Waarom zijn veilige maildiensten (zoals zorgmail) veilig?

[Koozza]

Hi allemaal!

Laten we beginnen met het feit dat security niet mijn vakgebied is, maar wel mijn interesse heeft! Ik krijg steeds vaker mail via Zorgmail binnen van zorgverleners. Denk aan de tandarts nota of een mailtje van je huisarts. En elke keer dat ik zo'n mail binnen krijg vraag ik me af waarom dit nu als "Veilig" beschouwd wordt.

Voor de tweakers die dit principe niet kennen:
- Zorgaanbieder stuurt jou een mail via zorgmail
- Zorgmail stuurt jou een link om de inhoud te bekijken
- Op deze pagina klik je op een knop om een toegangscode te krijgen
- Toegangscode wordt gemaild en je kunt je content bekijken.

De meest reden die ik zie, is gelijk de meest duidelijke: De content van de email staat op een server van Zorgmail en is dus in hun beheer. De inhoud kan verlopen, toegang kan gelogt worden en afgeschermd worden met een wachtwoord, code, etc.

Ik begrijp verder alleen niet wat hier veiliger aan is dan gewoon mailen. Alle content wordt alsnog via email naar de gebruiker gestuurd. Dus als er een aanval plaatsvindt op de transportlaag, of lokaal, dan kan de aanvaller alsnog bij alle benodigde data om bij de content te komen. Is het hele stuk van een link en een code mailen dan schijnheiligheid? Of mis ik gewoon kennis en zie ik niet welk probleem deze opzet echt oplost.

Ik hoop dat iemand mijn gedachtegang de juiste kant op kan schoppen!

[P_Tingen]

Het enige wat ik kan bedenken is dat als jij (of iemand die in een onbewaakt ogenblik bij jouw pc kan) de mail doorstuurt van ofwel de link naar de inhoud, ofwel de toegangscode, dat diegene daar niets aan heeft. Je moet beide mails hebben om bij de inhoud te kunnen komen.

Veilig? Mwoa, wel wat beter dan een directe link naar de inhoud, zonder code of iets. Stukken beter dan domweg het document sturen, maar minder goed dan een mail sturen met de boodschap dat er een nieuw document voor je klaarstaat en dat je zelf maar naar de site van je zorgboer moet gaan, inloggen met DigiD en dan de documenten bekijken. Dat lijkt me een stuk beter. Wel iets omslachtiger, dus wellicht dat je zorgaanbieder voor deze manier heeft gekozen

[bregweb]

De bedoeling van dit systeem, is dat jouw tandarts ook je 06 heeft. Dan wordt de code niet naar je mail, maar naar je 06 gestuurd en heb je echte 2FA. Dat is veilig.

Ik denk dat jouw zorgaanbieders niet over jouw 06 beschikken.

[CH4OS]

bregweb schreef op dinsdag 1 oktober 2024 @ 08:21:
De bedoeling van dit systeem, is dat jouw tandarts ook je 06 heeft. Dan wordt de code niet naar je mail, maar naar je 06 gestuurd en heb je echte 2FA. Dat is veilig.

Ik denk dat jouw zorgaanbieders niet over jouw 06 beschikken.

Ook 2FA via SMS is niet echt veilig te noemen. Liever een 2FA app dan.

[jeroen3]

Dit is niet veilig. Ze liften mee op de security die je voor e-mail hebt.
Het is vooral het voorkomen dat ze een database met wachtwoordhashes hoeven te bewaren die mensen toch vergeten.

[IceFox]

Als de 2-fa code via een ander transport gaat is het al een stuk veiliger. Dat is bij jou echter niet het geval. Wat wel zo is, is dat de aanvaller dan net de link moet onderscheppen én de 2-fa code. Vervolgens moet de aanvaller het setje op tijd gebruiken. Dat vergt al meer timing dan gewoon 1 mailtje binnenhalen en ooit eens iets ermee doen.

Daarnaast is mail die verstuurd word (tenzij PGP) gewoon leesbaar op elke mailserver waar die langskomt. Door de link te mailen en later de 2-fa code is er minder kans dat ergens een kopietje van je medische data blijft hangen.

[Davidshadow13]

P_Tingen schreef op dinsdag 1 oktober 2024 @ 08:20:
Het enige wat ik kan bedenken is dat als jij (of iemand die in een onbewaakt ogenblik bij jouw pc kan) de mail doorstuurt van ofwel de link naar de inhoud, ofwel de toegangscode, dat diegene daar niets aan heeft. Je moet beide mails hebben om bij de inhoud te kunnen komen.

Veilig? Mwoa, wel wat beter dan een directe link naar de inhoud, zonder code of iets. Stukken beter dan domweg het document sturen, maar minder goed dan een mail sturen met de boodschap dat er een nieuw document voor je klaarstaat en dat je zelf maar naar de site van je zorgboer moet gaan, inloggen met DigiD en dan de documenten bekijken. Dat lijkt me een stuk beter. Wel iets omslachtiger, dus wellicht dat je zorgaanbieder voor deze manier heeft gekozen

Niet alle zorgaanbieders zijn aangesloten / kunnen aangesloten worden op DigiD helaas. Bij mijn zorgverzekeraar is het zelfs zo dat voor Polis gerelateerde zaken ik via DigiD moet inloggen maar voor declaraties met een eigen account van de verzekeraar. De toepassingen waarvoor men DigiD mag toepassen wordt bepaald voor de overheid en die zijn best streng in het toelaten van nieuwe use cases.

Hoewel 2FA zeker niet de holy grail is qua E2E security, is het beter dan helemaal geen MFA. En het is universeel toepasbaar en ook nog te begrijpen voor digibeten. Dit is misschien ook een overweging vanuit de zorgverlener.

[BytePhantomX]

Het versturen van email is tegenwoordig aardig beveiligd omdat de meeste maildiensten het verkeer tussen servers versleutelen. Echter zullen er nog servers zijn (thuis hosters misschien) die geen versleutelde verbinding accepteren waardoor rmail in platte tekst over het internet wordt verstuurd. Een ander probleem is dat email wordt opgeslagen bij een emailprovider die de mails mogelijk onversleuteld opslaat.

