Je hebt wellicht weleens phishingmails ontvangen waarbij het afzendadres wel degelijk van je bank afkomstig leek. Een geval van domeinspoofing dus en laat dat nou net de praktijken zijn die het e-mailprotocol DMARC moet voorkomen, met als bouwstenen SPF en DKIM.

DMARC staat voor Domain-based Message Authentication, Reporting & Conformance en is een protocol voor e-mailverificatie, e-mailbeleid en e-mailrapportage dat grotendeels steunt op de SPF- en DKIM-validatieprotocollen. DMARC maakt het mailservers makkelijker om na te gaan of een bericht daadwerkelijk van de vermeende zender afkomstig is en wat er dient te gebeuren indien dat niet zo is.

Het oude SMTP (Simple Mail Transport Protocol) is, zoals de naam al aangeeft, een simpel protocol om e-mails te verzenden. Er is geen sprake van enige encryptie of verificatie, wat maakt dat berichten makkelijk kunnen worden onderschept en gespooft (bijvoorbeeld via een man-in-the-middle-opzet). Er werden weliswaar enkele oplossingen aan clientzijde bedacht, zoals S/MIME en PGP, maar die vereisen de actieve medewerking van de gebruikers. 

Extensies en internetstandaarden die het SMTP-protocol en transport zelf beveiligen zijn daarom een betere werkwijze. SSL gebruiken voor SMTP-verbindingen bleek niet zo praktisch wegens poort-issues. STARTTLS is een betere aanpak aangezien de SMTP-client en -server over het TLS-gebruik (Transport Layer Security) kunnen onderhandelen en hierbij ook de mailheaders worden versleuteld.

Helaas beschermt TLS de berichten alleen wanneer het wordt verstuurd tussen twee servers die beide TLS ondersteunen.

©PXimport

SPF (Sender Policy Framework)

Inmiddels werden er nog andere technieken ontwikkeld die het vooral op e-mailspoofers gemunt hebben. SPF (Sender Policy Framework) is er één van, een techniek die steunt op DNS (Domain Name System). Er wordt hierbij immers een txt-record opgenomen in de nameserver-configuratie van het domein. Je vindt de syntaxregels hier. 

Zo’n record zou onder meer de volgende regel kunnen bevatten:

Deze geeft aan dat de host email.domeinnaam.nl (alleen) berichten mag verzenden namens @domainnaam.nl en is dus bedoeld om e-mailspoofing tegen te gaan. Je kunt je eigen SPF-record en ook die van andere instanties hier testen. 

Het volstaat hier een domeinnaam te vullen (bijvoorbeeld telegraaf.nl), waarna je het SPF-record te zien krijgt, gevolgd door een analyse en een veiligheidsbeoordeling.

©PXimport

DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) is een complementair e-mailverificatieprotocol dat door het toevoegen van een handtekening wil voorkomen dat berichten tijdens het transport tussen de mailservers kunnen worden gewijzigd of vervalst. Meer informatie hierover vind je op dkim.org.

De mailservers of e-mailgateway moeten wel met DKIM overweg kunnen. Na het instellen van de DKIM-functie wordt er dan een sleutelpaar gegenereerd. De private sleutel komt terecht op de mailserver, terwijl de publieke sleutel in het DNS wordt opgenomen met de nodige parameters. Dat kan er in eenvoudige vorm als volgt uitzien:

DKIM werkt namelijk op basis van een selector, met een willekeurige naam, die het zo mogelijk maakt dat je meerdere DKIM-sleutels voor je domein opneemt.

Op basis van de private sleutel wordt dan een cryptografische handtekening gegenereerd, die aan de mail wordt toegevoegd als DKIM-header. De ontvanger kan dan in het DNS de bijbehorende publieke sleutel opzoeken en controleren. Is er geen match, dan wordt de e-mail geweigerd.

