Veilig e-mailen met Thunderbird en OpenPGP
Je e-mail wordt standaard onversleuteld verzonden, waardoor de inhoud gemakkelijk uitgelezen kan worden. Dat is bijvoorbeeld het geval als je met je laptop e-mailt op een onbeveiligd openbaar netwerk, zoals in je hotel op vakantie. In deze cursus leggen we uit hoe je je e-mailverkeer dichttimmert.
Door de onthullingen van klokkenluider Edward Snowden dat de Amerikaanse inlichtingendienst NSA (National Security Agency) op grote schaal digitale communicatie aftapt, zou iedereen voorzichtiger moeten worden. Anno 2013 (of - voor wie het boek en de film kent - 1984?) versleutel je maar beter je e-mails om te voorkomen dat je privacy te grabbel gegooid wordt.
Er bestaan twee algemeen aanvaarde standaarden voor het beveiligen van e-mails: OpenPGP en S/MIME. Naast het gebruik van de juiste standaard is het ook belangrijk dat je je e-mailsoftware kunt vertrouwen. Omdat de NSA aan heel wat softwarebedrijven gevraagd heeft om achterdeurtjes in te bouwen (wat je zelf niet kunt controleren), is de enige optie het gebruik van opensourcesoftware.
De NSA is de gevreesde vijand van iedereen die privacy belangrijk vindt.
Uiteraard kan daarin ook een achterdeurtje verborgen zijn, maar omdat iedereen de broncode kan analyseren lijkt de kans kleiner dat dat lang onontdekt blijft. Daarom raden we voor veilig e-mailen een opensourceprogramma zoals Mozilla Thunderbird aan, in combinatie met de opensource-add-on Enigmail, die OpenPGP-encryptie toevoegt.
E-mailprovider kiezen
Gezien de verregaande praktijken van de NSA zou je eigenlijk alle Amerikaanse bedrijven moeten wantrouwen. Als je privacy je lief is, maak dan geen e-mailaccount aan bij Gmail, Outlook.com (het vroegere Hotmail), Yahoo! Mail enzovoort. Gebruik een e-mailaccount bij een internetprovider uit Nederland of een ander Europees land, waar meer respect voor privacy is.
Als je ook dat niet vertrouwt, zet dan je eigen mailserver op in een VPS (virtual private server) die je huurt. Als je ook je hostingprovider niet vertrouwt, zet dan je eigen mailserver bij je thuis op, bijvoorbeeld op een Raspberry Pi of een andere zuinige server. Er zijn nog wel wat kunstgrepen nodig met DNS en je IP-adres, maar met voldoende kennis zijn die op te lossen. Of je nu gezond achterdochtig of ronduit paranoïde bent, voor iedereen is er dus wel een oplossing om een veilig e-mailaccount te verkrijgen.
Wil je geen pottenkijkers, gebruik dan zo veel mogelijk opensourcesoftware.
1 Installatie
Voor we Thunderbird klaarmaken om veilig te e-mailen, installeren we Gpg4win, dat alle benodigde tools voor encryptie bevat. Download de nieuwste versie (op het moment van schrijven 2.2.1) en vink in het installatieprogramma aan welke componenten je wil. Naast GnuPG zijn ook Kleopatra, GPA en GpgEX aan te raden. Open daarna in Thunderbird het menu Extra en kies dan Add-ons. Zoek naar 'enigmail' en installeer die add-on. Herstart Thunderbird om de add-on in te schakelen.
De menubalk van Thunderbird heeft nu een nieuw menu, genaamd OpenPGP. Klik op OpenPGP, kies daarin het onderdeel Instellingswizard en klik op Volgende om je te laten helpen door de wizard. De eerste vraag is of je al je e-mails digitaal wil ondertekenen. Het is in principe een goed idee om die vraag positief te beantwoorden. Ontvangers kunnen dan later van elke e-mail die je stuurt bewijzen dat die van jou komt. Maar iedereen die geen OpenPGP gebruikt, krijgt een melding "-----BEGIN PGP SIGNED MESSAGE-----" voor al je e-mails, wat heel wat vragen zal oproepen. In de praktijk kun je dus beter per e-mail beslissen of je die wil ondertekenen.
