Natuurlijk wil je zelf de controle over je pc houden. Maar zelfs als je een besturingssysteem kiest dat je controle niet afneemt - zoals Linux - ben je op een dieper systeemniveau nog niet de baas over je computer. Dit dankzij Intel AMT en de bijbehorende Management Engine.

In de beginjaren van de computer was het vanzelfsprekend dat je de broncode van je besturingssysteem en software kon inzien. Dat was ook nodig, want de meeste gebruikers waren toen zelf nog ontwikkelaars. Je had daardoor heel wat controle over je computer: je kon zelf bugs fiksen en de functionaliteit uitbreiden. Universiteiten en onderzoeksafdelingen in bedrijven creëerden die programma’s en deelden ze vrijelijk, of hardwareproducenten ontwikkelden ze en verspreidden ze gratis bij hun hardware.

Beetje bij beetje verloren computergebruikers die controle. De software-industrie werd volwassen en de ontwikkelingskosten stegen. Commerciële partijen begonnen geld te vragen voor softwarelicenties los van hardware en wilden niet dat anderen hun software konden bestuderen of aanpassen. Deze zogenaamde propriëtaire software werd de norm.

Al die tijd bleef er een kleine groep idealistische gebruikers ijveren voor controle over hun pc. In de jaren 1980 en 1990 ontstonden er bewegingen die vrije software en opensource software promoten. In 1991 bracht de Finse student Linus Torvalds de Linux-kernel ter wereld en momenteel blijven gebruikers van Linux-distributies en BSD-besturingssystemen een kleine harde kern vormen van computergebruikers die bewust niet met Windows of macOS werken omdat ze de controle over hun pc willen houden.

Al die inspanningen om voor opensourcesoftware te kiezen, zetten in de praktijk geen zoden aan de dijk. De huidige pc-hardware is immers zo gesloten als wat. Elke moderne pc met het Intel-platform is uitgerust met een microcontroller, de Management Engine, die volledige controle over de pc heeft, maar onafhankelijk van de processor werkt en zonder dat de processor of je besturingssysteem er ook maar iets van ziet.

Ook het BIOS (of tegenwoordig UEFI) is in moderne pc’s niet open, net zoals de firmware van allerlei chips in je computer. Al deze gesloten componenten in pc-hardware betekenen dat je eigenlijk nooit zelf volledig de controle over je pc hebt, zelfs al draai je Linux en opensourcesoftware. Voor gebruikers die graag weten wat er op hun systeem draait, is dit een nachtmerrie. Hoe weet je of je privacy en veiligheid met zo’n systeem voldoende beschermd zijn?

Intel Management Engine

In 2006 introduceerde processorfabrikant Intel zijn Intel Management Engine. Dit is eigenlijk een volledige computer in je computer. Sinds de Core i3/i5/i7-processoren die Intel in 2009 voor het eerst uitbracht, zit de Management Engine in de Platform Controller Hub, een chip die de processor ondersteunt bij zijn taken. Alle desktopsystemen, mobiele systemen en serversystemen vanaf midden 2006 met een Intel-processor zijn uitgerust met een Management Engine.

De Management Engine bestaat uit een processorkern, cachegeheugen voor code en data, een cryptografische coprocessor, een kleine hoeveelheid rom en ram, geheugencontrollers, en zelfs een DMA-controller (direct memory access) met volledige toegang tot het werkgeheugen van je systeem. De Management Engine kan niet alleen het werkgeheugen van de computer uitlezen, maar krijgt ook de bovenste 16 Mbyte van je ram gereserveerd voor eigen gebruik. Verder heeft de Management Engine ook netwerktoegang via de ethernetcontroller van je computer, zelfs met een eigen mac-adres.

©PXimport

Het opstartprogramma van de Management Engine staat op diens interne ROM en laadt een firmwaremanifest van de SPI-flashchip van de pc. Dit manifest bevat een lijst van firmwaremodules en is cryptografisch ondertekend met een sleutel van Intel.

Als het opstartprogramma niet kan verifiëren of het manifest door die sleutel is ondertekend, weigert dit de firmware uit te voeren en wordt de Management Engine stopgezet. Het manifest bevat ook cryptografische hashes van de inhoud van de modules.

