[Sec] discussie/wenselijkheid e-mail beveiliging

[begintmeta]

Ik vroeg me af of mensen op GoT gebruik maken van authentificatie/encryptie van mail. Af en toe zie je eens een sig waarin bijvoorbeeld een pgp-sleutel wordt vermeld. (b.v. van Osiris) En ik heb ook pgp en s/mime sleutels, maar vrijwel niemand doet er wat mee (en de meeste webmailsystemen kunnen er toch geen raad mee, mensen ontvangen dan gewoon een voor hen onbegrijpelijk attachment).

Los van het scheppen van de mogelijkheid vertrouwelijke berichten uit te wisselen is er natuurlijk juist ook de mogelijkheid spam uit te bannen en de afzender te bevestigen. Eventueel kan DKIM daar ook aan bijdragen (yahoo implementeert dat bijvoorbeeld afaik).

Ik hoop hier wat discussie te krijgen over het nut en de nadelen van dit soort middelen en wellicht hebben mensen ideeen hoe het gebruik kan worden bevorderd of juist teruggedrongen. Zou je juist voor bepaalde zaken (bijvoorbeeld mail met arts/apotheker/overheid/bedrijf/privé) gebruik (willen) maken van technische beveiligingsmogelijkheden? Ik zou zelf bijvoorbeeld alleen met patiënten of artsen willen communiceren (over 'gevoelige' informatie) als een mij pgp of s/mime authentificatie en versleuteling mogelijk is (dat maakt het dan in ieder geval een stuk beter dan faxen). Ook is het voor spamfiltering eventueel heel fijn als je de filter kunt laten controleren op domein of in een wat verdergevorderd stadium vertrouwde authentificatiesleutels als voorwaarde om de inbox in te geraken.

Alleen is hier totaal geen 'markt' voor is mijn ervaring, een enkeling die ik ken heeft zich ooit met encryptie/authentificatie van e-mail bezig gehouden en daar weer een klein deel van heeft s/mime of pgp (en daar weer een klein deel van gebruikt het).

In een eerder topic had ik wat polls verwerkt (met een erg kleine steekproef vanwege de topicsluiting), hieruit kwam naar voren dat DKIM nauwelijks bekend is pgp redelijk goed en s/mime best aardig en dat s/mime ook wel eens wordt gebruikt. Zelf gebruik ik het wel eens ter authentificatie, ik krijg zeer zelden versleutelde berichten terug.

[j-a-s-p-e-r]

Nou, ik ken een aantal bedrijven waarbij het verplicht is om belangrijke email naar de buitenwereld met pgp te versleutelen. Ik zou het zelf ook graag willen gebruiken maar aangezien ik de enige ben hier in de omgeving heeft dat idd niet zoveel zin.

Mijn oplossing voor bijv. versturen van vertrouwelijke info (liever niet natuurlijk, maargoed) is een keer zippen met een wachtwoord erop. Dat is iig beter dan niet en ook niet plaintext mee te lezen.

[DiedX]

Waarom PGP je het dan niet naar jezelf/naar een ander.

Zelf heb ik PGP, sign ik by default, maar ja, niemand gebruikt het

[begintmeta]

Als voordeel van S/MIME zie ik dat ondersteuning ervoor toch wat breder verspreid is in mailtprogramma's. PGP-signatures kunnen door minder mensen worden gecontroleerd.

Bij PGP-gebruik zul je toch altijd je eigen web of trust moeten opbouwen en dat is in de meeste gevallen best arbeidsintensief (als je niet net in een van de spaarzame milieus verkeerd waar gebruik van pgp gangbaar is). Tegelijk kun je dit ook als voordeel zien natuurlijk.

Op zich is het wel interessant om te kijken in welke bedrijven certificaten worden ingezet. j-a-s-p-e-r, wat oor bedrijf was dat? Ook is het in mijn beleving met name lastig om mail naar de buitenwereld te versleutelen, aangezien je daarvor een publieke sleutel van de tegenpartij nodig hebt. Juist die is vaak niet beschikbaar. Ondertekenen gaat natuurlijk wel eigenlijk altijd (al heb ik wel eens vragen gehad over 'rare attachments'.) Bedrijfsintern is het natuurlijk niet moeilijk een PKI te implementeren (maar zijn er mensen die hiermee in aanraking zijn geweest?)

[ Voor 42% gewijzigd door begintmeta op 09-12-2008 23:09 ]

[begintmeta]

Even een kickje, dit is natuurlijk niet een van de hardst lopende fora op GoT, maar ik had zo weinig respons niet verwacht. Misschien dat mijn TS niet optimaal is, zijn er interessante punten/weetjes/wat dan ook die hier een plaats zouden kunnen vinden?

[begintmeta]

Hmm, blijkbaar is dit niet boeiend. Zijn er eigenlijk mensen die de moeite nemen pgp of s/mime-handtekeningen te vereifieren ondanks dat ze zelf niet gebruiken (en eventueel ondanks dat het mailprogramma dat niet automatisch doet?)

Ik probeer zelf altijd mailprogramma's/plugins daarvoor te gebruiken die het mogelijk maken PKI te gebruiken. Is dit een criterium voor de keuze van mailsoftware voor anderen?

[GieltjE]

Ik heb zelf pgp een paar keer geprobeerd, maar ik heb de tijd niet om wat signing party's af te gaan om een goede key te krijgen.

Het is zeker een mooi systeem als je vertrouwd met mensen wil communiceren, maar ik denk dat er meer van uitgegaan word dat het 'veilig' is of dat er gewoon simpelweg niet bij stilgestaan word.

Wel denk ik dat het een mooi systeem zou kunnen zijn om spammers te stoppen als je geforceerd een verified pgp key zou moeten hebben om uberhaubt te kunnen mailen/ontvangen. Maar dat is net zo haalbaar als delen door nul denk ik

[begintmeta]

GieltjE schreef op woensdag 17 december 2008 @ 14:42:
Ik heb zelf pgp een paar keer geprobeerd, maar ik heb de tijd niet om wat signing party's af te gaan om een goede key te krijgen.

In een omgeving war niet veel gebruikers zijn (vrijwel overal dus), is het inderdaad lastig dat voor elkaar te krijgen. s/mime kan het eventueel makkelijker maken.

Het is zeker een mooi systeem als je vertrouwd met mensen wil communiceren, maar ik denk dat er meer van uitgegaan word dat het 'veilig' is of dat er gewoon simpelweg niet bij stilgestaan word.

Dat vermoeden heb ik inderdaad ook

Wel denk ik dat het een mooi systeem zou kunnen zijn om spammers te stoppen als je geforceerd een verified pgp key zou moeten hebben om uberhaubt te kunnen mailen/ontvangen. Maar dat is net zo haalbaar als delen door nul denk ik

Ik ken inderdaad iemand die alle mail die niet gesigned is standaard naar de spamfolder verwijst. Wel maar op een van zijn e-mIL adressen natuurlijk.

Het probleem blijft dan natuurlijk dat je er wel van opaan moet kunnen dat CA's/je web-of-trust geen spammers gedogen (zoals die toch elke keer weer een internetserviceprovider kunnen vinden).

Diverse schemes van spammers waarbij domeinen worden gespoofd kunnen ook mooi met DKIM worden ondervangen, maar ok dat wordt in praktijk niet gedaan.

[Stacheldraht]

j-a-s-p-e-r schreef op dinsdag 09 december 2008 @ 16:00:
Nou, ik ken een aantal bedrijven waarbij het verplicht is om belangrijke email naar de buitenwereld met pgp te versleutelen.

Bij ons is dat verplicht Verder hebben wij een non cleartext password policy dus alle mails waarin wachtwoorden staan worden encrypt verzonden. Het betreft hier zowel interne als externe mail.

[ Voor 5% gewijzigd door Stacheldraht op 18-12-2008 06:44 ]

[begintmeta]

Stacheldraht schreef op donderdag 18 december 2008 @ 06:42:
[...]


Bij ons is dat verplicht Verder hebben wij een non cleartext password policy dus alle mails waarin wachtwoorden staan worden encrypt verzonden. Het betreft hier zowel interne als externe mail.

Dus als ik het goed begrijp mag je nooit (belangrijk) mailen naar mensen van wie je de publieke sleutel niet hebt (een hoop mensen hebben natuurlijk geen publieke sleutel). Voor mezelf zou dat niet tot de mogelijkheden behoren. Wat is jullie definitie van 'belangrijke mail'? Zijn er ook eisen die jullie stellen aan de koppeling persoon-publieke sleutel (moeten jullie zelf de identiteit aan de sleutel kunnen koppelen?).

