Het fort afbouwen

Deze pagina is voor wie niveau 3 al heeft staan. Heb je dat nog niet? Begin daar: de basis houdt veel meer tegen dan alles wat hieronder staat. Wat hier volgt, is het laatste stuk van de muur. Het kost meer moeite, en niet elk onderdeel is voor iedereen nodig.

Eerst de bouwtekening: wat bescherm je, en tegen wie?

Een fort tegen dieven ziet er anders uit dan een fort tegen een leger. De Amerikaanse burgerrechtenorganisatie EFF laat je daarom eerst zes vragen beantwoorden. Ze gebruiken zelf ook een huis als voorbeeld. (bron)

1. Wat wil je beschermen? Je mail, je geld, je foto’s, je gesprekken?
2. Tegen wie? Een oplichter die het bij iedereen probeert, een ex die jou kent, of een bedrijf dat meekijkt?
3. Hoe erg is het als het misgaat? Kun je het vervangen, of ben je het voorgoed kwijt?
4. Hoe waarschijnlijk is het?
5. Hoeveel moeite wil je ervoor doen?
6. Wie kan je helpen? Een huisgenoot, een familielid, iemand die er verstand van heeft.

Schrijf de antwoorden op. Dan zie je welke van de onderdelen hieronder voor jou zinvol zijn, en welke je rustig kunt overslaan.

De versterkte stand van je telefoon

Voor iedereen die meer wil:

• Geavanceerde gegevensbescherming (iPhone). Normaal kan Apple bij een deel van wat je in iCloud bewaart. Zet je dit aan, dan zijn de meeste gegevens, zoals je back-up, je foto’s en je notities, zo versleuteld dat alleen jij erbij kunt. Zelfs Apple niet, ook niet na een datalek. De keerzijde: raak je de toegang kwijt, dan kan Apple je niet helpen. Je stelt daarom eerst een herstelcontact of een herstelsleutel in. Schrijf die sleutel op papier en bewaar hem bij je andere herstelcodes. (bron)
• Geavanceerde beveiliging (Android). Eén knop die de sterkste beveiliging van je telefoon in één keer aanzet, en voorkomt dat die per ongeluk weer uitgaat. Hij blokkeert onder meer apps van buiten de officiële winkel en verbindingen met het oude, zwakke 2G-netwerk. Je vindt hem bij Instellingen, Beveiliging en privacy. (bron)

Alleen als je echt een doelwit bent:

• Isolatiemodus (iPhone, iPad en Mac). Volgens Apple bedoeld voor mensen die “om wie ze zijn of wat ze doen” doelwit kunnen zijn van de meest geavanceerde spionagesoftware. Je apparaat werkt dan niet meer zoals je gewend bent: de meeste bijlagen in Berichten worden bijvoorbeeld tegengehouden. (bron)
• Advanced Protection van Google. Voor je Google-account: inloggen kan dan alleen nog met een passkey of een beveiligingssleutel, en downloads worden strenger gecontroleerd. Google noemt het bedoeld voor mensen die opvallen en gevoelige informatie hebben. (bron)

Word je niet persoonlijk gezocht? Dan heb je de laatste twee niet nodig, en maken ze je telefoon vooral lastiger.

Alleen nog sleutels, en geen achterdeur

Op de ladder zag je de bovenste treden: passkeys en een sleutel in je hand. Het fort afbouwen betekent daar drie dingen bij:

1. Begin bij de sleutelbos zelf. Je passkeys worden bewaard en gedeeld via één account: je Apple-, Google- of Microsoft-account, of je wachtwoordmanager. Dat account moet zelf de sterkste sleutel hebben. Wie daar binnenkomt, heeft alle andere sleutels ook.
2. Altijd twee. Staat een sleutel op maar één apparaat, zoals een losse beveiligingssleutel? Meld dan een tweede aan als reserve. Anders moet je bij verlies via de herstelroute naar binnen, en dat is precies de weg die je dicht wilt hebben.
3. Sluit de achterdeur. Aanvallers richten zich op die herstelroute, omdat die vaak zwakker is dan het inloggen zelf. Kijk daarom bij je belangrijkste accounts welke andere wegen naar binnen er nog openstaan, zoals een code per sms of een beveiligingsvraag. Haal weg wat je niet meer nodig hebt. Houd wel één veilige weg terug over: herstelcodes op papier.

