In deze rubriek, die twee keer per week verschijnt, bericht Marie-José Klaver over ontwikkelingen op Internet. Reacties en tips: klaver@nrc.nl

MARIE-JOSÉ KLAVER
E-mail wordt niet beschermd door het briefgeheim en passeert vele stations op weg van zender naar ontvanger. Voor nieuwsgierige systeembeheerders en handige hackers is het geen probleem om e-mail te onderscheppen en te lezen. Het hoort niet, maar verboden is het ook niet. Een beveiligingsstandaard voor e- mail, dat al sinds de jaren zeventig bestaat, is er niet. Eigenlijk is dat vreemd, gezien het onveilige karakter van het medium. De de facto standaard voor e-mailbeveiliging is Pretty Good Privacy ( PGP). Dit gratis programma werkt samen met de meeste e-mailprogramma's (Outlook, Eudora, Netscape Mail) en kent versies voor vele platforms (Windows, Mac, Unix, Linux, Atari).

Hoewel PGP niets kost en erg gebruikersvriendelijk is, wordt het programma niet veel gebruikt. Er zijn geen cijfers bekend over het aantal gebruikers, maar ik weet bijna zeker dat niemand in uw omgeving PGP gebruikt. In mijn vriendenkring, die voor een deel uit internetfreaks bestaat, wordt PGP in ieder geval nauwelijks gebruikt.

Wie er prijs op stelt dat zijn of haar e-mail echt alleen door de geadresseerde wordt gelezen, doet er goed aan om wel PGP te gebruiken. PGP is onkraakbare encryptiesoftware die is gebaseerd op een technologie die 'public key' cryptografie heet. Je hebt twee sleutels, een openbare (public key) en een geheime (secret key). Na het installeren van PGP moet je de sleutels aanmaken door met de muis bewegingen te maken. Door de muisbewegingen worden at random tekens gecombineerd tot een beveiligingssleutel. Je kunt het beste voor een zo groot mogelijke key kiezen. Een sleutel van 4.096 bits is moeilijker te kraken dan een sleutel van 1.024 bits.

De sleutels worden, beveiligd, op de harde schijf opgeslagen. De public key is gekoppeld aan het e-mail adres van de gebruiker (meer e-mail adressen per publieke sleutel mag ook) en moet op zoveel mogelijk plekken openbaar gemaakt worden. Direct na het aanmaken van deze sleutel vraagt het programma of het de sleutel naar een Nederlandse keyserver van Surfnet, het landelijke netwerk voor onderzoek en onderwijs in Nederland, moet sturen. Een keyserver is een computer die publieke sleutels van duizenden PGP-gebruikers bevat. Zodra de sleutel bij Surfnet staat, wordt hij automatisch opgenomen in andere keyservers. Je kunt je public key ook op je homepage zetten, met een link naar de plaats waar de sleutel op een keyserver staat.

PGP werkt heel eenvoudig. Als Jaap aan Anneke een versleuteld e-mailtje wil sturen, zoek hij in zo'n public key server haar openbare sleutel op, waarmee hij het bericht encrypt. Omdat Anneke de enige is die haar secret key en het bijbehorende wachtwoord kent, is zij ook de enige die de mail kan ontsleutelen. Als Jaap zijn bericht met zijn secret key 'ondertekent', weet Anneke ook zeker dat het van Jaap afkomstig is. De secret key genereert namelijk een unieke 'finger print'. Omgekeerd moet Anneke Jaaps public key gebruiken als ze hem veilig wil mailen en met haar secret key ondertekenen. Jaap kan Annekes bericht met zijn geheime sleutel ontcijferen. Een bericht versleutelen gaat als volgt. Zoek de publieke sleutel van iemand op een key server of mail degene die je een versleuteld bericht wilt sturen. Sla de sleutel op in het PGP- programma door hem te kopiëren naar het clipboard. Ga vervolgens naar PGP en kies voor Add key from clipboard. Schrijf een e-mail en klik het PGP-symbool (een envelop met een slot) voor versleutelen aan in het e-mailprogramma en kies de sleutel die bij de ontvanger hoort. Het bericht wordt nu niet alleen versleuteld gezonden, maar ook versleuteld bewaard in de outbox van het e-mailprogramma.

PGP: www.pgpi.org

Key server Surfnet: pki.surfnet.nl