Online privacy en authenticatie: Hoe jouw privé-gegevens en identiteit verstrikt raken in het web

Linux staat bekend als een veilig besturingssysteem. Hetzelfde geldt voor de gebruikte applicaties, zoals Firefox. Voor een deel helpt deze software ook om je privacy te beschermen. Zo waarschuwt Firefox je bijvoorbeeld als bij een versleutelde verbinding een deel van de content toch over onbeveiligde verbindingen loopt. Voor een ander deel dien je zelf het gezonde verstand te gebruiken. Je hoeft bijvoorbeeld niet alles online te zetten. Maar toch gaan gegevens soms naar derden zonder dat je het meteen in de gaten hebt.

De bedoelingen zijn soms goed, maar misbruik ligt op de loer. Aanbieders van online diensten willen weten met wie ze te maken hebben. Ook bij het vaststellen van je identiteit is de scheidslijn tussen gebruik en misbruik soms maar dun. Omdat je computer veelal constant verbonden is met internet, hebben ook applicaties gemakkelijk de mogelijkheid om informatie naar anderen te sturen. Daarom bekijken we eerst kort hoe lokaal geïnstalleerde software je privacy in het geding kan brengen. Daarna gaan we snel over naar de situatie waarin je zelf online bezig bent.

 Applicaties

Soms vragen applicaties of er informatie over je systeem naar de ontwikkelaars gestuurd mag worden. In afbeelding 1 zie je een voorbeeld van een gecrashte Firefox. Merk op dat in dit geval je uit privacy overwegingen de keuze hebt om de URL al dan niet mee te sturen. Applicaties gebruiken ook online diensten om de functionaliteit te verhogen. Multimedia programma’s halen filmposters, liedteksten of CD gegevens op of leggen je muzikale profiel vast op Last.fm. Daar zitten misschien wel onverwachte of ongewenste diensten bij. Zo is in het audiotag programma Kid3 standaard importfunctionaliteit van Amazon geactiveerd.

Afbeelding 1

In deze gevallen bepaal je uiteindelijk zelf welke keuze je maakt. Maar of programma’s onder water wel of geen informatie uitwisselen, weet je niet zeker. In het geval van open source software hebben gebruikers in ieder geval nog toegang tot de code om dit uit te zoeken. Maar Linux gebruikers installeren ook pakketten van onofficiële repositories of rechtstreeks van de website van de ontwikkelaars. Daar zitten ook closed source applicaties tussen, zoals Google Chrome, Adobe Flash of Skype. Juist bij een groothandelaar in informatie zoals Google lijkt een gezonde dosis achterdocht op zijn plaats. Ook door plug-ins of themes te installeren via een applicatie haal je mogelijk onbetrouwbare code naar binnen. Met name browsers zijn hier het slachtoffer van.

 Ubuntu

In 2012 is zelfs een Linux distributie in opspraak geraakt: Ubuntu. Versie 12 van dit besturingssysteem introduceerde Ubuntu Lens. Hiermee zoek je via de Unity desktop op je PC naar documenten of programma’s. Standaard blijken de zoekopdrachten ook te gaan naar servers van Canonical, het bedrijf achter Ubuntu. Die gebruiken de gegevens om producten van Amazon erbij te halen. Als je dan op een dergelijk zoekresultaat klikt en iets koopt, ontvangt Ubuntu een commissie. Dit lijkt misschien een aardige manier om een distributie te steunen, maar ondertussen gaan zonder toestemming gegevens van jou naar derden. Pas in Ubuntu 16, gepland voor april 2016, zijn de online zoekresultaten geen standaard functionaliteit meer. Het is op zijn zachtst gezegd opmerkelijk dat na zoveel commotie Ubuntu hier vier jaar voor uittrekt.

Browsen

Een bekende bron van privacy-problemen zijn cookies. De website stuurt deze naar de browser. Die slaat ze op en bij het opvragen van een webpagina stuurt de browser de cookies weer terug. Vooral adverteerders gebruiken cookies om je surfgedrag te volgen. Dit soort cookies heten daarom tracking cookies. Om je hierop attent te maken, zijn sites voor de Nederlandse wet verplicht je te waarschuwen als ze cookies gebruiken.

 “Do Not Track” is onderdeel van het HTTP protocol. Door deze optie in de instellingen van je browser te activeren, verzoekt de browser aan de website om je niet te volgen. Omdat de browser niets kan afdwingen, is het maar de vraag hoeveel je hier in de praktijk aan hebt. Een betere optie is dan browsen in private mode. In deze modus slaan browsers lokaal geen data op. Daaronder vallen niet alleen cookies, maar ook zaken als wachtwoorden, history of gecachte webpagina’s. Firefox gebruikt hiervoor de term “Private Browsing” en Chrome “Incognito”.

 Location-Aware Browsing is een standaard van het World Wide Web Consortium (W3C) waarmee websites via de browser informatie opvragen over je geografische positie (afbeelding 2). Firefox gebruikt daartoe Google Location Services. Volgens de standaard moet je eerst toestemming verlenen. Tot nu houden browsers zich eraan. Je kunt deze optie ook geheel deactiveren, maar vreemd genoeg is dat vaak ver weggestopt.

 Afbeelding 2

Als je het zekere voor het onzekere wilt, kies dan de Tor Browser. Die is niet alleen standaard uitgerust met functionaliteit om je privacy te beschermen, maar maakt door de zogenaamde Onion routers het traceren van je netwerkpakketten ook nog eens erg lastig.