[ Voor 4% gewijzigd door begintmeta op 18-12-2008 06:57 ]

[Stacheldraht]

Wij mogen geen clear text mails versturen met daarin: wachtwoorden en inloggegevens of vertrouwelijke bedrijfsinformatie (dit zowel intern als extern). Alle overige mail mag wel clear text verzonden worden.

- Mensen kunnen wachtwoorden of inloggegevens ook persoonlijk bij ons ophalen maar alleen als ze een geldig legitimatiebewijs bij zich hebben.
- Telefonisch kan ook maar dan moeten we de stem van de bewuste persoon kennen.
- Als men aan pgp keysigning wil doen moet de bewuste persoon op onze afdeling komen en moeten wij zijn of haar identiteit kunnen vaststellen.

Wat misschien ook wel interessant is dat alle verbindingen bij ons zowel intern als extern lopen over: ssl, ssh, https, vpn enzovoort.

[HenkEisDS]

Ik ben er een keer mee begonnen, maar ik heb geen kennissen/collega's die ook gebruik maken van pgp. Dan is de lol er snel af. Maar leuk dat je er over begint, ik ga er weer eens induiken.

[Stacheldraht]

HenkEisDS schreef op donderdag 18 december 2008 @ 11:05:
Ik ben er een keer mee begonnen, maar ik heb geen kennissen/collega's die ook gebruik maken van pgp. Dan is de lol er snel af. Maar leuk dat je er over begint, ik ga er weer eens induiken.

Je zou kunnen beginnen om het op je werk te introduceren. Het werpt echt zijn vruchten af.

[DiedX]

begintmeta schreef op donderdag 18 december 2008 @ 06:53:
[...]

Dus als ik het goed begrijp mag je nooit (belangrijk) mailen naar mensen van wie je de publieke sleutel niet hebt (een hoop mensen hebben natuurlijk geen publieke sleutel).

Hmmz, als je PGP gebruikt heeft het geen nut om zonder GEVERIFIEERDE publieke sleutel aan de slag te gaan. Wat je onder verificatie verstaat is dan weer een ander verhaal: accepteer je alles, een fingerprint, of laat je je paspoort zien?

Welke PGP Client gebruiken jullie? Ik thuis Thunderbird + Enigmail (+ GnuPG), op de zaak PGP.

[Stacheldraht]

Ik gebruik op het werk en thuis:

Thunderbird + Enigmail (+ GnuPG)

[netvor]

Bij mij inderdaad eenzelfde vicieuze cirkel als bij HenkEisjedies en anderen hierboven: ik heb me er eens in verdiept, maar heb slechts een handjevol contacten die mij gesigneerde mail toesturen, dus ik heb vrij weinig motivatie om er zelfs eens goed mee te gaan beginnen.

Het is een kwestie van kosten- en batenanalyse. De baten zijn miniem (zonder e-mailbeveiliging werkt je email immers evenzogoed), en wat betreft de kosten:

• Webmailapplicaties kunnen er niet mee overweg. Ik bekijk mijn email af en toe via een persoonlijke squirrelmail, en dat zou dan niet meer kunnen (of ik moet moeilijk doen met plugins e.d.)
• Je krijgt van andere mensen klachten over "gekke attachments."
• De helft van de mensen zit op PKI, de andere helft op PGP/GPG. Dus dan zou je eigenlijk twee systemen moeten gebruiken om met iedereen te kunnen communiceren.
• Als je in het systeem stapt moet je eerst een web of trust opbouwen. Tenzij je in het juiste circuit verkeert is dat enorm veel werk voordat je "serieus genomen wordt."
• Als je geen web of trust wilt of kan opbouwen, is je enige alternatief eigenlijk om een SSL certificaat te kopen. Dat is een hoop gedoe en vaak ook een hoop geld.

Al met al een hoop gedoe, met veel nadelen en weinig voordelen. Of zie ik het te depressief in?

Overigens is één van de contacten die mij altijd gesigneerde mail stuurt mijn bank: elke mail van hen is ondertekend met hun EV certificaat. Ik vind het wel netjes dat een bank zo het goede voorbeeld geeft.

Verder is het hier in Tsjechië zo dat een aantal grote banken hun klanten een PKI certificaat geven (als je je rekening opent krijg je je sleutels op een flashdiskje mee) voor het internetbankieren. Certificaten van deze banken zijn vervolgens wettelijk geldig als elektronische handtekening. Jammer echter dat geen enkele overheidsinstantie e-mailcommunicatie accepteert. Maargoed, het idee is er.

[begintmeta]

netvor schreef op donderdag 18 december 2008 @ 14:38:
Bij mij inderdaad eenzelfde vicieuze cirkel als bij HenkEisjedies en anderen hierboven: ik heb me er eens in verdiept, maar heb slechts een handjevol contacten die mij gesigneerde mail toesturen, dus ik heb vrij weinig motivatie om er zelfs eens goed mee te gaan beginnen.

Het is een kwestie van kosten- en batenanalyse. De baten zijn miniem (zonder e-mailbeveiliging werkt je email immers evenzogoed),

Dat is natuurlijk zo (al kun je natuurlijk dicussieren over wat net zo goed os), maar bijvoorbeeld het algemeen bewustzijn over de (on)veiligheid van http-verbindingen is ook groter dan een paar jaar geleden en https verbindingen worden steeds vakerr gebruikt (en geeist) (is mijn idee tenmiste). (al is de kwaliteit van die verbindingen wel erg vaak nog slecht)

en wat betreft de kosten:

• Webmailapplicaties kunnen er niet mee overweg. Ik bekijk mijn email af en toe via een persoonlijke squirrelmail, en dat zou dan niet meer kunnen (of ik moet moeilijk doen met plugins e.d.)
• Je krijgt van andere mensen klachten over "gekke attachments."
• De helft van de mensen zit op PKI, de andere helft op PGP/GPG. Dus dan zou je eigenlijk twee systemen moeten gebruiken om met iedereen te kunnen communiceren.
• Als je in het systeem stapt moet je eerst een web of trust opbouwen. Tenzij je in het juiste circuit verkeert is dat enorm veel werk voordat je "serieus genomen wordt."
• Als je geen web of trust wilt of kan opbouwen, is je enige alternatief eigenlijk om een SSL certificaat te kopen. Dat is een hoop gedoe en vaak ook een hoop geld.

Dat klopt natuurlijk allemaal, maar wat betreft het laatste punt: certificaten voor je e-mail adres zijn natuurlijk gratis te verkrijgen bij de meeste grote CA's. Als gratis tussenstap is er natuurlijk het WOT van Thawte, waarbij je een persoonlijk certificaat kunt krijgen dat door de meeste software zal worden geaccepteerd. Anders wordt het inderdaad al snel een verhaal van meerdere tientjes per jaar, en het kost altijd moeite.

Al met al een hoop gedoe, met veel nadelen en weinig voordelen. Of zie ik het te depressief in?

Ik denk dat er een gemakkelijker systeem moet komen voor laagdrempelige authentificatie (zoals de gratis s/mime sleutels op e-mail). Anders zal het gebruik marginaal blijven, het boeit ook gewoon (nog) niet.

Overigens is één van de contacten die mij altijd gesigneerde mail stuurt mijn bank: elke mail van hen is ondertekend met hun EV certificaat. Ik vind het wel netjes dat een bank zo het goede voorbeeld geeft.

Inderdaad goed, zoiets zal ook de herkenbaarheid van de attachments vergroten.

Verder is het hier in Tsjechië zo dat een aantal grote banken hun klanten een PKI certificaat geven (als je je rekening opent krijg je je sleutels op een flashdiskje mee) voor het internetbankieren. Certificaten van deze banken zijn vervolgens wettelijk geldig als elektronische handtekening. Jammer echter dat geen enkele overheidsinstantie e-mailcommunicatie accepteert. Maargoed, het idee is er.

Aan elektronische handtekeningen voor belangrijke zaken zitten natuurlijk wel wat haken en ogen, je moet daar wel goed mee om kunnen gaan.

