Met een vpn surf je op het internet zonder dat je provider meekijkt of omzeil je regioblokkades van bepaalde websites. Maar een vpn is ook handig om overal veilig toegang te krijgen tot jouw thuisnetwerk. Een Raspberry Pi als vpn-server inzetten is mogelijk te maken met OpenVPN. Zo werkt dat.

Op zich heb je geen vpn nodig om toegang te krijgen tot je thuisnetwerk. Met enkele portforwarding-regels in je router kom je ook wel binnen. Maar portforwarding is niet altijd de beste oplossing. Veel services zijn standaard geconfigureerd voor maximaal gebruiksgemak binnen je thuisnetwerk. Zet je die services open voor het hele internet, dan zijn ze zelden afdoende beveiligd.

Je moet je dus voor elke afzonderlijke service verdiepen in de verschillende beveiligingsmogelijkheden. Dat is best een tijdrovende klus. De kans bestaat dat je dan alsnog zaken over het hoofd ziet. Een vpn is wat dat betreft veel eenvoudiger. Er is één centraal toegangspunt tot je netwerk, namelijk de vpn-server. Als je die afdoende beveiligt, hoef je je over de rest van je netwerk minder zorgen te maken.

Met OpenVPN is een Raspberry Pi in te zetten als vpn-server. Voor je verder leest, kun je hier meer informatie vinden over OpenVPN.

OpenVPN op Raspberry Pi installeren

OpenVPN vereist geen erg krachtige hardware, dus kozen we voor een Raspberry Pi. Download Raspbian Jessie Lite, pak de download uit en schrijf die naar een sd-kaart met Win32DiskImager of dd. Koppel de boot-partitie van de sd-kaart even aan een Linux-systeem en plaats er een leeg bestand genaamd ssh. Boot je Pi vanaf de sd-kaart en controleer in je router welk ip-adres de Pi gekregen heeft. Log nu in via ssh met de gebruiker pi en het wachtwoord raspberry. Het handmatig opzetten van een ca-infrastructuur is behoorlijk complex. Gelukkig levert OpenVPN met easy-rsa een reeks scripts mee om die taak te vereenvoudigen. Installeer om te beginnen openvpn:

Gebruik daarna volgend commando om easy-rsa te integreren met OpenVPN:

Open nu het bestand /etc/openvpn/ca/vars en vul daarin jouw persoonlijke gegevens in. De meeste opties spreken voor zich. Bij KEY_ORG vul je de naam van jouw organisatie in of gewoon je eigen naam. KEY_OU is de afdeling binnen jouw organisatie (Organisational Unit). Is dat niet van toepassing voor jou, vul dan bijvoorbeeld OpenVPN in. Vervolgens voer je een reeks commando’s uit om de nieuwe configuratie in te lezen, de dh-parameters te berekenen (benodigd voor het uitwisselen van encryptiesleutels tussen client en server) en zowel een ca-certificaat als een certificaat voor de vpn-server aan te maken (zie afbeelding). De tweede stap duurt makkelijk tien tot vijftien minuten op oudere Pi’s. De resulterende bestanden vind je terug in de submap keys.

©PXimport

Servers configureren

Met Raspbians OpenVPN-pakket kun je meerdere vpn’s configureren op dezelfde machine. Je definieert een nieuw vpn door een configuratiebestand aan te maken in /etc/openvpn, bijvoorbeeld home.conf. In de afbeelding zie je een minimaal configuratiebestand voor een OpenVPN-server: we doorlopen de belangrijkste parameters. Met de opties proto en port kies je respectievelijk het protocol en de poort voor OpenVPN. Wij houden de standaardinstellingen aan, maar vaak kiest men voor tcp en poort 443 om firewallrestricties te omzeilen. Bij local vul je het lan-ip-adres van je Pi in en bij server het gewenste netwerkadres voor jouw VPN.

