Om een vpn-verbinding op te zetten maak je doorgaans gebruik van OpenVPN of IPsec. Maar al enkele jaren is er een nieuw protocol in ontwikkeling, namelijk WireGuard. Wat is WireGuard precies? Het is gebouwd volgens moderne principes en bevat slechts de minimale code die nodig is. Reden te meer om dit nieuwe vpn-protocol eens onder de loep te nemen.

Draai je een vpn-server thuis, bijvoorbeeld op je router, nas of een Raspberry Pi, dan kun je op een veilige manier van overal in de wereld op je thuisnetwerk, of zelfs surfen via je thuisnetwerk zodat je ook buitenshuis gebruikmaakt van de dns-gebaseerde adblocker die je thuis hebt draaien. Een ander interessant scenario is dat je van een vpn-server in een ander land gebruikmaakt, bijvoorbeeld om regioblokkades te omzeilen. En in bedrijfsomgevingen is een vpn essentieel.

Kortom, redenen genoeg om een vpn te gebruiken. Vaak gebeurt dat met het OpenVPN-protocol en de gelijknamige opensource-software. Die is populair en algemeen ondersteund, zowel wanneer je zelf een vpn-server wilt opzetten als wanneer je wilt verbinden met een vpn-server van een vpn-dienst. OpenVPN versleutelt zijn communicatie met tls (Transport Layer Security) en werkt via udp of tcp.

Een ander protocol is IPsec (Internet Protocol Security), wat eigenlijk een hele suite van protocollen is. In tegenstelling tot OpenVPN, dat door zijn gebruik van tls in de applicatielaag van de tcp/ip-suite werkt, doet IPsec zijn werk in de internetlaag, dezelfde laag dus als IP. IPsec wordt vooral in bedrijfsomgevingen gebruikt. Het is een vrij complex protocol en komt in thuisomgevingen dan ook zo goed als niet voor.

Complexiteit is de vijand van veiligheid, en zowel OpenVPN als IPsec slepen over de jaren heen heel wat ballast met zich mee. Daarom begon beveiligingsonderzoeker Jason A. Donenfeld in 2015 met een schone lei: hij wilde een vpn-protocol ontwikkelen volgens moderne standaarden, dat snel is, weinig code heeft en daardoor minder kans op (potentieel uit te buiten) bugs. Het resultaat is WireGuard.

Voordelen van Wireguard

We hebben het al over de hoeveelheid code gehad. Misschien maakt dat je als gebruiker niet uit, maar toch is het belangrijk voor de veiligheid van software. Hoe minder regels code, hoe minder aanvalsoppervlak en hoe eenvoudiger de code te auditen is op beveiligingsproblemen. Volgens Donenfeld moet de code van WireGuard door een individu na te kijken zijn, wat bijvoorbeeld met OpenVPN zo goed als onmogelijk is, zeker aangezien je dan ook de code van OpenSSL dient te bekijken. OpenVPN bevat ruwweg honderd keer zoveel regels code als WireGuard.

WireGuard is ook het resultaat van academisch onderzoek van Donenfeld: hij heeft veel tijd gestoken in het goed uitdenken van het protocol, dat hij bovenop het Noise Protocol Framework heeft gebouwd. Met een bewijsprogramma is zelfs formeel geverifieerd dat het protocol specifieke veiligheidseigenschappen heeft. WireGuard maakt ook gebruik van de allernieuwste cryptografie omdat het geen oude algoritmes hoeft te blijven ondersteunen. Termen als Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24 en HKDF zeggen je misschien niet veel, maar beveiligingsonderzoekers watertanden ervan.

Je bent natuurlijk niets met een superveilig systeem als het niet gebruiksvriendelijk is en vaak is veiligheid omgekeerd evenredig met gebruiksvriendelijkheid. Bij WireGuard is dat anders: het is eigenlijk verrassend eenvoudig om te gebruiken. Je wisselt gewoon publieke sleutels uit en de rest wordt door WireGuard afgehandeld. En zelfs als je van ip-adres verandert, blijft de vpn-verbinding behouden. Dat laatste is heel handig op mobiele toestellen, bijvoorbeeld als je van wifi naar 4G overschakelt.

