Om vertrouwelijke of privacy gevoelige informatie veilig van A naar B te verzenden kun je e-mail versleutelen. Dit verzekert de zender dat de informatie enkel door B kan wordt gelezen en verzekert de ontvanger dat er onderweg niets aan het bericht is gewijzigd. In deze blog een uitleg hoe dat versleuteld e-mailen met Outlook nu precies werkt.
Veilig bestanden versturen en ontvangen via SecuDoc
Onderstaande blog post beschrijft de handelingen die nodig zijn om via certificaatuitwisseling beveiligd te kunnen e-mailen. Niet zo technisch ingesteld en toch graag veilig bestanden uitwisselen? Probeer dan eens gratis 30 dagen SecuDoc. Meer hierover weten? Neem dan contact op met sales, we bespreken graag de mogelijkheden.
EFAIL
Eerst nog even naar de actualiteiten. In april meldden diverse media dat beveiligd mailen d.m.v. certificaten onveilig zou zijn. Onder de noemer EFAIL werd de wereld in gebracht dat versleutelde e-mails onder bepaalde voorwaarden ingelezen kunnen worden. De berichtgeving was nogal negatief, aangezien het vooral ging om fouten in bepaalde mailclients. Ondertussen druppelen de eerste updates binnen die de problemen moeten voorkomen. Al met al kan gesteld worden dat beveiligd mailen d.m.v. certificaten in ieder geval veiliger is dan e-mailen zonder versleuteling.
Beveiliging van e-mail
Allereerst moeten zender en ontvanger een Digitaal ID in de vorm van een certificaat hebben. Deze worden uitgegeven door een Certificaat Autoriteit (CA), zoals bijvoorbeeld Comodo, Symantec of GlobalSign. Zo’n certificaat bestaat uit twee delen, namelijk een privé deel en een publieke deel. Die delen worden ook wel sleutels genoemd. Met het publieke deel van een certificaat kan de data worden versleuteld. Deze versleutelde data kan vervolgens alleen worden geopend met het privé gedeelte van de certificaat. Andersom is ook mogelijk en wordt gebruikt voor het verifiëren van de integriteit van de inhoud van de data. Oftewel: is er tussen verzenden en ontvangen niets gewijzigd in de inhoud.
Dit systeem van certificaten en sleutels en het beheer ervan wordt een Public Key Infrastructure genoemd. Dit biedt een tweetal mogelijkheden met betrekking tot het beveiligen van e-mail: het digitaal ondertekenen en het versleutelen van de e-mail. Beiden worden komende paragrafen uitgelegd.
Digitaal ondertekenen
Door een e-mail te versleutelen met de privé sleutel is deze mail enkel te lezen door ontvangers met de publieke sleutel. De privé sleutel houdt je logischerwijs voor jezelf, het publieke deel is openbaar en dus voor iedereen toegankelijk. Dit lijkt niet zo zinvol, omdat iedereen deze e-mail kan ontcijferen, maar toch is dit nuttig. Er is namelijk maar één sleutel die het bericht zo kan versleutelen dat de publieke sleutel dit kan ontcijferen, namelijk de bijbehorende privé sleutel. De ontvanger van de e-mail weet nu zeker dat dit bericht inderdaad afkomstig is van de eigenaar van het certificaat en dat er niets aan dit bericht gewijzigd is.
Versleutelen
Het versleutelen van een e-mail werkt andersom. De e-mail wordt namelijk versleuteld met de publieke sleutel. Hierna is deze alleen te openen met de privé sleutel. Hierdoor kan alleen de eigenaar van het certificaat deze mail nog ontsleutelen. Dit is dus een goede methode om veilig mail te ontvangen. Belangrijk: dus niet de zender, maar de ontvanger is de eigenaar van het certificaat! Om iemand anders veilig een versleutelde e-mail te kunnen verzenden, moet de ontvanger een certificaat hebben aangeschaft. En het publieke deel van dit certificaat moet dus gedeeld worden met de andere kant.
Hoe werkt versleuteld e-mailen in Outlook?