Zorg dat dat niet overlapt met het netwerkadres van de lokale netwerken die jij gebruikt! De volgende vier parameters verwijzen naar de benodigde bestanden van onze ca en met de laatste vier schroeven we de beveiliging nog wat op. Werk je nog met OpenVPN-clients ouder dan versie 2.3.3, dan laat je tls-version-min weg. Het bestand ta.key moet je trouwens nog aanmaken met volgend commando:

Het is ook een goed idee om de permissies van het configuratiebestand in te perken:

Beveiligen

Je kunt OpenVPN verder beveiligen door de service te starten in een zogenoemde chroot-jail onder een speciale gebruiker. OpenVPN heeft dan enkel beperkte toegang tot een klein deel van het bestandssysteem van jouw Pi. Je activeert die beveiliging met de vijf eerste opties in de afbeelding hiernaast. Vergeet ook niet om de gebruiker én de directory eerst aan te maken:

Vervolgens stellen we een directory in waar OpenVPN naar een configuratiebestand zoekt voor elke client die een verbinding wilt opzetten. Het pad naar die directory is relatief ten opzichte van de chroot-directory, dus maken we die daarin aan:

Zonder configuratiebestand in die directory laat OpenVPN geen verbinding toe (ccd-exclusive). Daarna schakelen we compressie in aan de kant van de server (comp-lzo) én de client (push comp-lzo). Topology subnet zorgt ervoor dat elke client een eigen ip-adres krijgt in hetzelfde subnet: 192.168.200.x in ons voorbeeld.

De optie client-to-client laat verschillende vpn-clients rechtstreeks met elkaar communiceren. Standaard zien ze immers enkel de vpn-server en niet de andere clients. Met de twee laatste regels schakel je iets meer logging in en schrijf je die weg in een apart bestand. Dat is vooral in het begin erg nuttig, als je vpn-verbinding niet meteen werkt.

Clients toevoegen

De OpenVPN-server is nu klaar: tijd om een eerste client toe te voegen. Om te beginnen maak je een private key en certificaat aan voor de client. In de afbeelding zie je een voorbeeld voor een client met hostname linuxmint. In dit geval beveiligen we de private key met een wachtwoordzin (--pass-optie). Verder in dit artikel komen we nog een voorbeeld tegen waarbij je die optie beter weglaat. Vervolgens maak je een configuratiebestand aan met daarin het voor de client gewenste ip-adres in het vpn-subnet. In het voorbeeld hiernaast is dat 192.168.200.2. Daarna zet je de permissies goed en start je de openvpn-service in de voorgrond:

Krijg je geen foutmeldingen te zien? Stop openvpn dan met Ctrl-C en open het bestand /etc/default/openvpn. Verwijder het #-teken voor de regel AUTOSTART="all" en voer dan volgende commando’s uit:

OpenVPN draait nu als een daemon in de achtergrond en is klaar voor inkomende verbindingen. Je merkt ook dat er een extra netwerkinterface verschenen is met het vpn-adres van je server:

Portforwarding

De volgende stap is om de OpenVPN-service op onze Pi beschikbaar te maken voor de buitenwereld. Daarvoor voeg je een portforwarding-regel toe op je router. De precieze procedure daarvoor is erg merk-gebonden, dus zoek zelf even uit hoe dit voor jouw router werkt. Het komt erop neer dat je een bepaalde poort op de externe interface van je router doorstuurt naar het interne ip-adres van de Pi en de poort die je in /etc/openvpn/home.conf gespecificeerd had.

Let ook op dat je hetzelfde protocol selecteert (tcp of udp) als in dat configuratiebestand. Je hoeft overigens extern niet dezelfde poort te gebruiken als intern. Sommige providers blokkeren namelijk bepaalde poorten. In dat geval ben je verplicht een andere poort te gebruiken. Zo is het bijvoorbeeld prima mogelijk om poort 8443 of 11194 op je router te forwarden naar 1194 op je Pi.

