Veilig gebruik en verzenden van e-mail attachments

[Pabz]

Beste allemaal,

Mijn vrouw moet voor haar werk (ZZP) naar iedere opdrachtgever haar VAR-wuo en kopie paspoort sturen. Dit betekent dat je nogal wat ID-gevoelige info via het web de lucht in gooit.

Iemand die ervaring heeft met een praktische en toch veilige oplossing hiervoor?

Dingen die ik zoal ben tegengekomen:

• Bestanden in dropbox en linkje delen. Linkje moet je echter nog steeds via e-mail sturen en de mobiele app gebruikt nog steeds geen https volgens mij.
• PDF beveiligen of bestandjes inpakken in een encrypted zip. Nadeel blijft dat je dan nog steeds het wachtwoord moet kunnen delen.
• Veel andere oplossingen zoals Sendinc, Infoencrypt etc gebruiken nog steeds een wachtwoord of sender/recipient based software die geinstalleerd moet worden of accounts die aangemaakt moeten worden.
• Safegmail lijkt een mooie oplossing, maar dan moet je je klanten wel weer naar een andere website leiden waar ze vervolgens weer antwoord op een vraag moeten geven.

Thanks!

[Termi]

Bij ons worden de bestanden versleuteld verstuurd (beveiliging in het bestand of zip) en wordt het wachtwoord los verstrekt bijvoorbeeld telefonisch.

[Pabz]

Termi schreef op zondag 28 december 2014 @ 15:28:
Bij ons worden de bestanden versleuteld verstuurd (beveiliging in het bestand of zip) en wordt het wachtwoord los verstrekt bijvoorbeeld telefonisch.

Maar is deze zip dan niet met een Brute Force nog steeds makkelijk te openen (zoiets als vimware bijv?).

[McKaamos]

Mwah, met een lang en complex genoeg wachtwoord duurt bruteforcen nogsteeds erg lang.
7tekens, all printable chars, duurt op een 3Ghz Core i3 al een dag of 7. Nu zijn er natuurlijk videokaart based oplossingen die dat reduceren tot 1dag oid, maar dat kan je gewoon tegengaan door een langer wachtwoord te gebruiken. Met elk extra teken wordt de benodigde tijd exponentieel groter.
De vraag is vooral: hoe interessant zijn de gegevens voor een potentiele inbreker en hoeveel tijd en geld wil hij/zij daar aan besteden, versus wat het dan oplevert?

edit:

Het kost tijd, apparatuur, licentiekosten voor bruteforce software, elektriciteit, etc.
Weegt dat op tegen het proberen te pakken te krijgen van een kopie ID? Wat wint iemand daar mee?
Alles is te bruteforcen, maar is het de moeite waard om dat daadwerkelijk te gaan doen?

En als het écht safe moet zijn, dan sneaker-net je het toch? (kortom, ergens heen stiefelen met een stuk papier of USB stick in je hand)

[ Voor 17% gewijzigd door McKaamos op 28-12-2014 17:06 ]

[Pabz]

Ik ben het helemaal met je eens dat je moet afvragen hoe interessant je data is een hoe groot de kans is dat dit ook daadwerkelijk onderschept wordt. Het gaat mij er meer om dat je er bewust van bent en uit dat oogpunt was ik op zoek naar een praktische oplossing.

Met veel opdrachtgevers heeft ze uitsluitend e-mail contact, dus daar zal ik het mee moeten doen (dus geen face-to-face, telefoon/sms etc).

[jeroen3]

Een kopie van je paspoort met de juiste velden doorgestreept zijn voor identiteitsboeven niet zo waardevol.
Versleutelde zip bestanden worden geweigerd door veel mail servers, onder andere gmail.
Dropbox betekent dat je het eerst naar Amerika stuurt, wil je dat wel?

Meestal gaan zit soort dingen met de post toch?

[McKaamos]

Naja, dan is het dus zaak dat ze gewoon een wachtwoord kiest wat lang en complex genoeg is om redelijkerwijs te kunnen garanderen dat het niet ge-bruteforced wordt.

En dan voor de zekerheid wachtwoord en data zo scheiden dat ze niet eerder dan het eindpunt bij elkaar zijn. Dus b.v. wachtwoord en data naar verschillende email adressen (b.v. opdrachtgever en zijn/haar secretaresse). Of per telefoon/sms/whatsapp het wachtwoord sturen en het versleutelde bestand per e-mail.