©PXimport

Hoe WireGuard werkt

WireGuard werkt door de ip-pakketjes van je ‘echte’ netwerkverbinding in te kapselen in udp. Daarvoor creëert het een virtuele netwerkinterface (vaak wg0 genoemd), die alle pakketjes versleutelt die door je echte netwerkinterface (bijvoorbeeld wlan0) gaan. Die virtuele netwerkinterface configureer je gewoon met de standaard netwerktools van je besturingssysteem, zoals de tool ip onder Linux.

Elke virtuele netwerkinterface van WireGuard heeft een geheime sleutel en een lijst van ‘peers’ waarmee communicatie mogelijk is. Van elke peer kent WireGuard een publieke sleutel en een lijst met toegestane ip-adressen waarvan de peer mag communiceren.

Dat geldt zowel voor de server als een client: beide types machines hebben een geheime sleutel voor de interface en een lijst met peers met publieke sleutels en toegestane ip-adressen. Alleen zal de client maar één peer hebben: de WireGuard-server.

Deze associatie van publieke sleutels met toegestane ip-adressen heet een ‘cryptokey routing table’. Bij het verzenden van een pakket vergelijkt WireGuard immers het ip-adres van de bestemming met de lijst met toegestane ip-adressen van elke peer, versleutelt het pakket dan met de publieke sleutel van die peer en verzendt het pakket naar het recentste bekende ip-adres van de peer.

Wanneer WireGuard aan de andere kant een pakket ontvangt, ontsleutelt hij het aan de hand van de publieke sleutel van de peer. De lijst met toegestane ip-adressen werkt bij het ontvangen wel als een toegangscontrole.

©PXimport

Dit hele mechanisme heeft ook al roaming ingebouwd. De client heeft in zijn configuratie een initieel ip-adres en poortnummer om met de server te verbinden, maar als de server zijn ip-adres tijdens een vpn-verbinding verandert (bijvoorbeeld omdat de internetverbinding van de server uitvalt en de router overschakelt naar 4G), ontdekt de client dit door pakketten die de server daarna naar de client stuurt en de configuratie op de client wordt dan aangepast.

De server kent uiteraard initieel geen ip-adressen van de clients. Maar zodra een client met de server verbindt, kent de server het recentste ip-adres. Als daarna de client van ip-adres verandert (bijvoorbeeld een smartphone die van wifi naar 4G overschakelt) en pakketjes naar de server blijft sturen, ontdekt die het nieuwe ip-adres en houdt dit bij. Dit werkt allemaal automatisch, omdat WireGuard intern niet het concept van een verbinding tussen twee ip-adressen kent, maar via de publieke sleutels van peers werkt.

Nadelen van WireGuard

Je kent het gezegde: there’s no such thing as a free lunch. Een WireGuard-verbinding opzetten gaat bliksemsnel omdat er geen ‘handshake’ nodig is waarbij de client en server overeenkomen welke algoritmes ze gebruiken. Het WireGuard-protocol schrijft immers exact voor welke algoritmes er nodig zijn. Als er in een van deze algoritmes ooit een fundamentele fout wordt gevonden, kun je niet eenvoudig naar een ander algoritme overstappen dat niet kwetsbaar is voor de fout. Het WireGuard-protocol en de software dienen dan aangepast te worden. Bovendien bekommert WireGuard zich niet om het initieel uitwisselen van de sleutels tussen beide kanten van de vpn-verbinding. Enerzijds houdt dat het protocol licht, maar anderzijds is het dan wel je eigen verantwoordelijkheid om dat op een veilige manier te doen.

Strikt gezien is WireGuard nog in ontwikkeling: er is nog geen 1.0-versie (maar die zou niet zo lang meer op zich moeten laten wachten). Toch raden al veel beveiligingsspecialisten WireGuard aan in plaats van OpenVPN en IPsec, met het voorbehoud dat er nog zaken kunnen veranderen. Uiteraard bestaat er een kleine kans dat er nog een beveiligingslek wordt gevonden in WireGuard, omdat het nog maar een jaar of vijf bestaat en nog niet zo uitgebreid getest is als andere protocollen. Daar staat tegenover dat de code zoveel kleiner is dan die van OpenVPN en IPsec-implementaties dat er gewoon minder fouten in kunnen voorkomen. Of je WireGuard voldoende vertrouwt om al te gebruiken, is dus een kwestie van risicoanalyse.

Sommige VPN-aanbieders hebben WireGuard al als optie ingebouwd, de meeste daarentegen nog niet. Lees daar meer over in onze grote VPN-vergelijkingstest.