Zorgaanbieders moeten echter garanderen dat deze vertrouwelijke communicatie niet uitlekt en door iets als zorgmail kunnen ze dat, omdat ze controle hebben over de hele keten. Het stukje authenticatie is daar maar een heel klein onderdeel van. Daarnaast is authenticatie het best haalbare voor de doelgroep en door het tiijdsgebonden te maken is afluisteren lastig. Alleen als iemands mailbox is gehackt kunnen ze niet garanderen dat er geen datalek is.

Dit is echt een mooie casus waarin veiligheid en gebruiksgemak (zeker gezien de doelgroep) goed afgewogen moeten worden. Je kan het veilig maken, maar dan gaan mensen waarschijnlijk onveiligere manier gebruiken omdat het te moeilijk is. Of je kun (beperkt) risico's accepteren om daarmee het geheel veiliger te maken.

[Oon]

Wat je je in de eerste plaats moet realiseren is dat mail per definitie onveilig is. Vanuit een security oogpunt is deze situatie niks veiligers dan gewoon de persoonsgegevens mailen.

Aan de andere kant maakt het AVG-technisch wel verschil; persoonsgegevens mailen is gewoon een grote kans op een datalek. Je kunt niet zien wie deze mail ontvangt en al helemaal niet wie die opent.
Een link naar een portaal waarin gecontroleerd kan worden wie er deze link bezocht heeft en wie er daarna de bevestigingscode heeft ingevuld is een stuk 'veiliger', je hebt een audit trail voor deze toegang.

Dat is dus de enige reden. Het is schijnveiligheid maar het biedt wel een controle achteraf; als je denkt dat je gegevens gelekt zijn kan deze aanbieder zien wie ze heeft ingezien vanaf de link die jij hebt ontvangen. Vrijwel alle veiligheid bij dit soort instanties is gemotiveerd door het niet krijgen van boetes van de AP, het heeft niks met veiligheid te maken.

[Oon]

BytePhantomX schreef op dinsdag 1 oktober 2024 @ 08:47:
Het versturen van email is tegenwoordig aardig beveiligd omdat de meeste maildiensten het verkeer tussen servers versleutelen. Echter zullen er nog servers zijn (thuis hosters misschien) die geen versleutelde verbinding accepteren waardoor rmail in platte tekst over het internet wordt verstuurd.

Toch wel een domme aanname hoor. Maar een handjevol providers heeft geen fallback naar onversleuteld verkeer meer (bijv. O365 en Gmail), maar vrijwel alle standaard shared hosting platforms wel nog. Je zou je echt verbazen over hoeveel mensen hun client verkeerd hebben ingesteld (veel die zelfs nog POP3 gebruiken) en dus geen versleuteling gebruiken. Daarnaast zijn er ook echt nog belachelijk veel providers waar onversleuteld de standaard is.

Hoe dan ook blijft mail onveilig omdat je niet met een simpele server-client verbinding zit, maar server-server en vaak ook nog relays ertussen. Die relays kunnen gewoon een kopietje van gevoelige mail automatisch doorsturen naar een ander adres.

Doordat je dit niet kunt zien, hier niet op kunt controleren, en het feit dat e2e versleuteling (obv bijv. PGP) niet lekker werkt met mail van random adressen is mail gewoon per definitie onbeveiligbaar, tenzij je expliciet clientside versleutelde content gaat sturen naar iemand die de keys heeft om die weer uit te lezen.

Een TLS-verbinding naar de mailserver beschermt je van een brak wifi netwerk, maar betekent niet ineens dat alleen de gewenste ontvanger de mail kan lezen.

[Frogmen]

Tja het mooie van dit fijne veilige systeem is vooral dat het vooral ook de verantwoordelijkheid verlegt. De bejaarde die moeite heeft met het systeem en niet snapt dat het wachtwoord tijdgebonden is lukt het niet en zoekt hulp. Vervolgens vraagt niemand zich af of die hulp te vertrouwen is! Of als het wel lukt maar de info is zo onbegrijpelijk dan moeten ze het alsnog doorsturen. En dus via knippen en plakken wordt het doorgestuurd. Prachtig allemaal de zorg instelling heeft aan zijn plicht voldaan, maar is het nu echt veiliger geworden?

[Sniels]

Frogmen schreef op dinsdag 1 oktober 2024 @ 09:23:
Prachtig allemaal de zorg instelling heeft aan zijn plicht voldaan, maar is het nu echt veiliger geworden?

Veiliger? Ja. Feilloos? Nee.

100% veilig zal het nooit worden. Dat is een mooi maar onhaalbaar streven. Dus alle beetjes helpen en dit is (naar mijn mening) een goede stap geweest.

Kan het beter? Zeker. Maar dan moet iedereen meebewegen (qua techniek maar ook qua mentaliteit en kennis) en dat zal moeilijk te realiseren zijn..

[macscot]

Misschien dat iemand die werkt bij de Enovation Group mijn onderstaande verhaal kan bevestigen of verbeteren. Maar volgens mij werkt het technisch als volgt.

Normaal gesproken wordt de mail verstuurd via diverse email servers (versturende partij en ontvangen partij).

De bij zorgmail aangesloten bedrijven mailen naar elkaar via een directe verbinding. Dus in plaats van de verzonden email van mail server 1 naar mail server 2 wordt verzonden en wordt verwerkt, wordt de email binnen een eigen mail server verwerkt. Hiermee is het alsof er gemaild wordt naar een intern persoon was beveiliging verbeterd.

Vervolgens heeft zorgmail een 2FA module (plugin) hiermee kan er aangegeven worden dat de mail middels 2FA meestal 06 verplicht verzonden moet worden. Op die manier kan de tandarts het mailtjes dat hij verstuurd naar jou privé @gmail.com account beveiligen.

Het doorsturen van informatie van de tandarts naar bijvoorbeeld de apotheek (die ook aangesloten is bij zorgmail) wordt verwerkt via het eerder toegelichte directe lijn systeem of van @zorgmail.nl naar @zorgmail.nl account.

[GeeEs]

Wij hebben ook te maken met een instantie die dit soort zorgmail gebruikt.

Vind het zelf vrij onhandig.
De mails -met toch wel kritische info- (ik wil die absoluut bewaren!) worden na enkele weken gewist op dat zorgsysteem. Weg info dus...
Je kunt echter met 1 muisklik wel een "domme" kopie naar jezelf (gmail oid) mailen...
Waarmee de "veiligheid" dus meteen weg is?! (Ja, dat doe je dan uiteraard zelf, dus aanbieder treft geen blaam)

Ik snap de reden dat ze zo werken, maar het schiet met de doorstuur optie wel het doel voorbij. Daarom is het dus vooral omslachtig imho.