[begintmeta]

Ik heb nog iemand aan de s/mime gekregen !!!! (kick)

[Nvidiot]

begintmeta schreef op vrijdag 19 december 2008 @ 14:12:
[...]
Dat klopt natuurlijk allemaal, maar wat betreft het laatste punt: certificaten voor je e-mail adres zijn natuurlijk gratis te verkrijgen bij de meeste grote CA's.
[...]

Welke grote CA's leveren gratis e-mail certificaten dan? Ik heb net even snel gekeken, maar zie geen gratis aanbieders hiervan...

[begintmeta]

Je kunt in ieder gaval bij Thawte en Comodo algemeen geaccepteerde certificaten krijgen, waarbij je bij Thawte je identiteit nog eens aanvullend kunt laten verifieren (en zo je naam zonder 'waarschuwingen' (zoals die bij Comodo zijn) in het certificaat kunt krijgen). Ook kun je bij Thawte de sleutel volledig zelf bepalen.

Ik weet ook nog steeds niet wat uiteindelijk belangrijker zal zijn S/MIME of PGP. S/MIME lijkt wat betreft standaard-ondersteuning in software de overhand te hebben, maar er zijn toch ook behoorlijk wat organisaties die in ieder geval intern openpgp inzetten. Ook zijn bijvoorbeeld securitybulletins vaak met pgp ondertekend. (Of komt een volledig nieuw systeem (of wordt e-mail in zijn geheel vervangen door andersoortig internet-messaging, hoe zou dat er wat betreft veiligheid/identificatie uit moeten zien?)).

[ Voor 46% gewijzigd door begintmeta op 22-12-2008 19:05 ]

[begintmeta]

Checken jullie eigenlijk welke status een s/mime certificaat heeft (zoals zo'n eerder genoemd s/mime certificaat waar 'persona not verified' in staat?) of schakelen jullie die CA-tak bijvoorbeeld uit. PGP heeft hier natuurlijk geen last van.

Eigenlijk vind ik het wel een beetje kwalijk dat CA's toch nog behoorlijke bedragen vragen voor certificaten die eigenlijk alleen het domein (of het e-mail adres (maar die bestaan dus ook gratis)) bevestigen. Het enige 'voordeel' boven een self-signed CA is dat geen waarschuwing opduikt... Veel mensen nemen gevoegelijk aan dat het goed is als een slotje in de browser verschijnt en die controleren nooit de gegevens in het certificaat.

En vinden jullie bijvoorbeeld Thawte WOT of cacert.org vertificaten vertrouwenswaardig?

[ijdod]

Weinig ervaring mee, policy hier was VPN tunnels (en vergelijkbare systemen) zodra er vertrouwelijke info verstuurt moet worden naar externe partijen. Eea hangt er natuurlijk ook van af wat precies de eisen zijn.

De huidige PKI implementatie lijkt vooral opgezet om CA's bakken met geld te laten verdienen. Juridisch is een self-signed certificaat zeker zo geldig als die van een CA, en mogelijk zelfs meer (!). Eigenlijk zou de overheid (voor particulieren, KvK voor bedrijven) een centrale rol moeten hebben als CA. In sommige landen is dat het geval; een certificaat is daar zeer betaalbaar, zelfs voor een particulier. In NL zijn we nog lang niet zo ver; de overheid gebruikt zelfs een commerciele CA...

[ Voor 54% gewijzigd door ijdod op 30-12-2008 15:02 ]

[begintmeta]

En wat betekent een CA-certificaat nog... Wel makkelijk als je zelf je certificaten uit kunt geven natuurlijk...

[ Voor 18% gewijzigd door begintmeta op 30-12-2008 17:13 ]

[begintmeta]

Ik kwam er net achter dat de plannen achter een beveiligd elektronisch post-systeem in Duitsland van overheidswege al behoorlijk concreet zijn. De-Mail^1,2. In NL zou je de DigID eventueel van een berichtenservice kunnen voorzien, ook tussen digid-'gebruikers'... Volgens het stukje in heise zijn pgp of s/mime niet geschikt voor algemeen gebruik door de massa, iets wat in dit topic ook al duidelijk blijkt.

Lijkt het jullie nuttig een 'volkssysteem'voor veilige e-mail van overheidswege te steunen? Zou de overheid een s/mime of PGP-systeem kunnen of moeten faciliteren?

[Snake]

begintmeta schreef op maandag 22 december 2008 @ 17:25:
Je kunt in ieder gaval bij Thawte en Comodo algemeen geaccepteerde certificaten krijgen, waarbij je bij Thawte je identiteit nog eens aanvullend kunt laten verifieren (en zo je naam zonder 'waarschuwingen' (zoals die bij Comodo zijn) in het certificaat kunt krijgen). Ook kun je bij Thawte de sleutel volledig zelf bepalen.

Die thawte werkt niet, als ik een cert wil aanvragen krijg ik 424 Object Required, de VBScript doet moeilijk.

[begintmeta]

offtopic:
Snake schreef op woensdag 07 januari 2009 @ 15:35:[/b]
[...]

Die thawte werkt niet, als ik een cert wil aanvragen krijg ik 424 Object Required, de VBScript doet moeilijk.

Hmm, bij mij lijkt het allemaal prima te werken. Bij problemen/kleine bugjes die ik tegenkwam (jaren geleden) ben ik altijd goed door de helpdesk geholpen.

[deredding]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

Leuk om te zien dat hier een nieuw topic over is, ik gebruik al
jaren GnuPG.
Kamp met het zelfde probleem als wat hier uit dit topic ook
blijkt, de mensen waarmee ik het praktisch gebruik kan ik op één
hand tellen.

Zeer betreurend, sowieso en zeker deze in big-brother tijden.
Als ik mensen vraag waarom ze een envelop gebruiken voor hun
post begrijpen ze vaak wel de zin van GnuPG, vervolgens krijg ik
de reactie 'maarja niemand gebruikt het dus het heeft toch geen
zin'... *waarop ik bijna in tranen uitbarst keer op keer*

Uiteraard kijk ik bij email altijd of ik een key bij de persoon
kan vinden, heel soms is dit wel eens het geval.

Daarnaast signeer ik altijd mn email of de ontvanger nu GPG
gebruikt of niet.
Niet verifieerde keys kunnen net zo veilig zijn als gesignde
keys van een keyparty oid, ik krijg de keys altijd persoonlijk,
de mensen waarmee ik communiceer ken ik ook persoonlijk. Als dit
niet het geval is is het natuurlijk eenn ander verhaal.

voor de gein maar even gesigned.


-----BEGIN PGP SIGNATURE-----

iEYEAREKAAYFAklynY8ACgkQY5QHckJDXzABAACfd++pzF2KRJmP4PRUsNYjKxO7
nmQAnjViVUCjy0WzSehQ3v3DlzwSZvcn
=Qcpi
-----END PGP SIGNATURE-----

[begintmeta]

Waar is je public key deredding? Heb hem inmiddels al gevonden, typefoutje in je key-id... Helaas heeft het forum je post vermoedelijk dermate veranderd dat ik een bad signature krijg... Dat pgp&s/mime een in de praktijk te lage prevalentie hebben is inderdaad erg jammer. Wat betreft DKIM (dat in dat kader wel iets zou kunnen bijdragen) heb ik een op het eerste gezicht interessant (al een paar manden oud) artikeltje gevonden.

[ Voor 22% gewijzigd door begintmeta op 20-01-2009 14:21 ]

[begintmeta]

offtopic:
Is het overigens een idee om de Nederlandse wikipedia pagina's een beetje te opgraden?
Wikipedia: OpenPGP
Wikipedia: S/MIME

[deredding]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

Ik heb even gechecked, mijn signature klopt nogsteeds met de
post...
je hebt wel de goede key neem ik aan: key ID 42435F30


-----BEGIN PGP SIGNATURE-----

iEYEAREKAAYFAkl4utAACgkQY5QHckJDXzA34gCgm7yiBEJ1HaNyaTitgPTxRoz0
ymEAn15VWv8UzK2zZW344KzmdPcMihyn
=rNGG
-----END PGP SIGNATURE-----

[begintmeta]

offtopic:
Ja, heb de goede key gevonden... vermoedelijk sluipt bij mij ergens een verkeerd teken in de copy/paste. Dit is allemaal wel behoorlijk offtopic trouwens

[ Voor 19% gewijzigd door begintmeta op 22-01-2009 19:58 ]

[deredding]

Ik snap niet waarom mensen altijd 'geen zin hebben in dat moeilijk-moeilijk gedoe' terwijl dat het absoluut niet is.
Wellicht dat de oorzaak hierbij te zoeken is dat veel links over GPG software uitkomen op linux en of commandlines.

