Wat is encryptie?

Definitie: Encryptie, in het Nederlands ook versleuteling, is het omzetten van leesbare gegevens in onleesbare code met behulp van een algoritme en een sleutel. Alleen wie de juiste sleutel heeft, kan de gegevens weer leesbaar maken.

In het kort

• Er zijn twee hoofdvormen: symmetrische encryptie met één gedeelde sleutel, zoals AES, en asymmetrische encryptie met een publieke en een privésleutel, zoals RSA.
• Encryptie beschermt gegevens onderweg (in transit), bijvoorbeeld via HTTPS, en gegevens in opslag (at rest), bijvoorbeeld op een schijf of in een database.
• Bij end-to-end encryptie kunnen alleen de verzender en de ontvanger de inhoud lezen, ook de aanbieder van de dienst niet.
• Hashing is verwant aan encryptie, maar werkt maar één kant op en wordt gebruikt om wachtwoorden veilig op te slaan.

Wat is encryptie?

Encryptie maakt gegevens onleesbaar voor iedereen die de sleutel niet heeft. Een bericht als “factuur 2024-118 is betaald” wordt na versleuteling een reeks tekens zonder zichtbare betekenis. Die versleutelde tekst heet cijfertekst. Wie de juiste sleutel heeft, kan de cijfertekst weer omzetten naar de oorspronkelijke tekst. Dat heet ontsleutelen of decryptie.

Twee onderdelen bepalen hoe het werkt:

• Het algoritme: de rekenregels waarmee gegevens worden omgezet. Bekende algoritmen zijn openbaar en uitgebreid getest. De veiligheid zit niet in het geheimhouden van de methode.
• De sleutel: een lange reeks bits die bepaalt hoe het algoritme de gegevens omzet. Zolang de sleutel geheim blijft, zijn de gegevens beschermd.

NordVPN wijst op een belangrijk punt: encryptie voorkomt niet dat gegevens worden gestolen. Het zorgt ervoor dat gestolen gegevens onbruikbaar zijn voor wie de sleutel niet heeft. Encryptie is daarmee een laatste verdedigingslinie, naast toegangsbeheer, goede wachtwoorden en bijgewerkte software.

Waarom is encryptie belangrijk?

Gegevens zijn kwetsbaar op elk moment: tijdens het versturen over internet, op een server, op een laptop die in de trein blijft liggen of in een back-up bij een externe partij. Encryptie beschermt die gegevens op elk van die plekken.

OVHcloud noemt vijf redenen waarom encryptie onmisbaar is:

1. Vertrouwelijkheid: alleen bevoegde personen kunnen de gegevens lezen.
2. Veiligheid: gestolen of onderschepte gegevens zijn onbruikbaar.
3. Integriteit: je kunt vaststellen of gegevens onderweg zijn gewijzigd.
4. Authenticatie: je kunt controleren of een bericht echt van de afzender komt.
5. Juridische redenen: wetgeving zoals de AVG vraagt passende maatregelen om persoonsgegevens te beveiligen, en versleuteling wordt daarbij uitdrukkelijk genoemd.

Symmetrische en asymmetrische encryptie

Symmetrische encryptie

Bij symmetrische encryptie gebruiken de afzender en de ontvanger dezelfde sleutel. Dat is snel en efficiënt. De zwakke plek is het delen van de sleutel: hoe krijg je die veilig bij de ontvanger zonder dat iemand anders hem onderschept?

AES, de Advanced Encryption Standard, is de bekendste symmetrische methode. Volgens Kinsta werkt AES met sleutels van 128, 192 of 256 bit en geldt het als een van de veiligste methoden. AES-256 wordt veel gebruikt voor het versleutelen van opgeslagen gegevens. Oudere methoden zoals DES gelden als verouderd.

Asymmetrische encryptie

Bij asymmetrische encryptie heeft iedere partij een sleutelpaar. De publieke sleutel mag iedereen kennen; daarmee versleutel je een bericht. Alleen de bijbehorende privésleutel kan het weer ontsleutelen. Zo hoef je nooit een geheime sleutel te delen.

