Hoe veilig zijn onze openbare wifinetwerken?
Openbare getallen, die een indicatie zouden kunnen geven van de gemiddelde veiligheid van openbare netwerken, zijn er niet. Ondanks dat is Bernard van Gastel van mening dat je als gebruiker in alle gevallen een risico loopt. 'Veel van wat je op deze plekken doet kan afgeluisterd en mogelijk ook veranderd worden door medepassagiers die zich dicht bij jou in de buurt bevinden. Of door hackers, die zich toegang hebben verschaft tot een apparaat van een medepassagier. Ook al zijn veel verbindingen tegenwoordig beveiligd, een andere partij weet dan nog steeds dat je verbinding maakt met mijnbank.nl, dit omdat het opzoeken van het internetadres van een domeinnaam niet versleuteld is. En ook van die beveiligde verbinding, aangeduid met het groene slotje, kun je niet altijd zeker zijn. Want helaas blijkt in de praktijk dat het kwaadwillende partijen regelmatig lukt om de benodigde officiële certificaten te bemachtigen en zo de beveiliging te omzeilen.'
Eigen risico
Veel partijen leggen het risico van een onveilige verbinding bij de gebruiker, simpelweg omdat het niet te controleren is voor deze partijen. Van Gastel: 'Als bijvoorbeeld je bankrekening geplunderd wordt, dan wordt het erg lastig om je geld terug te halen. Het is wel bemoedigend dat er weinig voorbeelden uit de praktijk zijn dat dit op grote schaal gebeurd is. Bovendien schuilt er nog een ander risico in het gebruik van deze openbare netwerken. Je apparaat kan namelijk heel gemakkelijk geïnfecteerd raken door virussen. Die virussen kun je al binnenhalen door het bezoeken van een simpele nieuwswebsite, zoals ook bij Nederlandse nieuwssites al is voorgekomen.'
Wapenen
Kunnen we onszelf wapenen tegen misbruik van privacygevoelige data op openbare plekken? En zo ja, hoe? 'Een goede manier om je hiertegen te wapenen is het gebruik van VPN' (Virtueel Particulier Netwerk), aldus Bernard van Gastel. 'Bij deze methode wordt al je verkeer omgeleid via een externe server, waarbij al het verkeer tussen deze server en je apparaat ook nog eens beveiligd wordt. Het is praktisch onmogelijk om deze beveiligde verbinding af te luisteren. Is het nu zo dat de aanbieder van een openbaar netwerk geen VPN-functie aanbiedt, dan kan je die VPN-diensten altijd nog extern inkopen. Zaak is dan natuurlijk wel dat je de aanbieder kunt vertrouwen, want al je verkeer loopt voortaan via die aanbieder.’ Er zijn nog andere technische oplossingen denkbaar, maar die zijn volgens Van Gastel niet gebruiksvriendelijk genoeg. 'Het beste is dat je überhaupt geen bankoverschrijving of privacy-gevoelige handelingen uitvoert op zo’n publiek netwerk. Als je geen keus hebt, gebruik dan de app in plaats van een website, aangezien bij de app vaak extra controles zijn ingebouwd.'
Account
Wat is de rol van de aanbieder? Moet de NS bijvoorbeeld het veiligheidsbeleid aanscherpen en reizigers een account laten aanmaken? Of wordt daarmee de laagdrempeligheid ondermijnd? 'Zulke maatregelen halen weinig uit. Zo’n account aanmaken bijvoorbeeld moet gemakkelijk zijn, gezien het grote volume aan passagiers, waardoor er uiteindelijk weinig controle op is. Een kwaadwillende kan vrij eenvoudig een nep-account aanmaken. Misbruik kan in dat geval niet worden tegengegaan, want diezelfde kwaadwillende maakt net zo gemakkelijk weer een nieuw account aan. Het is organisatorisch erg lastig om veilige openbare netwerken aan te bieden. En al helemaal als ook de kosten nog eens een rol gaan spelen.'
Uitdagingen
De beste oplossing is volgens Bernard van Gastel dat zoveel mogelijk verbindingen goed beveiligd worden. Maar dat levert enkele uitdagingen op. 'Aan de ene kant is het een technische uitdaging. Bijvoorbeeld als het gaat om het veiliger maken van het opzoeken van domeinnamen en het beter op orde krijgen van de certificaatuitgifte. Maar tegelijk zie je ook een politieke uitdaging opdoemen. Helaas wordt in het kader van terrorisme en veiligheid vaak geopperd dat beveiligde verbindingen altijd gecontroleerd moeten kunnen worden door de overheid. Of zelfs helemáál verboden zouden moeten worden! Technisch gezien betekent dit dat als er één iemand - in dit geval de overheid -, kan meeluisteren, het ook voor andere kwaadwillende partijen en criminelen erg gemakkelijk wordt om datzelfde te doen. Je hebt dus de keuze. Of je wapent je geheel tegen afluisteren tussen twee communicerende partijen en sluit alle risico’s buiten. Of je doet het niet en - zo leert de ervaring -, blijft het risico lopen dat meerdere partijen onbedoeld op termijn ook mee kunnen luisteren.'