De add-on Enigmail voegt OpenPGP-ondersteuning aan Thunderbird toe.
2 E-mails versleutelen?
In de volgende stap vraagt de wizard of je al je e-mails wil versleutelen. Die vraag moet je meestal negatief beantwoorden. Je beslist dus ook hier per e-mail (of per ontvanger) of je je e-mails versleutelt. Daarna stelt de wizard voor om enkele e-mailinstellingen aan te passen. Kies hier voor Ja, want anders kan de werking van OpenPGP verstoord worden. Klik op Details om te zien welke instellingen er aangepast worden. Het belangrijkste is dat je geen HTML-e-mails opstelt als je die ondertekent of versleutelt.
De OpenPGP-wizard helpt je om Thunderbird klaar te maken voor encryptie.
Mailen over een VPN
Met OpenPGP kun je wel de inhoud van je e-mails versleutelen en digitaal ondertekenen, maar de headers van die e-mails blijven onversleuteld. In die headers staat informatie zoals de onderwerpregel, het tijdstip van verzending, het e-mailadres, de naam en het IP-adres van de afzender en de ontvanger enzovoort. Als je internetprovider dus door een inlichtingendienst afgetapt wordt, kan die je e-mails niet lezen, maar komt hij toch heel wat over je te weten: wanneer je met wie e-mails uitgewisseld hebt en wat het onderwerp was.
Als je communicatie met één bepaalde persoon volledig geheim wil houden, dan moet je afspreken dat je beiden eerst een verbinding met hetzelfde VPN opzet en dan al je e-mailverkeer met elkaar via dit VPN laat verlopen. Je e-mailprovider waarbij je je e-mailaccount hebt, kan echter nog altijd de headers van je e-mails lezen, want voor hem is je VPN transparant.
3 Sleutelpaar
In de volgende stap vraagt de wizard om een nieuw sleutelpaar aan te maken. Zo'n sleutelpaar bestaat uit een publieke sleutel en een privésleutel. De publieke sleutel geef je aan iedere persoon die je ondertekende e-mails wil verifiëren of die een versleutelde e-mail naar je wil sturen. De privésleutel gebruik je om je e-mails te ondertekenen (waarmee je bewijst dat de e-mail van jou komt) en om e-mails te lezen die door anderen met je publieke sleutel versleuteld zijn.
Het spreekt voor zich dat je die privésleutel geheim moet houden, wat ook de reden is waarom de wizard je vraagt om een wachtwoord te kiezen waarmee de sleutel beschermd wordt.
4 Intrekkingscertificaat
Na het genereren van je sleutelpaar stelt de wizard je voor om een intrekkingscertificaat te maken. We raden je aan om dat te doen, zodat je je sleutel ongeldig kunt maken als die gestolen wordt. Anders kan de dief zich voor jou blijven uitgeven. Kies een plaats om het intrekkingscertificaat op te slaan en geef dan het wachtwoord op waarmee je je privésleutel versleuteld hebt. Verplaats het intrekkingscertificaat daarna op een extern opslagmedium dat je op een veilige plaats bijhoudt, bijvoorbeeld in een kluis.
Creëer een intrekkingscertificaat om je sleutel ongeldig te maken als die gestolen wordt.
5 Publieke sleutels uitwisselen
Als je nu wil dat iemand je een versleutelde e-mail kan sturen, moet je hem eerst je publieke sleutel bezorgen. Dat kan bijvoorbeeld via e-mail. Stel een nieuwe e-mail op in Thunderbird en vink dan in het menu OpenPGP de optie Mijn publieke sleutel bijvoegen aan. Verstuur daarna de e-mail met de boodschap dat het bijgevoegde bestand je publieke sleutel is.
Als iemand anders je zijn publieke sleutel e-mailt, sla het bestand dan op (het heeft de extensie .asc), kies in het menu OpenPGP de optie Sleutelbeheer, open het menu Bestand en kies dan het juiste asc-bestand met de optie Sleutels uit bestand importeren.
Je publieke sleutel bezorg je aan iedereen waarmee je veilig wil e-mailen.
