Rijksuniversiteit Groningen
Rugbalk
Reacties op DEZE pagina Abonneren op email bij wijziging 23 Jan 2003

ICT-Security

8E36 9FC4 1DAA FCDF 1A0D B19F DAC4 BE50 38C6 6170

Frank Brokken f.b.brokken@rc.rug.nl

Frank Brokken is sinds oktober 2000 werkzaam als security manager bij het RC. Met het instellen van deze functie probeert de RUG het ‘security bewustzijn’ bij de gebruikers van de universitaire ICT-voorzieningen te bevorderen. Met een column in Pictogram houdt Frank ons op de hoogte van de stand van zaken met betrekking tot zijn missie.

Echt mooie sleutels zie je tegenwoordig eigenlijk niet meer. De meeste sleutels zijn van het type kartelrandje-met-een-handvat-aan-het-einde: daarmee open je dan je huisdeur, je fietsslot, je auto, of welk ander voorwerp dan ook dat je wilt kunnen afsluiten voor onbevoegden. Toen ik ruim een jaar geleden als ‘security manager’ in dienst kwam bij het RC, ontstond al snel de wens om wat algemener beschikbaar te zijn voor ‘eventualiteiten’. En ja hoor: ook ik moest aan het mobieltje. Om te voorkomen dat dat ding per ongeluk begint te bellen kun je het toetsenbord uitschakelen: er verschijnt dan een sleuteltje linksboven in het scherm van het soort dat je de doorsnee sleutelbar niet meer zo snel zult zien maken.

Zoals ik al opmerkte: echt mooie sleutels zie je tegenwoordig eigenlijk niet meer. Hoewel... In bijgaande afbeelding heb ik de sleutel van het Oostumer kerkje afgedrukt: een prachtige sleutel van zo'n 12 cm. lengte, 5 cm. breedte en ruim 1 cm. dikte. Wie bij gelegenheid de deur van ‘t kerkje eens van nabij bekijkt (tijdens de Zomer-Jazz-Fiets-Tour of zo), zal het met mij eens zijn dat een kartelrandje-met-handvat sleutel voor zo'n deur ook misplaatst zou zijn: daar hoort gewoon iets stevigers bij.

deursleutel van het kerkje te Oostum

 

 

 

Alweer enige tijd geleden beschreven Frans Velthuis en Anke Breeuwsma in Pictogram eigenschappen en mogelijkheden van PGP, ‘Pretty Good Privacy’, dat ook van alles met sleutels te maken heeft. Nog niet zo lang geleden werden de leden van de Tweede Kamer opgeschrikt door het verhaal over ‘Echelon’: beroeps‘luistervinken’, werkzaam bij deze of gene geheime dienst, die er hun werk van maken om informatie die over het internet wordt verzonden te onderscheppen om zo wellicht informatie boven tafel te krijgen die voor de veiligheid van de Staat van belang zou kunnen zijn.

Nou maak ik zelf al geruime tijd gebruik van de mogelijkheden die door PGP worden geboden. Ik vind het wat ‘overdone’ om elk e-mailtje dat ik verstuur nu te gaan versleutelen; maar toch, soms is er eens iets bij waarvan ik vind dat ‘t niet voor derden is bestemd. Dat kan een vertrouwelijke notitie zijn, of een nieuw password voor een gebruiker van een computer die zijn of haar password even was vergeten.

Ik ben PGP echter algemener gaan gebruiken: zo’n notitie staat meestal ook nog op de harde schijf van mijn computer en je kunt je afvragen of dat dan wel zo wenselijk is. Ik vind van niet, en versleutel daarom ook het document dat in mijn eigen computer is opgeslagen. Tenslotte is de RUG geen fort en hoewel het niet de bedoeling is dat ICT-inbrekers zomaar toegang krijgen tot onze faciliteiten worden er per jaar toch altijd wel een paar computers gekraakt. Wat kun je doen om te voorkomen dat zo’n hacker met je gevoelige data, brieven, documenten of notities aan de haal gaat? Juist: encryptie.