De kernel van de firmware is gebaseerd op het propriëtaire realtime besturingssysteem ThreadX van Express Logic. Tot de andere modules behoren een Java virtuele machine met Java-klassen voor cryptografie en veilige opslag, Intel Active Management Technology (AMT), Intel Boot Guard en Protected Audio Video Path of recenter Intel Insider. We gaan even kort op enkele van die laatste modules in.

Wake-on-Lan

De bekendste module van de Management Engine is Active Management Technology (AMT), dat onderdeel uitmaakt van Intels vPro-merk voor bedrijven. Het is een webserver die op de Management Engine draait en gebruikers op een afstand over een versleutelde verbinding toelaat om de pc te beheren, systeeminformatie te raadplegen en zelfs de computer uit- en in te schakelen. Dat inschakelen is zelfs mogelijk als de pc uitgeschakeld is (correcter: als die zich in de S3-slaaptoestand bevindt): die wordt dan via Wake-on-LAN gewekt. De Management Engine is immers actief zolang er stroom is.

Dat zijn heel krachtige mogelijkheden. Als er beveiligingsfouten in de Management Engine zitten, heeft dat dan ook grote gevolgen voor de veiligheid van je systeem. In 2009 al ontwikkelde Invisible Things Lab een exploit voor de Management Engine in de Intel Q35 chipset (geïntroduceerd in 2007). Ze slaagden erin om het beschermde deel RAM dat normaal gereserveerd is voor de Management Engine te remappen en daar een rootkit in te installeren.

In 2011 maakte beveiligingsonderzoeker Patrick Stewin daarvan gebruik om ter demonstratie een rootkit te installeren die alle toetsaanslagen continu registreerde en over het netwerk doorstuurde. Dat deed het door de toetsenbordbuffer in het RAM continu uit te lezen. En aangezien die rootkit op de volledig geïsoleerde Management Engine draait en niet op de processor zelf van de pc, kan antimalwaresoftware dit op geen enkele manier ontdekken.

Intel Boot Guard

Een extra Management Engine module die Intel in 2013 introduceerde in de Haswell-processoren is Intel Boot Guard. Een OEM (original equipment manufacturer) genereert dan een sleutelpaar en installeert de publieke sleutel in de processor. Die processor wil daarna dan alleen opstarten van firmware (BIOS/UEFI) die is ondertekend door de bijbehorende privésleutel, die alleen de OEM kent. Op zulke systemen is het dan onmogelijk om de firmware te vervangen door alternatieve, opensourcefirmware zoals coreboot of Libreboot. Als je zelf je pc samenstelt met een afzonderlijk moederbord en processor, heb je dit probleem overigens niet.

Minder bekend is dat de Management Engine ook een DRM-module (digital rights management) heeft voor audio en video. Vroeger heette die module Protected Audio Video Path (PAVP), maar sinds de Sandy Bridge-processoren wordt er gebruikgemaakt van Intel Insider. Deze DRM-modules werken gelijkaardig. De Management Engine ontvangt van het besturingssysteem van de processor een versleutelde mediastroom en een versleutelde sleutel, en ontcijfert de sleutel.

De Management Engine stuurt de versleutelde mediastroom dan samen met de gedecrypteerde sleutel naar de GPU, die de mediastroom met de sleutel decrypteert en afspeelt. Overigens maken ook andere modules van de Management Engine gebruik van de DRM-mogelijkheid, bijvoorbeeld om een pincode voor authenticatie op het scherm te tonen. Dat gebeurt volledig buiten het besturingssysteem om, zodat die pincode niet door software op de pc te onderscheppen is. Maar aan de andere kant betekent dit dat een rootkit in de Management Engine ook zaken op je scherm kan tonen waar je totaal geen controle over hebt.

AMD

Ben je trouwens fan van AMD? Denk dan niet dat je veilig bent voor de bedreigingen van de Management Engine. Hoewel AMD niet van Intels oplossing gebruikmaakt, bevatten alle AMD-processoren sinds 2013 een Platform Security Processor, een ARM-kern met TrustZone-technologie. De werking daarvan is helemaal anders dan die van de Management Engine, maar deze processor doet iets heel gelijkaardigs.

