E-mail Beveiliging

Wellicht een beetje off-topic. E-mail beveiliging is immers geen website beveiliging. Maar toch, e-mail wordt gebruikt voor het ontvangen van e-mails, bestellingen, offerteaanvragen etc. Allemaal afkomstig vanaf websites. E-mail is een belangrijk aspect in het opbouwen van een klantenrelatie. Het is zelfs mogelijk om middels e-mail je (WordPress) website te updaten.

E-mail beveiliging wordt een beetje onderschat. Hoe vaak stuur jij gevoelige gegevens over de e-mail naar je relaties, vrienden en kennissen? Juist, dit gebeurt waarschijnlijk geregeld. En net zoals met onbeveiligd telefonie verkeer is ook onbeveiligd e-mail verkeer af te luisteren door MitM (Man in the Middle) attacks.

Daarnaast straalt een beveiligde e-mail vertrouwen uit. Wie kent de rode telefoon op het bureau van de Amerikaanse president nog uit oude films? De superveilige top-secret lijn! Met deze tips kun je je e-mail net zo veilig maken. Kom…we gaan onze e-mail rood kleuren! Lekker veilig!

Gevaren:

Slechte e-mailbeveiliging kent een aantal gevaren. Het beveiligd communiceren is 1 ding. Maar echt veilig e-mailen betekend ook dat de alsmaar groeiende lijst van gevaren geminimaliseerd word. Middels e-mail kunt u geïnfecteerd worden met virussen en malware. Maar ook misleidende e-mails en bedreigende e-mails worden dagelijks veelvoudig verstuurd. We hebben pas een veilige e-mail omgeving als:

• binnenkomende e-mails legitiem zijn
• binnenkomende e-mails schoon zijn
• verzonden e-mailberichten (en bij voorkeur binnenkomende e-mail berichten) digitaal ondertekend zijn en versleuteld zijn

E-mail routering:

Wanneer een e-mail verzonden wordt komt deze als eerste aan bij de ISP (Internet Service Provider) van de verzender. Vervolgens volgt deze e-mail zijn weg over diverse e-mailservers om als laatste te eindigen op de ISP server van de ontvanger. Gedurende zijn weg kan uw e-mail op diverse manieren afgeluisterd worden. Daarnaast wordt uw e-mail op vrijwel alle tussenliggende servers (tijdelijk) opgeslagen. Om dit te voorkomen en om ervoor te zorgen dat de ontvanger zeker weet dat de e-mail van u afkomstig is en niet van een malafide persoon die uw naam en e-mailadres nagemaakt (e-mail spoofing) heeft en zich dus voordoet als een ander gaan we de e-mail digitaal ondertekenen en versleutelen met een Public Key Encryption (PKE) genaamd PGP (Pretty Good privacy)

Versleuteling met Pretty Good Privacy:

Het principe achter PGP is simpel.

• Er zijn 2 sleutels. Een publieke sleutel en een privé sleutel. Samen heten ze het sleutelpaar.
• De privé sleutel blijft op jou computer staan en wordt gebruikt voor de decryptie (ontcijfering) van e-mail.
• De publieke sleutel is openlijk beschikbaar voor iedereen die naar u een versleutelde e-mail wilt sturen. Deze sleutel wordt dus gebruikt voor de encryptie (versleuteling) van het e-mail bericht.

Het principe werkt dus als volgt:

• Gebruiker A stuurt een veilige e-mail naar Gebruiker B
• Gebruiker A versleuteld de e-mail met de publieke sleutel van Gebruiker B en met zijn eigen privé sleutel.
• B ontvangt de encrypted e-mail en kan deze ontcijferen met zijn privé sleutel omdat het bericht versleuteld is met zijn publieke sleutel.

Omdat de e-mail alleen ontcijferd kan worden met een privé sleutel die hoort bij de publieke sleutel is het belangrijk dat de afzender er zeker van moet zijn dat hij de juiste publieke sleutel van de ontvanger gebruikt. Een malafide partij kan ook een publieke sleutel maken en aan de verzender verstrekken met de naam van de ontvanger. Het bericht kan dan onderschept worden door deze partij en gemakkelijk ontcijferd worden. De publieke sleutel moet dus uitgegeven worden door de ontvanger aan de verzender of beter nog, door een “Certificate Authority”.

Een “certificaatautoriteit” is een entiteit die digitale certificaten verstrekt aan anderen. Certificaten van top-Level certificaatautoriteiten worden wereldwijd herkent en staan er garant voor dat de houder van het certificaat geverifieerd is door de certificaatautoriteit en dus ook echt is wie hij claimt te zijn. Als je dus e-mail versleuteld wilt versturen moet je beide op de hoogte zijn van elkaars publieke sleutel. Mocht je een publieke sleutel op willen zoeken van iemand zonder het te vragen aan die betreffende persoon dan kunt u eens kijken op de vele OpenPGP servers die publieke sleutels verzamelen.