[ Voor 15% gewijzigd door GeeEs op 01-10-2024 10:41 ]

[Drardollan]

CH4OS schreef op dinsdag 1 oktober 2024 @ 08:29:
[...]

Ook 2FA via SMS is niet echt veilig te noemen. Liever een 2FA app dan.

Ik ben het helemaal met je eens dat 2FA via SMS niet 100% veilig is, een 2FA app is dat ook niet trouwens.

Maar realistisch gezien is het voor >99% van de use-cases veilig genoeg. Hoe groot acht je de kans dat een hacker van een random persoon de mail + mobiele abo gaat aanvallen om een tandartsrekening in te zien? Dan heb je sowieso niet te maken met een script kiddie maar een serieuze hacker (SIM spoofing doe je niet zomaar). Ik denk dat er niet veel hackers zijn die zoveel tijd en moeite gaan steken in de beschreven situatie van TS.

[thunder7]

macscot schreef op dinsdag 1 oktober 2024 @ 10:25:
Misschien dat iemand die werkt bij de Enovation Group mijn onderstaande verhaal kan bevestigen of verbeteren. Maar volgens mij werkt het technisch als volgt.

Normaal gesproken wordt de mail verstuurd via diverse email servers (versturende partij en ontvangen partij).

De bij zorgmail aangesloten bedrijven mailen naar elkaar via een directe verbinding. Dus in plaats van de verzonden email van mail server 1 naar mail server 2 wordt verzonden en wordt verwerkt, wordt de email binnen een eigen mail server verwerkt. Hiermee is het alsof er gemaild wordt naar een intern persoon was beveiliging verbeterd.

Ik kan in ieder geval bevestigen dat emails die ik (en de applicatie die ik beheer) via mijn werkgever (een ziekenhuis) veilig via Zorgmail verstuur, via aparte infrastructuur verzonden worden naar Zorgmail zelf.

[Drardollan]

GeeEs schreef op dinsdag 1 oktober 2024 @ 10:36:
Wij hebben ook te maken met een instantie die dit soort zorgmail gebruikt.

Vind het zelf vrij onhandig.
De mails -met toch wel kritische info- (ik wil die absoluut bewaren!) worden na enkele weken gewist op dat zorgsysteem. Weg info dus...

Kan je geen export naar PDF maken?

Je kunt echter met 1 muisklik wel een "domme" kopie naar jezelf (gmail oid) mailen...
Waarmee de "veiligheid" dus meteen weg is?!

Maar dat is wel een eigen keuze. En dan gelden er ongetwijfeld andere regels.

[GeeEs]

Drardollan schreef op dinsdag 1 oktober 2024 @ 10:42:
[...]

Kan je geen export naar PDF maken?


[...]

Maar dat is wel een eigen keuze. En dan gelden er ongetwijfeld andere regels.

Klopt, had mn bericht gewijzigd.
Je doet dat dan idd zelf, waarmee de aanbieder een escape heeft mbt. eventuele lekken.

PDF weet ik niet. Al kan je idd gewoon PDF printje maken.
Vooralsnog doe ik het maar ouderwets uitprinten op papier, dan is er ook geen digitaal spoor als de ZorgMail gewist is.

[ Voor 20% gewijzigd door GeeEs op 01-10-2024 10:51 ]

[Oon]

Drardollan schreef op dinsdag 1 oktober 2024 @ 10:41:
[...]

Ik ben het helemaal met je eens dat 2FA via SMS niet 100% veilig is, een 2FA app is dat ook niet trouwens.

Maar realistisch gezien is het voor >99% van de use-cases veilig genoeg. Hoe groot acht je de kans dat een hacker van een random persoon de mail + mobiele abo gaat aanvallen om een tandartsrekening in te zien? Dan heb je sowieso niet te maken met een script kiddie maar een serieuze hacker (SIM spoofing doe je niet zomaar). Ik denk dat er niet veel hackers zijn die zoveel tijd en moeite gaan steken in de beschreven situatie van TS.

Gevaarlijke gedachte. Zie deze recente video van Veritasium. Dat is flink in scene gezet, maar de onderliggende theorie klopt wel; als je de juiste toegang hebt verkregen kun je van een willekeurig telefoonnummer gewoon het SMS-verkeer aflezen. Daar is geen SIM spoofing voor nodig.

En hoewel een willekeurige oma misschien geen doelwit is kan een huisarts wel bij een heleboel medische (dus bijzondere) persoonsgegevens. Die gegevens zijn interessant, en doordat je als die huisarts bent ingelogd kun je ook die huisarts onder druk zetten, de audit trail zal immers overal laten zien dat het die huisarts is die de gegevens heeft ingezien.

Wat je je moet afvragen is niet of jij een doelwit bent, maar of jouw rol en de toegang die je daarmee hebt misbruikt kan worden. In vrijwel iedere organisatie van meer dan 10 werknemers en iedere situatie waarin je toegang hebt tot persoonsgegevens van klanten/cliënten is dat het geval. Zo'n aanval is tegenwoordig niet meer ingewikkeld en geen kwestie van wekenlang social engineeren, dus hoewel jij als patiënt bij een tandarts geen doelwit bent is de tandarts zelf dat absoluut wel.

En dat is waarom mail en SMS gewoon als volkomen onveilig beschouwd moeten worden.

[Drardollan]

Oon schreef op dinsdag 1 oktober 2024 @ 10:55:
[...]

Gevaarlijke gedachte. Zie deze recente video van Veritasium. Dat is flink in scene gezet, maar de onderliggende theorie klopt wel; als je de juiste toegang hebt verkregen kun je van een willekeurig telefoonnummer gewoon het SMS-verkeer aflezen. Daar is geen SIM spoofing voor nodig.

En hoewel een willekeurige oma misschien geen doelwit is kan een huisarts wel bij een heleboel medische (dus bijzondere) persoonsgegevens. Die gegevens zijn interessant, en doordat je als die huisarts bent ingelogd kun je ook die huisarts onder druk zetten, de audit trail zal immers overal laten zien dat het die huisarts is die de gegevens heeft ingezien.

