This website is not maintained anymore.
Some good links:
 
 		Security quiz
PISA: Providing Information about Internet Security Aspects

Encryptie

Via encryptie kan men gegevens beveiligen, door de gegevens onleesbaar te maken voor buitenstaanders.
De meest gebruikte vormen van encryptie zijn:
  1. symmetrische encryptie: met één en dezelfde sleutel kan men een woord of een bericht versleutelen, zodanig dat enkel diegenen die over de sleutel beschikken het versleutelde bericht terug kunnen omvormen tot het originele bericht.
    Een nadeel van deze methode is dat ze moeilijk bruikbaar is voor bepaalde toepassingen: er is immers geen veilige manier om de gebruikte sleutel te verdelen naar andere Internetgebruikers, en het is niet aangewezen om een geheime sleutel uit te wisselen met meer dan één correspondent. De sleutellengte moet voldoende lang zijn; men zou immers kunnen proberen om met alle mogelijke sleutels een versleuteld bericht om te vormen naar het oorspronkelijk bericht, zodanig dat men de sleutel kent.
  2. asymmetrische encryptie: bij asymmetrische encryptie zijn er twee sleutels: Men noemt asymmetrische encryptie soms ook publieke sleutel encryptie. De private sleutel moet geheim blijven: dit gebeurt meestal door de private sleutel te beschermen met een paswoord of met een PIN code van een chipkaart.
    De publieke sleutel mag verspreid worden op het Internet, met de publieke sleutel alleen kan men niets doen. Het probleem met de publieke sleutel is dat hij gekoppeld moet worden aan een persoon of een bepaalde Internetdienst (webserver, stukje programmacode, ...). Het koppelen van een publieke sleutel aan een persoon of dienst gebeurt meestal door Certification Authorities (afgekort CA). Een CA zal een publieke sleutel van een persoon of dienst tekenen met de private sleutel van de CA, na verificatie van de identiteit van de persoon of dienst. Zo ontstaat een digitaal certificaat , een soort identiteitsbewijs op het Internet. CA's kunnen hun eigen publieke sleutel tekenen met hun private sleutel (een self-signed certificaat), of men kan een ketting van CA's opzetten, waarbij via een hierarchie of via een netwerk de ene CA een certificaat aanmaakt voor een andere CA ( CA chaining ). Uiteindelijk zult u op één of andere manier het certificaat van één of meerdere CA's moeten vertrouwen. Sommige webbrowsers en mail readers worden geleverd met een aantal certificaten van gekende CA's.
    De standaard voor het formaat van certificaten is het ISO X.509 formaat.
    Private sleutels van CA diensten moeten uiteraard sterk beveiligd worden. Om een CA op te zetten bestaan er zuivere software oplossingen op traditionele computers (Unix en NT), waarbij deze machines uiteraard serieus beveiligd moeten worden, ofwel bestaat er speciale hardware die dienst kan doen als CA.
    Gezien een CA de identiteit van gebruikers moet controleren, wat niet steeds eenvoudig is, voorzien de meeste commerciële CA's verschillende klassen van certificaten, waarbij de manier van identiteitscontrole (en de daarmee samenhangende verantwoordelijkheid/verzekering van de CA) verschilt.
    Met behulp van asymmetrische cryptografie kan men meer doen dan enkel maar berichten versleutelen: men kan er ook digitale handtekeningen mee plaatsen.
    Net zoals bij symmetrische cryptografie hangt ook hier de veiligheid af van de lengte van de sleutels; korte sleutels kunnen gekraakt worden door alle mogelijke sleutelcombinaties te proberen.
    Certificaten worden meestal uitgereikt met een beperkte levensduur (bv. 1 jaar). Nadien moet men een nieuw certificaat aanvragen, of wordt het certificaat hernieuwd. Eén van de redenen hiervoor is dat een certificaat dat momenteel als veilig wordt beschouwd, in de toekomst eventueel niet meer als veilig aanzien wordt (bv. door de toegenomen rekenkracht zou men op relatief korte tijd de private sleutel kunnen vinden, of door vooruitgang in de cryptologie valt een bepaald cryptografisch algoritme sneller te kraken).

