Uw digitale leven en cryptografie

Tijdgebaseerde eenmalige wachtwoorden (TOTP), die worden gebruikt in apps zoals Google Authenticator, worden gegenereerd met HMAC-SHA1 toegepast op de huidige tijdstempel en een gedeeld geheim.

De server en je telefoon berekenen onafhankelijk van elkaar dezelfde code, omdat ze het geheim delen en allebei de huidige tijd kennen. Een aanvaller die één code onderschept, kan die niet opnieuw gebruiken omdat de code na 30 seconden verloopt.

Wachtwoordbeheerders zoals 1Password en Bitwarden slaan je wachtwoorden op in een kluis die is versleuteld met AES-256, hetzelfde versleutelingsalgoritme dat wereldwijd door overheden en krijgsmachten wordt gebruikt.

Je hoofdwachtwoord wordt nergens opgeslagen. In plaats daarvan wordt het gebruikt om een versleutelingssleutel af te leiden met een sleutelafleidingsfunctie zoals PBKDF2 of Argon2. Zonder het hoofdwachtwoord is het rekenkundig onhaalbaar om de kluis met brute kracht te kraken.

Een VPN (Virtual Private Network) maakt een versleutelde tunnel tussen je apparaat en een VPN-server. Al je internetverkeer gaat door deze tunnel, waardoor het wordt verborgen voor je internetprovider en waarnemers op het lokale netwerk.

De meeste moderne VPN's gebruiken protocollen zoals WireGuard (ChaCha20-Poly1305) of OpenVPN (AES-256-GCM). De versleuteling voorkomt dat iemand op je lokale netwerk kan zien welke websites je bezoekt.

FileVault op macOS en BitLocker op Windows versleutelen elke byte op je harde schijf met AES-128 of AES-256. Zonder de ontsleutelingssleutel onthult een gestolen laptop niets.

Moderne iPhones en Android-apparaten versleutelen opslag ook standaard en koppelen die aan de toegangscode van je apparaat. Opsporingsdiensten kunnen zonder de toegangscode of een ernstig beveiligingslek geen toegang krijgen tot versleutelde telefoongegevens.

Het hangslotpictogram in de adresbalk van je browser geeft een HTTPS-verbinding aan. TLS versleutelt het verkeer tussen je browser en de webserver en voorkomt dat internetproviders, netwerkbeheerders en aanvallers in de buurt de inhoud kunnen lezen of wijzigen.

Browserleveranciers hebben sterk aangedrongen op algemene invoering van HTTPS door HTTP-sites als "Niet beveiligd" te markeren en HTTPS-sites een voorkeursbehandeling te geven in zoekrangschikkingen.

Signal wordt beschouwd als de gouden standaard voor veilige berichtuitwisseling. Het gebruikt het Signal Protocol voor E2E-versleutelde berichten en gesprekken, verzamelt zo min mogelijk metadata, is volledig open source en wordt beheerd door een non-profitorganisatie.

Signal ondersteunt ook verdwijnende berichten, versleuteling van notities aan jezelf en sealed sender, waarmee zelfs de identiteit van de afzender tijdens de verzending wordt verborgen voor de servers van Signal.

Apple's iCloud Advanced Data Protection maakt eind-tot-eindversleuteling voor iCloud-back-ups mogelijk. Dat betekent dat Apple zelf geen toegang heeft tot je back-upgegevens. De sleutels bestaan alleen op je vertrouwde apparaten.

Als deze functie niet is ingeschakeld, beheert Apple de sleutels van je back-up en kan het bedrijf worden verplicht deze aan autoriteiten te verstrekken. Eind-tot-eindversleuteling van back-ups is een belangrijke, maar vaak over het hoofd geziene privacyinstelling.

Een cryptovalutaportemonnee bestaat in wezen uit een paar cryptografische sleutels: een privésleutel (geheim) en een openbare sleutel (je portemonnee-adres). Transacties worden met de privésleutel ondertekend om het eigendom te bewijzen.

Als je je privésleutel kwijtraakt, verlies je je tegoeden voorgoed. Er is geen optie om je wachtwoord opnieuw in te stellen en geen klantenondersteuning. Het cryptografische systeem vergeeft verloren sleutels wiskundig gezien niet.

Wanneer je Face ID of vingerafdrukverificatie gebruikt, worden je biometrische gegevens verwerkt in een Secure Enclave: een afzonderlijke processor met eigen versleuteld geheugen en eigen sleutels.

Het biometrische sjabloon verlaat de Secure Enclave nooit en wordt nooit naar Apple of Google verzonden. De verificatie gebeurt lokaal. De Secure Enclave bevestigt een overeenkomst en geeft de apparaatsleutel vrij.

Sterke, alomtegenwoordige cryptografie maakt privécommunicatie mogelijk, zelfs onder toezicht. Financiële transacties worden geverifieerd en zijn voorzien van maatregelen die manipulatie aantoonbaar maken. Ook blijven je opgeslagen gegevens beschermd als apparaten in beslag worden genomen.

Critici stellen dat dit rechtmatige onderschepping door overheden moeilijker maakt. Cryptografen stellen daartegenover dat achterdeuren de beveiliging voor iedereen fundamenteel verzwakken en dat sterke versleuteling per saldo een voordeel voor de samenleving is.

Veel cryptografische hulpmiddelen die je dagelijkse digitale leven beschermen, zijn opensource: Signal Protocol, OpenSSL, LibreSSL, GnuTLS, WireGuard en het cryptografiesubsysteem van de Linux-kernel.

Opensourcecryptografie maakt publieke controle door deskundigen over de hele wereld mogelijk. In tegenstelling tot bedrijfseigen implementaties als gesloten dozen kan opensourcecode onafhankelijk worden gecontroleerd, geverifieerd en verbeterd door de cryptografische gemeenschap.

Cryptografie beschermt vrijwel elk aspect van je digitale leven: codes voor tweefactorauthenticatie, kluizen van wachtwoordbeheerders, VPN-tunnels, volledige schijfversleuteling, websurfen via HTTPS, beveiligde berichten, versleutelde back-ups en cryptovalutaportemonnees.

Als je begrijpt welke hulpmiddelen welke cryptografische bouwstenen gebruiken, kun je betere beveiligingsbeslissingen nemen en beter begrijpen waarom bepaalde privacyinstellingen belangrijk zijn.