Je kunt hier een DKIM-record testen. Naast een domeinnaam dien je hier wel nog een geldige DKIM-selector in te vullen. Zo’n selector kun je in de e-mailheader terugvinden. In Outlook bijvoorbeeld open je hiervoor de gewenste mail en kies je Bestand / Eigenschappen, waarna je in het veld Internetheaders zoekt naar de DKIM-ingang (indien aanwezig). Je leest de selector-naam af achter de parameter s=.

©PXimport

Hoe werkt DMARC?

Met SPF en DKIM zijn we al een heel eind richting DMARC opgeschoven. Op dmarc.org/wiki/FAQ vind je een uitgebreide lijst met vragen en antwoorden.

DMARC gebruikt de verificatieprotocollen SPF en DKIM als bouwstenen. Zo controleert DMARC of het <header from>-veld van het bericht overeenkomt met het <envelope from>-veld dat via SPF wordt gecheckt. Ook gaat DMARC na of dat veld eveneens overeenkomt met de parameter d=<domeinnaam> uit de DKIM-handtekening.

Een belangrijke meerwaarde van DMARC is dat je via beleidsregels niet alleen kunt aangeven hoe streng je die SPF- en DKIM-controles wilt interpreteren (met parameters als aspf=r en adkim=s, waarbij r voor relaxed en s voor strict staat), maar vooral ook dat je precies kunt aangeven wat er moet gebeuren als deze controles niet blijken te kloppen. In het DMARC-txt-record zou je bijvoorbeeld iets als het volgende kunnen zetten:

©PXimport

Recordanalyse

Een blik op bijvoorbeeld Flowmailer maakt meteen duidelijk wat deze record-ingang inhoudt. Zo geef je met de parameter p= aan wat de ontvangende mailserver met berichten moet doen die de bovenvermelde controles niet hebben doorstaan: niets, afwijzen of ter verdere controle in quarantaine plaatsen.

Absoluut interessant zijn ook de parameters rua= en ruf=, die elk verwijzen naar een andersoortige rapportage, respectievelijk aggregated en forensic, waarbij de laatste het meest gedetailleerd is. De ontvangende mailserver stuurt deze rapporten dan automatisch door naar de in het DMARC-record vermelde e-mailadressen.

Net als bij SPF en DKIM kun je ook het DMARC-record voor een domeinnaam testen op mxtoolbox.com/dmarc.aspx. Voor all-roundtests kun je terecht op powerdmarc.com/analyzer en internet.nl.

DMARC mag dan de nodige configuratie vergen, het is in elk geval een extra, zinvolle blokkade tegen e-mailspoofing (en dus ook phishing). Jammer dus dat de implementatie van DMARC op de mailservers van Nederlandse en Belgische e-commercebedrijven relatief langzaam verloopt.

Een apparaat op afstand bedienen hoeft geen geld te kosten en is verrassend eenvoudig. Of je nu bestanden wilt openen, technische problemen wilt oplossen of meerdere toestellen wilt beheren: met Chrome Remote Desktop kan het allemaal, gratis en zonder gedoe.

De helper begint

Een groot voordeel van Chrome Remote Desktop is de brede compatibiliteit: het werkt met Windows, macOS, Linux en ChromeOS. Bovendien is het veilig – verbindingen worden versleuteld – en je hebt alleen een Chrome-browser nodig. We beginnen aan de kant van degene die op afstand toegang wilt tot een andere computer, degene die ondersteuning biedt vanaf computer A. Op computer A opent de gebruiker Chrome en surft naar https://remotedesktop.google.com. Daar verschijnen twee opties: Dit scherm delen en Verbinding maken met een andere computer. Omdat computer A support wil geven aan een extern apparaat, kiest de gebruiker voor de tweede optie. In dat scherm verschijnt een veld om een toegangscode in te geven, de code volgt zo meteen.