De Platform Security Processor is op dezelfde ‘die’ (Engels, stukje printplaat of geleidend materiaal) als de hoofdprocessor ingebakken. Ze heeft toegang tot het volledige ram, de netwerkcontrollers en alle andere op de PCI-/PCI Express-bus aangesloten apparaten. De firmware is cryptografisch ondertekend door AMD. Als deze niet aanwezig is, blijft de processor van je pc zichzelf resetten en kun je er dus niet mee werken.

In een volgend artikel kijken we naar de mogelijkheden om de Management Engine eventueel uit te schakelen, dan wel naar de manieren om uit te wijken naar andere opties.

Diensten als iCloud-foto’s en Google Foto’s zijn handig om je foto’s te back-uppen, beheren en delen. Alleen is de online opslagruimte beperkt. Ook je kijkt naar je privacy, zijn deze oplossingen niet altijd ideaal. Er zijn gelukkig gratis tools waarmee je bijna dezelfde ervaring hebt als bij deze online diensten. Je zet je foto’s niet in de cloud, maar gewoon op je eigen pc of NAS.

Er is weinig mis met de gespecialiseerde cloudopslagdiensten van Apple, Google, Microsoft (OneDrive) en Dropbox. Je kunt hiermee prima foto’s bewaren en delen. De tools zijn voor dit gebruik zelfs uitstekend, maar de opslagruimte is vaak beperkt en het blijven cloudoplossingen. Je bestanden staan dus ergens anders opgeslagen.

Overweeg je een alternatief om foto’s te synchroniseren zonder cloudopslag, dan zijn er meerdere opties, zoals Nextcloud (met de Photos-app), PhotoPrism, digiKam en Piwigo. Wij zijn gecharmeerd van de opensource-dienst Immich en Synology Photos, die je specifiek voor de Synology-NAS kunt gebruiken. Beide tools bieden functies als automatische fotoback-ups, album- en gebruikersbeheer, gezichtsherkenning, tijdlijnweergave, tagging, locatiegebaseerd zoeken, delen, raw-bestanden en toegang via een webinterface. Kortom, er is weinig in de cloudoplossingen dat je bij deze gratis tools niet vindt. We maken eerst kennis met Immich (uitgesproken als het Engelse ‘image’) en daarna met Synology Photos. We focussen ons hierbij op de installatie, de initiële configuratie en het basisgebruik.

Immich

Docker-installatie

Immich wordt frequent geüpdatet en is beschikbaar voor meerdere platformen. Wij gaan aan de slag met de installatie onder Windows. Dit doen we via het gratis Docker Desktop. Docker Desktop beheert containers, een soort lichte, afgescheiden virtuele omgevingen met alle benodigde apps, services en instellingen. Installeer de app met enkele muisklikken en start deze op (de eerste keer kun je op Accept en tweemaal op Skip klikken). Minimaliseer vervolgens het venster, maar laat de app actief.

Goed om te weten: je kunt Immich via Docker ook op je NAS installeren, wat hier ook wel Container Manager (Synology) of Container Station (QNAP) genoemd. In dit artikel gaan we hier alleen niet verder op in.

Docker Desktop heb je met een paar muisklikken geïnstalleerd en opgestart.

Voorbereiding

Immich installeren we dus als Docker-container. Eerst voer je enkele voorbereidingen uit. Open de verkenner en ga naar de map Linux (onderaan). Open vervolgens de submap docker-desktop en dan Home. Maak hier een map met jouw naam en daarbinnen de submap Docker. Binnen deze docker-map maak je de map Immich-app aan. Het pad wordt dus: \\wsl.localhost\docker-desktop\home\<je_naam>\docker\immich-app.

Creëer nu twee submappen in een andere map op een schijf met genoeg opslagruimte: Library en Postgres (bijvoorbeeld C:\Users\<je_accountnaam>\Docker\Immich\library).

Navigeer nu in de verkenner naar de map Immich-app. Houd de Shift-toets ingedrukt, klik met rechts op een lege plek en kies PowerShell-venster hier openen. Houd de verkenner geopend en ga via deze pagina naar de downloadsite. Klik bij Get docker-compose.yml file op het documenten-pictogram (Copy), plak dit in PowerShell met Ctrl+V en druk op Enter om het yml-bestand te downloaden. Herhaal dit voor het commando bij Get .env file, zodat zowel het yml-bestand als het env-bestand in de map Immich-app staan.

