Handleiding beveiligen alternatieve media

Inleiding

Paragraaf 7.3.5 van het Logisch Ontwerp GBA vereist waarborgen om Alternatieve Media tegen ongeautoriseerde toegang tijdens transport te beschermen. Daarom stelt RvIG u een methode ter beschikking om de gegevens te versleutelen zodanig dat ze alleen nog door RvIG gelezen kunnen worden.

Deze handleiding beschrijft hoe u beveiligde Alternatieve Media kunt maken, en bevat daarnaast een volledige technische verantwoording van de gebruikte beveiligingsmethode.

U kunt beveiligde Alternatieve Media op 2 manieren maken:
1. Met het speciaal daarvoor gemaakte programmaatje (BAM) waarmee u met één druk op de knop de bestanden met persoonsgegevens kunt beveiligen voordat u ze naar RvIG opstuurt. Dit programma werkt alleen op een Windows-PC. U vindt de handleiding van dit programma in paragraaf 2.1.
2. U hoeft BAM niet noodzakelijk te gebruiken. De beveiliging werkt geheel volgens open standaarden, dus u bent vrij om een keuze te maken in de software die u gebruikt. Paragraaf 2.2 van deze handleiding beschrijft hoe u met gebruik van vrij verkrijgbare Open Source-software uw aan te leveren bestand(en) kunt beveiligen.

Tot slot omvatten hoofdstuk 3 en bijlage A een technische beschrijving van de methode, en uitleg waarom deze methode veilig is.

Als u alleen wilt weten hoe u een Alternatief Medium kunt beveiligen met behulp van een Windows-PC, dan hoeft u alleen paragraaf 2.1 te lezen.

Beveiliging van Alternatieve Media

De meest eenvoudige manier om een beveiligd bestand te maken is gebruikmaken van het speciale programma “BAM” (Beveiligen Alternatieve Media). Het programma is alleen geschikt voor  Microsoft Windows. Als u een ander besturingssysteem gebruikt, kunt u andere software  gebruiken. Zie hiervoor paragraaf 2.2.

Op de website kunt u het ZIP-bestand “Beveiliging alternatieve media GBA-V 2.3.0” downloaden.
Als u het ZIP-bestand dat u heeft gedownload opent, dan ziet u de volgende bestanden:

Gebruik maken van BAM

Dubbelklik op BAM om het programma te starten. De andere bestanden die u ziet kunt u negeren. Het volgende scherm verschijnt:

Klik op de knop met de tekst “Kies het bestand dat u wilt beveiligen”. Er verschijnt dan een standaard-scherm waarmee u een bestand kunt selecteren. In bijna alle gevallen heet dat bestand ‘GBA.DAT’, maar u kunt elk bestand dat u wilt selecteren.

U kunt ook een naam kiezen voor het beveiligde bestand dat BAM gaat maken. Standaard wordt er de naam van het invoerbestand ingevuld, met ‘-BEVEILIGD’ erachter. Meestal zal het resultaat van de verwerking dus ‘GBA.DAT-BEVEILIGD’ heten.

U kunt er voor kiezen om na de beveiliging het originele, onbeveiligde bestand meteen te verwijderen door de optie ‘Origineel verwijderen’ aan te vinken.
Als u alles naar wens heeft ingevuld klikt u op ‘Beveiligen’. BAM maakt nu een beveiligd bestand voor u. Afhankelijk van de grootte van het bestand en de snelheid van uw computer kan dat even duren.

Als BAM klaar is verschijnt een bevestigingsvenster:

Mocht u meerdere bestanden hebben die u wilt beveiligen, dan kiest u voor “Ja” en u keert terug naar het beginscherm. Kiest u voor “Nee” dan wordt het programma afgesloten.

Maak vervolgens een Alternatief Medium met het beveiligde bestand, volgens de standaardprocedure die daarvoor bestaat (meestal betekent dat dat u GBA.DAT-BEVEILIGD op een CD of DVD brandt of via FTPS aanlevert).
Dit Alternatief Medium kunt u nu veilig opsturen naar RvIG. De rest van deze handleiding hoeft u niet te lezen.

Zelf een versleuteld bestand maken

Als u liever zelf het bestand aanmaakt en niet het BAM-programma wilt gebruiken, of u wilt het beveiligde bestand maken op een computer of server die een ander besturingssysteem dan Microsoft Windows gebruikt, dan kunt u daar bijvoorbeeld het Open Source-programma “GNU Privacy Guard” (kortweg GnuPG) voor gebruiken. Deze paragraaf geeft informatie over hoe dat gaat.

De Windows-versie van GnuPG vindt u in het ZIP-bestand bij BAM (het programma heet gpg.exe). BAM gebruikt gpg.exe om het beveiligde bestand te maken. De meeste Linux-systemen hebben standaard GnuPG geïnstalleerd, en sommige versies van UNIX ook.

