Security

Zo werkt privacy vandaag. Je leest het beleid. Je klikt de cookie-banner weg. Je spit door drie instellingenmenu’s heen op zoek naar de opt-out die iemand bewust heeft begraven. Dat doe je allemaal om een recht uit te oefenen dat standaard had moeten zijn. En terwijl je nog bij de eerste alinea van de servicevoorwaarden zit, is elke klik, scroll, hover en de exacte timing van je toetsaanslagen al geoogst, verpakt en verkocht. We hebben dit als normaal geaccepteerd. ...

Mijn homelab cluster draait in een kast thuis. Ikzelf niet. Ik werk vanuit koffiebars, vanuit een klantkantoor, soms vanuit een hotel met WiFi die actief vijandig aanvoelt. En ik wil dan nog steeds bij mijn eigen machines kunnen terwijl ik daarbuiten zit. Jarenlang was het standaardantwoord daarop dat je gaten in je eigen voordeur prikt. Forward een poort op de router, zet dynamic DNS op zodat het wisselende thuis-IP niet alles breekt, schrijf firewall regels, en hoop dan stilletjes dat niemand die het internet scant op de SSH daemon stuit die je net hebt blootgesteld. Het werkt, in de zin dat je bij je spullen kunt. Het betekent ook dat een deel van je privénetwerk nu de hele dag, voor altijd, vragen van vreemden beantwoordt. ...

Een cryptografische signature is een van de weinige dingen online die nog precies betekent wat er staat. Is de key van jou en verifieert de signature, dan komt de inhoud van jou. Punt. Geen vendor heeft je deze identiteit gegeven, geen CA kan hem intrekken, geen platform kan hem schorsen. Hij bestaat omdat jij de key hebt gegenereerd, en hij blijft van jou precies zolang jij de private helft in handen houdt. Het meeste wat we losjes “online identiteit” noemen is geleend: een handle die iemand kan bannen, een blauw vinkje dat iemand kan weghalen, een e-mailadres dat een domein-eigenaar terugeist op de dag dat het hem uitkomt. Een GPG-signature staat daar volledig buiten. De key die deze alinea heeft ondertekend is van jou of van iemand anders, en niemand krijgt daar een stem in. ...

Lange tijd vernieuwde ik mijn certificaten zoals de meeste mensen dat doen: een agenda-reminder, een handmatige certbot-run en de stille hoop dat ik er op tijd aan zou denken. Dat werkte. Het werkte precies tot de ochtend waarop een service me om de oren sloeg met certfouten en ik geen idee had waarom, omdat de renewal-cron al weken stilletjes faalde. Dat is het stuk dat niemand je vertelt over handmatige TLS. De fout kondigt zichzelf niet aan. Het certificaat verloopt gewoon, meestal op het slechtst denkbare moment, en je komt erachter omdat een browser tegen iemand staat te schreeuwen. De kennis over vernieuwing eindigt in het hoofd van één persoon. Teams slaan HTTPS over op interne services omdat het handmatig optuigen vervelend genoeg is om uit te stellen. ...

De eerste keer dat een service niet meer resolvede in een van mijn clusters, zat ik een avond iptables chains te lezen. Honderden regels, gegenereerd door kube-proxy, van boven naar beneden geëvalueerd. Ik heb het echte probleem nooit gevonden. Ik herstartte een node en het was weg. Dat zat me meer dwars dan de outage zelf. Ik draaide iets dat ik niet kon lezen. Dat gevoel is waarom ik naar Cilium ben overgestapt. Het gebruikt eBPF om networking logica naar beneden te duwen, de Linux kernel in, en slaat iptables volledig over. Je krijgt betere performance, je kunt daadwerkelijk zien wat je verkeer doet, en network policies worden geen giswerk meer. ...