Linux-client instellen

We beginnen met een Linux Mint-machine om onze OpenVPN-server te testen. Kopieer alvast de bestanden ca.crt, ta.key, linuxmint.crt en linuxmint.key naar de client. De benodigde software is in Linux Mint standaard al geïnstalleerd. Gebruik je een andere Linux-distributie en is dat niet het geval? Installeer dan het pakket Network-manager-openvpn-gnome. Klik vervolgens op het netwerkpictogram in het systeemvak en ga naar Netwerverbindingen. Klik op Toevoegen, kies OpenVPN als verbindingstype en klik op Aanmaken. In het VPN-tabblad vul je volgende gegevens in:

- Gateway: het externe ip-adres van jouw router.

- Gebruikerscertificaat: linuxmint.crt

- CA-certificaat: ca.crt

- Privé-sleutel: linuxmint.key

- Wachtwoord van de privésleutel: de eerder ingestelde passphrase

Klik vervolgens op Geavanceerd, ga naar TLS-authenticatie en vul bij Overeenkomst met onderwerp de hostname in van je Pi zoals die in het servercertificaat staat (raspberrypi in ons voorbeeld). Selecteer de optie Verify peer (server) certificate usage signature. Vink tot slot de optie Extra TLS-authenticatie gebruiken aan. Selecteer het bestand ta.key en laat Sleutelrichting op Geen staan. Onder Beveiliging selecteer je dezelfde algoritmes als op de server: AES-256-CBC voor Vercijfering en SHA-256 voor HMAC-authenticatie. Onder Algemeen vink je volgende opties aan:

- LZO-datacompressie gebruiken.

- TCP-verbinding gebruiken (indien je voor tcp in plaats van udp gekozen had op de server).

- Aangepaste gateway-poort (indien je niet poort 1194 op je Pi gebruikt).

©PXimport

Klik tot slot op OK en Opslaan om de vpn-verbinding te bewaren. Sluit het configuratievenster voor netwerkverbindingen, klik opnieuw op netwerkpictogram in het systeemvak en selecteer de nieuwe vpn-verbinding om die te testen. Verschijnt er geen netwerkinterface tun0 met het gekozen ip-adres (192.168.200.2 in ons geval), zoek dan naar foutmeldingen in /var/log/syslog op de client en /var/log/openvpn.log op de server. Om zeker te zijn dat je verbinding correct werkt, installeer je bijvoorbeeld het pakket apache2 op je Pi.

Open na installatie het vpn-ip-adres van je Pi in een browser op de client: 192.168.200.1. Zie je een pagina zoals de afbeelding, dan werkt je vpn-verbinding correct. Maak daarna met pkitool een nieuw certificaat aan op de server en zet een configuratiebestand klaar in /etc/openvpn/chroot/clients voor een tweede client. Wij kozen voor de hostname windows10 en ip-adres 192.168.200.3.

Windows-client instellen

Wil je vanaf Windows met je vpn verbinden, download dan de Windows-installer. Na installatie krijg je een shortcut met de misleidende naam OpenVPN GUI. De naam GUI mag je met een korreltje zout nemen, want de interface bestaat uit een pictogram in het systeemvak met maar enkele opties. De eigenlijke vpn-verbinding configureer je via een tekstbestand met de benodigde parameters. In de afbeelding hiernaast zie je een voorbeeld dat correct samenwerkt met onze serverconfiguratie. Bewaar dit met de extensie .ovpn, klik rechts op het OpenVPN-pictogram in het systeemvak en kies Bestand importeren.

OpenVPN maakt nu een nieuwe map aan onder ~/OpenVPN/config. Kopieer de .key- en .crt-bestanden in die directory en kies daarna Verbinden uit het menu van de OpenVPN GUI. Vul het wachtwoord van de private key in, klik Toegang toestaan in het waarschuwingsvenster van de Windows Firewall en de verbinding wordt opgezet. De optie Status weergeven toont je eventuele foutmeldingen. Sluit je de OpenVPN GUI, dan vind je die meldingen in een logbestand onder ~/OpenVPN/log.