Open het env-bestand in een teksteditor, bijvoorbeeld Notepad++ of Kladblok, en pas de volgende variabelen aan:

Zorg ervoor dat de paden kloppen met jouw situatie en sla het aangepaste bestand op.

Voordat je de container installeert, moet je eerst enkele variabelen aanpassen in het env-bestand.

Installatie

Alles is nu klaar om de Docker-container met Immich te draaien. Ga terug naar de map Immich-app en voer het commando docker-compose up -d uit. Dit zorgt ervoor dat alle benodigde onderdelen worden gedownload en uitgevoerd. Na enkele minuten zie je in het Docker Desktop-venster, bij Containers, dat de vier Immich-onderdelen actief zijn. Test dit direct door Localhost:2283 op de adresbalk van je browser in te vullen. Dit is de standaardpoort waarop Immich draait; dit zie je bij Immich_server in het Docker-containeroverzicht. Als het nodig is, kun je het poortnummer aanpassen in het yml-bestand. Klik in de webinterface op Aan de slag om daadwerkelijk met Immich te starten.

Je kunt de containers op elk moment stoppen en starten vanuit Docker Desktop. Dit doe je in de rubriek Containers: selecteer Immich en druk op Stop of Start.

De vier containers zijn gestart en Immich is nu bereikbaar vanuit de webinterface.

Configuratie

Je begint met het aanmaken van een beheerdersaccount. Vul de gevraagde gegevens in en bevestig met Registreren. Log daarna in met het opgegeven e-mailadres en wachtwoord.

Klik in het welkomstvenster op Thema, kies Licht of Donker, en ga naar Privacy. Hier kun je de kaartfunctie inschakelen (om foto’s via coördinaten op een kaart te tonen) en de versiecontrole activeren (voor het ontvangen van updates).

Ga vervolgens naar Opslagtemplate en bepaal of je fotobestanden automatisch wilt ordenen op basis van metadata. Als dit ingeschakeld is, kun je bij Voorinstelling een structuur kiezen met een sjabloon. Kies bijvoorbeeld voor {{y}}-{{MMMM}}-{{dd}}/{{filename}}. Bevestig met Klaar.

Je kunt via een sjabloon je foto’s bewaren op basis van bepaalde metadata.

Basisgebruik

Links in de webinterface zie je een venster met onderdelen als Foto’s, Verkennen, Kaart, Delen, Favorieten, Albums en Gereedschap. Open Foto’s, klik op de plusknop en selecteer de gewenste fotobestanden. De geüploade foto’s verschijnen als miniaturen in een tijdlijn. Bovenaan zie je een zoekbalk met rechts een filterknop om media te selecteren op onder meer naam, plaats, camera, datum en type. Gebruik Uploaden (rechtsboven) om extra foto’s toe te voegen.

Selecteer een of meer foto’s. Rechtsboven verschijnen meerdere knoppen, zoals Toevoegen aan favorieten (voor de rubriek Favorieten) en een menu om de selectie te downloaden, archiveren, verwijderen, de datum of locatie te wijzigen, of miniaturen en metadata te vernieuwen.

Via Toevoegen aan kun je foto’s aan een album toevoegen. Klik op +Nieuw album om een album te maken dat je terugvindt in de rubriek Albums. Gebruik Verkennen in het linkervenster om foto’s gegroepeerd te zien op tijd, locatie of – via AI – op herkenbare objecten, gezichten of thema’s, zoals berglandschappen.

De webinterface van Immich heeft wel wat weg van Google Foto’s.

Back-ups en delen

Je vindt in de webinterface ook de optie Delen. Klik hierop, voeg een beschrijving toe en eventueel een wachtwoord. Geef aan of de ontvanger foto’s mag downloaden en/of uploaden. Stel hiervoor een verloopdatum in, bijvoorbeeld over 1 dag. Klik op Link maken om een link te genereren. Deze link is mogelijk http://localhost<…>, maar je kunt dit aanpassen naar het interne ip-adres van je Immich-server, of een extern adres dat vanaf internet bereikbaar is (zie tekstkader ‘Vanaf het internet’).

