Security

Zo werkt privacy vandaag. Je leest het beleid. Je klikt de cookie-banner weg. Je spit door drie instellingenmenu’s heen op zoek naar de opt-out die iemand bewust heeft begraven. Dat doe je allemaal om een recht uit te oefenen dat standaard had moeten zijn. En terwijl je nog bij de eerste alinea van de servicevoorwaarden zit, is elke klik, scroll, hover en de exacte timing van je toetsaanslagen al geoogst, verpakt en verkocht. We hebben dit als normaal geaccepteerd. ...

Een cryptografische signature is een van de weinige dingen online die nog precies betekent wat er staat. Is de key van jou en verifieert de signature, dan komt de inhoud van jou. Punt. Geen vendor heeft je deze identiteit gegeven, geen CA kan hem intrekken, geen platform kan hem schorsen. Hij bestaat omdat jij de key hebt gegenereerd, en hij blijft van jou precies zolang jij de private helft in handen houdt. Het meeste wat we losjes “online identiteit” noemen is geleend: een handle die iemand kan bannen, een blauw vinkje dat iemand kan weghalen, een e-mailadres dat een domein-eigenaar terugeist op de dag dat het hem uitkomt. Een GPG-signature staat daar volledig buiten. De key die deze alinea heeft ondertekend is van jou of van iemand anders, en niemand krijgt daar een stem in. ...

Zo gaat een ISO 27001 audit meestal. Weken voordat de auditor langskomt begint iemand screenshots te verzamelen. Configuratieschermen, firewall regels, een dashboard dat laat zien welke patches zijn uitgerold. Daarna komen de Word documenten die beschrijven wat de systemen geacht worden te doen. Daarna de change tickets, opgediept uit een ticketsysteem, elk refererend aan een vaag “server onderhoud” dat niemand zes maanden later nog volledig kan reconstrueren. Iedereen behandelt dit als de prijs van zakendoen. Ik ook, jarenlang. ...

Een productieserver hapert om 3 uur ’s nachts. Je SSH’t naar binnen. En nu? De engineers die hier rustig blijven zijn degenen die de volgende tien commando’s al uit hun hoofd kennen, omdat ze precies deze loop al honderd keer hebben gedraaid, alleen met het woord “flag” in plaats van “incident”. Ik spendeer mijn avonden aan Hack The Box challenges en CTF competities. Ik heb geen plannen om pentester te worden. Ik zit prima in platform engineering. De reden dat ik ermee doorga is dat de skills rechtstreeks doorwerken in mijn dagelijkse werk, en die overdracht is groter dan het klinkt. ...

“Dus wat is dat zero trust precies waar iedereen het over heeft?” Ik krijg deze vraag vaak. Meestal van managers, directieleden, of iedereen die een security-budget moet goedkeuren zonder technische achtergrond. En de meeste uitleggen die ik tegenkom zijn verschrikkelijk. Ze verdrinken je in jargon, of ze schuren het concept zo ver af dat er niets bruikbaars overblijft. Dus dit is de metafoor waar ik in plaats daarvan naar grijp. Ik heb hem gebruikt om zero trust uit te leggen aan mijn ouders, aan directieleden, en aan die ene collega die de firewall nog steeds “de internetbox” noemt. Hij werkt omdat hij begint met iets dat iedereen heeft vastgehouden: een hotel keycard. Vanaf daar bouwen we het op, laag voor laag, tot je ziet hoe hetzelfde idee helemaal doorloopt tot aan mTLS en identity-aware proxies. ...