Thunderbird & Enigmail
Iedereen gebruikt e-mail. We realiseren ons echter meestal niet dat een e-mail volledig leesbaar het internet overgaat naar de bestemming. Daarom in dit artikel uitleg hoe je je e-mail privacy kunt waarborgen.
Door: Arjan ten Hoopen
Dit waarborgen doen we natuurlijk met open source. We hebben het hier over GnuPG, dit is een implementatie van PGP (Pretty Good Privacy).
Je hebt een sleutelpaar (key-pair) nodig. Een sleutelpaar bestaat uit twee sleutels; een privésleutel (private key) en een publieke sleutel (public key). Heb je eenmaal een dergelijk sleutelpaar, dan moet je ervoor zorgen dat je privé sleutel ten allen tijde privé blijft. Ga er desnoods bovenop zitten. Niemand mag deze sleutel, of een kopie ervan, hebben buiten jezelf. Heeft iemand toch een kopietje getrokken dan zit je in de problemen! Deze persoon kan zich dan als jou voordoen. De publieke sleutel is publiek. We zullen straks zien hoe je deze sleutel eenvoudig publiekelijk toegankelijk kunt maken.
Stel jij hebt een sleutelpaar, en ik gebruik jouw publieke sleutel om de mail die ik naar jou wil versturen te versleutelen. Met je publieke sleutel kan niemand deze e-mail ontcijferen, dat kan alleen maar met de private sleutel. Ik kan de e-mail dus veilig naar jou (en als ik zou willen naar de rest van de wereld) sturen. Er is er echter maar één die deze mail kan ontcijferen, en dat is de persoon die de bijbehorende privésleutel heeft. En dat ben jij.
Er kan een beetje ellende ontstaan, bijvoorbeeld als je privésleutel niet meer echt privé is (er zijn één of meerdere kopieën). Je moet dus ook de mogelijkheid hebben om het sleutelpaar dat jij gegenereerd hebt ongeldig te laten verklaren. Dit gebeurt met een intrekkingscertificaat, maar daarover straks meer.
Er is nog een uitdaging. Een sleutelpaar creëren vraagt geen enkele authenticatie. Dus inderdaad, je kunt sleutels voor Jan en alleman genereren. Het kan dus zijn dat iemand anders, of een aantal anderen, voor jou al een sleutelpaar hebben gecreëerd. En ja, je kunt er zelf gewoon eentje bij creëren. Er zouden dus bijvoorbeeld wel zes sleutelparen op jouw naam geregistreerd kunnen zijn.
Daar is het ondertekenen (signing) voor bedacht. Door een publieke key (van iemand) te onderteken geef je aan: ‘Ja, dit is de publieke key van de persoon die het zegt te vertegenwoordigen’. Onderteken echter alleen publieke sleutels waarvan je ook echt zeker weet dat het bij die persoon hoort.
De laatste uitdaging is: als er heel veel mensen zijn die hun publieke sleutel aan de wereld willen vertellen, hoe doe je dat dan? Hiervoor worden key-servers gebruikt. Key servers bevatten vele, zo niet (bijna) alle, publieke sleutels van gebruikers van de PGP standaard. Er zijn een aantal tools die het PGP standaard ondersteunen en ze doen het allemaal op hun eigen manier, maar de sleutels zijn uitwisselbaar.
We gaan het e-mailverkeer beveiligen, dus heb je een e-mail client nodig. In dit artikel gebruiken we Thunderbird met een add-on die van een e-mail een beveiligde e-mail kan maken. Voor Thunderbird is dit de add-on Enigmail. Enigmail is ook in staat om je sleutels te beheren. Gebruik je zelf een andere e-mail client, maar kan de add-on voor deze client geen beheer doen op je sleutels? Gebruik dan een apart sleutelbeheerprogramma, een voorbeeld hiervan is Kgpg of Kleopatra. Ze werken, qua key-management, ongeveer hetzelfde als Enigmail dus dit artikel geeft je genoeg handvatten om er mee aan de slag te gaan.
Let op: Enigmail kan zelf niet versleutelen en ontcijferen, daarvoor gebruikt Enigmail gpg2. Controleer met je package manager of dit package geïnstalleerd is!
Enigmail maakt het ons gemakkelijk met een Installatie Wizard. Kies deze optie uit de dropdown van Enigmail. Je krijgt de keuze uit een aantal mogelijkheden. We kiezen de ‘Uitgebreide configuratie’. De volgende stap is dat we aangeven welke identiteit(en), of e-mailadressen, met Enigmail moeten kunnen werken. Mocht je meerdere identiteiten hebben, kies er dan (voor nu) één. Je kunt later altijd de Wizard nogmaals opstarten voor de andere identiteiten. Vervolgens moet je aangeven of je al een sleutelpaar hebt. Deze hebben we nog niet, dus we gaan een nieuw sleutelpaar aanmaken.
