Een telefoon is geen kluis

De digitale cultuur verkoopt het gevoel van een geheime ruimte: een verborgen map, een verdwijnend bericht, een beveiligde chat. Maar een geheim gedeelte binnen een telefoon blijft een deel van die telefoon, en een verstuurd bericht een deel van andermans apparaat.

De huidige NIST-aanbevelingen voor digitale identiteit verschillen duidelijk van het oude schoolritueel „acht tekens, een hoofdletter, een cijfer en verplicht elke drie maanden wijzigen”. De actuele versie legt de nadruk op lengte, het blokkeren van bekende gelekte wachtwoorden, de afwezigheid van zinloze samenstellingsregels en wijziging bij aanwijzingen van compromittering, niet volgens de kalender.

Dat is een goed voorbeeld van volwassen beveiliging: een eis wordt niet beoordeeld op hoe streng zij oogt, maar op de vraag of zij het werkelijke risico verkleint. Een lange unieke zin en een extra factor zijn meestal nuttiger dan een wachtwoord dat iemand volgens schema wijzigt van Winter25! in Spring26!.

Een apparaat kun je verliezen, het kan ontgrendeld of met malware besmet worden, in beslag genomen worden of gedwongen worden gegevens met de cloud te synchroniseren. Je gesprekspartner kan een schermafbeelding maken, een bericht doorsturen of het opslaan voordat het verdwijnt.

Bij AI-diensten is een apart risico ontstaan. Een lang contract, een medisch document of een werkarchief upload je makkelijk in een systeem alleen omdat ze lastig te lezen zijn. Maar gemak is geen toestemming om gegevens door te geven.

Vóór het uploaden moet je nagaan of het contract of het beleid van de organisatie dit toestaat, waar de gegevens worden bewaard, wie er toegang toe krijgt en of de dienst gebruikt mag worden voor informatie van derden. Bijzonder voorzichtig moet je omgaan met medische gegevens, ongepubliceerd materiaal, contracten, persoonsgegevens en bedrijfsgeheimen.

Daarom is de eerste vraag van digitale veiligheid:

Moet dit überhaupt op het apparaat staan?

Verdwijnende berichten verkorten de bewaartermijn bij sommige deelnemers, maar garanderen niet dat de informatie verdwijnt. Een verwijderd bestand mag je evenmin als gegarandeerd vernietigd beschouwen.

Verstandiger is uit te gaan van een eenvoudig model:

Alles wat ooit verstuurd is, kan voor een derde toegankelijk worden.

Dat betekent niet dat je elk bericht moet schrijven als een verklaring voor de rechtbank. Nabij contact is onmogelijk zonder enig vertrouwen. Maar bijzonder gevoelige informatie kun je beter:

• niet zonder noodzaak aanmaken;
• niet doorsturen naar een groepschat;
• op een beveiligde plek bewaren;
• in toegang beperken;
• uit back-ups verwijderen als dat werkelijk nodig is;
• beoordelen op de gevolgen van openbaarmaking.

De techniek van de „dubbele bodem” schept een extra geheim en een extra risico. Onder dwang kan zij de situatie zelfs verslechteren, als het verborgen gedeelte wordt ontdekt.

Digitale veiligheid moet de afhankelijkheid van misleiding verkleinen, niet een ingewikkelder misleiding scheppen.

Als iemand eist dat je je berichten laat zien, is het probleem misschien niet technisch. Mogelijk gaat het om controle, geweld of het ontbreken van een veilige eigen ruimte. Dan heb je geen tweede berichtenapp nodig, maar een mens of een instantie die kan helpen je grenzen te beschermen.

Nadat je hebt besloten wat je werkelijk wilt bewaren, begint het saaiere en betrouwbaardere deel van de bescherming: unieke wachtwoorden, aparte toegangsfactoren en geteste back-ups.

Als één website gegevens verliest, mag hetzelfde wachtwoord niet ook je e-mail, je bank en je medisch dossier openen.

Wachtwoorden genereer en bewaar je het beste in een betrouwbare manager. Het hoofdwachtwoord moet lang zijn, te onthouden en nergens anders gebruikt worden.

Het verstoppen tussen een lange lijst gelijkende regels is een slecht idee. Zo’n systeem hangt af van je geheugen voor de plek van de fout en schept de kans dat de eigenaar zelf de toegang niet meer herstelt.

Herstelcodes kun je apart bewaren:

• op een beveiligd papieren briefje;
• in een kluis;
• in een versleutelde opslag;
• bij een vertrouwd persoon, als dat gerechtvaardigd is.

Voor belangrijke accounts moet je tweefactorauthenticatie inschakelen: naast het wachtwoord is er dan nog een bevestiging nodig. Waar sterkere methoden beschikbaar zijn — een hardwaresleutel of een passkey — verdienen die meestal de voorkeur boven een gewone code per bericht.

Maak je pincode niet ingewikkelder door theatraal extra toetsen in te drukken. Dek liever het toetsenbord af met je hand en voer de code niet in waar men je gadeslaat.

Als je een wachtwoord aan iemand anders hebt moeten geven, wijzig het dan na gebruik. Maar in een normaal systeem krijgt elke gebruiker eigen toegang. Een gedeeld wachtwoord maakt onduidelijk wie wat heeft gedaan.

Back-ups moeten los van het origineel bestaan. Een kopie op dezelfde schijf beschermt slechter tegen per ongeluk wissen dan het lijkt en beschermt vrijwel niet tegen defect, diefstal of brand.

Een digitaal document is niet eeuwig. Formaten verouderen, dragers begeven het, accounts worden geblokkeerd. Betrouwbaarheid komt niet van de digitale aard, maar van regelmatig kopiëren en het herstel af en toe testen.

De meest verbreide huiskluis is het gesprek met jezelf. Daarheen stuurt men de foto van het paspoort vóór een reis, een plaatje van de bankpas, het wifiwachtwoord van het vakantiehuis, de scan van een contract, de deurcode van de ouders en een verklaring van de huisarts. Het gemak zit er juist in dat er geen besluit wordt genomen: het bestand wordt niet gekozen om te bewaren, het wordt even weggelegd. Zo is iemands gevoeligste archief bijeengebracht zonder één bewuste handeling en gesynchroniseerd met alle apparaten waarop hij ooit heeft ingelogd, inclusief de werklaptop en de oude tablet bij zijn ouders.

Nuttiger is de telefoon als etalage te zien en niet als kluis: alles wat erin terechtkomt, kan ooit door iemand anders worden gezien. Je opgeslagen berichten doorlopen kost een kwartier en eindigt meestal met de onaangename ontdekking wat daar allemaal ligt.