Wat je je moet afvragen is niet of jij een doelwit bent, maar of jouw rol en de toegang die je daarmee hebt misbruikt kan worden. In vrijwel iedere organisatie van meer dan 10 werknemers en iedere situatie waarin je toegang hebt tot persoonsgegevens van klanten/cliënten is dat het geval. Zo'n aanval is tegenwoordig niet meer ingewikkeld en geen kwestie van wekenlang social engineeren, dus hoewel jij als patiënt bij een tandarts geen doelwit bent is de tandarts zelf dat absoluut wel.

En dat is waarom mail en SMS gewoon als volkomen onveilig beschouwd moeten worden.

Sorry, maar als je je als simpele consument die een tandartsrekening ontvangt denkt druk te moeten maken dat een hacker het op jouw gemunt heeft dan ga je echt voorbij alle common sense.

Met de juiste toegangen kan je alles, uiteraard. Maar dan gaat een hacker echt niet zitten kijken naar een tandartsrekening. Dan is er veel meer te winnen. En er zijn veel methodes vele malen lucratiever om scheppen geld te stelen.

Hoe jij het stelt komt het over alsof we vandaag allemaal een atoombunker moeten gaan aanleggen, want wie weet.... Je switcht moeiteloos van een mail met een tandartsrekening naar een volledige hack van een willekeurig bedrijf met alle mogelijk problemen van dien. Het is niet dat als mijn of jouw tandartsrekening ingezien wordt dat de zorgverlener vervolgens compleet gehacked is.

Een zorgmail met SMS verificatie is inderdaad niet 100% veilig. Ik zal de laatste zijn die dit beweert. Maar het is op het snijvlak van bruikbaarheid, veiligheid en benodigde kennis van de ontvanger het beste wat je nu kan bedenken. Een 2FA app biedt enkel een klein beetje extra veiligheid, maar dat gaat echt niet voor elkaar komen bij het merendeel van Nederland. Dat weegt niet op met het snijvlak in gedachten.

Als je je er echt zorgen over maakt als gebruiker dan zou mijn advies zijn dat je de rekeningen op papier moet vragen. En dan niet met de post versturen natuurlijk zoals we vroeger deden (en wat nog vele malen kwetsbaarder voor meekijken was eigenlijk), maar gewoon ophalen bij de zorgverlener.

[ Voor 4% gewijzigd door Drardollan op 01-10-2024 11:27 ]

[CH4OS]

BytePhantomX schreef op dinsdag 1 oktober 2024 @ 08:47:
Het versturen van email is tegenwoordig aardig beveiligd omdat de meeste maildiensten het verkeer tussen servers versleutelen.

Is ook niet per definitie het geval. Als een mailserver nog StartTLS gebruikt staat het net zo goed open voor Man-in-the-Middle attacks. Met MTA-STS is dat wel weer af te vangen, maar nog niet elke mailserver gebruikt dat.

Echter zullen er nog servers zijn (thuis hosters misschien) die geen versleutelde verbinding accepteren waardoor rmail in platte tekst over het internet wordt verstuurd. Een ander probleem is dat email wordt opgeslagen bij een emailprovider die de mails mogelijk onversleuteld opslaat.

Zolang TLS verbindingen niet afgedwongen worden is het niet per se veilig of versleuteld.

[ Voor 4% gewijzigd door CH4OS op 01-10-2024 11:48 ]

[CH4OS]

Drardollan schreef op dinsdag 1 oktober 2024 @ 10:41:
Ik ben het helemaal met je eens dat 2FA via SMS niet 100% veilig is, een 2FA app is dat ook niet trouwens.

Een TOTP/2FA app is wellicht niet helemaal veilig, maar genereert de codes wel lokaal waardoor ze niet verstuurd hoeven te worden. Daarmee wordt het afvangen van de TOTP/2FA code wat lastiger. Het is in elk geval een stuk veiliger dan een dergelijke beveiligingscode via email of SMS te versturen, die als gevolg van het proces ook nog eens langer geldig moet zijn, omdat een email niet altijd direct zichtbaar is, of in de spam folder komt bijvoorbeeld.

Maar realistisch gezien is het voor >99% van de use-cases veilig genoeg. Hoe groot acht je de kans dat een hacker van een random persoon de mail + mobiele abo gaat aanvallen om een tandartsrekening in te zien? Dan heb je sowieso niet te maken met een script kiddie maar een serieuze hacker (SIM spoofing doe je niet zomaar). Ik denk dat er niet veel hackers zijn die zoveel tijd en moeite gaan steken in de beschreven situatie van TS.

Een kans hoeft niet groot te zijn, dat de kans bestaat is eigenlijk al reden genoeg wat mij betreft.

[ Voor 35% gewijzigd door CH4OS op 01-10-2024 11:45 ]

[Koozza]

Hartelijk dank voor de reacties allemaal!

Ik begrijp dus dat de consensus wel een beetje is dat het niet als heel veilig kan worden beschouwd, maar het is beter dan niks. SMS verificatie had ik inderdaad al een logischere stap gevonden, vreemd dat daar dan geen gebruik van wordt gemaakt.

Het stukje over bij zorgmail aangesloten bedrijven die elkaar mailen snap ik, dan is die communicatie allemaal direct en veilig. Het ging mij vooral om het zorgverlener - cliënt communicatie stukje.

[bregweb]

Koozza schreef op dinsdag 1 oktober 2024 @ 11:46:
Hartelijk dank voor de reacties allemaal!

Ik begrijp dus dat de consensus wel een beetje is dat het niet als heel veilig kan worden beschouwd, maar het is beter dan niks. SMS verificatie had ik inderdaad al een logischere stap gevonden, vreemd dat daar dan geen gebruik van wordt gemaakt.

Het stukje over bij zorgmail aangesloten bedrijven die elkaar mailen snap ik, dan is die communicatie allemaal direct en veilig. Het ging mij vooral om het zorgverlener - cliënt communicatie stukje.

Je kunt bij de zorgverlener die de mails verzend navragen waarom ze geen SMS gebruiken.

[CH4OS]

Eigenlijk zou email helemaal niet gebruikt moet worden voor dit soort berichten wat mij betreft.
Liever lees ik dergelijke berichten gewoon via een webpagina, waarbij ofwel een certificaat benodigd is (los van het TLS/HTTPS certificaat), dan wel een public/private key constructie benodigd is om het bericht te ontsleutelen middels de private key (vergelijkbaar wat SSH keys doen).