Outlook bevat een protocol (S/MIME) om gebruik te kunnen maken van versleuteld e-mailen. Eerst moet een digitaal ID worden ingesteld op basis van een certificaat. Belangrijk: Let op dat het mailadres waarop het certificaat wordt aangevraagd overeenkomt met het e-mailadres van de persoon/mailbox die het certificaat gaat gebruiken. Logischerwijs kan met een digitaal ID op naam van ‘info@mailadres.nl’ niet gemaild worden door ‘jan@mailadres.nl’, het certificaat is tenslotte bedoeld om de identiteit te garanderen.
Nadat deze is aangeschaft en geïnstalleerd kan het digitaal worden aangemaakt in Outlook via ‘Bestand -> Opties -> Vertrouwenscentrum -> Instellingen voor het Vertrouwenscentrum… -> E-mailbeveiliging -> Instellingen’. Hier kan het certificaat worden geselecteerd via de knop ‘Kiezen’.
Als het digitaal ID is aangemaakt kunnen de opties digitaal ondertekenen en versleutelen worden benaderd bij het opstellen van mails, via ‘Opties -> Machtiging’.
Ondertekenen in Outlook
Hoewel de publieke sleutel geen geheim is, moet de ontvanger deze nog wel krijgen. Om deze publieke sleutel te versturen, stuur je de ontvanger een ondertekende e-mail. Echter, als je deze volledige mail zou versleutelen met de privé sleutel zoals eerder beschreven, kan de ontvanger hier nog niets mee, omdat hij/zij de publieke sleutel om te ontcijferen nog niet heeft. Daarom versleutelt Outlook bij het ondertekenen niet de gehele mail, maar enkel één regel, de zogenaamde hash. Dit gebeurt middels een hash-algoritme (SHA) die een tekenreeks genereert op basis van de inhoud van de e-mail. Dit werkt net als het versleutelen maar één kant op (van een hash kan de inhoud e-mail niet worden ontcijferd). Dit zorgt ervoor dat ook maar de kleinste verandering aan de e-mail inhoud een compleet andere hash oplevert. Vervolgens worden de volgende elementen naar de ontvanger verzonden:
– De niet-versleutelde e-mail
– Het certificaat met enkel de publieke sleutel van de zender (niet de privé sleutel uiteraard)
– De met de privé sleutel versleutelde hash
De Outlook-client van de ontvanger maakt gebruikt van hetzelfde hash-algoritme, en maakt ook een hash van de e-mail. Als de inhoud van de e-mail onderweg niet is gewijzigd, moet deze overeenkomen met de hash die de zender heeft gemaakt. Omdat de ontvanger de publieke sleutel heeft ontvangen met de e-mail kan hij/zij de versleutelde hash ontcijferen. Deze moet overeenkomen met de niet-versleutelde hash, die de ontvanger zelf heeft gemaakt. Als dat het geval is, weet de ontvanger zeker dat de inhoud van de e-mail of het certificaat onderweg niet is gewijzigd. Bovendien is nu ook zeker dat de publieke sleutel hoort bij het certificaat en de privé sleutel van de zender. Anders was namelijk de ontcijfering niet correct geweest.
De stappen worden in de volgende afbeelding nog eens visueel duidelijk gemaakt:
Versleutelde e-mail versturen in Outlook
Als je een digitaal ID hebt en een publieke sleutel van de ontvanger kun je met Outlook versleuteld versturen naar deze ontvanger. Dit doe je door de optie ‘versleutelen’ te aan te klikken bij het opstellen van de e-mail. De ontvanger moet jou dus wel eerst een ondertekende mail hebben gestuurd, waarna outlook automatisch het certificaat met de publieke sleutel aan het e-mailadres koppelt in de contactpersonenlijst. De ontvanger moet dus toegevoegd zijn aan je contactpersonen. Een uitzondering hierop is als je een ondertekende mail direct beantwoord. Je kunt zien welke certificaten aan een contactpersoon gekoppeld zijn door de contactpersoon te openen in de contactenlijst en dan ‘certificaten’ te klikken:
Als eenmaal de certificaten zijn uitgewisseld is veilig e-mailen dus een fluitje van een cent.
