Veilig e-mailverkeer

Net zo vertrouwelijk als briefkaarten

Notebookbezitters die e-mails in een afgeschermd bedrijfsnetwerk ongecodeerd versturen, zouden dat als ze op zakenreis zijn en van Internet gebruik maken in ieder geval beter niet kunnen doen. Hackers liggen aan alle kanten op de loer. Daar kun je je alleen met een effectief coderingsprogramma tegen verdedigen.

Bernd Klement

Iedereen die een e-mail in zijn ruwe vorm bekijkt, zou het moeten opvallen dat de open vorm van het bericht in ASCII-formaat eigenlijk niet met een brief vergeleken kan worden. Bovendien is er tijdens het traject door het Internet voldoende gelegenheid voor derden om afzonderlijke e-mails eruit te filteren. Als het om veiligheid gaat moet de vaak gebruikte beschrijving van de e-mail als tegenhanger van een brief daarom meestal worden bijgesteld - de vergelijking met een briefkaart komt al veel meer in de richting.

Het merendeel van de e-mails gaat ongecodeerd over het Internet, de meeste zijn namelijk niet zo belangrijk dat het kwalijke gevolgen zou hebben als hun inhoud bekend werd. En de kans dat een alledaags bericht wordt opgemerkt is bij de enorme ‘verkeersdichtheid’ in het datanet gering.

Mails versleutelen

Toch zijn er met name bij de overdracht van commercieel-zakelijke informatie gevallen waarbij vertrouwelijkheid van belang is. Denk bijvoorbeeld maar eens aan een publieke aanbesteding, waarbij een aanbieder de via e-mail verstuurde offertes van alle concurrenten binnenhaalt en deze kennis gebruikt om zijn zakelijke strategie daarop af te stemmen.

Ook is het mogelijk dat hij gewoon de aanbiedingen overeenkomstig zijn eigen voorstellingen vervalst. Een coderingsmethode zou derhalve aan twee voorwaarden moeten voldoen:

• Allereerst zou een e-mail een signatuur moeten hebben. Hieraan kan de ontvanger zien of de opgegeven afzender ook daadwerkelijk klopt. Deze vorm van signatuur wordt in twee uitvoeringen aangeboden: bij de eerste wordt alleen het opgegeven e-mailadres van de afzender geverifieerd. Bij de tweede, luxueuzere variant kunnen ook persoonlijke gegevens gecontroleerd worden.
• Op de tweede plaats moet de e-mail zo versleuteld worden dat alleen de ontvanger hem kan lezen.

Zowel Outlook Express van Microsofts Internet Explorer alsook de Messenger van Netscape bieden de mogelijkheid tot versleuteling - met behulp van S/MIME (Secure / Multipurpose Internet Mail Extension).

De digitale ID fungeert als een soort legitimatiebewijs, dat door een Digital-ID-Provider beschikbaar wordt gesteld. Niet alleen de Messenger maar ook Outlook Express raden de US-provider VeriSign aan. VeriSign biedt twee soorten digitale ID’s aan:

• Class-1 ID’s hebben tot doel het e-mailadres van de user te bevestigen. Hiervoor staan ze in het publieke adresboek van het bedrijf.
• De beveiliging door Class-2 ID’s gaat nog een stapje verder: deze zijn aan de daadwerkelijke naam van de gebruiker gebonden. Deze Class-2 ID’s zijn echter voorbehouden aan Amerikaanse burgers.

naar top

Pretty Good Privacy

Voor het coderingsprogramma PGP bestond tot dusver bijzonder veel belangstelling - de drie letters staan voor ‘Pretty Good Privacy’. De zoekmachines op Internet leveren dan ook talloze web-adressen voor informatie en downloads m.b.t. dit onderwerp. Met PGP kan een e-mail voor buitenstaanders onleesbaar worden gemaakt - na de versleuteling ziet het bericht eruit als een verzameling letters die toevallig achter elkaar werden gezet. Bij PGP werd een belangrijk zwak punt van vroegere coderingsmethodes vermeden: zo was het niet ideaal om voor de codering en decodering een en dezelfde sleutel te gebruiken of de sleutel van de desbetreffende andere sleutel af te kunnen leiden.

PGP maakt duidelijk onderscheid tussen een ‘publieke’ en een ‘privé-sleutel’. De publieke sleutel is uitsluitend voor het coderen van het bericht bedoeld; hij geeft geen enkele informatie over de privé-sleutel. Daarom kan de publieke sleutel zonder bezwaar via het Internet worden verstuurd of zelfs in een database worden opgeslagen. Als je nu met deze sleutel een boodschap codeert en naar de bezitter van de privé-sleutel stuurt, kun je de codering niet eens zelf ongedaan maken. Dat is alleen met de privé-sleutel mogelijk, waar je dan ook zorgvuldig mee moet omgaan.