[ Voor 9% gewijzigd door CH4OS op 01-10-2024 11:56 ]

[BCC]

Koozza schreef op dinsdag 1 oktober 2024 @ 08:13:
Ik begrijp verder alleen niet wat hier veiliger aan is dan gewoon mailen. Alle content wordt alsnog via email naar de gebruiker gestuurd. Dus als er een aanval plaatsvindt op de transportlaag, of lokaal, dan kan de aanvaller alsnog bij alle benodigde data om bij de content te komen. Is het hele stuk van een link en een code mailen dan schijnheiligheid? Of mis ik gewoon kennis en zie ik niet welk probleem deze opzet echt oplost.

Je verkleint het window waarin de gegevens beschikbaar zijn tot een paar minuten ipv jaren als het in een willekeurige GMAIL archiefbox opgeslagen wordt.

Elke beveiligde oplossing heeft te maken met de CIA triad - Confidentiality, Integrity and Availability - Het veiligste is een deur die niet open kan, maar dan kom je zo lastig binnen. Oplossingen zijn dus ook niet zo zwart/wit als in de media "veilig of onveilig" maar maken een compromis tussen beschikbaar, geheim en correct. En hoe geheimer, hoe minder beschikbaar en correct.

PS. de meeste zorgverleners gebruiken geen SMS vanwege de kosten.

[ Voor 8% gewijzigd door BCC op 01-10-2024 13:00 ]

[_JGC_]

Zorgmail, Cryptshare, Zivver... het idee is dat je een mail kunt sturen naar een ontvanger, waarbij je op je eigen platform kunt controleren of de mail is gelezen, vanaf welk IP en op welke tijdstippen. Ook kan je de mail laten verlopen. Dat zijn dingen die je bij een standaard mailtje of met reguliere post niet kunt doen.

Ik heb jaren geleden Cryptshare opgezet voor een klant van me. Met name huisartsen weigerden om mails verzonden vanuit Cryptshare in behandeling te nemen, want dat gedoe met wachtwoorden was zo omslachtig. Gevolg was dat ze gewoon zonder wachtwoord verstuurden, dus qua veiligheid niet beter dan het gewoon zo op de mail zetten, maar dan had je nog wel inzicht en controle over het bericht op zich.

Totale veiligheid bestaat overigens niet. Zo'n huisarts ontvangt een versleuteld mailtje, assistent voert het wachtwoord in, download het document en daarna is er vanuit de verzender 0,0 inzicht en controle op wat ermee gebeurt. Het wordt geprint, ligt voor iedereen inzichtelijk op de balie en belandt uiteindelijk in de oud-papier container. Enige garantie die het geeft is dat jij als verzender je best hebt gedaan en het datalek kunt afschuiven.

[Frogmen]

En nu even naar de realiteit een brief vinden we nog steeds veilig ondanks dat deze ook open gestoomd of onderschept kan worden. Er gaan duizenden mailtjes per dag over het internet, ja deze kunnen onderschept en gelezen worden. Maar dan nog blijft een criminele activiteit die weinig winst oplevert. Wat is nu het echte real life risico?
Persoonlijk zou ik het het liefst gewoon in mijn eigen mailbox willen hebben, maar dat ben ik. Ben van mening dat dit soort systemen vooral heel veel geld kosten en het werk steeds lastiger maakt.

[RiDo78]

Ik denk dat een grote drijfveer achter zorgmail ook is dat ze zeker willen stellen dat de bijzondere persoonsgegevens (zoals medische gegevens) niet de landsgrensen en/of de EU verlaat.

Als een zorgaanbieder jouw een email stuurt naar een Google of Microsoft mailadres, dan kunnen ze niet garanderen dat de mail niet naar of via de VS gaat. Als ze die garantie willen geven dan kunnen ze dat doen door een dergelijke constructie op te tuigen.

Het mailtje van: 'Er is een zorgmail voor u' kan dan via het buitenland gaan, maar het bevat geen bijzondere persoonsgegevens. Als jij een zorgmail vervolgens naar jezelf doorstuurt, dan ben JIJ de persoon die de keuze maakt; JIJ beslist dat je het prima vind om medische gegevens naar je hotmail- of gmailadres te sturen.

Qua veiligheid, ach... ik denk dat zoals zo vaak niet echt op de eerste plek staat. 2FA nabouwen door twee factoren over hetzelfde kanaal te versturen is gewoonweg achterlijk. Maar zoals bregweb al aangeeft, het kan zijn dat jouw telefoonnummer gewoon niet bij de organisatie(s) bekend is en ze daarom terugvallen op email. Hoe fout dat ook moge zijn.

[Drardollan]

CH4OS schreef op dinsdag 1 oktober 2024 @ 11:41:
[...]
Een TOTP/2FA app is wellicht niet helemaal veilig, maar genereert de codes wel lokaal waardoor ze niet verstuurd hoeven te worden. Daarmee wordt het afvangen van de TOTP/2FA code wat lastiger. Het is in elk geval een stuk veiliger dan een dergelijke beveiligingscode via email of SMS te versturen, die als gevolg van het proces ook nog eens langer geldig moet zijn, omdat een email niet altijd direct zichtbaar is, of in de spam folder komt bijvoorbeeld.

Je doet voorkomen alsof het afvangen van een 2FA code via SMS dagelijkse kost waar we allemaal meermaals per dag mee te maken hebben. Alsof hackers daar hun tijd en moeite aan verspillen voor een tandartsrekening terwijl er vele malen betere mogelijkheden zijn om geld te verdienen.

Je verliest het doel nogal uit het oog wat mij betreft. Ergens zal je een middenweg moeten vinden. Dat doe je ook met, een gek voorbeeld, het gebruik van een auto. We weten allemaal dat het mis kan gaan en je kan overlijden bij een ongeval. Om die kans te verkleinen hebben we dingen als gordels, airbags en weet ik wat voor 3-letter-Lingo-woorden bedacht. Maar nog steeds vallen er dodelijke slachtoffers. Waar leg je de grens, moeten we allemaal een bubbeltjespak aan en alle auto's maximaal 5km/uur rijden met minstens 3 bestuurders die consensus moeten bereiken voor er een kruispunt over gestoken kan worden? Nee toch, daar accepteer je ook bepaalde risico's.

