Ius mentis Homepage | Categorieën | Lijst A-Z | Willekeurig artikel | Herpubliceren? | Over deze site | Blog | Contact
 

De veiligheid van Webmail

E-mail lezen kan op vele manieren. Meestal komt de mail binnen bij de provider, waar gebruikers via POP3 of IMAP de berichten overhalen naar hun eigen computer zodat ze ze daar kunnen lezen. Ook is het soms mogelijk om op een computer van de provider in te loggen en daar met een programma als Pine direct mail te lezen en te bewerken.

Beide mogelijkheden hebben zo hun beperkingen. Zit je een keer niet thuis, of beschikt het Internet-cafe waar je nu zit te werken niet over een telnet-client om mee in te loggen bij je provider, dan is het niet mogelijk je mail te lezen. Web-based e-mail is hiervoor de oplossing: ga met Firefox of Internet Explorer naar een bepaalde pagina, vul gebruikersnaam en wachtwoord in, en alle mail komt keurig als Webpagina's binnen. Handig, maar er zijn een aantal grote risico's.

Inhoudsopgave

Soorten Webmail

Er zijn verschillende soorten Web-based e-mail diensten. De meest bekende vorm is een dienst als Hotmail, die losstaat van de eigen provider. E-mail is alleen beschikbaar als Webpagina's. Een andere vorm is een Webmail-applicatie van de eigen provider. Deze dient dan als aanvulling op de POP3- of IMAP-mogelijkheden. De Digitale Stad biedt bijvoorbeeld deze dienst. Gebruikers kunnen inloggen via telnet en Pine gebruiken, via POP3 hun mail overhalen en thuis lezen, of via een Webmail-applicatie vanaf elke plaats ter wereld hun mail lezen. Weer andere diensten bieden de mogelijkheid om bij een willekeurige POP3-server mail op te halen en via hun server af te beelden.

In alle gevallen is het principe hetzelfde: de gebruiker gaat naar een pagina met een formulier waar hij zijn gebruikersnaam en wachtwoord (en eventueel de naam van de te gebruiken POP3-server) in kan vullen, de server controleert of dit correct is, en als alles klopt stuurt deze een andere pagina met daarop een lijst met alle mailtjes van de gebruiker. Deze kan nu een mailtje aanklikken, waarna de server een pagina stuurt met daarin het mailtje.

Caching

Elke browser beschikt over een ingebouwde cache. Hierin worden alle opgehaalde pagina's bewaard, zodat ze de volgende keer direct getoond kunnen worden. Voor gewone pagina's is dat een voordeel, maar voor Webmail pagina's niet. De pagina's met daarin de inhoud van de gelezen mailtjes worden immers ook in de cache bewaard. Dit betekent dat de volgende gebruiker van die computer in de cache kan bladeren en zo alle mail kan lezen. Met name in Internet-cafe's is het zo vaak mogelijk om de mail van andere mensen in te zien.

Sommige Webmail-diensten versturen daarom alle pagina's met een expiration date die in het verleden ligt. Browsers mogen deze dan niet in de cache bewaren, maar moeten deze elke keer weer van de server halen. Dit biedt een gedeeltelijke verdediging tegen deze truc. Sommige browsers bieden nog steeds de mogelijkheid om via de "Back" knop zulke pagina's te raadplegen zonder dat zij daarbij letten op de expiration date.

Wachtwoorden

In normale omstandigheden leest een gebruiker zijn mail via een programma op zijn eigen computer. Dit programma legt een verbinding met de mailserver (een POP3- of IMAP-server), en stuurt het wachtwoord over deze verbinding. Als de server heeft gecontroleerd dat het klopt, stuurt de server over deze verbinding een overzicht van de nieuwe mail, en daarna alle mailtjes die de gebruiker wil lezen. De gebruiker hoeft maar een keer zijn wachtwoord op te geven, daarmee is hij geauthenticeerd voor de rest van de verbinding.

Wachtwoorden meesturen

Het Web (of beter: het HTTP-protocol waarmee Webpagina's overgehaald worden) kent deze mogelijkheid niet. Voor elke pagina, elk plaatje of ander bestand dat moet worden overgehaald, maakt de browser een nieuwe verbinding met de server. Bij Webmail-toepassingen betekent dit dat de browser bij elk nieuw mailtje opnieuw het wachtwoord mee moet sturen, omdat anders de kans bestaat dat een derde met enige kennis van zaken de boel kan neppen.