Er zijn een aantal zeer goede en simpele windows GUI's beschikbaar en plugins voor bestaande email clients.

Zelf gebruik ik gewoon gpg+gpgshell wat voor het signeren en verifieren van berichten slechts een dubbel-klik op het tray-icon nodig heeft.
Voor het encrypten van een bericht moet ik rechts klikken en encrypt klikken, erg veel moeite natuurlijk en volledig onbegrijpelijk voor iemand die geen verstand heeft van encryptie...

Daarnaast zijn 'de meesten' nog altijd in de waan dat niemand in staat is hun berichten te lezen/aan te passen, hoewel dit in de praktijk door vmbo-scholieren al als appeltje-eitje gezien wordt.

[begintmeta]

Op diverse onderwijsinstellingen is momenteel een campagne aan de gang, waarbij vziw niet wordt gesproken over technische methoden van e-mail beveiliging. In mijn ogen erg jammer en typerend.

Gezien de momenteel weer wat grotere activiteit in dit forum een klein kickje.

[ Voor 11% gewijzigd door begintmeta op 17-02-2009 23:39 ]

[Meauses]

Ik ben het eens met de stelling dat er meer gebruik gemaakt zou moeten worden van dit soort technieken. Wel merk ik in dit topic dat het draait op het gebruik van pgp, waarmee je dus de inhoud en afzender van de mail kan verifieren. Wat volgens mij ook een belangrijk onderdeel is van e-mail beveiliging en makkelijker te realiseren is het gebruik van een beveiligde verbinding met bijv. SSL.
Ik weet dat XS4ALL het aanbiedt op hun pop3/smtp servers, maar andere providers blijven zwaar achter en daarvan is hun webmail alleen uitgerust met SSL.

[LuckY]

* LuckY heeft hier nooit echt aandacht aan besteed.

Ik wil er binnekort weer wel eens naar kijken, maar AFAIK ondersteund gmail.com het niet.
en me eigen SMTP server via een smarthost van een ISP, tja. Daar mail ik niet super veel mee, alleen ontvangen, en heb ook geen zin dat de mensen zonder verstand met computers mij gaan tippen dat ik mogelijk een virus heb die rare atachments meestuur

Dus als ik weer eens tijd heb ga ik me erin verdiepen.

[Equator]

@ LuckyY: Daar raak je het grootste probleem in de adoptie van secure e-mail. Webmail toepassingen ondersteunen het niet, en dan krijg je inderdaad een .p7b bestandje te zien waarmee niemand wat kan (lees: de gewone user)

Men moet gaan begrijpen dat een e-mail waarvan het lijkt dat hij van een bepaald persoon komt, niet persee van deze persoon hoeft te komen.

@meauses: SSL is zeer handig voor het niet in plain text oversturen van je gebruikersnaam en wachtwoord, en de email wordt secure naar je PC toegestuurd, maar de email kan op dat moment nog steeds van iemand anders afkomen, of allang door iemand zijn gelezen. smtp tussen providers en andere e-mail servers is immers niet secure.
Juist met S/MIME of met PGP kan je de inhoud van de email versleutelen of ondertekenen, zodat integriteit, confidentialiteit en onweerlegbaarheid gegarandeerd zijn

[netvor]

De webmail van gmail heeft inderdaad geen features voor emailbeveiliging, maar als je je mailbox via IMAP benadert kan je doen wat je wilt. Ikzelf gebruik google's webmailclient bijna nooit, meestal gebruik ik Thunderbird en daar worden gesigneerde mails gewoon netjes out-of-the-box afgehandeld.

Als je behoefte hebt aan "security-enabled webmail" zou je kunnen proberen ergens op een webserver een webmailclient als Horde te installeren en deze via IMAP aan je gmail te knopen. Helaas is Horde een beetje een gedrocht om te installeren, en andere webmailclients (Squirrelmail, Roundcube) kunnen VZIW niet overweg met beveiligde email. Jammer.

[begintmeta]

Equator schreef op woensdag 18 februari 2009 @ 10:27:
...
Juist met S/MIME of met PGP kan je de inhoud van de email versleutelen of ondertekenen, zodat integriteit, confidentialiteit en onweerlegbaarheid gegarandeerd zijn

Je kunt het ook overdrijven , gegarandeerd zou ik het vaak niet noemen omdat de beveiliging van het de hardware en sleutels niet optimaal is.

[Meauses]

Equator schreef op woensdag 18 februari 2009 @ 10:27:
@ LuckyY: Daar raak je het grootste probleem in de adoptie van secure e-mail. Webmail toepassingen ondersteunen het niet, en dan krijg je inderdaad een .p7b bestandje te zien waarmee niemand wat kan (lees: de gewone user)

Men moet gaan begrijpen dat een e-mail waarvan het lijkt dat hij van een bepaald persoon komt, niet persee van deze persoon hoeft te komen.

@meauses: SSL is zeer handig voor het niet in plain text oversturen van je gebruikersnaam en wachtwoord, en de email wordt secure naar je PC toegestuurd, maar de email kan op dat moment nog steeds van iemand anders afkomen, of allang door iemand zijn gelezen. smtp tussen providers en andere e-mail servers is immers niet secure.
Juist met S/MIME of met PGP kan je de inhoud van de email versleutelen of ondertekenen, zodat integriteit, confidentialiteit en onweerlegbaarheid gegarandeerd zijn

Klopt, maar beide hebben dan ook een ander doel. SSL om de vertrouwelijkheid van de data te waarborgen en PGP om de integriteit te waarborgen. PGP is dus ook niet afdoende omdat alsnog je e-mails e.d. onderschept kunnen worden en hieruit weer informatie gehaald kan worden om je public/private key te misbruiken.

[Anoniem: 165232]

Wat betreft gmail (webmail) werkt FirePGP erg goed als plugin en voor thunderbird gebruik ik Enigma als plugin maar die laatste werkt nog niet zoals ik dat graag zou zien.

[Equator]

begintmeta schreef op woensdag 18 februari 2009 @ 11:22:
[...]

Je kunt het ook overdrijven , gegarandeerd zou ik het vaak niet noemen omdat de beveiliging van het de hardware en sleutels niet optimaal is.

Dat is imo besides the issue. Mits de sleutels veilig zijn, is het wel degelijk gegarandeerd.

Meauses schreef op woensdag 18 februari 2009 @ 12:47:
[...]


Klopt, maar beide hebben dan ook een ander doel. SSL om de vertrouwelijkheid van de data te waarborgen en PGP om de integriteit te waarborgen. PGP is dus ook niet afdoende omdat alsnog je e-mails e.d. onderschept kunnen worden en hieruit weer informatie gehaald kan worden om je public/private key te misbruiken.

SSL zorgt voor 2 zaken:
- De integriteit van de server (hij is wie hij zegt dat hij is)
- De vertrouwelijkheid van de data die verzonden wordt tussen de client en de server.

PGP of S/MIME zorgt voor:
- Integriteit van het bericht (Door ondertekening is het onmogelijk het bericht aan te passen)
- Vertrouwelijkheid van het bericht. (Je versleuteld het bericht zodat alleen de bedoelde ontvanger het kan lezen.
- Onweerlegbaarheid (Door ondertekening weet de ontvanger zeker dat alleen JIJ het bericht heb kunnen versturen. Jij bent immers de enige met de ondertekenende sleutel)


Feit is en blijft echter dat sleutels op een hardware token moeten staan, en er mag geen private key caching plaatsvinden. Anders heeft het 0,0 nut.

[Bor]

Equator schreef op woensdag 18 februari 2009 @ 15:39:
[...]

Dat is imo besides the issue. Mits de sleutels veilig zijn, is het wel degelijk gegarandeerd.


[...]

SSL zorgt voor 2 zaken:
- De integriteit van de server (hij is wie hij zegt dat hij is)
- De vertrouwelijkheid van de data die verzonden wordt tussen de client en de server.

Strikt gezien hoeft dat niet eens 100% te kloppen. Zo gebruiken sommige bedrijven "hardware" ssl offloaders om het verkeer daarna unencrypted te kunnen analyseren / door te sturen naar de echte server waar jij als gebruiker mee denkt te communiceren.

SSL offloading can greatly increase the performance of your secure Web servers, thus increasing customer satisfaction. However, offloading means the SSL connection extends only from client to offloader, not from client to server. Data passes across the network unencrypted from offloader to server.