PGP Implementeren:
PGP implementatie is afhankelijk van het programma waarin het gebruikt wordt. De meeste e-mail cliënts ondersteunen PGP als er een plug-in of add-on voor geïnstalleerd wordt. Thunderbird gebruikt de EniGmail plug-in en Outlook gebruikt de Outlook Privacy Plug-in. Voor Windows moet GnuPG geïnstalleerd worden (implementatie van Open-PGP). Dit is prima te doen met de volledige versie van Gpg4Win. Het sleutelpaar wordt met de Open-PGP implementatie gegenereerd en met de e-mailcliënt plug-in wordt de e-mail cliënt gereed gemaakt om e-mails de (de)coderen met PGP. De installatie is e-mailcliënt afhankelijk. Hier duiken we later in. Hou onze toekomstige posts in de gaten.

E-mail digitaal ondertekenen:

Door e-mail digitaal te onderteken versleutel je de e-mail niet maar zorg je er wel voor dat je e-mail vertrouwd is voor de ontvanger. Met een digitale ondertekening bewijs je dat jij echt houder bent van en verstuurd vanuit het e-mail adres in de e-mail header.

Om e-mail te ondertekenen heb je alleen een digitaal S/MIME certificaat nodig welke te verkrijgen zijn bij grote certificaatautoriteiten zoals Globalsign en Comodo. Comodo heeft een gratis certificaat waar wel additionele software voor geïnstalleerd moet worden. Na installatie van het S/MIME certificaat kunt u (afhankelijk van de e-mail cliënt) ervoor kiezen om elke e-mail digitaal te ondertekenen of om individuele e-mails digitaal te ondertekenen.

Het proces van digitaal ondertekenen gaat als volgt:

• Gebruiker A vraagt een S/MIME certificaat aan bij een CA, maakt zijn e-mail applicatie geschikt voor gebruik en verstuurd een digitaal ondertekende e-mail.
• Gebruiker B ontvangt de e-mail en de computer van Gebruiker B controleert de digitale handtekening bij de CA.
• Als de digitale ondertekening akkoord is weet gebruiker zeker dat de e-mail afkomstig is van Gebruiker A en niet van een malafide persoon.

Let op: E-mail die digitaal ondertekend zijn, zijn voor een ontvanger die bekend is met het principe een geweldige methode om zeker te weten dat de e-mail van jou afkomstig is. Voor onwetende gebruikers kan juist een digitaal ondertekende e-mail een schrikreactie teweeg brengen met een tegenovergestelde werking. Dit omdat digitaal ondertekende e-mail extra icoontjes hebben en onwetende gebruikers hier niet bekend mee zijn. Maak dus zelf altijd de juiste afweging tussen het vertrouwd en normaal verzenden van e-mail berichten.

Versleuteld verzenden via webmail:

Gebruik je webmail om berichten te verzenden en wil je dit veilig doen let er dan op dat je een e-mail dienst gebruikt die SSL ondersteunen. Je benaderd de webmail pagina dan niet via http maar via https. Dit voorkomt dat je e-mail gelezen kan worden terwijl je deze aan het maken bent als je internetverbinding “afgeluisterd” wordt (middels MitM attacks of door malware).

Gmail ondersteund een beveiligde verbinding vanaf het inloggen tot het uitloggen. Binnen deze omgeving communiceer je dus compleet veilig. Yahoo en vele andere e-mail ondersteunen https alleen tijdens het inloggen of helemaal niet.

Let op: Als er op je computer malware geïnstalleerd is die keystrokes opneemt (dus alle ingedrukte toetsen van je toetsenbord opslaat) en verzend dan wordt alle e-mail beveiliging omzeilt. Wilt u volledig veilig communiceren zorg er dan ook voor dat uw computer schoon is van malware en virussen.

De meeste webmail applicaties (webmail applicaties die geopend wordt in een internet browser) ondersteunen geen encryptie en digitale ondertekening zoals dat wel mogelijk is met e-mail cliënts als Thunderbird en Microsoft Outlook. Er zijn wel plug-ins voor webbrowsers beschikbaar waarmee mogelijkheden gecreëerd worden. Denk hierbij aan SafeGmail (een Chrome extensie).

Een aantal (webmail) e-mail providers die beveiliging en privacy heel serieus nemen zijn:

• Shazzlee-mail
• TorGuard E-mail
• Hushe-mail
• Protone-mail

Ook zijn er een aantal diensten die de complexiteit van digitale ondertekening en versleuteling uit handen nemen en dit automatisch voor u regelen (alsmede vaak andere diensten als spam filtering en virusscanning). Denk hierbij aan:

• Countere-mail
• Trend Micro
• ZorGmail (speciaal ontwikkeld voor de zorg sector)

En vele anderen….