Of je nu een vlucht boekt, een visum aanvraagt of een vakantiehuis huurt: online liggen oplichters op de loer. In dit artikel lees je hoe je betrouwbare websites herkent, welke trucs veel worden gebruikt door fraudeurs en hoe je jezelf digitaal beschermt met slimme tools van Bitdefender. Zo vertrek je veilig en zorgeloos.

Partnerbijdrage - in samenwerking met Bitdefender

Een vakantie begint steeds vaker achter je laptop of smartphone: je boekt je vlucht, regelt je verblijf en vraagt eventueel een visum aan – allemaal online. Maar dat gemak kent ook een keerzijde. Het internet wemelt van de nepsites en digitale oplichters liggen op de loer om goedgelovige reizigers te misleiden. De Fraudehelpdesk waarschuwde onlangs nog voor nepwebsites rondom het Engelse ETA-visum, waarmee mensen onnodig geld kwijtraakten of privégegevens prijsgaven.

©Black Forest Labs

Zo herken je betrouwbare websites

Een vakantiedeal gevonden die nét iets te mooi lijkt om waar te zijn? Dan is dat vaak ook zo. Criminelen maken steeds geavanceerdere nepsites die sprekend lijken op bekende boekingsplatforms of luchtvaartmaatschappijen. Denk aan nagemaakte logo's, professioneel ogende foto's en zelfs nepbeoordelingen. Toch zijn er manieren om betrouwbaarheid te toetsen.

Controleer altijd het webadres: een officiële partij gebruikt doorgaans een herkenbare domeinnaam die begint met https en eindigt op een logische extensie, zoals .nl, .com of .gov.uk. Een vage of afwijkende URL – bijvoorbeeld met spelfouten of vreemde toevoegingen – is vaak een waarschuwingssignaal. Gebruik daarnaast een zoekmachine om de naam van de aanbieder op te zoeken in combinatie met woorden als 'ervaring', 'klacht' of 'fraude'. Reizigers zijn niet te beroerd om hun slechte ervaringen online te delen, en dat helpt jou om een val te vermijden.

Visa, valse beloften en verborgen kosten

Steeds meer landen eisen een digitale toestemming of visum voor aankomst, zoals de ETA (Electronic Travel Authorisation) voor het Verenigd Koninkrijk of de ESTA (Electronic System for Travel Authorization) voor de Verenigde Staten. Op het eerste gezicht lijkt het aanvragen hiervan eenvoudig: je vult je gegevens in, rekent af en klaar. Maar juist dáár maken malafide tussenpersonen misbruik van. Ze bouwen websites die zich voordoen als officiële loketten, compleet met vlaggen, stempels en zogenaamd juridische taal. Vervolgens rekenen ze forse bedragen voor diensten die in werkelijkheid veel goedkoper of zelfs gratis zijn, en soms sturen ze helemaal niets op.

In sommige gevallen ontvang je wel een geldig document, maar betaal je daar vier keer te veel voor. In andere gevallen geef je zonder het te beseffen je paspoortgegevens of creditcardinformatie aan een criminele organisatie. Controleer daarom altijd of je op de officiële overheidswebsite van het betreffende land zit. Deze zijn meestal in het Engels beschikbaar en eindigen vaak op een .gov-domein. Twijfel je? Begin je aanvraag dan via de website van je eigen overheid, zoals Nederlandwereldwijd.nl – zij verwijzen altijd door naar de juiste instanties. Vertrouw bij voorkeur niet op links uit zoekadvertenties of social media; die leiden vaker naar commerciële of malafide aanbieders.

©tanaonte

Veelvoorkomende fraude: wees alert op deze signalen

Online reisfraude is helaas al lang geen uitzondering meer. Fraudeurs spelen slim in op de behoefte aan goedkope vakanties, last minutes en unieke accommodaties. Denk aan een prachtig vakantiehuis tegen een aantrekkelijke prijs, waarbij je gevraagd wordt om een aanbetaling over te maken buiten het reguliere boekingsplatform om. Of aan phishingmails van zogenaamd bekende luchtvaartmaatschappijen waarin je wordt gevraagd om je boeking te bevestigen via een link. Ook bestaan er valse apps die zich voordoen als officiële platforms voor vervoer, verblijf of sightseeing, maar in werkelijkheid malware verspreiden of je gegevens stelen.

