dat ook zo? Dat zoek je als volgt uit. Druk op Windows-toets+R en voer certmgr.msc uit. Open de mappen Persoonlijk / Certificaten. In de certificatenlijst hoort nu ook Actalis Client Authentication CA te staan, gekoppeld aan je eerder doorgegeven e-mailadres. Het is geen slecht idee hiervan meteen een back-up te maken. Klik met rechts op dit certificaat en kies Alle taken / Exporteren. De wizard Certificaat exporteren duikt op.
Klik op Volgende, selecteer Ja, de persoonlijke sleutel exporteren en druk weer op Volgende (2x). Geef een wachtwoord op (2x) en klik op Volgende. Bewaar het pfx-bestand bij voorkeur op een extern en veilig medium. Rond af met Voltooien en met OK.
©PXimport
Bij een paar CA’s kun je ook voor een gratis certificaat terecht
-
Tip 06: Handtekening
Je digitale certificaat is geïnstalleerd en klaar voor gebruik. We tonen je eerst hoe je hiermee een e-mail ondertekent met je privésleutel, zodat de ontvanger (met je publieke sleutel) weet dat het daadwerkelijk van jou afkomstig is.
We nemen Microsoft Outlook als voorbeeld, vooral omdat webclients doorgaans niet overweg kunnen met zulke certificaten. Start de mailclient op en ga naar Bestand / Opties. Open de rubriek Vertrouwenscentrum en klik op Instellingen voor het Vertrouwenscentrum. Kies E-mailbeveiliging en klik op Instellingen. Druk op de bovenste knop Kiezen en op Meer keuzes. Selecteer het Actalis-certificaat en druk op OK. Herhaal dit, indien nodig, voor de onderste knop Kiezen. Vul een gepaste naam in en klik op OK (3x).
Outlook weet nu genoeg. Open een venster voor het opstellen van een nieuw bericht. Ga naar het menu Opties en druk op de knop Ondertekenen. Deze kleurt nu donkergrijs. Stuur je testbericht (bijvoorbeeld) naar jezelf. Als je dit ontvangen bericht vervolgens opent in Outlook zie je rechtsboven een rood zegelpictogram staan. Klik hierop en kies Details voor meer informatie over het certificaat. Je bericht werd met succes digitaal ondertekend.
Tip 07: Versleuteling
Ondertekenen is één zaak, versleutelen is een andere. Om een uitgaand bericht te kunnen versleutelen, heb je dus wel eerst de publieke sleutel van de beoogde ontvanger nodig. Echt moeilijk is dat niet, aangezien je die sleutel automatisch ontvangt zodra die een ondertekende mail naar je stuurt.
Dit wil je natuurlijk wel even uittesten en daar heb je dus in principe een tweede persoon voor nodig: desnoods probeer je het door zelf een tweede certificaat aan te vragen dat je dan koppelt aan een van je andere e-mailadressen.
Een versleuteld bericht verstuur je als volgt. Stel een nieuw bericht op, open het menu Opties, klik op Versleutelen / Versleutelen met S/MIME en op Ondertekenen. Verstuur je bericht. Wanneer de ontvanger dit binnenkrijgt, ziet hij rechtsboven niet alleen een rood zegel, maar tevens een hangslotje, als indicatie dat het bericht daadwerkelijk werd versleuteld. Door op dit hangslotje te klikken, krijgt hij hier meer informatie over. Outlook zal het bericht nu automatisch met de privésleutel van de ontvanger ontsleutelen, zodat hij de mail probleemloos kan lezen.
©PXimport
Tip 08: OpenPGP
Er is nog een andere manier om e-mails veilig te versleutelen: de OpenPGP-standaard (PGP staat voor Pretty Good Privacy), die eveneens werkt op basis van een sleutelpaar met een publieke en een privésleutel. In tegenstelling tot een digitaal certificaat van een CA als Actalis maak je hier zelf je certificaat.
Wij gebruiken hiervoor de gratis tool Gpg4win, die werkt met de officiële opensource-implementatie GPG oftewel GnuPG. Je vindt die op www.gpg4win.org. Druk hier op de groene knop, duid (eventueel) $0 aan als donatiebedrag en bevestig met Download. Voor macOS bestaat er een trouwens vergelijkbare tool: GPGTools.
Je start de installatie met een dubbelklik op het gedownloade programmabestand. Druk op Volgende en laat de vinkjes ongemoeid, zodat in ieder geval de onderdelen Kleopatra (de beheermodule voor je digitale certificaat) en GpgOL (plug-in om in Outlook-mails te kunnen versleutelen en ontsleutelen) alvast geïnstalleerd worden.