Zoekmachine

Zoekmachines, zoals Google en Bing, verzamelen ook informatie over jou. Om anoniem te zoeken zijn er alternatieven, zoals DuckDuckGo. Die slaat geen zoekresultaten op en stuurt de gebruikte zoektermen niet door naar sites als je op een zoekresultaat klikt. Andere voorbeelden zijn Ixquick en MetaGer. Deze zoekmachines staan als het ware tussen jou en de standaard zoekmachines in. Ze voeren de zoekactie voor jou uit en anonimiseren vervolgens de resultaten.

Als je altijd een bepaalde anonieme zoekmachine wilt, is het aan te raden deze ook in de instellingen van je browser op te voeren. Zo voorkom je dat in het geval je Firefox per ongeluk toch weer eens gebruikt, je ook standaard diens zoekmachine Google gebruikt. 

Online Wereld

We doen tegenwoordig zo ongeveer alles online. Door al je bezigheden vervolgens op sociale media te delen, bouwt een bedrijf als Facebook heel makkelijk een aardig compleet beeld van jou op. Maar gegevens komen soms ook via andere kanalen onbedoeld bij anderen.

 Door contactgegevens op je Linux laptop te synchroniseren met je mobieltje die altijd online is, hebben allerlei apps hier toegang toe, waaronder die van informatiegrossier Facebook. Bij het delen van bestanden via de online dienst OneDrive kijkt Microsoft mee naar de inhoud. Hetzelfde doet Google als je met anderen samenwerkt aan documenten op Google Docs.

 In het huidige cloud tijdperk schakelen steeds meer softwareleveranciers over van lokale installatie naar online diensten. Je gegevens en activiteiten zijn niet alleen bekend bij leveranciers. Ook andere instanties hebben mogelijk recht op inzage. Dit geldt zeker als data de landsgrenzen over gaan. We denken dan met name aan de Patriot Act in de VS.

 Online authenticatie

Om in te loggen op websites zie je steeds vaker de mogelijkheid om je Google of Facebook account te gebruiken (afbeelding 3). Je komt hiervoor ook wel de term social login tegen. Google of Facebook controleren de inloggegevens van je account en melden het resultaat aan de site. In geval van succes krijg je dan toegang tot de site. Op deze manier hoef je niet talloze accounts met wachtwoorden te onthouden. Je hebt nog maar de gegevens van één account nodig. Omdat de authenticatie via een internetdienst verloopt, heet dit online authenticatie. Aanbieders zoals Google en Facebook worden identity providers genoemd.

Afbeelding 3

Facebook, en ook LinkedIn overigens, gebruiken een eigen standaard, maar Google Accounts is gebaseerd op de open standaard OpenID. Niet alleen Google is een OpenID identity provider, maar ook Yahoo en Verisign zijn dat. Aan het eind van het artikel vind je een link naar een lijst met OpenID identity providers. OpenID is decentraal. Dat betekent dat je het account van de door jou gekozen OpenID identity provider mag gebruiken om in te loggen (zie ook afbeelding 3). Helaas zijn er toch nogal wat sites die OpenID authenticatie beperken tot Google.

 Er kleven natuurlijk ook bezwaren aan deze methode van authenticatie. Wat doet Facebook met het gegeven dat je op een bepaalde site inlogt? Sommige sites vragen behalve de authenticatieslag ook om toegang tot andere gegevens van je account. Ook moet de identity provider zelf betrouwbaar zijn. Zo heeft OpenID identity provider WordPress geen goed track record als het gaat om de afscherming van je account gegevens.

 Web single sign-on

Single sign-on (SSO) betekent dat je bij een applicatie succesvol inlogt en andere applicaties je op basis hiervan automatisch toegang verlenen. Hierdoor hoef je niet keer op keer je inloggegevens in te voeren. Ook voor authenticatie op websites bestaat SSO.

 De eenvoudigste methode is door middel van cookies. Google gebruikt dit bijvoorbeeld. Als je eerst inlogt op Gmail, hoef je niet nog eens je inloggegevens in te voeren op Google+, maar krijg je automatisch toegang. Om te voorkomen dat anderen toegang tot je gegevens krijgen, is het minstens zo belangrijk dat als je bij een dergelijke dienst uitlogt, je bij alle diensten wordt uitgelogd. Dit heet ook wel single sign-out.

 Mozilla Persona is een alternatief dat SSO combineert met online authenticatie. Persona gebruikt geen cookies, maar genereert certificaten om bij te houden of je al geauthentiseerd bent. Echter, door de veel grotere populariteit van social logins en OpenID stopt Mozilla in november van dit jaar dit project.

 Ook bedrijven gaan steeds meer over op cloud diensten. Zeker grote bedrijven willen de authenticatie in eigen beheer houden. Ze willen een koppeling met de eigen LDAP of Active Directory servers. Als je dan inlogt op het bedrijfsnetwerk, moet automatisch toegang tot de webapplicaties geregeld zijn. De open standaarden SAML en CAS zijn hiertoe ontwikkeld. Hiermee richt je web SSO in door authenticatiegegevens uit te wisselen tussen je eigen servers en de webapplicaties. CAS is ook de naam van het open source project dat niet alleen CAS maar ook SAML en OpenID ondersteunt.

 Tot slot

Door de steeds grotere verstrengeling van apparaten en diensten raak je het overzicht kwijt. Het verschil tussen lokaal en online vervaagt. Hierdoor doen je besturingssysteem en browser er steeds minder toe wat privacy betreft. Het komt erop aan dat je je bewust moet zijn van je bezigheden.

Sourceforge

SourceForge host nog steeds veel open source projecten. Het fotobewerkingsproject GIMP maakte in november 2015 op haar site bekend dat SourceForge installers bleek in te pakken in een nieuwe installer met adware. Later ontdekte Ars Technica dat meerdere bekende open source projecten getroffen waren. Het ging hier allemaal om Windows installers, maar het maakt duidelijk dat je moet oppassen met het zomaar installeren van pakketten, zelfs van bekende sites.