©PXimport

Services

Via de vpn-verbinding krijg je toegang tot alle services op jouw Raspberry Pi die niet aan één specifiek ip-adres gebonden zijn. Het lsof-commando uit de afbeelding toont je alle actieve services met bijbehorende ip-adressen en poortnummers. Merk op dat onze Pi intussen over drie ip-adressen beschikt: localhost of 127.0.0.1 (onbereikbaar voor andere machines), 192.168.1.7 (bereikbaar via het lan) en 192.168.200.1 (bereikbaar via het vpn).

In ons voorbeeld zijn ssh, dansguardian en minidlna via alle ip-adressen bereikbaar (*). Squid en Postfix (master) zijn enkel bereikbaar vanaf localhost en Samba enkel via het lan. Wil je bijvoorbeeld Samba ook benaderen via het vpn? Pas dan de opties interfaces en bind interfaces only in /etc/samba/smb.conf aan zodat die service ook op ip-adres 192.168.200.1 luistert. De meeste services hebben vergelijkbare opties.

Verbinden

Wil je toegang krijgen tot services op andere machines, dan moet je die nog verbinden met je vpn. Op een homeserver kun je het best een permanente verbinding opzetten met de vpn-server. Op een Linux-machine zonder de Network Manager-gui installeer je daarvoor het openvpn-pakket. Maak een certificaat en private key aan zonder wachtwoordzin door de --pass-optie weg te laten bij pkitool. Plaats die bestanden samen met ca.crt en ta.key in /etc/openvpn. Bewaar ook het configuratiebestand van onze Windows-client met .conf-extensie in die directory, uiteraard aangepast voor de correcte certificaten.

Vervolgens start je openvpn net zoals we dat bij onze server gedaan hadden in de paragraaf Clients toevoegen. Voor een Windows-machine gebruik je ook een private key zonder wachtwoord. Kopieer de map met de bestaande configuratiebestanden van ~/OpenVPN/config naar C:\Program Files\OpenVPN\config. In het ovpn-bestand moet je wel het volledig pad invullen naar de ca-, cert-, key- en tls-auth-bestanden. Plaats elk pad tussen dubbele aanhalingstekens en gebruik overal \\ in plaats van \. Open de Services Management Console (services.msc) en selecteer OpenVPNService. Kies Eigenschappen uit het contextmenu, wijzig het Opstarttype naar Automatisch en klik op Starten en OK.

Tunnels en proxy's

Wil je tenslotte snel toegang krijgen tot een bepaalde service in je lan die niet via een vpn-ip-adres bereikbaar is? Gebruik dan de portforwarding-functie van ssh om het netwerkverkeer in een ssh-verbinding te tunnelen. Vanaf een Linux-machine werkt dat als volgt. Stel dat je poort 8080 op de machine met ip-adres 192.168.1.8 wilt bereiken. Jouw vpn-client komt niet bij dat adres, maar de Pi wel. Met volgend commando forward je poort 8080 op jouw client via de vpn-server naar die machine:

Verbind je vervolgens met poort 8080 op jouw client, dan kom je via de Pi terecht op poort 8080 op de machine met ip-adres 192.168.1.8. Een vergelijkbaar trucje gebruik je om snel via jouw thuisverbinding te surfen:

Daarmee zet ssh op poort 1080 een lokale socks-server op. Stel je vervolgens in je browser localhost:1080 in als socks-proxy, dan wordt al het netwerkverkeer via ssh getunneld naar je vpn-server. Dat is erg handig om te surfen vanuit een publiek netwerk dat je niet vertrouwt. Ook onbeveiligd http-verkeer is op die manier immers versleuteld tussen jouw pc en je vpn-server thuis. Zowel portforwarding als een socks-proxy kan je onder Windows configureren via Putty.