En dat is bij een mail met een tandartsrekening niet anders. Je zoekt naar de meest veilige methode die bruikbaar is, en dat is een mail + 2FA via SMS wat mij betreft. Het kan altijd beter, maar het kan ook vooral heel veel slechter (gewoon de PDF mailen, geen 2FA of 2FA via hetzelfde mail adres bijvoorbeeld).

Een kans hoeft niet groot te zijn, dat de kans bestaat is eigenlijk al reden genoeg wat mij betreft.

Als dat je grote angst is dan moet je sowieso niks online doen. Elke optie heeft een kans op hacken tenslotte. En het haalt ook je eerste argument weg, dat een app veiliger is. Ook daar is een kans en dus niet bruikbaar met bovenstaande stelling dat je het dan maar niet moet gebruiken.

Veiligheid en bruikbaarheid zitten elkaar altijd in de weg. Wil je het maximaal veilig dan is het niet bruikbaar, wil je het maximaal bruikbaar dan is het niet veilig. Ergens moet je een middenweg zoeken, met een mail + 2FA via SMS bereik je een acceptabel niveau van veiligheid en bruikbaarheid wat mij betreft.

Wel zou het netjes zijn als een bedrijf als ZorgMail ook opties aanbiedt om bijvoorbeeld een 2FA app te gebruiken. Dan kan je er als gebruiker voor kiezen en krijg je meer veiligheid. Ik heb geen idee of ze dat aanbieden overigens, dus dit is maar een proefballonnetje.

[ Voor 3% gewijzigd door Drardollan op 01-10-2024 12:06 ]

[CH4OS]

Drardollan schreef op dinsdag 1 oktober 2024 @ 12:03:
Je doet voorkomen alsof het afvangen van een 2FA code via SMS dagelijkse kost waar we allemaal meermaals per dag mee te maken hebben. Alsof hackers daar hun tijd en moeite aan verspillen voor een tandartsrekening terwijl er vele malen betere mogelijkheden zijn om geld te verdienen.

Een SMS wordt niet zomaar afgevangen inderdaad, maar wordt ook niet via een versleutelde verbinding verzonden. Nogmaals, dat de kans bestaat dat er afgetapt wordt op de verbinding en dan de SMS ingezien kan worden, zou al (zeker met dit soort berichten) genoeg reden moeten zijn om het niet te willen gebruiken. De berichten zelf zijn daarbij ook niet versleuteld.

Je verliest het doel nogal uit het oog wat mij betreft. Ergens zal je een middenweg moeten vinden. Dat doe je ook met, een gek voorbeeld, het gebruik van een auto. We weten allemaal dat het mis kan gaan en je kan overlijden bij een ongeval. Om die kans te verkleinen hebben we dingen als gordels, airbags en weet ik wat voor 3-letter-Lingo-woorden bedacht. Maar nog steeds vallen er dodelijke slachtoffers. Waar leg je de grens, moeten we allemaal een bubbeltjespak aan en alle auto's maximaal 5km/uur rijden met minstens 3 bestuurders die consensus moeten bereiken voor er een kruispunt over gestoken kan worden? Nee toch, daar accepteer je ook bepaalde risico's.

Je vergelijkt hier niet eens appels met peren, maar twee totaal verschillende dingen.

Het verzenden van een digitaal bericht kan prima versleuteld en HTTPS/TLS verbindingen stellen tegenwoordig nauwelijks nog iets voor. Een digitaal bericht versleuteld versturen, kan dus prima en veel gemakkelijker dan rijden in het verkeer met een auto vol met 3 letter Lingo afkortingen. Dat betekend niet dat wat er nu is voor Zorgmail slecht is, alles is beter dan niets, maar dat betekend niet dat het niet veel beter kan. Wat mij betreft moet dat ook veel beter, zeker gezien de (privacy) gevoeligheid van de berichten die over en weer gaan tussen zorgverleners, patiënten en andere betrokken partijen.

En dat is bij een mail met een tandartsrekening niet anders. Je zoekt naar de meest veilige methode die bruikbaar is, en dat is een mail + 2FA via SMS wat mij betreft. Het kan altijd beter, maar het kan ook vooral heel veel slechter (gewoon de PDF mailen, geen 2FA of 2FA via hetzelfde mail adres bijvoorbeeld).

Dan zijn we het dus in elk geval eens.

Als dat je grote angst is dan moet je sowieso niks online doen. Elke optie heeft een kans op hacken tenslotte. En het haalt ook je eerste argument weg, dat een app veiliger is. Ook daar is een kans en dus niet bruikbaar met bovenstaande stelling dat je het dan maar niet moet gebruiken.

Het gaat om het elimineren van zoveel mogelijk externe factoren. Een app is, zoals ik eerder aangaf, ook niet 100% veilig, maar wel een stuk veiliger dan beveiligingscodes als berichten te versturen via onversleutelde berichten (mind you, berichten, niet verbindingen). De berichten zouden ook versleuteld moeten zijn (en dat zijn SMS of email berichten van nature niet), bijvoorbeeld via een private/public key constructie of wellicht getekend moeten zijn met een bepaald certificaat. Als het email bericht ontvangen is, staat het open en bloot op een server te staan totdat de gebruiker er iets mee doet.

Dit soort berichten gaan wat mij betreft niet alleen over een veilige zendmethode/verbinding. Je moet ook redelijk zeker kunnen zijn dat de lezer de beoogde ontvanger is, vandaar dat ik ook private/public key constructies aanhaal. Een instantie kan dan berichten enkel via de public key versleutelen, waar ontsleutelen alleen met de private key kan.

[ Voor 5% gewijzigd door CH4OS op 01-10-2024 12:28 ]

[RiDo78]

Frogmen schreef op dinsdag 1 oktober 2024 @ 11:59:
En nu even naar de realiteit een brief vinden we nog steeds veilig ondanks dat deze ook open gestoomd of onderschept kan worden. Er gaan duizenden mailtjes per dag over het internet, ja deze kunnen onderschept en gelezen worden. Maar dan nog blijft een criminele activiteit die weinig winst oplevert. Wat is nu het echte real life risico?
Persoonlijk zou ik het het liefst gewoon in mijn eigen mailbox willen hebben, maar dat ben ik. Ben van mening dat dit soort systemen vooral heel veel geld kosten en het werk steeds lastiger maakt.

