Beveiligingsexpert droomt van wereld zonder GPG
Regelmatig adviseren experts om GPG (GNU Privacy Guard) voor het versleutelen van e-mail te gebruiken, maar als het aan de gerenommeerde beveiligingsexpert Moxie Marlinspike ligt is het gedaan met GPG. Sterker nog, hij droomt van een wereld waar hij het van zijn systeem kan verwijderen.
Volgens Marlinspike is GPG een "filosofisch doodlopende weg", uit een tijd dat privacytools vanuit een bepaald standpunt werden ontwikkeld. "We zouden deze zeer flexibele tools voor onszelf maken en dan iedereen leren om net als ons te zijn. Iedereen die berichten naar elkaar stuurde zou alleen de basisprincipes van cryptografie moeten begrijpen." GPG is het resultaat hiervan, wat mogelijk verklaart waarom het nooit aansloeg. Hoewel de technologie al bijna 20 jaar bestaat zijn er op de SKS keyserver pool in totaal minder dan 4 miljoen sleutels gepubliceerd die anderen kunnen gebruiken voor het sturen van versleutelde berichten naar gebruikers.
Daarnaast is GPG ook technisch een terugblik op 20 jaar cryptografie, waarin allerlei ontwikkelingen plaatsvonden. Vanwege deze "legacy" biedt de GPG-architectuur geen ruimte aan nieuwe en nu belangrijke concepten, zoals forward secrecy. Zelfs programma's die een meer gebruiksvriendelijke GPG-ervaring willen bieden worstelen hiermee. Tegenwoordig wordt GPG door journalisten en activisten gebruikt, maar die hebben er moeite mee of gebruiken het spaarzaam, aldus de expert.
Experiment
Marlinspike beschouwt GPG dan ook als een experiment dat op z'n einde loopt. "GPG zal niet voor overal aanwezige end-to-end-encryptie zorgen, en als dat wel zo is, is het zonde dat het dit doet met cryptografie uit de jaren 1990", gaat de expert verder. Hij ziet echter ook voordelen. Doordat er zo weinig GPG-gebruikers zijn is het eenvoudig om opnieuw met een andere ontwerpfilosofie te beginnen. "En als we dat doen laten we GPG dan als een waarschuwing voor ons nieuwe experiment gebruiken." Marlinspike besluit zijn pleidooi door te stellen dat hij in de jaren 1990 enthousiast over de toekomst was en droomde dat iedereen GPG zou installeren. "Ik ben nog steeds enthousiast over de toekomst, maar droom nu van een wereld waar ik het kan verwijderen."
OT: E-mail is als het versturen van een ansichtkaart. Wil je iets communiceren waar iets meer discretie gewenst is moet je inderdaad kiezen voor een versleuteling of een ander communicatiemiddel.
Deze vergelijking is mank. De ansichtkaart is zonder envelop en dus voor elke bezorger te lezen. Zit er een envelop omheen, dan is ook gelijk briefgeheim van toepassing, en mag de bezorger er niet in kijken. Zo zou email moeten werken. Maar helaas, email moet gratis (Google) en dus wordt er naar inhoud gekeken.
En idd, brullen dat het allemaal niet goed is, is zo PVV gedrag... Kom maar met een alternatief!
TheYOSH
Daarnaast, het is de vraag of het wel mogelijk is om een betrouwbaar en tegelijk begrijpelijk encryptie-systeem voor de uitwisseling van berichten te maken.
Nog even los van hoe betrouwbaar een ontvanger van jouw geheime bericht is (en wat hij daar vervolgens mee doet), het is essentieel dat je exact weet wie jouw geheime bericht kan ontsleutelen, en juist niet iemand die zich voordoet als.
Enigzins alarmerend is een artikel in de laatste Duitse c't, waarin de auteur beschrijft dat er opzettelijk valse PGP sleutels op keyservers worden gepubliceerd. En kennelijk worden die ook daadwerkelijk gebruikt om e-mails te versleutelen (het kopje van dat artikel zie je in http://www.heise.de/ct/ausgabe/2015-6-Gefaelschte-PGP-Keys-im-Umlauf-2549724.html).
En idd, brullen dat het allemaal niet goed is, is zo PVV gedrag... Kom maar met een alternatief!
TheYOSH
E-mail is nooit ontworpen voor het internet zoals het nu geworden is. Aanpassen ervan zal niet zo simpel zijn, want de huidige internetter is veelal behoorlijk gemakzuchtig. Meer dan "één druk op de knop" is al gauw "gedoe". Bovendien dekt encryptie niet de metadata af - en daar gaat het datarovers vooral om. Kortom, een digitaal alternatief is niet in zicht.
Gelukkig zijn er nog niet-digitale alternatieven, al worden die ook steeds meer afgedekt voor CCTV's en (binnenkort) drones. Ontwerp alvast maar een dubbelleven. Of je moet altijd de echte waarheid vertellen - die gelooft niemand. Dit laatste voor wie denkt dat je veilig bent als je "niks te verbergen hebt".
de veiligheid te maken, je kunt ook een ansichtkaart naar de krant sturen met een tekstje voor de ingezonden brieven
rubriek. Daarmee wordt dat nog niet onveilig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.