Geen troep…gewoon e-mail:

Omdat e-mail nog vele andere gevaren met zich meebrengt willen we gewoon schone e-mail ontvangen. Dus geen geïnfecteerde e-mails die de computer kunnen verzieken met virussen en malware. En we willen liever ook geen spam e-mails ontvangen zoals Viagra aanbiedingen, farmaceutische reclame, valse lotto e-mails, nep dating uitnodigingen etc.
Er zijn een aantal manieren om e-mail zo schoon mogelijk binnen te krijgen:

Spam filtering:

Een goede spamfilter zorgt ervoor dat “rommel” e-mails verwijderd worden voordat ze onze inbox bereiken. Spamfilters gebruiken hiervoor diverse detectiemethodes.

• DNS blacklists (bekende adressen van spammers worden op deze lijsten verzameld en geblokkeerd door filters die deze lijsten gebruiken).
• Reputatie lijsten (e-mailservers met een hoge (betrouwbare) reputatie worden minder streng gecontroleerd dan e-mailservers met een lage betrouwbaarheid)
• Woordenlijsten (bekende woorden en woordcombinaties die normaliter veel in spam e-mails voorkomen staan vermeld in deze lijsten. De e-mail wordt gecontroleerd op voorkomende woorden en woordcombinaties en krijgt vervolgens een spamscore. Als een bepaalde score overtreden wordt dan wordt de e-mail aangemerkt als een spam bericht.
• Checksum filtering (Als gebruikers vanuit hun cliënt e-mail aanmerken als spam dan krijgt dat type e-mail een score. Iedere keer als zo’n zelfde type e-mail als spam gemarkeerd wordt als spam wordt deze score verhoogt. Na een bepaalde score zal e-mail die geïdentificeerd wordt als een e-mail uit de checksum database met een hoge score aangemerkt worden als spam.
• Land filtering (Sommige filters kunnen e-mail uit een compleet land blokkeren als dat land bekend staat voor het versturen van veel bulk spam).
• HELO/EHLO controle (controleert of domeinnaam en IP adres van de cliënt overeenkomen. Zo niet dan wordt er gecontroleerd op bepaalde policies (zoals authenticatie, vreemde HELO waardes etc.) om te bepalen of het duidelijk om spam gaat.
• Hybride filtering (Hybride filtering gebruikt verschillende technieken samen en geven de e-mail een score na het doorlopen van verschillende scans. Als de score boven een bepaalde waarde stijgt wordt de e-mail gemarkeerd als spam.

Er bestaan nog meer soorten filters die e-mail anti spam programma’s hanteren. Veel bekende en krachtige spamfilters zijn “self learning” wat betekend dat deze spamfilters na verloop van tijd steeds beter kunnen inschatten wat spam is en wat niet. Hoe meer tijd er verstrijkt des te meer e-mail is er voorbij gekomen en door gebruikers gemarkeerd als spam of juist als legitieme e-mail. Self-learning spamfilters ontdekken patronen in deze e-mails en gebruiken deze bij het scannen van nieuwe e-mail.

Spamfilters kunnen geïnstalleerd worden bij de ISP, op een eigen e-mailserver en op een stand-alone cliënt. Waar een spamfilter geïnstalleerd wordt en welk type gebruikt wordt is nogal afhankelijk van de omgeving waarin je werkzaam bent.

Spamfilters bij de ISP zijn standaard nogal zwak ingesteld om te voorkomen dat er een legitieme e-mail geblokkeerd wordt.

Een spamfilter op je eigen e-mailserver is beter te regelen. Je kunt de false/positive waarde hiervan gemakkelijk aanpassen om te kijken op welke waarde de meeste spam gefilterd wordt zonder legitieme e-mails door te laten. Een desktop spamfilter is eveneens prima zelf te regelen en is een goede oplossing om de e-mail op een enkele PC te controleren op SPAM.

Bekende e-mail services als Gmail hebben ook een spamfilter die zwak en strak kan worden ingesteld.

Ook bestaan er cloud e-mailscanners zoals van Symantec voor Office365 en Google Apps.

Kortom er is genoeg keuze. Mocht u als eindgebruiker uw prive e-mail willen beschermen is Spamfighter een mooie en prima gratis oplossing.

Schone e-mail:

Het volgende potentiele gevaar van e-mail zijn geïnfecteerde e-mails. E-mails kunnen geïnfecteerd zijn met malware en virussen. Het is meestal zo dat de schadelijke software zich op de computer kan verspreiden doordat er op een malafide bestand geklikt wordt dat bijgesloten zit bij zo’n e-mail. Maar in sommige gevallen kan de schadelijke software zich ook verspreiden wanneer je een e-mail opent (let op, ook de weergave in het preview venster aan de rechterkant is hetzelfde als een e-mail openen).