Behalve het onleesbaar maken van e-mails kun je met PGP ook een digitale signatuur aanbrengen. Deze is van belang als iemand iets publiekelijk toegankelijk wil maken, zonder dat het tijdens de verspreiding op Internet door derden vervalst kan worden. Als een bijdrage van zo’n digitale signatuur is voorzien, kan dit niet veranderd worden zonder dat dat wordt opgemerkt.

naar top

Beveiliging tegen spam

Veel mensen worden voortdurend lastiggevallen met ongewenste e-mails. Zulke mails zijn absoluut niets persoonlijks, want het is heel gemakkelijk een eenmaal geschreven bericht naar een paar duizend adressen te sturen.

De modernere e-mailprogramma’s verhinderen ongewenste post met behulp van filters. Tegen pornografische post wordt in het filter het trefwoord ‘sex’ opgegeven. Hierdoor worden echter ook de berichten van tegenstanders van dergelijke sexaanbiedingen, die iets m.b.t. dit onderwerp te zeggen hebben, of tips van coderingsexperts eruit gefilterd. Alle e-mails van een bepaald adres eruit filteren is echter niet veel zinvoller. De mensen en bedrijven die deze ‘massapost’ (ook spam genoemd) versturen, veranderen immers zo vaak hun e-mailadres dat een adresfilter niet voldoende beveiliging biedt. Daarmee is bovendien niets tegen de voortdurende belasting door ongewenste mails gedaan. De post werd immers al verstuurd - het filter zorgt er alleen voor dat de gebruiker deze mail niet te zien krijgt, omdat het bijvoorbeeld direct verwijderd wordt of in een ‘trash’-map verdwijnt.

Spam vermijdt je het beste al van tevoren door zorgvuldig te zijn met het doorsturen van je e-mailadres: zo zou je bijvoorbeeld in discussiegroepen je e-mailadres alleen met spaties voor en achter de @ moeten vermelden.
In plaats van xy@zzz.com dus xy@ zzz.com. Op die manier kan het adres niet worden verwerkt door programma’s die e-mailadressen opspeuren en verzamelen. De deelnemers aan de discussiegroep weten echter hoe ze het adres moeten veranderen zodat de mail aankomt.

Conclusie: als je de eigenschappen van e-mails kent en van de manier waarop ze worden verstuurd, kun je dus best zelf een aantal zaken ondernemen voor het veilig omgaan met e-mail. De perfecte oplossing zal echter niet bestaan - en je kunt ook niet vertrouwen op wetenschappelijke ontwikkelingen .

naar top

Praktijk De grondbeginselen van e-mail

Opbouw van een e-mail

Een tweede blik waard

Natuurlijk is iedere gebruiker bij het lezen van Electronic Mail op de eerste plaats in de boodschap zelf geïnteresseerd. Toch kunnen ook de aanvullende technische gegevens informatief zijn. Hier kun je bijvoorbeeld uit afleiden langs welke weg de e-mail tenslotte bij je eigen adres terecht is gekomen.

Bernd Klement

 

Http://www.pgpi.com  - een van de vele websites  m.b.t. het thema e-mailcodering  met Pretty Good Privacy.

De eerste blik op een e-mail is waarschijnlijk voor alle Internet-beginners verwarrend: pas na heel wat regels nogal formele informatie volgt verder naar beneden de eigenlijke inhoud van het bericht. Deze extra gegevens zijn echter absoluut een tweede blik waard - tenslotte kun je er nuttige informatie uit aflezen. De hieronder gehanteerde namen en aanduidingen kunnen afwijken van de rubrieksnamen die úw e-mailprogramma hanteert.

Met de rubriek ‘Received’ is bijvoorbeeld de informatie verbonden via welke server de boodschap van de afzender naar de ontvanger wordt overgedragen. Natuurlijk worden de af-
zender (rubriek ‘From’/Van) en de ontvanger (rubriek ‘To’/Naar) beschreven door een Internetadres, bijvoorbeeld in de vorm van naam@domain.nl. Wat onder de rubriek ‘Afzender’ wordt opgegeven zal meestal identiek zijn met dat wat onder ‘From’ staat. Als de opgaven van elkaar verschillen, dan heeft de schrijver van de tekst het bericht niet zelf verzonden, maar is het via een externe server buiten een firewall verstuurd. Andere nuttige informatie kan de ontvanger uit de rubriek ‘Cc’ halen. Hiermee wordt ‘Carbon copy’ bedoeld, het Engelse woord voor doorslag. In deze rubriek staan de namen en e-mailadressen waarnaar een kopie van de e-mail wordt gestuurd.

Wat in de ‘Subject’/Onderwerp-regel staat is een eyecatcher en soms tevens de kop van het bericht. Bij een normale brief komt dit overeen met de rubriek ‘Betreft’. De afzender heeft zo de gelegenheid de inhoud van de e-mail met een trefwoord of een korte zin te schetsen. Behalve de specifieke data, die onder de al genoemde rubriek ‘Received’ te vinden zijn, staat er natuurlijk ook informatie onder ‘Date’/ Verzonden, hier wordt het tijdstip aangegeven waarop het bericht werd verstuurd.

