Beveiligingsexpert droomt van wereld zonder GPG
Regelmatig adviseren experts om GPG (GNU Privacy Guard) voor het versleutelen van e-mail te gebruiken, maar als het aan de gerenommeerde beveiligingsexpert Moxie Marlinspike ligt is het gedaan met GPG. Sterker nog, hij droomt van een wereld waar hij het van zijn systeem kan verwijderen.
Volgens Marlinspike is GPG een "filosofisch doodlopende weg", uit een tijd dat privacytools vanuit een bepaald standpunt werden ontwikkeld. "We zouden deze zeer flexibele tools voor onszelf maken en dan iedereen leren om net als ons te zijn. Iedereen die berichten naar elkaar stuurde zou alleen de basisprincipes van cryptografie moeten begrijpen." GPG is het resultaat hiervan, wat mogelijk verklaart waarom het nooit aansloeg. Hoewel de technologie al bijna 20 jaar bestaat zijn er op de SKS keyserver pool in totaal minder dan 4 miljoen sleutels gepubliceerd die anderen kunnen gebruiken voor het sturen van versleutelde berichten naar gebruikers.
Daarnaast is GPG ook technisch een terugblik op 20 jaar cryptografie, waarin allerlei ontwikkelingen plaatsvonden. Vanwege deze "legacy" biedt de GPG-architectuur geen ruimte aan nieuwe en nu belangrijke concepten, zoals forward secrecy. Zelfs programma's die een meer gebruiksvriendelijke GPG-ervaring willen bieden worstelen hiermee. Tegenwoordig wordt GPG door journalisten en activisten gebruikt, maar die hebben er moeite mee of gebruiken het spaarzaam, aldus de expert.
Experiment
Marlinspike beschouwt GPG dan ook als een experiment dat op z'n einde loopt. "GPG zal niet voor overal aanwezige end-to-end-encryptie zorgen, en als dat wel zo is, is het zonde dat het dit doet met cryptografie uit de jaren 1990", gaat de expert verder. Hij ziet echter ook voordelen. Doordat er zo weinig GPG-gebruikers zijn is het eenvoudig om opnieuw met een andere ontwerpfilosofie te beginnen. "En als we dat doen laten we GPG dan als een waarschuwing voor ons nieuwe experiment gebruiken." Marlinspike besluit zijn pleidooi door te stellen dat hij in de jaren 1990 enthousiast over de toekomst was en droomde dat iedereen GPG zou installeren. "Ik ben nog steeds enthousiast over de toekomst, maar droom nu van een wereld waar ik het kan verwijderen."
OT: E-mail is als het versturen van een ansichtkaart. Wil je iets communiceren waar iets meer discretie gewenst is moet je inderdaad kiezen voor een versleuteling of een ander communicatiemiddel.
Deze vergelijking is mank. De ansichtkaart is zonder envelop en dus voor elke bezorger te lezen. Zit er een envelop omheen, dan is ook gelijk briefgeheim van toepassing, en mag de bezorger er niet in kijken. Zo zou email moeten werken. Maar helaas, email moet gratis (Google) en dus wordt er naar inhoud gekeken.
En idd, brullen dat het allemaal niet goed is, is zo PVV gedrag... Kom maar met een alternatief!
TheYOSH
Daarnaast, het is de vraag of het wel mogelijk is om een betrouwbaar en tegelijk begrijpelijk encryptie-systeem voor de uitwisseling van berichten te maken.
Nog even los van hoe betrouwbaar een ontvanger van jouw geheime bericht is (en wat hij daar vervolgens mee doet), het is essentieel dat je exact weet wie jouw geheime bericht kan ontsleutelen, en juist niet iemand die zich voordoet als.
Enigzins alarmerend is een artikel in de laatste Duitse c't, waarin de auteur beschrijft dat er opzettelijk valse PGP sleutels op keyservers worden gepubliceerd. En kennelijk worden die ook daadwerkelijk gebruikt om e-mails te versleutelen (het kopje van dat artikel zie je in http://www.heise.de/ct/ausgabe/2015-6-Gefaelschte-PGP-Keys-im-Umlauf-2549724.html).
En idd, brullen dat het allemaal niet goed is, is zo PVV gedrag... Kom maar met een alternatief!
TheYOSH
E-mail is nooit ontworpen voor het internet zoals het nu geworden is. Aanpassen ervan zal niet zo simpel zijn, want de huidige internetter is veelal behoorlijk gemakzuchtig. Meer dan "één druk op de knop" is al gauw "gedoe". Bovendien dekt encryptie niet de metadata af - en daar gaat het datarovers vooral om. Kortom, een digitaal alternatief is niet in zicht.
Gelukkig zijn er nog niet-digitale alternatieven, al worden die ook steeds meer afgedekt voor CCTV's en (binnenkort) drones. Ontwerp alvast maar een dubbelleven. Of je moet altijd de echte waarheid vertellen - die gelooft niemand. Dit laatste voor wie denkt dat je veilig bent als je "niks te verbergen hebt".
de veiligheid te maken, je kunt ook een ansichtkaart naar de krant sturen met een tekstje voor de ingezonden brieven
rubriek. Daarmee wordt dat nog niet onveilig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