Wil je media delen met specifieke personen? Klik hiervoor rechtsboven op je accountpictogram en kies Beheer. Ga naar Gebruikers, klik op Gebruiker aanmaken, vul de gegevens in en bevestig. Bij het openen van een fotoselectie of album kun je dan via de deelknop direct de gewenste gebruiker(s) selecteren, zodat de media in hun webomgeving beschikbaar zijn.

Voor Android en iOS kun je de mobiele Immich-app installeren. Vul het ip-adres van je Immich-server in en meld je aan. Tik op de upload-knop, geef Immich de nodige machtigingen en kies Selecteer om aan te geven welke fotoalbums de app moet back-uppen naar je server. Zet Albums synchroniseren aan om dit te automatiseren en bevestig met Back-up uitvoeren.

Immich is ook beschikbaar als mobiele app, wat handig is voor (automatische) mediaback-ups.

Synology Photos

Voorbereiding

We gaan uit van een Synology-NAS (Network Attached Storage) die via een webinterface toegankelijk is. Verbind via je browser met de webinterface van DSM, het Synology-besturingssysteem.

Open nu eerst het Configuratiescherm, kies Gebruiker en groep, ga naar Geavanceerd en zorg dat Gebruiker basismap inschakelen is ingeschakeld (op het gewenste volume). Bevestig met Toepassen. Open daarna de app File Station, waar je ziet dat de mappen Home en Homes (met persoonlijke submappen voor elke NAS-gebruiker) zijn aangemaakt.

Ga vervolgens naar Package Center in het hoofdmenu. Als de app Synology Photos nog niet is geïnstalleerd, zoek dan naar de naam van deze app. Klik vervolgens op Installeren en daarna op Openen. Klik rechtsboven op je profielicoon, kies Instellingen en open het tabblad Gedeelde ruimte. Schakel eventueel Gedeelde ruimte in en bevestig met Opslaan. Gedeelde media worden nu standaard opgeslagen in de map \photo.

Het is even wennen, maar je persoonlijke media en je gedeelde media belanden voortaan in de daarvoor bestemde mappen.

Gedeelde media

Als je nu foto’s met bijvoorbeeld familieleden wilt delen die toegang hebben tot je NAS, volg dan deze stappen. Ga naar Configuratiescherm / Gebruiker en groep, open het tabblad Groep en klik op Maken. Geef een groepsnaam op (bijvoorbeeld Familie) en druk op Volgende. Selecteer de gewenste leden, druk drie keer op Volgende en vink Synology Photos in de kolom Toestaan aan. Bevestig met Volgende (tweemaal) en met Voltooid.

Open vervolgens de app Synology Photos. Bij Instellingen / Gedeelde ruimte klik je op Toegangsmachtigingen instellen. Selecteer de groep (Familie) en kies Volledige toegang in de uitklapmenu’s. Bevestig met de plusknop en klik op Opslaan. Zet daarna op het tabblad Gedeelde ruimte een vinkje bij zowel Gezichtsherkenning inschakelen in Gedeelde ruimte als Onderwerpherkenning inschakelen in Gedeelde ruimte. Bevestig met Opslaan.

Test de instellingen door een gebruiker uit de groep aan te melden op je NAS, bijvoorbeeld via een incognito-tabblad in je browser. Zodra deze gebruiker Synology Photos opent, kan ook hij media uploaden in zowel de persoonlijke ruimte als de gedeelde ruimte. Links bovenaan in het applicatievenster kun je tussen deze ruimtes schakelen. De inhoud van deze ruimtes kun je overigens ook op bestandsniveau beheren via de overeenkomstige mappen in File Station (althans als administrator).

Als lid van de groep Familie krijgt deze gebruiker meteen ook toegang tot de gedeelde ruimte.