Met het onderdeel GpgEx kun je ook afzonderlijke bestanden versleutelen. Dit kan handig zijn maar laten we hier verder onbesproken. Bevestig je keuze met Volgende / Installeren / Volgende. Laat het vinkje staan bij Kleopatra uitvoeren en rond af met Voltooien. Het icoontje van Kleopatra duikt nu op in het systeemvak van Windows. Start Kleopatra toch niet op, dan kan dat nog handmatig vanuit het Windows-startmenu.
©PXimport
Met OpenPGP kun je ook zelf je digitale certificaten aanmaken
-
Tip 09: Sleutelaanmaak
Klik met rechts op het Kleopatra-icoon en kies Open-certificaatbeheerder (indien die niet automatisch opstart). De bedoeling is namelijk dat je nu eerst je eigen sleutelpaar maakt. Klik hiervoor op Bestand / Nieuw sleutelpaar. Vervolgens selecteer je Een persoonlijk OpenPGP-sleutelpaar aanmaken. Houd er wel rekening mee dat je langs deze weg geen erkende CA gebruikt, maar dat je vertrouwt op (de integriteit van) je kennissen – en omgekeerd.
Vul de gevraagde gegevens in bij de velden Naam en E-mail, bij de laatste het adres waarop je versleutelde berichten wilt kunnen ontvangen. Maak eventueel meerdere sleutelparen als je over verschillende e-mailadressen beschikt. Druk op de knop Geavanceerde instellingen als je in technische details geïnteresseerd bent, zoals de gebruikte encryptie (standaard RSA 3072 bit), of als je de vervaldatum van je certificaat wilt aanpassen (standaard twee jaar). Zet bij voorkeur een vinkje bij de optie De gegenereerde sleutel met een wachtwoord beschermen en bevestig met Aanmaken.
Vul een sterk wachtwoord in bij Passphrase (2x) en druk op OK. Na enige verwerkingstijd is je sleutelpaar gereed. In principe kun je nu al op Finish drukken, maar wij adviseren de suggestie Reservekopie van uw sleutelpaar maken op te volgen. Zo heb je toch een back-up bij de hand in het geval je sleutelpaar ooit corrupt of verloren raakt.
Open na afloop het tabblad Certificaten: het nieuwe gecreëerde sleutelpaar is toegevoegd op het tabblad Vertrouwde certificaten.
©PXimport
Tip 10: Import
Het is natuurlijk de bedoeling dat jouw kennissen versleutelde berichten naar jou kunnen versturen en omgekeerd. Daarvoor moeten ze dan wel ook zelf Gpg4win (of een compatibele tool) installeren en ook over jouw publieke sleutel beschikken. Hiermee kunnen ze berichten dan versleutelen, zodat alleen jij die met je privésleutel kunt ontsleutelen.
Je kunt je publieke sleutel bijvoorbeeld als volgt aan kennissen bezorgen.
Klik in Kleopatra op het tabblad Certificaten met rechts op je certificaat, kies Exporteren en sla het bestand public.asc op. Dit tekstbestand bezorg je vervolgens aan jouw kennissen of je kunt het zelfs publiceren op een website of een blog.
Stel, een van jouw contacten heeft dit bestand ontvangen. Ook hij start dan Kleopatra op zijn pc, waar hij Importeren kiest en naar het sleutelbestand verwijst. Hij bevestigt de vraag of hij de vingerafdruk wilt controleren met Ja en klikt vervolgens op Certificeer. Zodra hij bevestigt met het wachtwoord van zijn eigen certificaat en bevestigt met OK wordt het geïmporteerde en vertrouwde certificaat toegevoegd.
©PXimport
Tip 11: Mailencryptie
Alles is nu klaar om berichten naar die kennis versleuteld te verzenden. Start Outlook en stel een nieuw bericht op. Let er op een e-mailadres te kiezen waaraan je eerder een certificaat had gekoppeld. Vul in het Aan-veld het e-mailadres van je kennis in, evenals een onderwerp en je ‘geheime’ boodschap. Je kiest bij voorkeur een neutrale onderwerpsregel, omdat die niet samen met het eigenlijke bericht versleuteld wordt.
In de knoppenbalk van Outlook hoort nu ook de knop GpgOL zichtbaar te zijn, mogelijk verstopt onder de knop Meer opdrachten. Klik hier op het pijlknopje bovenaan en kies Beveiligen (zodat het vakje grijs kleurt). Bij het verzenden van het bericht ga je best nog even na of het juiste e-mailadres van je kennis is geselecteerd, waarna OpenPGP ervoor zorgt dat de eigenlijke tekst door een versleutelde versie wordt vervangen.
Over naar de ontvangende partij. Zodra je kennis Outlook start en het bericht opent dat je hem hebt verstuurd, wordt dat normaliter automatisch ontsleuteld, aangezien GpgOL automatisch zijn bijbehorende privésleutel opzoekt, eventueel na het intikken van zijn wachtwoord.
©PXimport