Alle drie komen uit het advies van het Britse NCSC over passkeys en beveiligingssleutels. (bron)

De schatkamer drie keer

In niveau 2 maakte je al twee reservekopieën. Daarmee zit je dicht bij de regel die beveiligingsdiensten zelf gebruiken: de 3-2-1-regel. (bron)

• 3 kopieën van alles wat belangrijk is: het origineel en twee reservekopieën.
• 2 soorten opslag, zoals een losse schijf en een dienst op internet.
• 1 kopie buiten de deur, dus niet in je eigen huis.

Twee dingen maken het af:

• Koppel de losse schijf los als de kopie klaar is. Het Britse NCSC zag vaak dat gijzelsoftware ook de schijven versleutelde die nog aan de computer hingen. (bron)
• Probeer het terugzetten. Of een reservekopie je redt, weet je pas als je het geprobeerd hebt. Zet daarom af en toe een paar bestanden terug en kijk of ze openen, bijvoorbeeld bij je onderhoud. (bron)

Een aparte sleutel voor de verbouwing

Op de meeste computers ben je beheerder. Dat betekent: alles wat je doet, mag alles. Ook een kwaadaardig programma dat via een bijlage binnenkomt, krijgt dan alle rechten. Werk je met een gewoon account, dan kan zo’n programma veel minder. (bron)

Zo richt je het in:

1. Maak een tweede account aan en maak dat beheerder. Noem het bijvoorbeeld “Beheer”, en geef het een eigen, sterk wachtwoord uit je wachtwoordmanager.
2. Maak je eigen account een gewoon account. In Windows heet dat een standaardgebruiker. Op een Mac vind je het bij Systeeminstellingen, Gebruikers en groepen.
3. Installeer je iets, of wijzig je een belangrijke instelling? Dan vraagt je computer om het wachtwoord van het beheerdersaccount. Dat typ je alleen als jij zelf net op installeren hebt gedrukt.

Microsoft zegt het zelf ook: het is veiliger om weinig beheerders te hebben en voor dagelijks werk een standaardaccount te gebruiken. (bron)

Een wachter bij het hek

Elke keer dat je een website opent, vraagt je apparaat eerst waar die site woont. Dat vragen heet DNS: het telefoonboek van internet. Normaal regelt je internetprovider dat telefoonboek. Je kunt ook een telefoonboek kiezen dat de adressen van bekende nepsites en kwaadaardige servers gewoon niet geeft.

De Europese Unie heeft zo’n dienst laten bouwen: DNS4EU. Hij draait in Europa, onder Europese privacyregels, en is gratis voor iedereen. (bron)

• Op je router, dan geldt het voor alles in huis. Vul bij de DNS-instellingen deze twee adressen in: 86.54.11.1 en 86.54.11.201. Dat is de beschermende variant. (bron)
• Kan dat niet op je router? Dan kan het per apparaat. DNS4EU legt op zijn site uit hoe.
• Kinderen in huis? Er is ook een variant die daarnaast content weert die niet geschikt is voor kinderen.

Een filter kent alleen de nepsites die al bekend zijn. Een gloednieuwe glipt er dus doorheen. Je eigen oplettendheid en je wachtwoordmanager blijven nodig.

De sleutels voor als jij er niet bent

Hoe sterker het fort, hoe erger het is als je zelf buitengesloten raakt. Heb je Geavanceerde gegevensbescherming aan en ben je je herstelsleutel kwijt? Dan kan zelfs Apple je niet meer helpen.

Leg daarom alles op papier vast in je noodpakket, en vul het aan met wat je op deze pagina hebt ingesteld:

• de herstelsleutel van Geavanceerde gegevensbescherming, als je die hebt aangezet;
• waar je reservesleutel ligt, als je een beveiligingssleutel gebruikt;
• het wachtwoord van je beheerdersaccount.

Regel ook wie erbij mag als jij er niet meer bent: een erfeniscontact bij Apple en Inactiviteitsvoorkeuren bij Google. Hoe dat werkt, staat bij je digitale nalatenschap.

Staat dit allemaal? Dan woon je in een fort. Houd het bij met het onderhoud, twee keer per jaar.