In de volgende dialoog moet je een ‘Wachtwoordzin’ (passphrase) opgeven. Met nadruk op het woord ‘zin’. Je kunt gewoon spaties gebruiken namelijk. Deze wachtwoordzin is er om je privésleutel te beveiligen. Het ligt voor de hand dat je hier een sterke wachtwoordzin voor kiest die je tevens makkelijk kunt onthouden. Ook moet je een inactiviteitsperiode opgeven. Als er om de wachtwoordzin (voor je privésleutel) gevraagd wordt moet je binnen deze tijd de wachtwoordzin invoeren. Is deze tijd verlopen dan sluit het venster waarin je je wachtwoordzin moet opgeven automatisch.
Vervolgens wordt de sleutel gemaakt. Gebruik ondertussen je computer wel. Probeer acties uit te voeren die (veel) diskacties vereisen. Dit maakt het sleutelpaar sterker. Als het sleutelpaar is gegenereerd, kun je een intrekkingscertificaat genereren. Met dit certificaat kun je je eigen sleutel ongeldig laten verklaren. Maak een intrekkingscertificaat aan en berg het op een veilige plaats op (bijvoorbeeld op een USB-stick die je in de kluis bewaart).
Hierna kun je je eigen publieke sleutel uploaden naar je e-mailprovider (als deze dit ondersteunt) en/of naar het publieke OpenPGP-keyserver netwerk. Tevens kun je ook aangeven dat je publieke sleutel altijd toegevoegd moet worden aan je berichten. Aangezien het belangrijk is dat ‘de wereld’ jouw publieke sleutel kent, is het verstandig om alle mogelijkheden aan te vinken. Maak, met de identiteit waarvoor je een sleutel hebt gemaakt, een e-mailbericht. Stuur dit bericht naar jezelf (zender en ontvanger e-mailadres zijn dus hetzelfde). Op de iconen balk zie je een gekleurd slotje met een groen vinkje. Dit betekent dat de mail beveiligd wordt. Een zwart slotje met een rood kruisje geeft aan dat het niet beveiligd is. Zorg dat deze mail beveiligd is. Dit doe je door op het desbetreffende icoontje te klikken, geef een onderwerp op en een klein beetje tekst als bericht en klik op verzend.
Voordat het mailtje verzonden wordt, wordt de mogelijkheid gegeven om ook het onderwerp te beschermen. Bedenk dat je aan het onderwerp meestal al kunt zien waar het over gaat. Het is dus verstandig om hier voor te kiezen. Vervolgens wordt de (beveiligde) mail verzonden. Even later zal de versleutelde mail in je mailbox komen. Klik op deze mail en er wordt gevraagd om je wachtwoordzin (passphrase). Nadat je die hebt ingetoetst kun je de mail ‘normaal’ lezen. Als je één of meerdere bijlages aan een e-mail toevoegt, zullen deze ook beveiligd worden. Moeilijker kan het helaas niet gemaakt worden, maar je privacy is wel met sprongen vooruitgegaan.
Nog even terug naar het Enigmail-menu. Toets, op de dropdown, op ‘Sleutelbeheer’. Hier kun je je sleutels beheren. Je kunt hier onder andere zoeken naar sleutels. Klik op ‘Sleutelserver’ en selecteer dan ‘Zoeken naar sleutels’. Het is handig, en bespaart internetverkeer, om alle sleutels van personen waar je beveiligde berichten mee uitwisselt te importeren.
Ook kun je door op een sleutel te klikken met de rechtermuisknop een menu oproepen die je de mogelijkheid geeft om de geselecteerde sleutel te ondertekenen. Hiermee onderschrijf je dat deze sleutel toebehoort bij diegene die het zegt te vertegenwoordigen. Onderteken alleen die sleutels waarvan je zeker weet dat ze zijn van wie ze zeggen te zijn. Bij twijfel niet ondertekenen! Je hebt nu de kennis en mogelijkheid om je privacy beter te bewaken. Niet iedereen hoeft je e-mailberichten (mee) te lezen. De verzender en de ontvanger is voldoende, veel privacy plezier toegewenst!
Onderteken alleen die sleutels waarvan je zeker weet dat ze zijn van wie ze zeggen te zijn.