RSA is de bekendste asymmetrische methode, genoemd naar de makers. Volgens OVHcloud worden RSA-sleutels kleiner dan 2048 bit niet meer als betrouwbaar gezien en wordt 4096 bit aanbevolen. ECC, elliptische-curvecryptografie, biedt vergelijkbare veiligheid met kortere sleutels.

De combinatie in de praktijk

In de praktijk worden beide vormen samen gebruikt. Asymmetrische encryptie wordt ingezet om veilig een tijdelijke sleutel af te spreken; daarna verloopt de eigenlijke communicatie met snelle symmetrische encryptie. Dat is precies hoe een HTTPS-verbinding werkt.

Veelgebruikte algoritmen

Kinsta behandelt deze algoritmen uitgebreid. Voor een opdrachtgever is vooral van belang dat een applicatie gangbare, actuele algoritmen gebruikt en dat verouderde methoden zoals DES niet meer voorkomen.

Wat is hashing?

Hashing zet invoer om in een vaste reeks tekens, de hash. Dezelfde invoer levert altijd dezelfde hash op, maar uit de hash kun je de invoer niet terugrekenen. Kinsta benadrukt daarom dat hashing geen echte encryptie is: er is geen sleutel om terug te gaan.

Hashing wordt gebruikt voor:

• Wachtwoorden opslaan. Een applicatie bewaart niet het wachtwoord zelf, maar een hash ervan. Bij inloggen wordt het ingevoerde wachtwoord opnieuw gehasht en vergeleken. Wordt de database gestolen, dan liggen de wachtwoorden niet direct op straat.
• Integriteit controleren. Je kunt nagaan of een bestand onderweg is gewijzigd door de hash te vergelijken.

Voor wachtwoorden gebruik je speciale, bewust trage algoritmen zoals bcrypt of Argon2, met een unieke toevoeging per wachtwoord. Acciyo wijst er verder op dat encoding zoals Base64 helemaal geen beveiliging biedt, ook al ziet de uitkomst er onleesbaar uit.

Encryptie onderweg en in opslag

Kiteworks beschrijft volledige schijfversleuteling en versleuteling op bestandsniveau als methoden voor opgeslagen gegevens, en SSL/TLS als het gangbare protocol voor gegevens onderweg. Een goed beveiligde applicatie gebruikt beide.

HTTPS en TLS

Het slotje in de adresbalk van de browser betekent dat de verbinding met de website versleuteld is via TLS, de opvolger van SSL. NordVPN legt uit dat een adres dat met https begint, wijst op een certificaat waarmee die versleutelde verbinding wordt opgezet. Voor elke webapplicatie met een inlog of een formulier is HTTPS tegenwoordig de standaard. Certificaten zijn gratis verkrijgbaar, bijvoorbeeld via Let’s Encrypt, dat OVHcloud noemt.

Wat is end-to-end encryptie?

Bij gewone versleuteling onderweg is de verbinding beveiligd, maar ontsleutelt de server de gegevens tussentijds. OVHcloud noemt dat een kwetsbaar punt: op de server zijn de gegevens leesbaar. Bij end-to-end encryptie gebeurt het versleutelen op het apparaat van de afzender en het ontsleutelen pas op het apparaat van de ontvanger. Tussenliggende servers, ook die van de aanbieder, kunnen de inhoud niet lezen.

Kinsta noemt WhatsApp en Signal als bekende voorbeelden. End-to-end encryptie biedt sterke bescherming, maar heeft gevolgen voor een applicatie: als de server de gegevens niet kan lezen, kan hij er ook niet in zoeken, ze niet verwerken en geen rapportages over maken. Voor veel bedrijfsapplicaties is versleuteling onderweg en in opslag daarom de praktische keuze, met end-to-end encryptie voor specifieke, extra gevoelige onderdelen.

Waar kom je encryptie tegen?

• Websites en webapplicaties via HTTPS.
• Berichtenapps met end-to-end encryptie.
• E-mail via TLS tussen mailservers, of met PGP en S/MIME voor versleutelde inhoud.
• Laptops en telefoons met schijfversleuteling, zoals BitLocker op Windows.
• Clouddiensten en back-ups die opgeslagen gegevens versleutelen.
• VPN-verbindingen die al het verkeer door een versleutelde tunnel sturen.
• Bankapps en betalingen, waar versleuteling verplicht onderdeel is van de beveiliging.
• Beheer op afstand via SSH, dat volgens NordVPN onveilige protocollen zoals telnet en FTP vervangt.