E-mailen via Tor
Als je niet alleen je e-mails wil versleutelen, maar ook anoniem wil blijven, meld je dan bij je e-mailprovider aan via Tor. Dit geanonimiseerde netwerk verbergt je IP-adres voor de e-mailprovider omdat het je netwerkverkeer via een omweg van diverse Tor-nodes stuurt. Het IP-adres dat je e-mailprovider te zien krijgt, is dan eigenlijk een willekeurig IP-adres dat niet meer aan je gelinkt kan worden. Bovendien wordt de gebruikte route elke tien minuten weer door elkaar gehusseld. Het netwerkverkeer tussen de Tor-nodes is ook versleuteld, zodat je e-mails onderweg niet afgetapt kunnen worden.
Om zo min mogelijk informatie te lekken, gebruik je uiteraard een e-mailadres dat op geen enkele manier naar je identiteit verwijst. Wie anonimiteit belangrijk vindt, moet ook eens Tails uitproberen: je start je computer met deze live Linux-distributie op, waarna je netwerkverbinding via Tor verloopt. Alle beschikbare programma's zijn bovendien aangepast om geen informatie te lekken. En het is opensource.
6 Veilig e-mailen
Wanneer je iemands publieke sleutel hebt en de ander je publieke sleutel heeft, kun je veilig met elkaar e-mailen. Stel je e-mail op zoals je dat altijd zou doen, maar vink in het menu OpenPGP aan dat je de e-mail wil ondertekenen en/of versleutelen. Enigmail gebruikt automatisch de privésleutel die je in de instellingswizard aan je e-mailadres gekoppeld hebt voor de ondertekening. Ook kiest het programma automatisch de publieke sleutel van de ontvanger, die je eerder geïmporteerd hebt. Klik op Verzenden en geef daarna het wachtwoord van je privésleutel in.
Ontvangen van een digitaal ondertekende en/of versleutelde e-mail gaat nog eenvoudiger. Klik je in Thunderbird op een ondertekend of versleuteld bericht, dan doet Enigmail automatisch alles om het bericht leesbaar te maken. Indien nodig moet je het wachtwoord van je privésleutel nog invoeren. Als de e-mail alleen ondertekend is, staat er bovenaan "Goede ondertekening van ...". Indien het versleuteld is, staat er "Ontcijferd bericht".
7 Sleutels beheren
De kracht van OpenPGP ligt in het flexibele beheer van sleutels dat het mogelijk maakt. Open in het menu OpenPGP eens Sleutelbeheer en vink dan Standaard alle sleutels tonen aan. Je krijgt dan je eigen sleutel te zien en alle sleutels die je geïmporteerd hebt. Rechtsklik op een sleutel om te kijken wat je allemaal kunt instellen.
Met de vingerafdruk van een sleutel controleer je of je de juiste sleutel hebt.
Wie vertrouw je?
Bij OpenPGP draait alles om vertrouwen. We tonen in deze workshop hoe je een publieke sleutel die iemand je stuurt importeert, maar in realiteit mag je dat nooit zomaar doen. Eigenlijk moet je die persoon in het echt ontmoeten en dan elkaars publieke sleutel uitwisselen. Er worden zelfs bijeenkomsten georganiseerd speciaal voor dit doel: 'key signing parties'.
Hoe wissel je correct je sleutel uit? Je presenteert aan de ander de 'vingerafdruk' van je publieke sleutel (in het sleutelbeheer te vinden door te rechtsklikken op je sleutel en dan Sleuteleigenschappen te kiezen) samen met je identiteitskaart, zodat hij kan nagaan of je echt bent wie je beweert. De ander geeft jou dezelfde informatie. Zodra je thuis bent, stuur je elkaar je publieke sleutel en controleer je of de vingerafdruk klopt. Je ondertekent dan de sleutel van de ander (rechtsklikken en dan Sleutel ondertekenen), waarbij je aangeeft hoe zorgvuldig je de identiteit gecontroleerd hebt. Daarna staat er in Thunderbird niet langer Onvertrouwd bij berichten die je van die persoon ontvangt.
Onderteken alleen de sleutel van iemand waarvan je de identiteit gecontroleerd hebt.