Een klassiek trucje is ook het sturen van urgente meldingen: een ‘verloren bagagebericht’ via sms of een ‘laatste kans om je vlucht te bevestigen’ via e-mail. Deze berichten zijn ontworpen om paniek of haast op te roepen, zodat je zonder goed te kijken op de link klikt. Daarom is het cruciaal om altijd even stil te staan bij onverwachte meldingen en niet zomaar op elke link te tikken. Zeker op reis, wanneer je minder alert bent en afhankelijker van je telefoon, loont het om extra waakzaam te zijn.

Onmisbare tools voor vertrek

Je koffers inpakken is één ding, maar hoe zit het met je digitale uitrusting? Een goede voorbereiding begint bij je apparaten: je smartphone, laptop en tablet zijn onmisbare reisgenoten, maar ook kwetsbaar voor digitale dreigingen. Zorg daarom vóór vertrek dat je beveiliging op orde is. Installeer een betrouwbaar beveiligingspakket dat niet alleen virussen detecteert, maar ook bescherming biedt tegen phishing, valse websites en diefstal van persoonsgegevens. Gebruik daarnaast een VPN om veilig te internetten via openbare wifi-netwerken op luchthavens, in cafés of hotels. Tot slot is een wachtwoordmanager geen overbodige luxe: die helpt je om unieke, sterke wachtwoorden te gebruiken voor al je accounts, zonder dat je ze zelf hoeft te onthouden.

Bitdefender biedt met pakketten als Premium Security en Total Security complete oplossingen waarmee je jezelf digitaal wapent. Daarmee bescherm je je apparaten automatisch tegen risico’s, waar je ook bent – thuis, onderweg of op je vakantiebestemming.

Bij gewone kledingstomers moet je de stof met één hand straktrekken terwijl je met de andere hand stoomt. Dat betekent dat je kleding ergens moet ophangen – aan een deur, haak of kastknop. De Tefal AeroSteam werkt anders: dankzij de verstelbare zuigkracht wordt de stof automatisch strak getrokken. Hierdoor kun je hem overal gebruiken, ook op plekken waar niets is om je kleding aan op te hangen. Tijd voor een test.

Wanneer grijp je naar een kledingstomer? Meestal is dat als je snel van de kreukels af wilt. Wat dat betreft verrast de Tefal AeroSteam met zijn opwarmtijd: heb je het waterreservoir gevuld en zet je hem aan, dan is hij in 30 seconden gebruiksklaar. Dat zie je (aan het blauwe lichtje dat niet meer knippert) en dat hoor je door een duidelijk geluidssignaal.

Gebruiksgemak

Op het apparaat zitten naast de aan-/uitknop nog twee knoppen: eentje die je indrukt om te beginnen met stomen en eentje waarmee je tussen de drie verschillende standen schakelt: alleen stoom, stoom met zachte zuigkracht en stoom met turbo zuigkracht. Op die zuigkracht komen we verderop nog terug.

Wat betreft de standen is de vuistregel dat hoe delicater de stof, hoe lager de stand die je kiest. Maar dat blijft een beetje uitproberen. Op ons testmateriaal (een kantoenen hemdje, een T-shirt, een overhemd en een linnen blouse) werkte de middelste stand (stoom + zachte zuigkracht) over het algemeen het meest effectief. Alleen bij de linnen blouse hebben we teruggeschakeld naar alleen stomen; doordat de stof van nature ongelijk is (linnenstructuur) vonden we de zuigkracht juist niet handig.

Erg fijn vonden we het lange snoer (2,6 meter), waardoor we genoeg bewegingsvrijheid hadden. Ook het gewicht (1,4 kilo) is prima: het is niet zo dat je na één kledingstuk al een lamme arm hebt van alleen het apparaat omhooghouden. De driehoekige vorm van de zoolplaat is ook prettig: dat maakt het makkelijk om bijvoorbeeld langs knoopjes te stomen.

©AK | ID.nl

Door de vorm van de zoolplaat kun je overal makkelijk bij.

Zuigkracht

Zoals gezegd is de Tefal AeroSteam uitgerust met zuigkracht. Schakel je een van de twee standen waarop dit werkt, dan hoef je in principe zelf de kleding niet meer strak te trekken; dat doet het apparaat dan automatisch. Daar komt wel wat geluid bij kijken, geluid dat in de verte – niet heel vreemd – aan een stofzuiger doet denken. Staat de zuigstand aan, dan zie je inderdaad hoe de stof tegen de zoolplaat wordt gezogen.