Non-standaard methoden gebruiken is opzich leuk en aardig, maar daar voor moet de opdrachtgever ook mee gaan in dat systeem. Best kans dat ze dat niet willen als het te moeilijk wordt gemaakt.

[ Voor 7% gewijzigd door McKaamos op 28-12-2014 17:20 ]

[Pabz]

jeroen3 schreef op zondag 28 december 2014 @ 17:19:
Meestal gaan zit soort dingen met de post toch?

Het hele idee was juist om het niet via de post te doen haha. Kost veel tijd ;-).

Misschien dan toch versleuteld zipje op dropbox en via de mail linkje sturen en via sms/whatsapp het ww.

Ben benieuwd of mijn vrouw daar in mee wilt gaan....

[Verwijderd]

officieel is de opdrachtgever verantwoordelijk voor de privacy en veiligheid van persoonsgegevens, maar we weten allemaal hoe bedrijven daar mee omgaan. Als het niet rondslingerende emails zijn is het wel de bewaarplicht van je ISP of de beweegruimte die de overheid bedrijven geeft, in het beste geval leest Google of Microsoft mee en verkoopt de informatie aan adverteerders maar 1 hack en alles ligt op straat.

dus als je het echt veilig wil doen dan gebruik je eigen twee stappen authenticatie methode.

vraag om 2 verzendadressen (mail/sms/whatsapp/etc), Compress alles in 1 werkfolder, Encrypt, Split dat bestand in 2 en upload (bij voorkeur elk bestand naar een andere cloud dienst) of gebruik http://www.getsync.com/ , alleen dan ben je zeker dat de juiste personen inzage kunnen krijgen.

als je nog een stap verder wilt/kan gaan, versleutel je die twee downloadlinks samen met de decodeer ww via https://www.infoencrypt.com/. dan heb je wel 2 extra wachtwoorden apart te verzenden, bijvoorbeeld ww1 naar verzendadres2 en viceversa en alleen de opdrachtgever en jij weten dat feitje.

na een paar weken verwijder je de bestanden(of de downloadlink) in de cloud.

[jeroen3]

Volgens mij is her risico groter dat de bestanden lekken via het intranet van de bedrijven, dan dat ze lekken via de e-mail of cloud. (mits je wachtwoord niet huisdier123 is natuurlijk)

[Verwijderd]

Lekken via intranet lijkt me veel belangrijker zoals jeroen3 aangeeft. Incompetente mensen bij de bedrijven waar de informatie heen wordt gestuurd, een lekke database, slechte beveiliging, etc. De veiligheidsdiensten en overheden kunnen jouw informatie zo opvragen. Dus waar ben je dan precies bang voor? Als bedrijven een bestand kunnen downloaden of een afbeelding kunnen opslaan dan ben je precies even ver als normaal e-mailen.

Tips: http://www.rijksoverheid....uw-identiteitsbewijs.html

Edit: Trouwens alle oplossingen waarvoor je software nodig hebt of die te veel moeite zijn kunnen gelijk de prullenbak in. Voor haar zo weer een ander, zeker momenteel.

[ Voor 13% gewijzigd door Verwijderd op 28-12-2014 19:28 ]

[Pabz]

Verwijderd schreef op zondag 28 december 2014 @ 19:26:
Tips: http://www.rijksoverheid....uw-identiteitsbewijs.html

Thanks, die site met tips kende ik nog niet. Had er al wel op staan KOPIE, maar nog geen datum etc en ook BSN-nummer is nog zichtbaar. Misschien is (zoals op de site staat) alleen het doorgeven van type document met nummer ook wel voldoende.

Off-topic
Haar opdrachtgevers geven trouwens vaak aan dat hun accountant dit kopie wil hebben. Weet iemand hier iets van?

Verwijderd schreef op zondag 28 december 2014 @ 19:26:
Edit: Trouwens alle oplossingen waarvoor je software nodig hebt of die te veel moeite zijn kunnen gelijk de prullenbak in. Voor haar zo weer een ander, zeker momenteel.

Precies en ze werkt met 20-30 opdrachtgevers per maand die hier allemaal niet op zitten te wachten.