Juridische vraag: mag spamfilter mail-encryptie uitschakelen?
ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.
Vraag: Sommige anti-spambedrijven bieden een service om alle uitgaande e-mail transparant te scannen op spam en virussen via een soort SMTP-netwerkproxy. Als onderdeel van dat proces schakelen ze de TLS-encryptie uit, waardoor alle email plain-text wordt afgeleverd naar het internet. Is dat juridisch wel toegestaan?
Antwoord: Er is geen wettelijke regel die expliciet zegt dat e-mail te allen tijde versleuteld moet worden getransporteerd. Je bent als bedrijf dus vrij om te kiezen of en welke beveiliging je hanteert.
Maar wacht. Per 1 januari krijgen we een aanscherping van de privacywet (Wet bescherming persoonsgegevens), die stelt dat persoonsgegevens te allen tijde "adequaat" moeten zijn beveiligd tegen misbruik en ongeautoriseerde toegang. Die norm bestaat al jaren, de aanscherping komt erop neer dat je in theorie acht ton boete kunt krijgen vanaf januari als je hem schendt.
Wat is nu "adequaat" bij e-mail? Helaas zijn daar geen harde regels voor. Het hangt er namelijk vanaf wat voor gegevens er in die e-mail staan. Gaat het alleen om afzender en ontvanger (relatief weinig gevoelig) of worden er in de bijlage medische dossiers verstuurd (nogal gevoelig)? Dat bepaalt voor een groot deel de vereiste beveiligingsmaatregelen om "adequaat" te mogen heten.
E-mail over SSL/TLS transporteren is een simpele maatregel die eigenlijk altijd wel kan. Dus de factor is dat wel het minimum, net zoals SSL op een bestelformulier van een webwinkel de facto vereist is. Als je dat weglaat, dan heb je dus wat uit te leggen.
De logica achter dit proces begrijp ik niet helemaal. Natuurlijk, je kunt geen mails scannen als ze door een beveiligde verbinding lopen, maar waarom zet je dan niet een beveiligde verbinding op naar de virusscannersite?
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Dan gebruik je toch PGP, of een soortgelijke tool, om er nog een encryptie slag overheen te gooien ? Ik zie het probleem niet.
Als eigenaar van een mailserver bepaal je of je al dan niet mail-encryptie gebruikt. Ook bepaal je zelf of je een spam filter gebruikt. Wat dat betreft heeft de wet bar weinig hiermee te maken, zolang het niet gaat over gegevens waarbij een wettelijke plicht geldt om die te versleutelen (i.e. medische dossiers ofzo).
Laat mij eens het wetsartikel zien waarin staat dat mail encrypted dient te zijn, en niet ontsleuteld mag worden ? ;-)
[...]
Maar wacht. Per 1 januari krijgen we een aanscherping van de privacywet (Wet bescherming persoonsgegevens)
[...]
E-mail over SSL/TLS transporteren is een simpele maatregel die eigenlijk altijd wel kan.
[...]
Vraag 2 is of opportunistische encryptie, met publicaties als bovengenoemde bron maar ook https://blog.filippo.io/the-sad-state-of-smtp-encryption/, afhankelijk van de vertrouwelijkheid van de gemailde gegevens, volstaat in het kader van de nieuwe WBP.
Is er in jouw situatie een reden om de verbinding met de eerste server in de keten riskanter te vinden dan wat daarna komt?
Als je end-to-end-encryptie nodig hebt moet je niet op TLS vertrouwen. Dan is PGP, wat de eerste reageerder al noemde, iets om je in te gaan verdiepen, of GPG, de opensource-implementatie van het OpenPGP-protocol.
Welk anti-spam bedrijf met transparante proxy doet dit volgens jou?
Enige wat ik mij kan voorstellen is dat als jij gebruikt maakt van een verouderd OS/mailserver welke geen voldoende ondersteuning heeft voor gebruik van de nieuwste Ciphers deze voor de verbinding terugschakelen naar een lagere of zelfs geen encryptie.
Wij accepteren alleen TLS1.1 en 1.2 met de Modern compatibility cipher suite
Persoonlijk vind ik de verbinding volledig rejecten beter.
TLS wordt gebruikt voor encryptie van de SMTP transport. Scanners werken lokaal, dus het heeft niets te maken met TLS. Een scanner termineert geen TLS verbinding.
Wat je misschien bedoelt is dat het SMTP deel van een scanner TLS ontbeert. Dat is een kwestie van de juiste mail server gebruiken. Als dat niet kan is hij inderdaad aan vervanging toe.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