Granted, this data is moving across your internal network, not the public Internet. Thus the question becomes: how secure is that internal network? That depends to a great extend on your network topology. If you have the offloader and server deployed behind a department firewall on a secure subnet where only critical servers are located and to which users don’t have direct access, you might be confident in allowing unencrypted data to pass from offloader to server. If you are offloading SSL processing to a firewall located on the network edge, the exposure and risk of compromise after the data is decrypted is much greater.

Finally, you should consider customer perception and expectations. Do customers expect that, when they are told they are making a secure encrypted connection, the secure tunnel extends all the way from client to server? That would be a logical assumption for the typical user, who isn’t aware of technologies such as SSL offloading. What liability issues would you be subject to if confidential customer data were accessed by unauthorized persons while traveling over the network in a decrypted state, and then misused?

[ Voor 52% gewijzigd door Bor op 18-02-2009 20:00 ]

[Equator]

true, maar dan connect de client dus aan de SSL offloader, wat voor de client gezien dan een correct eindpunt is. Vaak wordt er dan achter de offloader een reverse-proxy achtige oplossing gebruikt. De client merkt daar dus niet van.

Voor sommige zaken is ssl offloading ideaal. Performance winst op je webservers (encryption kost performance) en loadbalancing naar meerdere webservers achter 1 certificaat.

Maar laten we niet vergeten dat SSL naast encryption vooral zorgt voor het authentiseren van de webserver (of $service)

[Bor]

Ik gebruik vaker unencrypted e-mail dan encrypted. Super belangrijke informatie deel ik niet via e-mail normaliter. Naast encryptie gebruik ik wel een disclaimer onder mijn e-mail hoewel de juridische waarde daarvan op zijn minst niet geheel duidelijk is.

Waarom vaker unencrypted dan encrypted? De meeste mensen weten niet hoe ze encrypted e-mail moeten gebruiken. Ik geloof niet in web of trust oplossingen als PGP (de encryptie is goed maar web of trust is niet wat ik wil).

Equator schreef op woensdag 18 februari 2009 @ 20:07:
true, maar dan connect de client dus aan de SSL offloader, wat voor de client gezien dan een correct eindpunt is. Vaak wordt er dan achter de offloader een reverse-proxy achtige oplossing gebruikt. De client merkt daar dus niet van.

Voor sommige zaken is ssl offloading ideaal. Performance winst op je webservers (encryption kost performance) en loadbalancing naar meerdere webservers achter 1 certificaat.

Maar laten we niet vergeten dat SSL naast encryption vooral zorgt voor het authentiseren van de webserver (of $service)

Het punt is dat het eindpunt in het geval van een SSL offloader niet het eindpunt is wat de gebruiker denkt dat het is. Het verkeer is ook niet de gehele weg beveiligd.

[begintmeta]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 11:25:
...
Waarom vaker unencrypted dan encrypted? De meeste mensen weten niet hoe ze encrypted e-mail moeten gebruiken. Ik geloof niet in web of trust oplossingen als PGP (de encryptie is goed maar web of trust is niet wat ik wil).
...

Ik ben dan wel benieuwd: hoe vind je dat encrypted mail moet worden gebruikt?

Ook kun je PGP zonder web of trust toepassen natuurlijk (of puur een web met enkelstaps radii en jezelf in het centrum).

[Meauses]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 11:25:
[...]

Het punt is dat het eindpunt in het geval van een SSL offloader niet het eindpunt is wat de gebruiker denkt dat het is. Het verkeer is ook niet de gehele weg beveiligd.

Maar het verkeer tussen klant en ISP is wel encrypted, dat vind ik nog het belangrijkste. Als het verkeer bij de provider is, dan mag ik hopen dat dat veiliger is dan normaliter op de weg er heen en zijn de risico's al een stuk kleiner. Je zou het internet kunnen zien als een untrusted netwerk en die van je ISP als trusted.

[ Voor 28% gewijzigd door Meauses op 28-02-2009 13:44 ]

[Bor]

Meauses schreef op zaterdag 28 februari 2009 @ 13:44:
[...]


Maar het verkeer tussen klant en ISP is wel encrypted, dat vind ik nog het belangrijkste. Als het verkeer bij de provider is, dan mag ik hopen dat dat veiliger is dan normaliter op de weg er heen en zijn de risico's al een stuk kleiner. Je zou het internet kunnen zien als een untrusted netwerk en die van je ISP als trusted.

Het netwerk van een ISP kun je imho nooit als trusted netwerk beschouwen gezien je er geen enkele controle kunt uitoefenen. Het gebruik van een SSL offloader (want ik neem aan dat je het daar over hebt) is eigenlijk hetzelfde als het uitlenen van jouw paspoort aan iemand anders die zich dan als jou voor mag gaan doen ten opzichte van klanten.Mits goed opgezet merkt de klant niet dat jij een geleend paspoort hebt en toch communiceert de klant niet end to end met de eigenlijke eigenaar van het paspoort.

[ Voor 24% gewijzigd door Bor op 28-02-2009 16:32 ]

[jfeelders]

Ik gebruik al een aantal jaar digitaal ondertekende email via een Thawte Freemail certificaat (s/mime). Ik krijg inderdaad wel eens mailtjes terug dat mensen vinden dat er een rare attachment in zit of dat ze niet weten wat een digitale handtekening is.
Berichten coderen heb ik nooit gedaan omdat de ondersteuning daarvoor niet groot genoeg is.

[Bor]

jfeelders schreef op zaterdag 28 februari 2009 @ 16:42:
Ik gebruik al een aantal jaar digitaal ondertekende email via een Thawte Freemail certificaat (s/mime). Ik krijg inderdaad wel eens mailtjes terug dat mensen vinden dat er een rare attachment in zit of dat ze niet weten wat een digitale handtekening is.
Berichten coderen heb ik nooit gedaan omdat de ondersteuning daarvoor niet groot genoeg is.

Hoeveel van de communicatie met anderen is ook door die anderen ondertekend? Onderteken je alle e-mail (en waarom) of alleen min of meer officiële documenten?

[Meauses]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 16:31:
[...]


Het netwerk van een ISP kun je imho nooit als trusted netwerk beschouwen gezien je er geen enkele controle kunt uitoefenen. Het gebruik van een SSL offloader (want ik neem aan dat je het daar over hebt) is eigenlijk hetzelfde als het uitlenen van jouw paspoort aan iemand anders die zich dan als jou voor mag gaan doen ten opzichte van klanten.Mits goed opgezet merkt de klant niet dat jij een geleend paspoort hebt en toch communiceert de klant niet end to end met de eigenlijke eigenaar van het paspoort.

Ikzelf niet nee, de provider daarentegen wel. En daarbij ga ik ervan uit dat die meer moeite doet om mijn gegevens te beschermen dan de providers die de verbinding tussen mijn huis en isp faciliteren.
Als mijn gegevens versleuteld zijn aangekomen bij de provider zou mij dat meer rust geven dan dat dat niet gebeurt.
Of de ISP nou een SSL offloader gebruikt of SSL op de server zelf zet, het gaat erom dat de verbinding tussen thuis en je isp versleuteld is. Ik denk dat performance vooral het probleem is om SSL op de e-mail server zelf te implementeren.

Ik weet dat XS4ALL SSL gebruikt voor de e-mail, ik ben wel benieuwd hoe zij dat hebben ingericht...

[Bor]

Meauses schreef op zaterdag 28 februari 2009 @ 17:27:
[...]


Ikzelf niet nee, de provider daarentegen wel. En daarbij ga ik ervan uit dat die meer moeite doet om mijn gegevens te beschermen dan de providers die de verbinding tussen mijn huis en isp faciliteren.
Als mijn gegevens versleuteld zijn aangekomen bij de provider zou mij dat meer rust geven dan dat dat niet gebeurt.
Of de ISP nou een SSL offloader gebruikt of SSL op de server zelf zet, het gaat erom dat de verbinding tussen thuis en je isp versleuteld is. Ik denk dat performance vooral het probleem is om SSL op de e-mail server zelf te implementeren.

Ik weet dat XS4ALL SSL gebruikt voor de e-mail, ik ben wel benieuwd hoe zij dat hebben ingericht...