Basisgebruik

We laten nu zien hoe je met fotoalbums werkt. Gebruik eerst de knop Filter tonen (rechtsboven) om filters te activeren en snel de gewenste foto’s te vinden. Selecteer vervolgens een reeks foto’s; er verschijnt een rode balk. Klik hier op de plus-knop Toevoegen aan album, kies +Nieuw album, vul een naam in en druk op OK. Ga naar Albums (tweede knop) in het applicatievenster. Hier kun je foto’s opvragen volgens Recent toegevoegd, Labels en Locaties en, indien eerder ingeschakeld, volgens Mensen (gezichtsherkenning) en Onderwerpen (objectherkenning). Je albums vind je hier ook. Met de plus-knop rechtsboven kun je hier nieuwe albums maken.

Ga met de muisaanwijzer boven een album staan; er verschijnt een knop met drie puntjes. Klik op Delen. Schakel Koppeling delen in en stel bij Privacy-instellingen in of het album Privé of Openbaar is (eventueel met downloadmachtiging). Bij Privé selecteer je bij Lijst van genodigden de gewenste gebruiker(s) of groep(en) en geef je de machtigingen aan: Weergave, Downloaden of Provider (beheerder). Je kunt ook een wachtwoord en vervaldatum instellen. Kopieer de link en bevestig met Opslaan.

Klik op Delen (derde knop) in het applicatievenster en kies Fotoverzoek. Klik op Fotoverzoek maken, vul een onderwerpsregel in, selecteer een bestemmingsmap en bevestig met Verzoek maken. Je hoeft nu alleen maar de link te sturen naar de mensen van wie je graag foto’s wilt ontvangen voor je collectie.

Goed om te weten: er is ook een mobiele app voor Android en iOS van Synology Photos met de functie Photo Backup. Daarmee synchroniseer je opgeslagen foto’s en video’s.

Je kiest zelf met wie je albums deelt en met welke machtigingen je dat doet.

De Denon AH-C500W-oortjes beloven vanwege de open pasvorm comfort en omgevingsbewustzijn. In de praktijk pakt dit concept echter minder goed uit. Het ontbreken van rubber oortips resulteert in een pasvorm die niet echt aansluit op de gehoorgang.

Het ontwerp van de Denon AH-C500W is volgens de fabrikant gericht op comfort; daarvoor heeft de fabrikant een zogenaamde 'open pasvorm' in het leven geroepen die niet diep in je gehoorgang zit. Hierdoor voelen de oordopjes licht aan en kun je ze lang zonder enige irritatie dragen. Bovendien blijf je goed in verbinding met je omgeving, omdat er geen ruisonderdrukking is en de dopjes zelf niets tegenhouden. Dat zijn allemaal mooie manieren van omdenken. De AH-C500W-dopjes hebben dan ook geen rubber tips die in je oren gaan en de boel afsluiten, maar vallen bij bewegingen daardoor ook makkelijk uit je oren.

De oordopjes beschikken over moderne technologie zoals bluetooth 5.3 met multipoint-connectiviteit, waardoor je met twee apparaten tegelijk kunt verbinden. De totale batterijduur bedraagt 24 uur, inclusief de oplaadcase. Dankzij de IPX4-classificatie zijn ze bestand tegen zweet en spatwater, maar gezien de vorm zijn ze niet echt geschikt voor sporters. De bediening verloopt via gevoelige aanraakoppervlakken op de oordopjes of via de gratis app. Verder hebben ze microfoons met beamforming voor heldere telefoongesprekken.

©Wesley Akkerman

Gladde oortjes

Aan de functionaliteit ligt het dus zeker niet. Denon zet daarmee in op een breed publiek. We vinden het alleen jammer dat de oortjes geen rubber tips hebben, want die helpen vaak bij het blijven zitten in de gehoorgang. We realiseren ons dat dit een persoonlijke voorkeur is; er zijn immers nog steeds mensen die liever gladde oordopjes hebben dan rubber of siliconen oortips die je dieper in je oor moet duwen. Maar als je lang haar hebt, je veel met je hoofd beweegt of de oordopjes met de hand (en niet via de app) bedient, is de kans groot dat je ze verplaatst of dat ze uit je oren vallen.

