We bewaren steeds meer bestanden in de cloud. Vaak zonder dat we erbij stilstaan. Hoe doet u dit veilig? Zodat niemand anders er toegang toe heeft? Saul, medewerker van de Technische Helpdesk van XS4ALL, geeft tips.
Wat is het verschil tussen een encryptiesleutel en een hardwarebeveiligingssleutel?
“Een encryptiesleutel is specifiek bedoeld om bestanden en gegevens van gebruikers in de cloud onleesbaar te maken voor onbevoegden. Gebruikers hebben de encryptiesleutel in handen in de vorm van hun telefoon of computer die standaard een chip bevat waarop die code veilig is opgeslagen. De sleutel zelf is een softwareprogramma dat uw bestanden codeert in cijfers. Zonder deze sleutel is het onmogelijk om de informatie in een bestand leesbaar te maken.
Een hardwarebeveiligingssleutel is bedoeld om willekeurige accounts beter te beveiligen. Deze sleutels kunt u gebruiken in plaats van het sms’je of de code uit uw authenticatieapp. Het is dus een vorm van tweestapsverificatie. Als u uw inloggegevens hebt ingevoerd, moet u ook nog een fysieke sleutel in de usb-poort stoppen. Zelfs als een cybercrimineel uw gebruikersnaam en wachtwoord weet, kan hij zonder deze sleutel niet inloggen op uw account. Er zijn verschillende hardwarebeveiligingssleutels te koop. Zelf gebruik ik de YubiKey 5Ci uit de 5 serie.”
Waarom hebben clouddiensten ook de encryptiesleutels van gebruikers?
“Als u uw encryptiesleutel kwijt bent, heeft u geen toegang meer tot uw bestanden van uw cloudprovider. Ook niet met een hardwarebeveiligingssleutel. Daarom hebben cloudproviders een back-up van uw encryptiesleutel. Mocht u uw encryptiesleutel kwijt zijn, dan kunt u via cloudprovider toch nog toegang krijgen tot uw bestanden.”
Wat kunnen de gevaren zijn als clouddiensten toegang kunnen krijgen tot uw bestanden?
“In theorie kunnen onbevoegden uw gegevens inzien als ze toegang hebben tot uw encryptiesleutel. In sommige landen kan de overheid cloudbedrijven zelfs dwingen om een encryptiesleutel te overhandigen. In de Verenigde Staten bijvoorbeeld, is dit vastgelegd in de Cloud Act. Gelukkig kan dit niet zomaar. Er worden heel veel, zeer strenge voorwaarden aan gesteld. Bijvoorbeeld als de nationale veiligheid van dat land in gevaar is. Maar er zijn ook landen die het minder nauw nemen. China heeft cloudproviders zoals Alibaba Cloud, Huawei Cloud, Tencent Cloud en Baidu AI Cloud. De Chinese overheid heeft een actief spionageprogramma. Cloudaanbieders zijn er verplicht om informatie van kritische journalisten en dissidenten aan de overheid te overhandigen.”
Waarom is het erg als een cloudaanbieder toegang heeft tot uw bestanden in de cloud?
“U heeft vast weleens iemand horen zeggen dat hij of zij niks te verbergen heeft. Maar privacy is een mensenrecht. En niet iedereen realiseert zich hoeveel persoonlijk informatie er alleen al op een smartphone staat. Bijvoorbeeld alle foto’s en selfies. Of medische informatie in gezondheidsapps of een fitnesstracker. En wat dacht u van financiële informatie, een BSN-nummer of kopie van een ID? Of de locatiegeschiedenis waarin te zien is wanneer u, waar, geweest bent. Bijvoorbeeld op welk feest of bij welke demonstratie?”
Hoe zorg u ervoor dat u de enige bent met de sleutel?
“Dat kan alleen in de iCloud van Apple. Dat doet u door Advanced Data Protection aan te zetten. Uw bestanden worden dan versleuteld en uw encryptiesleutel wordt verwijderd van de servers van Apple. Vanaf dat moment bent u de enige die in het bezit is van uw encryptiesleutel. Zelfs Apple kan er dan niet meer bij. Bent u de encryptiesleutel kwijt? Realiseert u zich dat u dan al uw bestanden in deze cloud voorgoed kwijt bent. Niemand kan deze ooit nog voor u terughalen. Zelfs de beste hacker niet.”