Zorg dus dat je een actieve virusscanner en malware scanner op je PC hebt staan die e-mail scant bij het ontvangen en openen. Je ISP en vele e-mailproviders scannen ook de e-mail maar dit is geen excuus om zelf niet te scannen. Diensten als Gmail e.d. zijn eveneens zeer veilig maar ook hier kan weleens een e-mail met schadelijke software doorheen glippen. Een dubbele laag van defensie d.m.v. een eigen scanner is geen overbodige luxe. Op die manier heb je de mate van beveiliging zelf in de hand.

Goede gratis persoonlijke virusscanners die ook je e-mail scannen zijn o.a.:

• AVG
• Avast

Goede gratis spyware scanners die ook je e-mail kunnen scannen zijn:

• Malwarebytes
• Hitman Pro

Zo zijn er ook vele online scanners die on-demand je computer kunnen scannen. We raden aan om jaarlijks een klein bedrag (tussen de 20 en 60 euro) te besteden om hiervoor een particulier Internet Protection pakket aan te schaffen. Er zijn vele verschillende in de omloop die bescherming bieden tegen virussen, malware, hackers en soms nog veel meer. Voor dit geld krijg je een goede en complete bescherming die niet alleen on-demand maar ook realtime werkt. Een persoonlijke favoriet is: Kaspersky Internet Security. Maar ook BitDefender en F-Secure zijn zeker de moeite waard.

Veilig e-mailen omvat nog veel meer:

Er zijn nog vele andere regels die in acht genomen dienen te worden om veilig te e-mailen. De volgende regels zijn wellicht logisch maar worden toch te vaak genegeerd.

• Deel uw e-mailadres alleen met vertrouwde personen en met niemand anders.
• Deel uw e-mailadres nooit op websites, forum reacties, social media etc.
• Maak een extra e-mailadres aan dat u alleen gebruikt voor e-mail rommel. Denk hierbij aan b.v. nieuwsbrief inschrijvingen en aanmeldingen op websites.
• Zet het preview scherm binnen uw e-mail cliënt uit. De e-mail aanklikken betekend feitelijk dat u de e-mail al opent.
• Open niet zomaar alle bijlages. Ook niet als de e-mail afkomstig lijkt te zijn van vrienden en bekenden. E-mail wordt vaak “nagemaakt (e-mail spoofing)” waardoor het lijkt alsof de e-mail afkomstig is van een bekende maar dit eigenlijk niet is.
• Ga nooit in op frauduleus uitziende e-mails. Geef dus NOOIT gevoelige gegevens vrij omdat dit in een e-mail gevraagd wordt. Betrouwbare bedrijven zouden nooit gevoelige gegevens over de e-mail vragen. E-mail b.v. nooit bankgegevens naar de bank omdat de bank dit aan u vraagt in een e-mail. De e-mail ziet eruit alsof deze van de bank afkomstig is maar zal waarschijnlijk afkomstig zijn van een phishing hacker die uw gegevens wilt misbruiken).
• Beantwoord nooit SPAM berichten. Het beantwoorden en zelfs het openen van SPAM zal resulteren in het ontvangen van meer SPAM.
• Gebruik een slim en sterk wachtwoord om uw e-mail te beveiligen (do I need to say more…).
• Open uw e-mail niet op onbekende (openbare) computers. Deze computers kunnen geïnfecteerd zijn waardoor uw e-mail gegevens bekend kunnen worden.
• Als een e-mail verstuurd wordt aan meerdere personen gebruik dan de BCC (Blind Carbon Copy) functie. Andere ontvangers zien dan niet alle e-mailadressen in de e-mail en ook geïnfecteerde computers van de ontvangers zullen de andere e-mailadressen in de BCC niet achterhalen om ze te misbruiken.
• Back-up periodiek je e-mail. Een goede back-up beschermt je tegen calamiteiten. Een infectie of een gebruikersfout kan ertoe leiden dat u al uw e-mail kwijt bent. Een goede back-up is dan goud waard.

Conclusie:

E-mail is onmisbaar maar ook potentieel heel gevaarlijk. Gebruik dus altijd je gezonde verstand tijdens het gebruiken van e-mail. Neem bovenstaande tips in acht en beveilig je computer met goede beveiligingspakketten die je computer en je e-mail real-time scannen en beveiligen. Weet ook dat je vertrouwen uitstraalt door e-mails digitaal te ondertekenen en dat je volledig versleuteld kunt e-mailen met personen waardoor hackers die de e-mail onderscheppen de e-mail niet kunnen lezen. Binnenkort vindt u bij ons een uitgebreide tutorial waarin we de diepte ingaan en een aantal e-mail beveiligingsmethodes stap voor stap laten zien. Stay tuned…. Stay safe!