%%{init: {"theme": "base", "flowchart": {"useMaxWidth": true}} }%%
graph TD
A("Encryption/Decryption") --> B("Symmetric: 1-key,<br/>to en- and decrypt")
A --> C("Asymmetric: 2 keys,<br/>Public key to encrypt<br/>Private key to decrypt")
style C fill:#ff9900,stroke:#333,color:#000
Asymmetrische encryptie
Cyberboswachters
Het sleutelprobleem bij symmetrische encryptie
- Per eindpunt een aparte sleutel nodig
- Aantal sleutels: \(n \times \frac{(n - 1)}{2}\)
| Gebruikers | Sleutels |
|---|---|
| 6 | 15 |
| 10 | 45 |
| 100 | 4950! |
Waarschuwing
Key distribution problem: op grote schaal (Internet) wordt sleutelmanagement onmogelijk!
Asymmetrische encryptie: werking
- Ontwikkeld in de jaren 70 door Diffie en Hellman
- Enorme impact op beveiligde communicatie via Internet
Publieke crypto: Bob gebruikt de publieke sleutel van Alice om haar een beveiligd bericht te sturen.
Digitale handtekening: concept
Het ondertekenen van een document met behulp van je private sleutel.
Diffie-Hellman: de verfkleurenmetafoor
- Alice en Bob spreken publiek een startkleur af (geel)
- Elk kiest een geheime kleur (nooit gedeeld)
- Ze mengen beide en sturen het mengsel naar elkaar
- Elk voegt bij het ontvangen mengsel de eigen geheime kleur toe
- Beiden komen uit op dezelfde eindkleur → gedeeld geheim
Tip
Verf mengen is makkelijk, ontmengen praktisch onmogelijk. In de digitale versie vervult de modulo-berekening die rol.
Intermezzo: Hashes
- Hashfunctie: zet data om naar code met vaste lengte
- Ongeacht de grootte van de input
- 1 bit wijzigen → totaal andere hash
- Identieke input → identieke hash
Het hash proces.
Digitale handtekeningen
Boodschappen ondertekenen met je private sleutel.
Digitale handtekeningen: hele process
Man-in-the-middle bij handtekeningen
Eve misbruikt het impliciete vertrouwen dat zit ingebouwd in het digitale handtekening proces.
Waarschuwing
We hebben een manier nodig om de identiteit van de eigenaar van een publieke sleutel te verifiëren!
Certificaat aanmaken: het proces
- Bob gaat naar een Registration Authority (RA)
- Identiteit verifiëren (ID-kaart, paspoort, …)
- Soms fysiek kantoor vereist
- RA stuurt aanvraag + Bobs publieke sleutel naar Certification Authority (CA)
- CA maakt certificaat aan én ondertekent het
Verificatie van certificaten
Zelfde hash genereren → vergelijken met certificaat na decryptie met publieke sleutel van CA
Certificaat in de browser
Het certificaat tijdens het surfen.
Opmerking
HTTPS + certificaten werken in tandem: encryptie én identiteitsverificatie.
Pas sinds ~2017 biedt >50% van websites HTTPS aan.
Breach of Trust
- Ergste scenario: private sleutel van CA wordt gestolen
- Aanvallers kunnen dan certificaten genereren op naam van de CA
- Alle certificaten van die CA (en sub-CA’s!) worden ongeldig
Certificaten bekijken in de browser
- Klik op het slotje naast de URL → certificaat openen
- Je ziet: geldigheidsduur, CA, publieke sleutel, algoritmes, …
- Tab Certificeringspad = de chain of trust
Het certificaat van België.
Self-signed certificaten
- Root CA’s hebben een self-signed certificate
- Verleend aan == Verleend door
- Als je de root CA niet vertrouwt → hele keten niet te vertrouwen
Windows SmartScreen
- Controleert automatisch het certificaat van applicaties
- Geen certificaat? → waarschuwing!
Windows 10 Smartscreen beschermt je van niet digitaal ondertekende software.
Opmerking
Geen certificaat ≠ automatisch onveilig. Certificaten kosten geld — niet alle ontwikkelaars kunnen dit betalen.
Windows Certificate Manager
Tip
Bekijk lokaal geïnstalleerde certificaten via certlm.msc
Web of Trust: vertrouwenspaden
- Carol kent Bob niet, maar vertrouwt Alice
- Alice heeft Bobs sleutel ondertekend
- Carol kan via dat vertrouwenspad Bobs sleutel aanvaarden
- Zo ontstaat een web van onderlinge vertrouwensrelaties
In een Web of Trust ondertekenen gebruikers elkaars sleutels.
TLS: twee taken
- Identiteitscontrole: certificaat (asymmetrische crypto) verifieert de website
- Sleuteluitwisseling: gemeenschappelijke sleutel afspreken (Diffie-Hellman, Elliptic Curve, …)
De erg belangrijke TLS tunnel tijdens het surfen met HTTPS.
Mutual TLS (mTLS)
- Normaal HTTPS: enkel de server heeft een certificaat
- Bij mTLS: ook de client authenticeert met een certificaat
- Typisch gebruikt in:
- Bankomgevingen, e-government
- Bedrijfs-VPN’s
- API-verkeer tussen backend-servers
Tip
De server weet dan zeker dat de client effectief is wie die beweert te zijn.
Man-in-the-middle: mitmproxy
- mitmproxy: Linux-tool voor MITM-aanval op HTTPS
- Aanvaller nestelt zich tussen client en website
- Zet eigen TLS tunnels op naar beide kanten
- Kan alle trafiek lezen en aanpassen
Een man-in-the-middle aanval met TLS.
Mitmproxy: verdediging
- Aanvaller kan geen geldige certificaten genereren
- Browser geeft waarschuwing bij ongeldig certificaat
De waarschuwing die Chrome genereert wanneer het een, potentiële, mitm-aanval detecteert.
Belangrijk
Negeer nooit certificaatwaarschuwingen in je browser!