Acties voor de hulpvrager

Op computer B, de computer die toegang zal verlenen, moet de gebruiker ook in Chrome surfen naar dezelfde website. Daar kiest hij voor de optie Dit scherm delen. Voordat dat mogelijk is, moet Chrome Remote Desktop eerst worden gedownload en geïnstalleerd. De gebruiker klikt daarvoor op de ronde blauwe knop met het witte downloadpijltje. Hiermee wordt een Chrome-extensie geïnstalleerd. Na de installatie verschijnt in het vak Dit scherm delen een blauwe knop met de tekst Code genereren. Wanneer de gebruiker daarop klikt, wordt een toegangscode van 12 cijfers aangemaakt. Die code geeft hij of zij door aan gebruiker A.

Scherm delen

Op computer A geeft de gebruiker de code op in Chrome Remote Desktop. Vervolgens wacht hij tot gebruiker B bevestigt dat A toegang mag krijgen tot zijn scherm. Zodra dat is gebeurd, verschijnt het volledige bureaublad van computer B in een nieuw Chrome-venster op computer A. Door dit venster schermvullend weer te geven, kan A probleemloos handelingen uitvoeren op de pc van B. Voor de veiligheid beschikken beide gebruikers over een knop om de sessie op elk moment te beëindigen. Uiteraard is een stabiele internetverbinding noodzakelijk. Daarnaast krijgen beide partijen de melding dat ze klembordsynchronisatie kunnen inschakelen. Hiermee wordt het mogelijk om eenvoudig tekst of bestanden te kopiëren en te plakken tussen beide apparaten.

De tijd dat een screensaver nodig was om je computerscherm te beschermen tegen inbranden, ligt ver achter ons. Vandaag is een screensaver vooral een manier om je computer een persoonlijk tintje te geven. Met een eenvoudige tool verander je je vakantiefilmpjes of familievideo's in een levendige screensaver die je scherm vult zodra de pc even pauze neemt.

Stap 1: Download PUSH VideoWallpaper

Voordat je een video als bureaubladachtergrond instelt, is het verstandig om eerst na te denken over de juiste clips. Voor een opvallend en toch rustig effect werkt een korte video die in een lus draait meestal het best. Met PUSH Video Wallpaper kun je bovendien een afspeellijst maken zodat meerdere clips elkaar automatisch opvolgen. Deze Windows-app is eenvoudig in gebruik en levert de beste resultaten. Je kunt video's afspelen vanaf de harde schijf, maar ook geanimeerde gifs en zelfs YouTube-fragmenten zijn mogelijk. Het programma is niet gratis: een licentie voor persoonlijk gebruik kost 9,95 euro en een thuislicentie voor vijf pc's 14,95 euro. Er is wel een gratis proefversie, waarbij alleen een klein watermerk rechtsonder zichtbaar is.

De eerste stap is het downloaden van PUSH Video Wallpaper (26 MB). Na het binnenhalen installeer je de tool met het bestand VideoWallpaper_setup.exe. Aan het einde van de installatie verschijnt een pop-up met de vraag of je PUSH Video Wallpaper meteen wilt starten en of je de app ook als schermbeveiliging wilt instellen. Vink beide opties aan en klik op Voltooien.

Stap 2: Instellingen

Via het pictogram in het systeemvak kun je met de rechtermuisknop de instellingen openen. Klik bovenaan op het kleine voorbeeldscherm om een afspeellijst samen te stellen. Er staan standaard enkele voorbeeldvideo's klaar. Verwijder die en voeg je eigen filmpjes toe die je als screensaver wilt gebruiken. Ga vervolgens terug naar het tandwieltje en schakel de optie Start with Windows uit. Klik ten slotte op Instellen als schermbeveiliging. De ontwikkelaar gaat ervan uit dat je de tool gebruikt als video-wallpaper. De screensaverfunctie is eigenlijk een extraatje. Door het automatisch opstarten uit te schakelen, gebruik je de app uitsluitend als screensaver en niet als dynamische bureaubladachtergrond.

Stap 3: Als schermbeveiliger instellen

Herstart de pc en ga naar Instellingen / Persoonlijke instellingen / Vergrendelingsscherm / Schermbeveiliging. Hier kun je dan PUSH Video Screen Saver selecteren voor schermbeveiliging.