Kun je echt niets bedenken van real life risico's als alle emails en alle communicatie gewoon in plain-tekst verstuurd wordt?

Laat ik zo zeggen, Hitler zou het vandaag de dag een stuk gemakkelijker hebben. En al helemaal als we encryptie en andere veiligheidsmaatregelen 'voor het gemak' achterwege laten.

- Huishoudens met een onverklaarbaar gestegen water en/of energieverbruik -> Eens kijken of daar extra mensen wonen!
- Mobiele telefoons die ergens naar toe geweest zijn wat niet logisch te verklaren is -> Even onderzoeken.
- Mobiele telefoons die de afgelopen 10 jaar regelmatig in de buurt van een synagoge geweest zijn -> verdacht!
- Pinbetalingen bij winkels die koosjer voedsel aanbieden -> Zeer interessant.
- Posts over joodse zaken die al tijden op sociale media staan -> Goudmijn!

Dus er zijn regels opgesteld om met dergelijke data om te gaan. Om te zorgen dat data niet langer bewaard blijft als nodig is en de data doe wel bewaard wordt zo veilig mogelijk is.

En een oorlog/invasie is een ding, maar het kan ook op kleinere schaal gebeuren. Zo is een belastingambtenaar net veroordeeld tot 3 jaar cel voor het doorverkopen van kentekengegevens. Met die gegevens is vervolgens iemand geliquideerd. (link). Nu staat dit geval los van het al dan niet onderscheppen van emails, maar het toont wel aan dat informatie in de verkeerde handen zeer waardevol kan zijn.

En medische informatie is gewoon een goudmijn voor kwaadwillenden. Stel dat een stel criminelen op zoek is naar iemand die ze bijna alles kunnen laten doen en ze hebben de mogelijkheid om de communicatie van een kinderziekenhuis te onderscheppen, hoe gemakkelijk is het dan om ouders te chanteren. "Wij hebben gehoord dat uw kind levensreddend medicijn X nodig heeft, maar dat dat in Nederland niet wordt vergoed! Wat jammer nou, gelukkig hebben wij een oplossing voor u!"

Maar laat jij vooral alles gewoon in plain tekst naar je mailbox sturen. Ik hoop alleen niet dat jouw mailaccount gehacked wordt; want het zou mij verbazen dat in jouw mailgeschiedenis van de afgelopen 10 jaar niets te vinden is wat tegen jouw gebruikt zou kunnen worden.

[Frogmen]

@RiDo78 Volgens mij noem je allemaal criminele activiteiten die nu plaats kunnen vinden door gebrek aan geld bij de politie. Dat geld is er niet want het gaat op aan beveiliging. Kortom kip en ei verhaal. Hoe ver willen we gaan in deze race. Uiteindelijk als je wil is alles te kraken of informatie te vinden. Verder gaat het om hoe gaan mensen ermee om. Voor geld is heel veel informatie te koop.

[CH4OS]

Frogmen schreef op dinsdag 1 oktober 2024 @ 11:59:
En nu even naar de realiteit een brief vinden we nog steeds veilig ondanks dat deze ook open gestoomd of onderschept kan worden.

Ook dit is geregeld. Het heet Artikel 13 van de Grondwet. Het is dus ook strafbaar als het geschonden wordt (een jaar brommen of boete in derde categorie).

Er gaan duizenden mailtjes per dag over het internet, ja deze kunnen onderschept en gelezen worden. Maar dan nog blijft een criminele activiteit die weinig winst oplevert. Wat is nu het echte real life risico?

Dat het risico op onderschepping bestaat, is al erg genoeg, zeker bij dit soort (privacy) gevoelige data wil je eigenlijk 100% zeker zijn dat degene voor wie het bericht bedoeld is, de enige is die het kan lezen. Het bericht dient dus niet alleen op een veilige manier verzonden te worden, maar ook pottenkijkers moeten buitensluiten.

Persoonlijk zou ik het het liefst gewoon in mijn eigen mailbox willen hebben, maar dat ben ik. Ben van mening dat dit soort systemen vooral heel veel geld kosten en het werk steeds lastiger maakt.

In wat voor opzicht wordt het werk dan lastiger gemaakt? Met een druk op de knop kan je tegenwoordig certificaten krijgen voor een beveiligde verbinding, er zijn manieren om berichten ook te versleutelen, dat valt dus allemaal te automatiseren. Het wordt er iets complexer van, maar met de snelheid e.d. waarop zaken tegenwoordig ook versleuteld kunnen worden, draait zelfs een computer zijn hand daar niet voor om (als 'ie handen zou hebben).

[ Voor 28% gewijzigd door CH4OS op 01-10-2024 12:58 ]

[anboni]

Davidshadow13 schreef op dinsdag 1 oktober 2024 @ 08:40:
Niet alle zorgaanbieders zijn aangesloten / kunnen aangesloten worden op DigiD helaas. Bij mijn zorgverzekeraar is het zelfs zo dat voor Polis gerelateerde zaken ik via DigiD moet inloggen maar voor declaraties met een eigen account van de verzekeraar. De toepassingen waarvoor men DigiD mag toepassen wordt bepaald voor de overheid en die zijn best streng in het toelaten van nieuwe use cases.

Dat zal dan toch echt een beperking zijn aan de kant van jouw zorgverzekeraar. Ik kan bij de mijne gewoon via m'n DigiD inlog declaraties indienen. Waarschijnlijk hebben ze gewoon nog niet aan de voorwaarden kunnen voldoen.

[bregweb]

Het is wat al eerder is aangehaald een gulden middenweg vinden tussen werkbaar en veilig. Om iets veilig te maken gebruiken we allerlei technische hulpmiddelen die voor de personen die de meest medische hulp nodig hebben (ouderen) vaak moeilijk te gebruiken zijn, maar ook niet iedere zorgverlener is even handig met die techniek. Komt nog bij dat niet alle systemen op elkaar zijn aangesloten, dus je hebt een app/inlog voor de huisarts, een app/inlog voor het ziekenhuis, de fysio doet weer iets anders en als je verhuist is de kans groot dat je gegevens worden moeten worden geëxporteerd en geïmporteerd.

Als mensen hulp nodig hebben bij een App is die hulp ver weg. Als je al een telefoonnummer tegenkomt op een website, wil dat niet zeggen dat je hier ook hulp krijgt. Ga maar naar de bibliotheek, naar het ouderen ICT uurtje, is meestal het beste advies.