Dan verschillen we van mening, zeker als je het over commerciele diensten hebt. Zelf hanteer ik altijd dat een netwerk pas trusted kan zijn wanneer deze voldoende is beschermt en je controle kunt uitoefenen op deze bescherming en het verkeer. Bij een ISP netwerk kan dit niet. Maar goed, het SSL offload verhaal is offtopic hier imho. Bij een goede analyse is er geen "ga ik vanuit".

[jfeelders]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 16:48:
Hoeveel van de communicatie met anderen is ook door die anderen ondertekend? Onderteken je alle e-mail (en waarom) of alleen min of meer officiële documenten?

Ik kom het eigenlijk nooit tegen dat ik digitaal ondertekende mail krijg van anderen. Ikzelf onderteken we alle mail want de meesten van mijn ontvangers gebruiken Outlook of Outlook Express. Die programma's kunnen goed met S/MIME omgaan. Het enige nadeel is dat soms niet ge-replied kan worden. Ik gebruik het om mail te beveiligen op zijn weg over het internet. Dit heb ik ook in mijn gewone handtekening staan:

Deze email is verzonden via beveiligde servers en is digitaal ondertekend. Dat betekent dat deze email tijdens zijn weg over het internet niet door onbevoegden is gelezen of veranderd. Problemen met beantwoorden van deze mail? Klik dan hier.

Zie het als gewone post. Mensen sturen hun post wel in dichtgeplakte enveloppen, maar sturen hun email onbeveiligd.

[Anoniem: 26306]

jfeelders schreef op zaterdag 28 februari 2009 @ 19:04:

Deze email is verzonden via beveiligde servers en is digitaal ondertekend. Dat betekent dat deze email tijdens zijn weg over het internet niet door onbevoegden is gelezen of veranderd. Problemen met beantwoorden van deze mail? Klik dan hier.

Ik zou nog eens heel goed nadenken over dat "gelezen". Een digitale signature is niets meer of minder dan een bewijs dat jij in het bezit bent van de private key want anders had je niet die signature kunnen genereren. Je kunt echter niet mail versleuteld versturen. Anderen kunnen met jouw public key wel mail versleutelen die alleen jij kunt lezen omdat je in bezit bent van de private key.

[begintmeta]

Ik zie ondertekende mail (met een certificaat op naam, niet op adres) dan weer eerder als een handgeschreven kaart (waarbij de authenticiteit van het handschrift makkelijk te checken is voor de lezer), een versleutelde mail zie ik dan weer als beter beveiligd dan een dichtgeplakte envelop.

Ik heb 10 publieke sleutels van 7 verschillende mensen, dus ik kan aan 7 personen versleutelde mails sturen. Ik denk dat zo'n 16 mensen mijn publieke sleutel hebben. Normaal gesproken onderteken ik alleen als ik er waarde aan hecht dat de ontvanger kan checken of ik de echte afzender ben. Als ik iemand de mogelijkheid wil geven mij versleuteld te mailen (en ik eigenlijk weet iemand dat ook wil kunnen) geef (of soms ook mail) ik mijn publieke sleutel.

Disclaimers vind ik (in ieder geval bij niet-ondertekende berichten) enorme onzin, ik heb eigenlijk nog nooit een disclaimer gebruikt (behalve dan een korte periode dat het er vanzelf aan werd geplakt ivm (onbegrijpelijk) organisatiebeleid).

Een groot probleem is denk ik dat de grote webmailproviders geen s/mime (of pgp) ondersteunen.

[ Voor 11% gewijzigd door begintmeta op 28-02-2009 19:20 ]

[Meauses]

Bor de Wollef schreef op zaterdag 28 februari 2009 @ 17:35:
[...]


Dan verschillen we van mening, zeker als je het over commerciele diensten hebt. Zelf hanteer ik altijd dat een netwerk pas trusted kan zijn wanneer deze voldoende is beschermt en je controle kunt uitoefenen op deze bescherming en het verkeer. Bij een ISP netwerk kan dit niet. Maar goed, het SSL offload verhaal is offtopic hier imho. Bij een goede analyse is er geen "ga ik vanuit".

Waarschijnlijk wel ja .
Tja wat is trusted, er zijn bij mijn bedrijf genoeg derde partijen die toegang hebben tot ons netwerk. Waarbij contractueel is vastgelegd dat ze moeten voldoen aan onze policies maar in hoeverre weten wij dat ze dat doen? Dan moet je bij iedere derde partij een audit gaan uitvoeren... veel succes want dan ben je van die werkloosheid af die er heerst (natuurlijk wel eerst de mensen CISA or RE opleiden ).

We kunnen helaas als consument geen goede analyse uitvoeren, laten we wel realistisch blijven. Als ik Telfort in deze wil verplichten IB in te richten zal ik toch wat meer geld moeten gaan dokken.
Toch heeft Telfort als ISP bepaalde verplichtingen om mijn gegevens te beschermen en willen ze ook graag hun eigen gegevens beschermen dus mag ik aannemen dat er toch beleid over is binnen Telfort wat hopelijk ook actief uitgevoerd wordt.

Om even kort te zijn; Ik heb toch liever een SSL verbinding van thuis naar mijn ISP dan geen encrypte verbinding.

[begintmeta]

Als je zeker (nou ja, 'zeker') wilt weten dat je e-mail van jou tot aan de ontvanger veilig wordt overgebracht zul je toch iets van s/mime moeten gebruiken. Een ssl verbinding op tussenliggende trajecten is wel aardig (en voor webmail nog meer), maar er is (in theorie althans) een beter alternatief.

[begintmeta]

Voor mensen die een S/MIME certificaat hebben via het Web of Trust van Thawte: per 16 November wordt dat programma stopgezet. ^INFO

Jammer, een goede mogelijkheid gratis gebruik te maken van algemeen geaccepteerde S/MIME certificaten op naam komt daarmee te vervallen. Zolang CAcert nog geen algemeen geaccepteerd root-certificaat heeft was de certificering van Thawte ook de enige gratis mogelijkheid geloof ik.

... StartSSL lijkt ook (nog?) een WOT programma te hebben lijkend op dat van Thawte.

[ Voor 10% gewijzigd door begintmeta op 12-10-2009 16:38 ]

[Anoniem: 26306]

Zo duur zijn die certificaten nou ook weer niet. Voor wie ze nodig heeft is het een prima bedrag.

[begintmeta]

±20USD per jaar voor een S/MIME-keypair is inderdaad wel te doen voor veel mensen, maar lang niet voor iedereen. Ik denk ook dat zoiets in principe voor iedereen nuttig zou kunnen zijn (vandaar ook dit topic) De gratis certificaten op naam die via het WoT van Thawte verkrijgbaar waren boden ook aanzienlijk veel meer mogelijkheden dan wat nu verkrijgbaar is voor een laag bedrag.

Natuurlijk stopt de wereld niet met draaien, maar ik moet zeggen dat ik het wegvallen van deze mogelijkheid om van enige (natuurlijk discutabele) identiteitsverificatie voorziene S/MIME versleuteling gebruik te maken betreur.

[Anoniem: 197255]

Hoewel dit een oude topic is leek het me toch juist om deze vraag hier te plaatsen ipv een nieuwe topic te openen.

Misschien komt het omdat ik rustig aan paranoia aan het worden ben maar ik begin steeds meer moeite te hebben met dat al mijn gegevens worden opgeslagen op de (in mijn geval) google server. Als ik mijn mail op webmail en dan zijn de advertenties allemaal keurig netjes aangepast aan alle search queries en informatie die ik heb verstuurd en ontvangen via mail, documents en calendar. Was ik vorig jaar nog de gene die anderen als paranoia beschouwde als ze over google begonnen, nu ben ik zelf ook zo geworden. Zeker toen een aantal MMO accounts gehacked bleken, waar ik zelf al in maanden niet ben ingelogd. Later kwam ik erachter dat mijn gmail account was gehacked met alle gevolgen van dien voor mezelf en voor die van mijn vrienden.

Om een lang verhaal kort te maken. Ik wil helemaal degooglizen en overstappen op een pakket die precies hetzelfde doet als google (het hele pakket) maar dan wat meer veiligheid. In email geval meer dan ssl encryptie.