Lange documenten in Word voorzie je natuurlijk van paginanummers. Maar wat als je project begint met een voorblad en een inhoudsopgave? Dan wil je de paginanummering misschien pas later laten starten, bijvoorbeeld bij het eerste hoofdstuk. Gelukkig kun je zelf bepalen vanaf welke pagina de nummering begint en hoe die wordt weergegeven.

Stap 1: Sectie-einde

Stel dat je de paginanummering pas op pagina vier wilt laten beginnen. Plaats dan de cursor aan het einde van de tekst op de derde pagina. Ga naar het tabblad Indeling, klik op Eindemarkeringen en kies onder Sectie-einden de optie Volgende pagina. Zo voeg je een sectie-einde toe tussen pagina drie en vier.

Stap 2: Ontkoppel de sectie

Klik in de kop- of voettekst van pagina vier. Je ziet nu het label Koptekst (Sectie 2) of Voettekst (Sectie 2) verschijnen. Zodra je dit doet, opent automatisch het tabblad Koptekst en voettekst. Klik op Aan vorige koppelen in de groep Navigatie om de kop- en voettekst van deze sectie los te koppelen van de vorige. Zo voorkom je dat de paginanummers ook op de eerste drie pagina’s verschijnen.

Stap 3: Nummering plaatsen

Plaats de cursor opnieuw in de kop- of voettekst van pagina vier waar je de nummering wilt starten. Ga naar Paginanummer, kies waar je het nummer wilt tonen (bovenaan of onderaan) en kies een stijl. Je ziet nu waarschijnlijk dat pagina vier het cijfer 4 krijgt. Dat wil je aanpassen. Klik opnieuw op Paginanummer en kies Opmaak paginanummers. Selecteer hier Beginnen bij en vul het gewenste startnummer in – in dit voorbeeld: 1. Klik op OK. Nu begint de nummering pas op pagina vier, met het cijfer 1.

De eerste drie pagina’s hebben nu geen nummering. Als je die drie pagina’s door middel van Romeinse cijfers wilt nummeren, dan ga je terug naar de allereerste pagina en weer klik je op Paginanummer. Je beslist of de nummering boven- of onderaan de pagina moet komen. In het pop-up venster Opmaakpaginanummers selecteer je bovenaan de Romeinse stijl en in het vak Beginnen bij selecteer je 1.

Vroeg of laat moet je bepaalde informatie digitaal delen. Denk aan contracten, medische gegevens of vertrouwelijke rapporten. Dat is vaak ook precies het moment waarop het mis kan gaan. Eén foutieve klik en je bestand belandt in verkeerde handen. Gelukkig zijn er slimme en relatief eenvoudige manieren om het risico te beperken, zonder paranoïde toestanden.

Lees ook: 20 tips om je online privacy te waarborgen

Om te voorkomen dat vertrouwelijke informatie terechtkomt bij onbevoegden, gebruik je bij voorkeur een combinatie van beveiligingsmaatregelen. Versleutel je bestanden vóór verzending, gebruik wachtwoorden of toegangsrechten en kies voor veilige overdrachtsdiensten in plaats van standaardmail. Beperk daarnaast de toegang tot enkel de juiste personen of groepen. Zo houd je je data echt privé, ook na verzending. 

Metadata verwijderen

Welke versie van Windows je ook gebruikt: als je gevoelige bestanden deelt, is het verstandig om eerst de metadata te wissen. Wanneer je een bestand aanmaakt, slaat het systeem automatisch extra gegevens op, zoals de naam van de auteur, de datum van de laatste wijziging, de computernaam en meer. Deze metadata kunnen onbedoeld gevoelige informatie prijsgeven.