    De generatie van het sleutelpaar kan op twee manieren gebeuren:

    In sommige landen, of bij sommige systemen, eist men dat de private sleutel ergens bij een derde partij wordt opgeslagen.

    Wanneer een certificaat gekraakt wordt (de private sleutel wordt gestolen, en het paswoord dat de sleutel beschermt is eveneens gestolen), of wanneer er een vermoeden is dat een certificaat gekraakt zou zijn, of wanneer een certificaat verloren is (bv. harde schijf van een PC raakt stuk, en de gebruiker was vergeten een backup te maken van het certificaat), dan moet men het certificaat revoken (aangeven dat het certificaat niet meer geldig is). Een CA moet normaal een lijst bijhouden van certificaten die revoked werden, men noemt dit een certificate revocation list (CRL). Eén van de grote problemen van digitale certificaten in de praktijk is de verspreiding van de revocation lists naar alle personen of diensten die gebruik maken van certificaten (rechtstreeks, of onrechtstreeks bij CA chaining) uitgereikt door een bepaalde CA. Technisch zou de verspreiding van certificaten en revocation lists best gebeuren via een gedistribueerde wereldwijde Internet directory, maar grote, gedistribueerde directories zijn momenteel eerder schaars. De standaarden die men voorstelt om deze directories te beheren zijn X.500 en LDAP .
    De infrastructuur voor het beheren van certificaten noemt men ook PKI (Public Key Infrastructure).
    In de praktijk is het zo dat het CA gebeuren momenteel gedomineerd wordt door een paar bedrijven , die om economische redenen niet veel belang hechten aan cross-certificatie of gedistribueerde directories.

    Private sleutels bevinden zich meestal op de harde schijf van een eindgebruiker. Dit geeft praktische problemen voor personen die niet steeds op dezelfde computer werken (bv. studenten die in PC klassen van een universiteit werken). Smart Cards die via een Smart Card lezer gelezen kunnen worden, zijn waarschijnlijk de oplossing voor de toekomst.

In de praktijk is symmetrische cryptografie sneller dan asymmetrische cryptografie; daarom gebruikt men dikwijls een combinatie van beide technieken: via asymmetrische cryptografie start men een geëncrypteerde sessie waarin men een symmetrische sleutel afspreekt die dan in de rest van de sessie wordt gebruikt.

O.a. de Amerikaanse regering aanziet sterke cryptografie als militaire technologie die niet mag worden uitgevoerd. Software van Amerikaanse leveranciers mag enkel uitgevoerd worden met systemen die korte sleutels gebruiken: met een reeks krachtige computers, en met voldoende tijd, kan men de sleutels dan toch kraken. Voor bepaalde toepassingen (bv. banktoepassingen of toepassingen uitsluitend bestemd voor authenticatie) zijn de uitvoerregels minder streng.

Cryptografie is gebaseerd op mathematische formules; in sommige landen zijn deze formules gepatenteerd, en moeten er licentierechten betaald worden voordat men cryptografie die gebruikt maakt van deze formules kan aanwenden.

Encryptie kan op verschillende niveaus (in het OSI netwerklagenmodel ) gebeuren:

Bij encryptie op transport- of netwerkniveau spreekt men soms van VPN (Virtual Private Network) , omdat men dan op een relatief veilige manier gebruikers of netwerken van een bepaalde groep kan laten communiceren over het publieke Internet.

VPN's kunnen gebaseerd zijn op encryptie van computer tot computer, ofwel gebeurt de encryptie tussen twee firewalls die verschillende netwerksegmenten van een bedrijf verbinden via het publieke Internet.

Juridische vragen, toepasbare wetgeving

Zie ook de wet over digitale handtekeningen .

Referenties

OSTC The PISA-project is financed by the OSTC, Belgian Federal Office for Scientific, Technical and Cultural Affairs (DWTC - SSTC).
Project description of PISA 		URL: http://pisa.belnet.be/pisa/pisa.htm
PISA Home Page