Even alles op een lijstje wat ik graag wil:

• veilig emailen met militairachtige encrytpie
• deelbare kalender
• online contacten opslag
• Iphone ondersteuning

Ik hoor sommigen van jullie al denken, dit klinkt als Mobile Me alleen kan ik zeer weinig vinden over Mobile Me en veiligheid behalve wat verspreide berichtjes op fora. Dus als iemand hier iets over weet, ben ik blij en dankbaar.
Het mag geld kosten, ik begrijp dat er vast wel wat patenten op goede encryptie zit. Dus alles tot ongeveer 25 euro per maand ben ik best bereid om te betalen. Voor mijn werk en nevenactiviteiten verzend ik regelmatig gevoelige informatie, dit moet goed beveiligd worden en mag daarom ook wat kosten.

Alvast bedankt!

[LuckY]

Een betaalde dienst weet ik niet, maar je kan dan het beste zelf kijken met iets van gpg.
Echter snap je wel dat de ontvanger het ook moet ondersteunen of de verzender.
Echter zou je dan moeten kijken naar Zaraffa of exchange en het dan zelf moeten doen. Of een account op een hosted exchange nemen, maar of jij dan alsnog server security heb is de vraag. Tevens moet je uizoeken wat je iphone ondersteund. Doet die aan GPG?

[Anoniem: 197255]

Thanks ga ik uitzoeken. Even gechecked of er GPG voor de Iphone is en er zijn wat mensen die een code hebben ontwikkeld voor GPG. Ik ga me daar eens in verdiepen, want wat betreft GPG heb ik de klok wel horen luiden...

[netvor]

De twee voornaamste knelpunten bij het beveiligen van je email zijn: 1) het beveiligen van de opslag en 2) het beveiligen van het transport. Daarnaast heb je natuurlijk ook nog het gebruik van veilige wachtwoorden, beveiligde infrastructuur en ga zo maar door, maar dat zijn meer algemene zaken.

Voor het beveiligen van je emailtransport gebruik je natuurlijk HTTPS voor elke webmailinterface, dat is anno 2010 redelijk standaard. En als je een ouderwetse mailclient gebruikt moet je natuurlijk wel gebruik maken van beveiligde POP/IMAP/SMTP verbindingen; ironisch genoeg is het Google die dit tot standaard heeft verheven door de ouderwetse protocollen niet te ondersteunen!

Blijft over het transport vanaf de eerste mailserver tot aan de ontvanger. En hier heb je dus eigenlijk maar twee opties: GPG of PKI -- en beiden hebben een enorm nadeel in het feit dat je alleen naar mensen kan mailen van wie je de publickey hebt -- en laat dat nou net niet je belastingadviseur / advocatenkantoor / huisarts zijn...

Het tweede punt is de beveiliging van je opslag. Voor de GPG/PKI mails geldt dat je deze pas kan openen als je de privatekey in bezit hebt; je kan de mails dus zonder probleem bij een externe partij als Google op de server laten staan, zolang zij de privatekey niet hebben valt er niet veel te lezen.

Maar wat doe je met de mails die niet ge-GPG'd zijn? Die zijn perfect toegankelijk voor de serverbeheerder. Of het nou Google is of een willekeurige commerciële hoster: de beheerder kan erbij. Als je de opslag echt wil beveiligen kom je er dus niet onderuit je eigen server te beheren. Je zou kunnen overwegen een VPS te huren waarop alleen jij root-toegang hebt. Vergeet dan natuurlijk niet om de schijfruimte te versleutelen met iets als LUKS. Voor de doemdenkers onder ons: als de beheerder jouw VPS in een debugger draait kan hij theoretisch nog steeds al je email lezen, ookal versleutel je de schijf...

Denk trouwens ook aan de beveiliging van email op je iPhone. Worden er mails lokaal gecachet? En zoja, waar en hoe? Weet je zeker dat de verbinding naar je emailserver niet wordt onderschept door je provider of door de browsermaker (voorbeeld: Opera Mini)?

[ppl]

En als je een ouderwetse mailclient gebruikt moet je natuurlijk wel gebruik maken van beveiligde POP/IMAP/SMTP verbindingen; ironisch genoeg is het Google die dit tot standaard heeft verheven door de ouderwetse protocollen niet te ondersteunen!

Dat is trouwens niet waar. Google deed nog aan POP3 terwijl de rest al IMAP gebruikte. Ze zijn later IMAP gaan toevoegen. Het gebruik van http is tot voor kort de standaard geweest en is pas in https gewijzigd na veel commentaar en wat mensen die actie hebben zitten voeren. Het is dus exact andersom maar luisteren doen ze kennelijk wel.

Denk trouwens ook aan de beveiliging van email op je iPhone. Worden er mails lokaal gecachet? En zoja, waar en hoe? Weet je zeker dat de verbinding naar je emailserver niet wordt onderschept door je provider of door de browsermaker (voorbeeld: Opera Mini)?

Op de iPhone heb je maar 1 manier van e-mailbeveiliging en dat is de boel over een beveiligde verbinding laten lopen. Door hiervan gebruik te maken weet je in ieder geval dat de verbinding met de server beveiligd is. Er is dus geen versleuteling of ondertekening van een e-mail mogelijk. Het gebruik van mobile devices zoals een iPhone is steeds belangrijker aan het worden maar de support voor dingen als certificaten, gpg/pgp blijft nogal achter. Daardoor is voor veel mensen het nut van certificaten en gpgp/pgp al 0,0 geworden. Nogal een kip-ei probleem dus.

[ Voor 10% gewijzigd door ppl op 23-02-2010 17:36 . Reden: citaat erbij ]

[begintmeta]

Heeft RIM geen S/MIME voor de blackberry?

[ppl]

Volgens mij is de BB ook zo'n beetje de enige die dat soort dingen wel echt goed heeft geregeld trouwens. Ik heb alleen geen idee hoe dat zit met hun eigen dienst e.d. (die je erbij kunt nemen via KPN, Vodafone, etc.).

[netvor]

ppl schreef op dinsdag 23 februari 2010 @ 17:36:
[...]

Dat is trouwens niet waar. Google deed nog aan POP3 terwijl de rest al IMAP gebruikte. Ze zijn later IMAP gaan toevoegen. Het gebruik van http is tot voor kort de standaard geweest en is pas in https gewijzigd na veel commentaar en wat mensen die actie hebben zitten voeren. Het is dus exact andersom maar luisteren doen ze kennelijk wel.

Ik bedoelde dat Google het gebruik van TLS en SSL op mailprotocollen afdwong in een tijd dat veel email-hosters alleen onversleutelde POP- en IMAP-verbindingen aanboden. Volgens mij heeft Google nooit onversleutelde verbindingen via de standaard mailprotocollen toegestaan. Let wel, ik heb het dus over de standaard mailprotocollen, niet over http versus https.

[begintmeta]

De overheid schijnt het bevorderen van versleutelen in ieder geval niet wenselijk te vinden...

[ Voor 4% gewijzigd door begintmeta op 19-04-2011 19:05 ]

[iisschots]

Zeer kwalijk. Ze zijn echt bezig met vele proefbalonnetjes die totaal niet realistisch zijn. Je moet toch je data kunnen beveiligen.

[Henk007]

Een jaar of twee geleden vroeg ik via mail aan het College Bescherming Persoonsgegevens om hun public key, omdat ik een vertrouwelijk bericht aan hun wilde sturen.
Ik kreeg een vriendelijke mail terug dat ze die niet hadden en dat ik de informatie maar per brief moest sturen. Op een antwoord van mijn kant dat ik niet meer en niet minder wilde dan de digitale equivalent van een dichtgeplakte enveloppe heb ik verder geen antwoord gehad.
Verder gebruik ik in de praktijk zelden encrypted mail of digitaal signeren.
Incompetentie is een erg groot probleem in de overheid en politiek.

[ Voor 6% gewijzigd door Henk007 op 19-04-2011 19:13 ]

[Equator]

begintmeta schreef op dinsdag 19 april 2011 @ 19:05:
De overheid schijnt het bevorderen van versleutelen in ieder geval niet wenselijk te vinden...

Beetje kort door de bocht. Er is 1 persoon die haar mening heeft uitgesproken dat ze het wil laten verbieden. Vanuit de vervolging van bezitters van kinderporno geen verkeerd idee.. Om dat nou meteen de wens van de overheid te noemen

Het zelfde geldt voor die korpschef die alle DNA van alle mensen in een database wilde hebben. Vanuit het oogpunt van opsporing zeker geen slecht idee.. Daar werd de 'overheid' ook al voor gehekeld.