GnuPG biedt geen grafische schermen. U zult dus vanaf een commandoregel moeten werken. U kunt controleren of GnuPG al op uw systeem is geïnstalleerd met het volgende commando: gpg --version
Kan uw systeem het commando ‘gpg’ niet vinden, installeer dan GnuPG. Raadpleeg de handleiding van uw besturingssysteem om eventueel alsnog een meegeleverde versie van GnuPG te installeren, of download GnuPG van http://www.gnupg.org/download/. GnuPG is ook te installeren op Mac OS X.

Als GnuPG is geïnstalleerd, importeer dan de sleutel van RvIG met het commando:
gpg --import gbavpubkey.asc

U vindt het bestand “gbavpubkey.asc” in het gedownloade ZIP-bestand.

Vervolgens typt u het volgende commando:
gpg -r "Agentschap BPR" -o GBA.DAT-BEVEILIGD -e GBA.DAT

Na enige tijd (afhankelijk van de grootte van uw GBA.DAT-bestand en de snelheid van de computer) is het programma klaar, en is GBA.DAT-BEVEILIGD uw beveiligde bestand.

Uiteraard bent u vrij om andere bestandsnamen te kiezen, GBA.DAT en GBA.DAT-BEVEILIGD dienen hier alleen als voorbeeld.

Maak vervolgens een Alternatief Medium met het beveiligde bestand, volgens de standaardprocedure die daarvoor bestaat. Dit Alternatief Medium kunt u nu veilig opsturen naar RvIG.

Technische verantwoording

Dit hoofdstuk beschrijft precies hoe de versleuteling van de gegevens in z’n werk gaat. Als u uitsluitend wilt weten hoe u een beveiligd Alternatief Medium kunt maken, hoeft u dit hoofdstuk niet te lezen.

De gegevens worden versleuteld volgens de zogenaamde OpenPGP-standaard1. Omdat dit een open, vrij beschikbare standaard is zijn er meerdere software-pakketten verkrijgbaar die u kunt gebruiken.

Hoe werkt het?

OpenPGP specificeert hoe berichten kunnen worden versleuteld, gecomprimeerd en digitaal ondertekend. Daarbij kan worden gekozen uit een aantal algoritmen voor deze verschillende technieken. RvIG raadt daarbij aan om voor versleuteling gebruik te maken van AES2562, en voor compressie van BZIP23. Van digitale ondertekening wordt geen gebruik gemaakt.

Voor de bescherming van de Alternatieve Media is gekozen voor asymmetrische versleuteling. Dat betekent dat RvIG een zogenaamd sleutelpaar heeft gemaakt, bestaande uit een publieke sleutel en een geheime sleutel. De publieke sleutel treft u aan bij de software; de geheime sleutel heeft alleen RvIG.

De essentie van asymmetrische versleuteling is dat alle gegevens die met de publieke sleutel zijn versleuteld, uitsluitend met de bijbehorende geheime sleutel weer leesbaar kunnen worden gemaakt. Dus een bestand dat u versleuteld heeft met de publieke sleutel van RvIG, kan alleen RvIG nog lezen.
Als u software heeft die met OpenPGP kan omgaan, kunt u de publieke sleutel daarin importeren en zelf het bestand GBA.DAT daarmee versleutelen. In het pakket dat u van RvIG ontvangt treft u zo’n programma aan: de GNU Privacy Guard4.

Bij de sleutel is al aangegeven dat de voorkeur wordt gegeven aan AES256 en BZIP2, zodat de software automatisch van deze methoden gebruik zal maken. Zie voor een meer gedetailleerde handleiding paragraaf 1.2, ”Zelf een versleuteld bestand maken”.

Als u deze software niet heeft, of liever een eenvoudiger oplossing kiest, dan kunt u het door RvIG gemaakte programma “BAM” (Beveiliging Alternatieve Media) gebruiken. Zie paragraaf 1.1 voor een uitleg over de werking van dit programma.

Hoe is de privacy gewaarborgd?

Het beveiligde bestand dat u op de CD zet is versleuteld met de sterkste variant van de Advanced Encryption Standard (AES). De sleutel die nodig is om het bestand te ontsleutelen is alleen in bezit van RvIG. Niemand anders dan RvIG kan dus de gegevens lezen.

Wat is de oorsprong van de programmatuur?

BAM.exe (“Beveiliging Alternatieve Media”) is ontwikkeld door het project Modernisering GBA. Het programma gebruikt de GNU Privacy Guard om uw bestand te beveiligen in OpenPGP-formaat.
Ook worden 2 Open Source-bibliotheken gebruikt door BAM: MinGW5 en Qt6. Van alle software (inclusief meegeleverde Open Source-componenten) kan de broncode op verzoek ter beschikking worden gesteld.

Wat doet BAM.exe en wat is de link met GnuPG?

BAM.exe is het programma dat de complexiteit van GnuPG voor u verbergt. U kunt de naam van het originele bestand invoeren, de gewenste naam van het beveiligde bestand, en vervolgens op de button “Beveiligen” klikken.
Als u dat doet wordt GnuPG onzichtbaar voor u uitgevoerd met de opties die zijn gespecificeerd in Bijlage A (A.1, “Opties voor GnuPG”).