Het is alleen niet goed mogelijk om dit wachtwoord eenmalig aan de gebruiker te vragen en vervolgens meerdere malen mee te sturen, zonder het ergens op te slaan. Opslaan in een cookie is een mogelijkheid, maar daarmee belandt het tevens op de harde schijf van de computer waar de browser op draait. Bovendien werkt het niet als de gebruiker cookies uit heeft staan.

Alternatieven

Een alternatief is de gegevens opsturen via een formulier. Dit kan op twee manieren. De eerste is via een "GET" request, waarbij de gegevens in de URL opgeslagen zijn. Iedereen die de URL kan achterhalen, weet dan het wachtwoord. Dit kan de beheerder zijn van de proxy die tijdens het mail lezen werd gebruikt, maar ook iemand die over de schouder van de gebruiker kijkt, of nadat deze weg is rustig gaat bladeren in de reeds bezochte pagina's. Als de gebruiker op een link in een mailtje klikt, wordt deze URL vaak zelfs meegestuurd naar de betreffende server. De beheerder daarvan heeft dan alle informatie om de mail van die gebruiker te lezen.

De tweede mogelijkheid is via een "POST" request, waarbij de gegevens apart verstuurd worden. Het wachtwoord is dan veel lastiger te achterhalen, maar het is nu niet langer mogelijk om een gewone tekstuele link te maken naar een mailtje waarmee het wachtwoord automatisch meegestuurd wordt.

Afluisteren

Hoe het wachtwoord ook wordt verstuurd, het gaat over een onbeveiligde verbinding naar een Webserver. Dit biedt de mogelijkheid voor derden om deze verbinding af te tappen en zo wachtwoorden te achterhalen. Dit is niet specifiek een probleem met Webmail: het geldt net zo goed voor inloggen en andere toepassingen waarbij de gebruiker zich moet authenticeren. Er zijn hiervoor dan ook legio oplossingen. De bekendste is het gebruik van SSL, waardoor de wachtwoorden en de mailtjes over een versleutelde verbinding worden verstuurd. Het is dan ook altijd aan te raden om SSL te gebruiken als deze mogelijkheid aangeboden wordt.

Een afluisterprobleem van een heel andere orde doet zich voor bij Webmail diensten die het mogelijk maken om mail van een willekeurige provider te lezen. De gebruiker moet dan bij het inloggen niet alleen gebruikersnaam en wachtwoord opgeven, maar ook de POP3-server van zijn provider. De server krijgt deze informatie, maakt een verbinding met die POP3-server en probeert zo alle mail op te halen. Vervolgens wordt deze aan de gebruiker doorgegeven. Zo is het mogelijk om toch via het Web je mail te lezen als je provider zelf geen Webmail- of inlog-faciliteiten biedt.

Het betekent wel dat deze dienst nu alle mailtjes kan lezen, en bovendien bij zou kunnen houden wat gebruikersnamen en wachtwoorden zijn van al hun gebruikers. Of ze dit doen, is een kwestie van vertrouwen. Hetzelfde geldt immers voor de eigen provider, of voor Webmail-diensten met eigen mailservers.

Conclusie

Webmail-diensten zijn handig in situaties waarin je, om wat voor reden dan ook, niet je eigen e-mailprogramma kunt gebruiken. Er kleven echter wel de nodige risico's aan. Het is niet verstandig om belangrijke of zeer persoonlijke mailtjes naar je Webmail-adres te laten sturen, en als je eigen provider een Webmail-dienst aanbiedt, is het gebruik hiervan aan te bevelen ten opzichte van een Webmail-dienst bij een derde.

In ieder geval is het altijd verstandig om na het gebruik van een Webmail-dienst de browser uit te schakelen door alle windows af te sluiten (soms worden mailtjes in een apart window getoond), daarna deze weer op te starten en de schijf- en geheugencaches geheel te wissen.

Gerelateerde artikelen

Gespecialiseerd advies nodig?

Heeft u na het lezen van dit artikel nog vragen, of zit u met een juridisch probleem waar u advies over wilt? Neem dan contact op met ICT-jurist Arnoud Engelfriet, auteur van dit artikel.

© Arnoud Engelfriet. Dit werk mag vrij worden verspreid en gepubliceerd zoals bepaald in de licentievoorwaarden.

Laatste wijziging:
6 november 2018