We vinden de bediening op de oortjes sowieso behoorlijk gevoelig, maar gelukkig kun je die uitschakelen via de gratis Denon Headphones-app. Dat hebben wij dan ook gedaan. We hebben ze regelmatig beter in onze oren moeten draaien, omdat ze niet bleven zitten, en hebben daardoor regelmatig onbedoeld functies geactiveerd. Bovendien beschikt de app over een vijfpunts equalizer. Heel handig, want daarmee verbeter je het geluid daadwerkelijk. Helaas kun je je eigen instellingen niet opslaan; als je terug wilt naar oude settings, dan moet je die handmatig invoeren.

©Wesley Akkerman

Het open karakter

Omdat de Denon AH-C500W een open karakter heeft, zijn ze lastig te vergelijken met oordopjes die wel beschikken over enige afsluiting. Maar dat is dan ook precies de bedoeling. Het is maar net wat je van een setje oortjes verlangt. En eerlijk is eerlijk: ze zijn zo licht dat je ze bijna niet voelt zitten. Door dit karakter klinkt de muziek heel helder, terwijl je ondertussen alles nog meekrijgt vanuit je omgeving. In het openbaar vervoer is dat een nachtmerrie, maar we denken niet dat Denon verwacht dat je ze overal gebruikt.

Verder is ons duidelijk dat de Denon AH-C500W flink wat kracht mist. Zonder equalizerinstellingen vallen de lagere tonen helemaal weg, waardoor je voornamelijk naar de vocalen en hogere segmenten luistert. Met de traditionele glimlachinstellingen van de equalizer (zie de screenshots verderop) trek je het middensegment verder weg van de audioweergave, maar geef je wel een flinke boost aan het onderste deel. Daardoor klinkt de muziek al wat aangenamer. Maar oordopjes met een betere afsluiting zullen in dit geval altijd beter klinken dan de AH-C500W.

©Wesley Akkerman

Open of gesloten?

Je zou de Denon AH-C500W daardoor beter kunnen vergelijken met oordopjes die je meer boven je gehoorgang plaatst – denk aan de Openfit 2+ van Shokz. Daar klinkt de soundstage daadwerkelijk warm, vol en gedetailleerd, en daar kunnen we de Denon-oortjes niet altijd op betrappen. Helemaal eerlijk is de vergelijking trouwens niet, omdat het producten uit twee technisch verschillende groepen zijn. Maar in onze beleving legt dit setje het af tegen oortjes met afsluiting en écht open oordoppen. Het is het net niet, zogezegd.

Daar speelt het ontwerp ook een grote rol in. De Denon AH-C500W's blijven minder goed zitten dan open modellen die je met een haakje om je oren bevestigt. Je bent ze bovendien voortdurend aan het bijdraaien om maar een goede pasvorm te vinden. Wellicht ligt dat deels aan de oren van ondergetekende, maar dat is nu eenmaal wel de ervaring. Ze doen bovendien sterk denken aan de AIrPods. En daardoor hebben we ook het idee dat Denon meer het Apple-publiek wil aanspreken. Een onbegonnen zaak, aangezien die mensen meestal al voorzien zijn.

©Wesley Akkerman

Denon AH-C500W kopen?

De Denon AH-C500W wil zichzelf met zijn open ontwerp neerzetten als een alternatieve keuze voor wie omgevingsbewust wil blijven. In de praktijk pakt dit concept echter minder goed uit. Het ontbreken van rubber oortips resulteert in een onrustige pasvorm, waardoor de oordopjes bij de minste beweging al dreigen uit te vallen. Deze constante noodzaak tot bijstellen leidt tot frustratie, mede door de overgevoelige aanraakbediening. Gelukkig kun je die via de app uitschakelen, maar dat verandert verder niets aan het idee dat ze niet echt lekker zitten.

Ook op audiogebied overtuigen de oortjes niet helemaal. Het open karakter levert een helder geluid op, maar de basweergave is ondermaats en vereist flinke aanpassingen via de equalizer, waarvan je de instellingen frustrerend genoeg niet kunt opslaan. De AH-C500W's vallen hierdoor in een lastig niemandsland: ze missen de geluidsisolatie en krachtige bas van afgesloten oordopjes en de stabiele pasvorm van échte open-ear modellen met oorhaken. Uiteindelijk voelen de oordopjes aan als een compromis dat op de belangrijkste vlakken helaas tekortschiet.