Encryptie in een webapplicatie

Wie een webapplicatie laat bouwen, heeft met meerdere vormen van encryptie te maken. Een overzicht van wat er minimaal geregeld moet zijn:

1. HTTPS op alle pagina’s, met een geldig certificaat en zonder onversleutelde onderdelen.
2. Wachtwoorden gehasht opslaan met een geschikt algoritme, nooit leesbaar of met gewone encryptie.
3. Versleutelde verbindingen tussen servers, bijvoorbeeld tussen de applicatie en de database of een externe API.
4. Versleutelde opslag van de database en de back-ups, zeker bij persoonsgegevens.
5. Extra versleuteling van gevoelige velden, zoals burgerservicenummers of medische gegevens, binnen de database.
6. Veilig sleutelbeheer: sleutels en wachtwoorden voor koppelingen staan niet in de broncode, maar in een beveiligde omgeving.
7. Versleutelde bestanden als gebruikers documenten uploaden die gevoelige informatie bevatten.

Moderne frameworks maken veel hiervan eenvoudiger. Ze hebben ingebouwde functies voor het hashen van wachtwoorden en het versleutelen van gegevens, zodat ontwikkelaars niet zelf cryptografie hoeven te bouwen. Dat is ook een belangrijke regel: bouw nooit je eigen versleutelingsmethode, maar gebruik beproefde algoritmen en bibliotheken.

Voorbeeld: een klantportaal met documenten

Neem een klantportaal waarin klanten contracten en facturen downloaden en zelf documenten uploaden. Encryptie speelt dan op meerdere plekken:

• De klant logt in via HTTPS, zodat wachtwoord en documenten onderweg versleuteld zijn.
• Het wachtwoord is in de database alleen als hash opgeslagen.
• De database en de opslag voor documenten zijn versleuteld, net als de back-ups.
• Een geüpload document met gevoelige gegevens wordt bovendien apart versleuteld opgeslagen.
• De sleutels staan in een sleutelbeheerdienst, los van de applicatie en de documenten.
• Een downloadlink is tijdelijk geldig en alleen bruikbaar voor de ingelogde klant.

Encryptie zorgt hier dat gegevens niet leesbaar zijn als ze onderschept of gekopieerd worden. Rollen en rechten zorgen dat een ingelogde klant alleen zijn eigen documenten ziet. Beide zijn nodig.

Sleutelbeheer: de zwakste schakel

De sterkste encryptie is waardeloos als de sleutel naast de gegevens ligt. Sleutelbeheer gaat over waar sleutels worden bewaard, wie er toegang toe heeft, hoe vaak ze worden vervangen en wat er gebeurt als iemand vertrekt of een sleutel uitlekt.

• Bewaar sleutels apart van de gegevens die ze beschermen, bijvoorbeeld in een sleutelbeheerdienst van de cloudaanbieder.
• Beperk toegang tot de mensen en systemen die de sleutel echt nodig hebben.
• Vervang sleutels periodiek en direct als er een vermoeden van een lek is.
• Maak een plan voor verlies. Een kwijtgeraakte sleutel kan betekenen dat versleutelde gegevens voorgoed onleesbaar zijn.

Encryptie, tokenisering en homomorfe encryptie

Naast gewone encryptie bestaan er verwante technieken.

• Tokenisering vervangt een gevoelig gegeven, zoals een creditcardnummer, door een willekeurige vervangende waarde: een token. Het echte gegeven staat op een aparte, goed beveiligde plek. Kinsta behandelt het verschil in zijn veelgestelde vragen. Tokenisering wordt veel gebruikt bij betalingen, zodat een webshop zelf nooit volledige kaartgegevens bewaart.
• Homomorfe encryptie maakt het volgens OVHcloud mogelijk dat een derde partij berekeningen uitvoert op versleutelde gegevens zonder ze te kunnen zien. Alleen de eigenaar kan het resultaat ontsleutelen. Het is een veelbelovende techniek, maar nog weinig gebruikt in gewone bedrijfsapplicaties.