Zoals toegelicht in het eerdere Pictogram-artikel van Frans en Anke, moet iemand die een vertrouwelijk bericht wil sturen en gebruik wil maken van PGP de openbare sleutel (public key) van de geadresseerde in zijn/haar bezit hebben. Zo’n public key is als het ware een doosje, waarin je een bericht kunt stoppen: alleen de eigenaar van de bij het doosje behorende sleutel (inderdaad: de ‘private’ (of ‘secret’) key) kan het doosje openen om daarna het bericht (als enige) te kunnen lezen.

Het bijzondere is, om de analogie nog even voort te zetten, dat die doosjes dermate sterk zijn dat je ze niet met een breekijzer of snijbrander open kunt breken. Dat maakt encryptie tot zo'n gevoelig onderwerp: niet alleen de ‘good guys’ kunnen er gebruik van maken om hun gevoelige informatie te beschermen, maar ook de ‘bad guys’ kunnen ‘t gebruiken. Da’s vervelend, maar het onwettig verklaren van encryptie helpt niet, want daar trekken de schurken zich toch niks van aan. Door encryptie te verbieden bereik je dat alleen het gespuis onderling op veilige wijze informatie kan uitwisselen.

Maar goed, je hebt een public key nodig van de geadresseerde om een bericht te kunnen versleutelen. Zo’n public key heeft een unieke vingerafdruk, een ‘fingerprint’ waarmee je kunt controleren of een openbare sleutel wel van de juiste persoon is. Da’s niet triviaal. Verspreid over de wereld staan zogenaamde ‘public key servers’ opgesteld, die de public keys opslaan en beschikbaar maken. Ze zijn alle met elkaar gesynchroniseerd, dus welke je gebruikt maakt weinig uit. Ik gebruik zelf regelmatig: http://www.cam.ac.uk.pgp.net/pgpnet/wwwkeys.html

Zoek hier eens naar de public key van Frank Brokken. Als fingerprint verschijnt dan de titel van deze bijdrage: 8E36 9FC4 1DAA FCDF 1A0D B19F DAC4 BE50 38C6 6170

Hoe weet je nou dat dat inderdaad mijn fingerprint is? Tja.... Vraag ook eens naar de public key van Bill Clinton: dan wordt meteen duidelijk waarom ik deze vraag stel. Om het de gebruikers van mijn public key makkelijk te maken heb ik mijn public key fingerprint op mijn visitekaartje laten drukken: wie van mij persoonlijk mijn visitekaartje krijgt weet zeker dat deze public key van mij is (want de fingerprint correspondeert) en kan mij nu vertrouwelijke informatie versleuteld toesturen: Echelon en anderen hebben het nakijken.

De afgelopen weken hebben vrijwel alle RC-medewerkers een eigen PGP-keypaar gekregen, en kunnen vrijwel alle RC-medewerkers vertrouwelijke mail ontvangen en eenvoudig informatie op hun eigen pc beveiligen tegen spiedende ogen. We zijn hard op weg PGP als standaard dienst binnen de RUG beschikbaar te maken. Er is inmiddels een PGP-cursus (die eerder aan RC-medewerkers is aangeboden) en er is software beschikbaar waarmee PGP min of meer eenvoudig kan worden gebruikt. Kortom, verwacht binnenkort meer nieuws aan dit front. Wie zolang niet wil wachten kan uiteraard voor meer informatie ook nu al contact met mij opnemen. Er zijn ook diverse websites, zoals http://www.pgpi.org

Het lijkt me dat iedereen, die omgaat met informatie waarvan het intellectuele niveau dat van de vakantiegroet-briefkaart te boven gaat, nuttig gebruik kan maken van PGP.

Een vakantiegroet van jullie RC security manager,

Frank Brokken.

 

 

Begin pagina


index Pictogram  1