Voor het beste resultaat houd je in je vrije hand een hanger met het te stomen kledingstuk erop. Dat geeft je meer vrijheid dan wanneer het kledingstuk aan een hangertje aan de kast hangt. In principe werkt dit goed: je kunt het kledingstuk zo makkelijker draaien of even meer in het licht gaan staan om te kijken of de kreukels overal uit gaan. Daarbij wel een kleine kanttekening: dat geldt vooral voor kleding die niet te zwaar is, zoals een shirtje of een overhemd. Bij het stomen van een spijkerjasje vonden we het zelf toch makkelijker om de jas op de kapstok te laten hangen. Maar dat kan ook gelegen hebben aan ons gebrek aan spierballen…

©AK | ID.nl

Je schakelt makkelijk tussen de verschillende standen.

Resultaat

In totaal hebben we vijf kledingstukken aan de stoomtest onderwerpen: een katoenen hemdje, een dun T-shirt, een wat zwaarder overhemd, een linnen blouse en een spijkerjasje. De beste resultaten bereikten we op het hemdje en op het overhemd. De hardnekkige kreukels die daar in zaten, waren in een mum van tijd verdwenen. Het dunne T-shirt knapte ook behoorlijk op, maar de zuigstand veroorzaakte daar af en toe juist nieuwe kreukels (net zoals dat weleens gebeurt wanneer je aan het strijken bent). Het lukte ons niet om de linnen blouse kreukvrij te krijgen, maar dat heeft vooral te maken met de bobbelige structuur van de stof. Ook met een gewoon strijkijzer zou dit ons niet gelukt zijn.

Aangenaam verrast waren we over de resultaten op het spijkerjasje. Daar hoefden geen kreukels uit, maar omdat het veel gedragen wordt, kon het wel een opfrisbeurt gebruiken. Dat lukte prima, met de turbostand. Na afloop rook het jasje aanmerkelijk frisser dan vóór de behandeling.

©AK | ID.nl

Kleine minpuntjes

Een waterreservoir met een inhoud van 100 milliliter is redelijk gangbaar bij kledingstomers, maar er zijn er ook behoorlijk wat waarin je zo'n 200 milliliter kwijt kunt. Een voorbeeld daarvan is de Philips GC810/20), die qua prijs ongeveer een tientje meer kost dan de AeroSteam. Tefal heeft zelf ook 200 ml-modellen in het assortiment. Wij vinden het daarom jammer dat er bij de AeroSteam is gekozen voor een capaciteit van 100 milliliter. Dat zou volgens Tefal zelf genoeg moeten zijn voor het stomen van ongeveer drie overhemden of vier T-shirts, maar in onze test haalden wij dat niet. We moesten echt een paar keer bijvullen. Nu is het natuurlijk wel zo dat je in het dagelijks gebruik niet je hele was wilt wegwerken (daar heb je je strijkijzer voor), maar waarschijnlijk alleen net dat ene shirtje of jasje kreukvrij wilt maken; dan heb je er wel voldoende aan. Dat bijvullen gaat overigens heel makkelijk en het dopje sluit het reservoir vervolgens lekvrij af.

©AK | ID.nl

Het waterreservoir had wat ons betreft wel wat meer inhoud mogen hebben.

Ook hadden we het fijn gevonden als de AeroSteam ook horizontaal te gebruiken zou zijn (dat maakt het wegwerken van een kreukel soms net wat gemakkelijker), maar dit kan niet. Sterker nog: in de handleiding wordt zelfs expliciet benadrukt dat je de stomer nooit horizontaal mag gebruiken. Maar goed: het is dan ook geen strijkijzer, dus ook hier kunnen we overheen stappen.

Tefal AeroSteam kopen?

Al met al is de Tefal AeroSteam een prima kledingstomer, een mening die ook naar voren komt uit tientallen gebruikersreviews op Kieskeurig.nl.  Zijn snelle opwarmtijd, drie verschillende standen, lange snoer, de zuigkracht en het gebruiksgemak zijn echte pluspunten. Over het algemeen haalt hij kreukels inderdaad snel en makkelijk weg, hoewel bij sommige stoffen, zoals linnen structuur, het resultaat wat minder is. Enige minpunten zijn eigenlijk het feit dat het waterreservoir snel leeg is en dat je hem niet horizontaal kunt gebruiken. Maar dat weegt niet op tegen het gemak waarmee je er snel even een kledingstuk netjes mee maakt of opfrist.