Maar goed, in dit topic gaat het over beveiligde e-mail en dat staat een beetje los van deze discussie

[begintmeta]

Het is inderdaad wel wat kort door de bocht, maar dat mag denk ik wel

Equator schreef op woensdag 20 april 2011 @ 11:59:
... Vanuit de vervolging van bezitters van kinderporno geen verkeerd idee.. ... Het zelfde geldt voor die korpschef die alle DNA van alle mensen in een database wilde hebben. Vanuit het oogpunt van opsporing zeker geen slecht idee.. ...

Het probleem met dergelijke uitspraken is in mijn ogen dat meestal onvoldoende onderbouwd is dat het geen slecht idee zou zijn, ook uit het oogpunt van het beoogde doel.

Een soortgelijk voorbeeld: haal iedereen door de MRI-scan, uit het oogpunt van de behandeling van blindedarmontsteking is dat geen slecht idee. Maar of dat echt zo is, en helemaal of het geen nadelige gevolgen voor andere zaken heeft lijkt me op zijn minst twijfelachtig.

[ Voor 21% gewijzigd door begintmeta op 20-04-2011 16:30 ]

[Jester-NL]

Ik denk dat een minister of staatsecretaris toch even rekening moet houden met hoe publiek de functie is, en wat de consequenties van de wens zijn.
Dit is weer eens een typisch staaltje van symboolpolitiek uitspraken, gedaan door iemand die (schijnbaar) van toeten noch blazen weet op het gebied van IT... Het is niet vreemd dat 'het publiek' een losse opmerking van een ambtsdrager uitlegt als 'de overheid'.
Natuurlijk is er een verschil tussen proefballonnetjes, uitspraken gedaan om een discussie op te starten of daadwerkelijke voorstellen, maar die nuances zijn erg klein en worden door de media sowieso gevoegelijk genegeerd.

Persoonlijk ben ik keer op keer teleurgesteld in mensen waarvan we verwachten dat ze ons vertegenwoordigen, en die komen met een (voorstel tot) verbod op encryptie, een mailbom voor pedo's (alsof [e-mail] ook zijn mail checkt tijdens het trekken) of een app voor je mobieltje zodat je weet waar de toiletten zijn op het volgende station.
Een beetje competentie is toch niet te veel gevraagd?

[regmaster]

De vraag is wat wil je bereiken met e-mail beveiliging. Wil je voorkomen dat de inhoud wordt gelezen, wil je veilig bestanden kunnen uitwisselen via e-mail of wil je dat iedere mail gesigned wordt door de opsteller ervan? Nu is e-mail niet echt geschikt om grote bestanden uit te wisselen, bij veel organisaties wordt zeer streng gefilterd op inhoud en omvang. Vaak komen bestanden niet aan.
Er zijn overigens meer mogelijkheden om tot een veilige e-mail uitwisseling te komen dan het gebruik van PGP of een PKI infrastructuur.
Zelf ben ik bezig om een file transfer tool geïntroduceerd te krijgen welke zich in de mail client nesteld en bestanden automatisch verplaatst naar een fileserver waarbij de ontvanger van de mail een code ontvangt om het bestand via een HTTPS of SFTP link op te halen. Het bestand wordt automagisch versleuteld op het filesysteem opgeslagen, dus niemand buiten de verzender en ontvanger kan iets met het bestand.
Overigens biedt Cisco tegenwoordig een device aan waarmee je via een specifiek woord in het subject aan kan geven of de mail versleuteld moet worden of niet. Hierbij is de gebruikte mail client niet van belang want het device monitort de ingestelde mail poorten en reageert indien het specifieke woord voorbij komt.
Dat is ideaal voor bedrijven die veel vertrouwelijke mail verzenden vanaf verschillende clients en devices.
Voor particulier gebruik is dat erg duur en overkill maar je kunt ook bestanden versleutelen via bijvoorbeeld AEScrypt of 7-Zip en het wachtwoord via sms o.i.d. aan de ontvanger sturen. Echter een handtekening ontbreekt dan, maar in hoeverre is deze dan nog van belang indien je op een andere wijze de identiteit van de verzender kan vaststellen?

[burne]

begintmeta schreef op dinsdag 19 april 2011 @ 19:05:
De overheid schijnt het bevorderen van versleutelen in ieder geval niet wenselijk te vinden...

Jet Hoogendijk is vooral niet 'de overheid'. Niet verwarren: 'de overheid' versus 'populistische politica'.

[begintmeta]

Net kwam me nog een wat verdergaand initiatief om e-mail te beveiligen onder ogen: Bitmessage. Ik ken het niet, volgens de projectsite:

Bitmessage is a P2P communications protocol used to send encrypted messages to another person or to many subscribers. It is decentralized and trustless, meaning that you need-not inherently trust any entities like root certificate authorities. It uses strong authentication which means that the sender of a message cannot be spoofed, and it aims to hide "non-content" data, like the sender and receiver of messages, from passive eavesdroppers like those running warrantless wiretapping programs.

Op zich interessant, al heeft men het probleem van trafficanalyse toch nog lang niet opgelost en ook kost het natuurlijk deniability (net als S/MIME en OpenPGP), maar vergeleken met bijvoorbeeld remailing ind ik het P2P-principe interessant.

[CAPSLOCK2000]

Ik heb twijfels bij de schaalbaarheid van dit project.
Ten eerste moet je computer per bericht 4 minuten rekenen. Je kan dus maximaal 15 berichten per uur sturen. Voor de meeste mensen is dat misschien genoeg maar ik kan veel situaties bedenken waarin het veel te weinig is, en om nu overal een cluster computers neer te zetten is ook niet wenselijk.

Ten tweede is het systeem op broadcast gebaseerd. Iedereen ziet alle berichten. Ze hebben wel een systeem bedacht op de zwerm te splitsen als die te groot wordt, maar volgens mij heb je dan nog steeds contact met tientallen peers. Ik denk dat het hele netwerk zich onmiddelijk verslikt zodra iemand begint te flooden.

Een derde probleem (waar veel andere systemen ook last van hebben) is dat je een manier nodig hebt om sleutels uit te wisselen. Voor je met iemand kan communiceren moet een code van 32 random tekens doorgeven.

[PerlinNoise]

Wat denken jullie hierover?

https://bitmessage.ch/

Als je van een bitmessage emailadres naar een bitmessage emailadres mail zou dit over het bitmessage netwerk moeten lopen. Denken jullie dat dit veilig is?

[Equator]

Wie beheert dat netwerk en de gebruikte sleutels?

Dat iets over een secundair of apart netwerk wordt getransporteerd i.p.v. over het openbare Internet maakt het niet direct veiliger.
De kans dat je mail door jan en alleman gelezen kan worden is wel kleiner, maar de mogelijkheid dat een medewerker van dat bedrijf de data leest en of lekt is er nog steeds.

Kijk bijvoorbeeld naar alle hectiek rondom RIM met hun blackberry dienst.

Mijn inziens is je e-mail pas echt secure als zowel de versturende als de ontvangende partij verantwoordelijkheid nemen in het gebruik van versleuteling. Maar dan kom je weer tegen de gebruiksgemakken aan van $oplossing en begint dit topic weer opnieuw

[begintmeta]

Ik moet zeggen dat ik nogal verrast ben door de resultaten van een enquete door Convios Consulting GmbH in opdracht van WEB.DE en GMX:

... Drei Viertel der Deutschen (74,9%) halten eine Ende-zu-Ende-Verschlüsselung für wichtig oder eher wichtig. 2015 waren es 69,3%. Allerdings wird E-Mail-Verschlüsselung erst von 16,1% der Befragten genutzt. Als Gründe für den Verzicht werden hoher Installationsaufwand (37,6%) und mangelnde Kenntnis (36,6%) genannt ...

Ik vind 74.9% die end-to-end encryption belangrijk acht eigenlijk behoorlijk veel, en dat 16,1% ook daadwerkelijk e-mail encryptie gebruikt overtreft mijn stoutste verwachtingen ook sterk. Interessant is verder natuurlijk dat moeite en ontbrekende kennis obstakels worden geacht.

Poll: E-mail moet alleen voor verzender en ontvanger te lezen zijn
• Dat is erg belangrijk
• Dat is belangrijk
• Het maakt me niet veel uit
• Dat is minder belangrijk
• Dat is onbelangrijk
<sup>Tussenstand:

Ook een poll maken? Klik hier</sup>

Poll: Ik maak gebruik van end-to-end encryption voor email
• Ja
• Nee
<sup>Tussenstand:

Ook een poll maken? Klik hier</sup>