Veelgemaakte fouten met encryptie

• Wachtwoorden versleutelen in plaats van hashen, waardoor ze met de sleutel weer leesbaar zijn.
• Sleutels in de broncode zetten, waardoor iedereen met toegang tot de code ook de gegevens kan lezen.
• Back-ups vergeten. De database is versleuteld, maar de back-up op een andere plek niet.
• Verouderde protocollen laten draaien, zoals oude TLS-versies of verouderde algoritmen.
• Zelf een versleutelingsmethode bedenken in plaats van beproefde bibliotheken te gebruiken.
• Encoding aanzien voor encryptie. Base64 maakt tekst onleesbaar voor het oog, maar iedereen kan het terugzetten.

Kan encryptie worden gekraakt?

Moderne algoritmen zoals AES-256 zijn met de huidige technologie praktisch niet te kraken door alle mogelijke sleutels te proberen. Aanvallen richten zich daarom meestal op andere zwakke plekken. Acciyo noemt zwakke wachtwoorden, verouderde protocollen, slecht sleutelbeheer en phishing als belangrijkste risico’s. Ook een gehackt apparaat van de gebruiker blijft een risico, zoals NordVPN opmerkt: daar zijn de gegevens weer leesbaar.

Voor de langere termijn speelt de opkomst van kwantumcomputers. Volgens Acciyo kunnen die in de toekomst de huidige asymmetrische methoden bedreigen. Daarom wordt gewerkt aan post-quantum cryptografie: nieuwe methoden die ook tegen kwantumcomputers bestand moeten zijn.

Encryptie en de AVG

De AVG verplicht organisaties om persoonsgegevens passend te beveiligen. Versleuteling wordt in de wet uitdrukkelijk genoemd als voorbeeld van zo’n maatregel. Er is geen algemene plicht om alles te versleutelen, maar bij gevoelige gegevens of bij gegevens op laptops en in de cloud ligt het voor de hand. Versleuteling kan ook gevolgen hebben bij een datalek: als uitgelekte gegevens goed versleuteld zijn en de sleutel veilig is, is het risico voor de betrokkenen veel kleiner. Leg in een verwerkersovereenkomst vast hoe een leverancier versleuteling toepast.

Wat betekent dit voor jouw project?

Bij een applicatie die persoonsgegevens of bedrijfsgegevens verwerkt, hoort beveiliging bij het ontwerp, niet bij de afronding. Ik kijk daarom eerst naar het proces: wat komt binnen, wie moet ermee verder en welke informatie heeft die persoon nodig? Daaruit volgt welke gegevens gevoelig zijn, wie ze mag zien en waar ze worden opgeslagen.

Encryptie is daarbij één laag, naast rollen en rechten, toegang en logging. Belangrijk is dat je weet welke gegevens waar staan, hoe ze zijn beschermd en wie de sleutels beheert.

Verwerk je gevoelige gegevens en wil je dat goed regelen in een applicatie? Stuur me welke gegevens het zijn, wie ermee werkt en wat de eerste versie moet oplossen. Dan bepalen we samen de logische eerste stap.

Veelgestelde vragen over encryptie

Wat is encryptie?

Encryptie is het omzetten van leesbare gegevens in onleesbare code met een algoritme en een sleutel. Alleen wie de juiste sleutel heeft, kan de gegevens weer leesbaar maken.

Wat is end-to-end encryptie?

Bij end-to-end encryptie worden gegevens versleuteld op het apparaat van de afzender en pas ontsleuteld op het apparaat van de ontvanger. Tussenliggende servers, ook die van de aanbieder, kunnen de inhoud niet lezen.

Wat is het verschil tussen encryptie en hashing?

Encryptie werkt twee kanten op: met de juiste sleutel kun je de gegevens weer leesbaar maken. Hashing werkt één kant op en wordt gebruikt om wachtwoorden veilig op te slaan en te controleren of gegevens ongewijzigd zijn.

Verwante termen

Privacy by design · Verwerkersovereenkomst · Datasoevereiniteit en EU-hosting · Rollen en rechten · ISO 27001 · Backend