Het verplichten van mensen om hun encryptiesleutels aan de overheid af te staan is geen goed idee, dat zegt de bekende beveiligingsgoeroe Bruce Schneier tegenover Security.nl. Schneier, die Chief Security Technology Officer bij BT is, was recentelijk in Nederland en Security.nl had een gesprek met hem over security, encryptie en Bring Your Own Device (BYOD).

Onlangs liet minister Opstelten van Veiligheid en Justitie weten dat hij 'verdachten in (onder andere) kinderpornozaken' wil verplichten om medewerking te verlenen bij het toegankelijk maken van gegevens op hun computer die met het gebruik van encryptie zijn versleuteld.

Schneier ziet een herhaling van de 'Cryptowars' die in het midden van de jaren 1990 in de Verenigde Staten plaatsvonden. Toen wilde de Amerikaanse overheid ook toegang tot versleutelde gegevens kunnen hebben. "Datzelfde argument, dat de overheid je informatie moet hebben. Het is verkeerd, het is geen goed idee", aldus de CSTO van BT.

In de VS werd het plan uiteindelijk afgeblazen. "Het ging niet door omdat het een slecht idee is." Als de wetgeving in Nederland wordt aangenomen ziet Schneier geen heil in technische oplossingen, zoals verborgen partities of de plausible deniability optie van een versleutelingsprogramma zoals TrueCrypt. "Ze maken het dan tegen de wet om het te omzeilen. Dus de enige oplossing is dat je dan probeert de wet te veranderen."

Schneier zelf weet niet wat hij in dit geval zou doen. "Je vraagt me in feite of ik dan de wet zou breken. Het breken van de wet is niet zomaar iets. Dat baseer je niet op een hypothetische veronderstelling."

Beveiliging
Zelf doet hij geen speciale dingen om zijn systeem te beveiligen. "Ik doe dezelfde dingen als de rest. Ik versleutel mijn harde schijf. Ik bewaar veel data op externe schijven omdat ik veel reis. Het is geen hogere wiskunde. Je moet gewoon de basis in orde hebben. Het zijn de eenvoudige dingen die je moet doen, maar veel mensen doen die niet, en met name bedrijven."

Encryptie is bijvoorbeeld iets waar bedrijven en organisaties steken laten vallen. "Het inschakelen van volledige schijfversleuteling zou een 'no-brainer' moeten zijn, maar de meeste mensen hebben het niet ingeschakeld."

Bring Your Own Device
Schneier denkt dat mensen security relatief eenvoudiger zien dan het in werkelijkheid is. 'Je maakt het gewoon veilig, wat is het probleem', is een veel gehoorde opmerking, zo laat hij weten. Een perceptie die niet kopt. "Het wordt als te eenvoudig waargenomen." Dat geldt niet voor BYOD, waar veel bedrijven zich zorgen om maken. Ook Schneier noemt BYOD een probleem. "Maar dat zijn zoveel dingen. De voordelen van BYOD zijn zo aantrekkelijk dat het zal gebeuren. Ja het is een beveiligingsprobleem, maar dat zal het niet stoppen omdat het zo'n goed idee is."

Schneier kreeg van een BT een laptop, maar gebruikt die nooit. "Ik gebruik mijn eigen laptop, ik wil de bedrijfslaptop niet gebruiken, dat is gewoon onnozel. Ik heb een betere. Je gebruikt je eigen laptop, je eigen telefoon. Dat is de toekomst. Natuurlijk zijn er beveiligingslekken, maar die zitten in alles."

Mensen zijn volgens Schneier verschrikkelijk in het beveiligen van hun apparaten, iets wat algemeen bekend is, maar zeker bij BYOD voor problemen kan zorgen. "Dat is de manier waarop de wereld werkt. Dat moet je accepteren." Bedrijven zullen dan ook een zekere mate van onzekerheid moeten accepteren, gaat de CSTO verder. "Of het niet doen, maar je kunt niet van je werknemers verwachten dat ze een uniform dragen en de hele dag van 9 tot 5 achter hun bureau zitten. Je kunt eisen dat werknemers de telefoon en computer van de werkgever moeten gebruiken, maar dan zal niemand in de toekomst voor je willen werken."

Omdat het idee van BYOD zo aantrekkelijk is, zal niemand het vanwege veiligheidsproblemen en risico's weigeren denkt Schneier. "Security-mensen verliezen die discussies. Er zijn veel manieren om er mee om te gaan. Je kiest er gewoon één."