Ben zelf als IT-er werkzaam in de zorg en niet echt bang dat ik binnenkort mijn baan verlies, nog zat op te lossen hier ;-)

[BytePhantomX]

CH4OS schreef op dinsdag 1 oktober 2024 @ 11:38:
[...]
Is ook niet per definitie het geval. Als een mailserver nog StartTLS gebruikt staat het net zo goed open voor Man-in-the-Middle attacks. Met MTA-STS is dat wel weer af te vangen, maar nog niet elke mailserver gebruikt dat.
[...]
Zolang TLS verbindingen niet afgedwongen worden is het niet per se veilig of versleuteld.

Thanks, zo leer ik ook nog wat. Had het beeld dat het intussen wat beter geregeld is, maar dat is misschien een bias omdat de meeste bedrijven wel op office365 en gmail zitten. Veel particulieren niet omdat ze misschien nog gebruik maken van de email van hun internet aanbieder.

[BCC]

anboni schreef op dinsdag 1 oktober 2024 @ 12:50:
[...]


Dat zal dan toch echt een beperking zijn aan de kant van jouw zorgverzekeraar. Ik kan bij de mijne gewoon via m'n DigiD inlog declaraties indienen. Waarschijnlijk hebben ze gewoon nog niet aan de voorwaarden kunnen voldoen.

Nee, de overheid houd het aansluiten van nieuwe initiatieven af - ik vermoed dat ze digid willen houden voor enkel overheidsinstanties. Daarom zie je ook steeds meer iDin denk ik.

Het hebben van een DigiD is ook niet wettelijk verplicht, dus je zult als zorgorganisatie altijd dan nog een tweede kanaal moeten hebben.

[ Voor 11% gewijzigd door BCC op 01-10-2024 13:15 ]

[StevenK]

Koozza schreef op dinsdag 1 oktober 2024 @ 08:13:
Ik begrijp verder alleen niet wat hier veiliger aan is dan gewoon mailen. Alle content wordt alsnog via email naar de gebruiker gestuurd.

Bij de systemen die ik ken, wordt juist geen content verstuurd, maar download je altijd alles van een portal. En daar zit het grootste voordeel, de content gaat rechtstreeks naar de ontvanger, op het moment dat de ontvanger dat wil.

[CH4OS]

BytePhantomX schreef op dinsdag 1 oktober 2024 @ 13:10:
Thanks, zo leer ik ook nog wat. Had het beeld dat het intussen wat beter geregeld is, maar dat is misschien een bias omdat de meeste bedrijven wel op office365 en gmail zitten. Veel particulieren niet omdat ze misschien nog gebruik maken van de email van hun internet aanbieder.

Of zelf een mailserver draaien.

[RiDo78]

Frogmen schreef op dinsdag 1 oktober 2024 @ 12:43:
@RiDo78 Volgens mij noem je allemaal criminele activiteiten die nu plaats kunnen vinden door gebrek aan geld bij de politie. Dat geld is er niet want het gaat op aan beveiliging. Kortom kip en ei verhaal. Hoe ver willen we gaan in deze race. Uiteindelijk als je wil is alles te kraken of informatie te vinden. Verder gaat het om hoe gaan mensen ermee om. Voor geld is heel veel informatie te koop.

Ofwel je hebt mijn bijdrage niet goed gelezen of begrepen.

Criminaliteit is van alle tijd. Sommige mensen doen van alles voor persoonlijk gewin. Dus je kunt op een warme zomerdag rustig de ramen en deuren van je huis open laten staan en met je gezin naar een pretpark gaan. Maar of er nu veel of weinig geld naar politie vloeit, je hoeft niet gek te kijken als je tv van de muur getrokken is als je thuis komt. Maar dat is een heel andere discussie. Feit is, wil je (zoveel mogelijk) voorkomen dat je huis wordt leeg geroofd, dan moet je dat beveiligen. Zelfs al woon je tegen over het over-bemande politiebureau.

Neemt niet weg dat als Sjakie-de-inbreker jouw mailbox heeft gehacked, hij die digitale pretpark-tickets vanzelf binnen ziet komen. Dan maakt het niet uit hoezeer jij je huis beveiligd hebt, hij weet dat hij voorlopig ongestoord zijn gang kan gaan. En je huis traceren zal ook niet moeilijk zijn; je hebt ongetwijfeld wel ergens een factuur van iets staan met jouw adres er in. Zo niet? Dan gaat Sjakie wel met zijn gezin naar het pretpark. Direct bij opening natuurlijk, zodat zijn kopieën van jouw tickets eerder worden gescand dan de jouwe.

Maargoed, toegegeven, het hacken van een mailbox is niet iets wat iedere inbreker kan of doet. Een gevalletje 'in de persoonlijke levenssfeer' is aannemelijker. Voor het gemak ga ik er even vanuit dat je vrijgezel bent of een partner hebt waar je het echt zo goed mee kunt vinden dat je totaal geen geheimen voor elkaar hebt. Dus ben ik oprecht blij voor je, want dat is namelijk niet zo vanzelfsprekend. Er zijn helaas genoeg mensen die tot in het ziekelijke alle gangen van hun partner controleren. En er zijn natuurlijk ook genoeg mensen die in goed vertrouwen een gezamelijke 'gezins-' mailbox hebben.

In deze situaties is het niet ondenkbaar dat een van de personen liever niet heeft dat de partner of ouder(s) (te snel / te vroeg) weet krijgt van een een bepaalde medische status. Want dat kan verraden dat iemand iets heeft gedaan wat niet de bedoeling was. Een dochter die zwanger blijkt of een partner die 'spontaan' een soa heeft. Maar het kan ook zijn dat iemand in een onderzoek zit voor een aandoening die fataal zou kunnen zijn. Iemand die zijn partner nog niet wil bezwaren met vreselijke vermoedens die hopelijk onterecht zijn.

Medische gegevens zijn persoonlijk. Email is dat niet persé. Dus wat kan het voor kwaad om terughoudend te zijn met het verstrekken van medische gegevens over een (per definitie) onveilig kanaal als email? Wat is op dat vlak er mis met een dienst als Zorgmail, behalve dan dat ze de link en het wachtwoord in een aantal gevallen blijkbaar beide naar dezelfde mailadres sturen?