Mails beantwoorden

Een simpele tip om het e-mailverkeer duidelijker te maken, is onder de rubriek ‘Reply to’/Beantwoorden te vinden: hierin staat het e-mailadres, waarnaar een ontvanger het antwoord op zijn e-mail verstuurt, door bij zijn e-mailprogramma de functie ‘Afzender beantwoorden’ of gewoon ‘Antwoorden’ te kiezen. Het onder deze rubriek opgegeven adres hoeft niet per se identiek te zijn met het adres van de afzender.

Pakketdienst

De MIME-standaard (Multipurpose Internet Mail Extensions) is heel belangrijk, omdat je hierdoor op heel comfortabele wijze bestanden (niet alleen tekstbestanden) kunt versturen per e-mail. Zo kunnen ook graphics of programma’s worden verstuurd. In het bovenste deel staan daarom ook meestal gegevens over de MIME-standaard.

Bovendien staat er in de inleiding informatie betreffende ‘content-type’ en ‘content-transfer-encoding’. Het ‘content-type’ beschrijft het formaat van de mail en eventueel van het toegevoegde bestand. Zo betekent text/ plain; charset= ’iso-8859-1’ dat het gaat om een tekstmail met de West-Europese bijzondere tekenset. Dat is niet vanzelfsprekend want de Amerikanen beperken zich bijvoorbeeld meestal tot hun US-ASCII-tekenset.

De wijze van gegevensoverdracht wordt door ‘Content-Transfer-Encoding’ vastgelegd. Dit kan op de volgende manier:

• als ‘7bit’ - niet gecodeerde 7-bit-tekst
• als ‘8bit’ - niet gecodeerde 8-bit-tekst
• als binary - binaire gegevens
• als ‘quoted-printable - 7-bit-tekst; hierbij worden slechts een paar tekens gecodeerd
• als ‘base64’ - Base64-tekst, die voor binaire bestanden wordt gebruikt.

naar top

De POP3-standaard en de SMPT-standaard

Als een notebookbezitter met Internet-aansluiting een e-mail wil versturen, heeft hij in ieder geval client-software nodig, die het SMTP-protocol beheerst. Tegelijkertijd moet de naam van een SMTP-server in de client worden opgegeven, die ongeveer de vorm ‘smtp.sitex.domain.com’ heeft. SMTP staat voor ‘Simple Message Transfer Protocol’.

Het bestaat in principe uit de volgende commando’s:

‘HELO’ - hierdoor wordt de aanmelding bij een mail-server doorgevoerd

‘MAIL’ - zorgt voor het doorgeven van een e-mail

‘RCPT’ - met dit commando worden de ontvangers van een mail genoemd

‘DATA’ - hiermee wordt de overdracht van de inhoud van het bericht gestart

‘VRFY’ - door dit commando wordt nagekeken of een bepaalde inbox of e-mail-adres wel bestaat

‘EXPN’ - hiermee worden de e-mailadressen uit mailinglijsten opgevraagd

‘RSET’ - hiermee worden de verbindingen gereset

‘QUIT’ - afmelding van de server

Als het om de ontvangst van e-mails via Internet gaat, heeft vooral de POP3-standaard ingang gevonden. Met behulp van het POP3-protocol is het niet alleen mogelijk e-mails van iedere willekeurige computer met aansluiting op het Internet op te vragen, het speelt bovendien geen rol via welke dienst de mail werd verstuurd en welke software er werd gebruikt - vooropgesteld natuurlijk dat de e-mail-client het POP3-protocol beheerst. Om er voor te zorgen dat het opvragen functioneert moet in de instellingen van de client de POP3-server worden aangegeven, waarop de e-mail wordt opgeslagen. De volgende commando’s horen bij het POP3-protocol:

‘User’ - hierdoor wordt de naam van de inbox of e-mail-adres overgedragen, die opgevraagd moet worden

‘Pass’ - is bepalend voor de overdracht van het wachtwoord

‘APOP’ - met dit commando kun je met een wachtwoord inloggen dat versleuteld wordt verstuurd

‘STAT’ - hierbij wordt geïnformeerd naar het aantal en de grootte van de berichten die klaar liggen

‘LIST’ - hierdoor worden de gegevens van een bepaald bericht opgevraagd

‘TOP’ - door dit commando wordt alleen de kop van het e-mailbericht gelezen

‘RETR’ - hierdoor krijgt de server de instructie een bepaald bericht te versturen

‘DELE’ - daardoor wordt een bericht in de inbox of e-mail-adres gewist

‘UIDL’ - daardoor wordt een eenduidig identificatiekenmerk voor een bepaald bericht opgevraagd

‘RSET’ - voor de uitvoering van een reset

‘QUIT’ - afmelding van de server

De meeste gangbare e-mailprogramma’s beheersen het POP3- en het SMTP-protocol, onder andere Netscapes Messenger en Microsofts Outlook Express, die ieder als onderdeel van de Communicator- respectievelijk van het Internet Verkenner-pakket worden bijgeleverd.

naar top