Gelukkig kun je deze metadata in Windows Verkenner eenvoudig verwijderen. Navigeer naar het bestand dat je wilt delen. Klik er met de rechtermuisknop op en kies Eigenschappen. Of gebruik de toetscombinatie Alt+Enter. Ga naar het tabblad Details. Klik onderaan op Eigenschappen en persoonlijke gegevens verwijderen. Hier kun je ook de optie Maak een kopie waarbij alle mogelijke eigenschappen zijn verwijderd selecteren. Bevestig met OK. Hierdoor ontvang je een kopie van het bestand zonder de metadata.

➡️7-Zip

Installeren

Ben je van plan om een bestand via internet te versturen? Dan is versleuteling een slimme zet. Door een bestand te versleutelen, voorkom je dat onbevoegden toegang krijgen tot de inhoud, zelfs als ze dat per ongeluk in handen krijgen. Hoewel Windows 11 zelf versleutelingsopties biedt, zijn die alleen bedoeld voor lokale opslag en dus niet geschikt voor bestanden die je wilt delen. Gebruik daarom een externe tool zoals 7-Zip, een gratis, opensource-programma dat uitstekend werkt voor veilige compressie én encryptie.

7-Zip installeer je via de Opdrachtprompt: Open het Startmenu en zoek naar Opdrachtprompt. Klik met de rechtermuisknop op het resultaat en kies Als administrator uitvoeren. Typ de volgende opdracht en druk op Enter: winget install --id 7zip.7zip.

De tool wordt automatisch gedownload en geïnstalleerd. Zodra 7-Zip klaarstaat, kun je je bestand inpakken in een met een wachtwoord beveiligd archief (7z of zip) met sterke AES-256-encryptie. Op die manier kun je het bestand veilig versturen, bijvoorbeeld via e-mail of een cloudservice, mits je het wachtwoord apart en veilig deelt.

Versleutelen

Om 7-Zip te starten, zoek je via Startmenu naar 7-Zip File Manager. Open de app en navigeer naar het bestand dat je wilt beveiligen. Selecteer dat en klik op de groene knop Toevoegen. Onderaan, in het gedeelte Versleuteling, vul je een wachtwoord in om het bestand te beveiligen. Typ het wachtwoord twee keer ter bevestiging.

Je kunt ervoor kiezen om het wachtwoord zichtbaar te maken, zodat je zeker weet dat je geen typfouten maakt. Daarnaast kun je ook de bestandsnaam versleutelen. Dat zorgt ervoor dat zelfs de naam van het bestand niet meer herkenbaar is, wat de inhoud extra goed afschermt voor nieuwsgierige ogen. Het resultaat is een versleuteld archiefbestand - een soort digitale container - dat alleen geopend kan worden met het ingestelde wachtwoord.

Standaard blijft het originele, niet-versleutelde bestand behouden. Wil je dat automatisch laten verwijderen? Vink dan in het venster Toevoegen aan archief de optie Bestanden na inpakken verwijderen aan. Zo blijft enkel de beveiligde versie over.

Versleutelen en splitsen

Wil je nog een extra beveiligingslaag toevoegen? Dan kun je het bestand niet alleen versleutelen met 7-Zip, maar ook opsplitsen in meerdere delen. Vervolgens kun je elk deel apart versturen, eventueel zelfs op verschillende momenten of via verschillende kanalen.

Open opnieuw 7-Zip en voeg het bestand toe dat je op deze manier wilt beveiligen. Stel een encryptiewachtwoord in en bevestig dat. In het veld Opsplitsen in volumes, bytes kies je de gewenste bestandsgrootte per deel. Dit is vooral handig voor grote bestanden. Stel dat het originele bestand 40 MB groot is. Als je 10 MB opgeeft, maakt 7-Zip er automatisch vier gelabelde delen van.

Voor maximale veiligheid kun je elk deel via een andere dienst of e-mailaccount verzenden. De ontvanger selecteert alle delen in 7-Zip (houd hiervoor de Ctrl-toets ingedrukt tijdens het aanklikken) en kiest daarna Uitpakken. Zodra het juiste wachtwoord wordt ingevoerd, worden de delen automatisch samengevoegd en ontsleuteld.

➡️OneDrive

Machtigingen

Met OneDrive stel je eenvoudig machtigingenin waarmee je bepaalt wie er toegang krijgt tot het bestand dat je eerder met 7-Zip hebt versleuteld. Het delen kun je op elk moment weer stopzetten. Open OneDrive via verkenner en navigeer naar de map waarin de versleutelde container staat. Klik met de rechtermuisknop op het bestand en kies voor Delen.

In het pop-upvenster voer je het e-mailadres in van de persoon met wie je het bestand wilt delen. Je kunt ook meerdere e-mailadressen of een mailgroep invoeren. Klik vervolgens op het potloodicoon om aan te geven of de ontvanger het bestand mag Bewerken of Alleen mag bekijken. Ben je klaar? Klik dan op Verzenden. De ontvanger krijgt een e-mail met een link om het bestand te downloaden.

➡️Outlook

E-mailversleuteling

Heb je een Microsoft 365-abonnement? Dan kun je gebruikmaken van de ingebouwde versleutelfunctie in Outlook om je e-mails en bijlagen extra te beveiligen.

Open de Outlook-app en klik op Nieuwe e-mail om een nieuw bericht op te stellen.Ga eventueel naar het tabblad Invoegen en kies Bestand bijvoegen.Selecteer via Op deze computer zoeken het gewenste bestand en klik op Openen.

Daarnaga je naar het tabblad Opties bovenaan het Lint.Klik op de knop Versleutelen. Je kunt hier ook kiezen uit verschillende beveiligingsniveaus.Maak je bericht af zoals gewoonlijk en klik op Verzenden.De e-mail wordt nu automatisch versleuteld verstuurd. De inhoud is onderweg beschermd en kan alleen worden geopend door de bedoelde ontvanger.

Beveiligingsopties

Onder de knop Versleuteling zie je drie opties als je een Microsoft 365 Family- of Personal-abonnement gebruikt. De eerste optie is Niet doorsturen. Hierdoor blijft je bericht versleuteld binnen Microsoft 365 en kan de ontvanger het niet kopiëren of naar anderen doorsturen. Kies je Versleutelen, dan kunnen ontvangers met een Outlook.com- of Microsoft 365-account de bijlagen downloaden vanuit Outlook.com of de mobiele Outlook-app.

Wie een andere e-mailclient gebruikt, zoals Gmail, Thunderbird of Apple Mail, ontvangt een bericht dat er een Microsoft Office 365-versleutelde e-mail op hem wacht. Als de ontvanger op de link Bericht lezen klikt, dan schakelt hij naar het Microsoft 365 Portal voor berichtversleuteling en daar moet hij zich aanmelden met een eenmalige wachtwoordcode. Die code ontvangt hij in zijn e-mailclient en daarmee kan hij dan het bericht op de portal openen.

De derde optie is Geen machtiging ingesteld en daarmee verwijder je eerdere machtigingen. De versleutelfunctie in Outlook is ideaal voor wie snel en zonder technische omwegen gevoelige informatie wil delen binnen een professionele context. Je hoeft geen extra tools te installeren.

➡️Gmail

Vertrouwelijke modus

De extra beveiliging in Gmail heet Vertrouwelijke modus. Hiermee versleutel je je berichten, zodat alleen de bedoelde ontvanger ze kan lezen, zelfs als iemand anders toegang krijgt tot diens mailbox. Klik op Opstellen om een nieuw bericht te maken. Vul het e-mailadres van de ontvanger in, kies een onderwerp en typ je bericht. Voor je op Verzenden klikt, activeer je de extra beveiliging. Onderaan het berichtvenster zie je een aantal grijze knoppen. Helemaal rechts staat een pictogram van een slot met een wijzerplaat. Klik daarop om de Vertrouwelijke modus in te schakelen.

Gebruik je de mobiele app? Tik dan op de drie puntjes rechtsboven en kies daar het slotje. Ontvangers kunnen deze mail vervolgens niet doorsturen, kopiëren, afdrukken of downloaden. Er verschijnt ook een pop-upvenster waarin je de vervaltijd van het bericht instelt. Je kunt kiezen uit: 1 dag, 1 week, 1 maand, 3 maanden of 5 jaar. Na afloop van de gekozen periode verdwijnt het bericht automatisch uit de postbus.

Sms-beveiliging

In hetzelfde pop-upvenster kun je een extra beveiligingslaag toevoegen via de optie Toegangscode vereisen. Vink hier de optie Sms-toegangscode aan. De ontvanger kan het bericht dan pas lezen nadat hij of zij een code invoert die via sms op de mobiele telefoon wordt bezorgd. Hiermee voeg je een tweede beveiligingsfactor toe, wat het voor een indringer vrijwel onmogelijk maakt om toegang te krijgen. Die moet immers niet alleen de mailbox, maar ook de sms-berichten van de ontvanger onderscheppen. Dat is een bijzonder lastige combinatie.

Klik op Opslaan en vervolgens op Verzenden. Op dit moment kun je eventueel nog de vervaltijd van het bericht aanpassen. Dan verschijnt er nu een tweede pop-upvenster waarin je het telefoonnummer van de ontvanger moet invoeren. Klik opnieuw op Verzenden. De ontvanger krijgt vervolgens een e-mail met daarin een knop om het vertrouwelijke bericht in de browser te openen. Is sms-verificatie ingeschakeld? Dan ziet de ontvanger ter bevestiging de laatste twee cijfers van zijn of haar gsm-nummer. Na een klik op Send passcode wordt de toegangscode per sms verstuurd.

Lees ook: 20 (écht) onmisbare tips voor Gmail

Documenten ondertekenen op je iPhone? Zo maak je een handtekening aan

➡️Proton Mail

Zwitserse veiligheid

De grote mailproviders maken er geen geheim van dat ze het e-mailverkeer scannen. Volgens eigen zeggen doen ze dat om hun dienstverlening te verbeteren. Daarbij richten ze zich vooral op de metadata van berichten: wie met wie communiceert, wanneer en hoe vaak. Ben je op je privacy gesteld, dan geeft dit idee een onbehaaglijk gevoel, zeker wanneer het om vertrouwelijke informatie gaat.

In dat geval kun je overstappen naar een ultraveilige aanbieder zoals Proton Mail (https://proton.me), een dienst die privacy centraal stelt. De servers staan in Zwitserland, waardoor de dienst onderworpen is aan een van de strengste privacywetgevingen ter wereld. Proton Mail werkt standaard met end-to-end-encryptie. Bij gewone e-mails is de verbinding tussen jou en de server meestal wel versleuteld met TLS (Transport Layer Security), maar de e-mail zelf wordt op de server in leesbare vorm opgeslagen.

End-to-end-encryptie (E2EE) bij e-mail betekent dat alleen de afzender en de beoogde ontvanger de inhoud van het bericht kunnen lezen. Zelfs de e-maildienst zelf kan niet zien wat er in de e-mail staat, omdat de versleuteling pas wordt verwijderd op het toestel van de ontvanger.

De gratis versie, Proton Free, biedt dezelfde sterke beveiliging als de betaalde formules, maar met enkele beperkingen. Je beschikt over één e-mailadres en 1 GB e-mailopslag. Daar staat tegenover dat je volledig reclamevrij werkt, niet gevolgd wordt en je berichten niet worden geanalyseerd of gelogd. Wie meer nodig heeft, kan upgraden naar een betaald abonnement, zoals Mail Plus (3,99 euro per maand bij jaarlijkse betaling).