Wat is 'Open Source' beveiliging en is het veiliger?

Stel je voor: je hebt een prachtig huis gebouwd. Je hebt overal cameras van Eufy opgehangen, een slim slot van Nuki op de deur en je router is een glanzende TP-Link Deco mesh-systeem. Alles werkt perfect.

Tot op een dag... een lek wordt gevonden in de software van die camera.

Je krijgt geen seintje. Je krijgt geen update. De fabrikant heeft het project stilgelegd.

Je beveiliging is nu een open deur. Dit is het moment dat je je afvraagt: wat als de code openbaar was? Wat als iedereen kon kijken hoe het werkt? Dat is precies de wereld van 'Open Source' beveiliging. Het klinkt misschien contra-intuïtief, maar soms is de beste manier om iets geheims te bewaken, het juist niet geheim te houden.

Wat is Open Source eigenlijk?

Open Source is in wezen een manier van software maken waarbij de blauwdrukken, de recepten, voor iedereen zichtbaar zijn.

Stel je een recept voor voor een taart. Bij gesloten software, of 'closed source', krijg je alleen de taart. Je weet dat het lekker is, maar je hebt geen idee wat er precies in zit. Je vertrouwt de bakker volledig.

Bij Open Source krijg je niet alleen de taart, maar ook het volledige recept. Iedereen kan het lezen, controleren en zelfs verbeteren.

De kern van Open Source beveiliging draait om drie principes: transparantie, samenwerking en vrijheid.

Transparantie betekent dat de code die de beveiliging runt, openbaar is. Iedereen kan zien hoe een VPN-verbinding wordt versleuteld of hoe een firewall regels opstelt. Samenwerking zorgt ervoor dat developers over de hele wereld bugs kunnen vinden en repareren, vaak sneller dan een enkel bedrijf dat kan.

En vrijheid betekent dat je niet vastzit aan één leverancier. Jij bent de baas over je eigen veiligheid.

Denk aan een project als WireGuard. Dit is een modern VPN-protocol. De code is openbaar.

Onderzoekers hebben het fijngeknipt en alle hoeken bekeken. Het resultaat is een protocol dat bekend staat om zijn snelheid en sterke beveiliging, simpelweg omdat zoveel slimme koppen het hebben gecontroleerd.

Jij gebruikt het waarschijnlijk via een app van een provider, maar de basis is open.

Waarom is dit belangrijk voor jou?

Veiligheid draait om vertrouwen. Bij gesloten systemen moet je blind vertrouwen op de beloften van een bedrijf. Ze zeggen dat ze je gegevens niet lezen, dat hun encryptie sterk is, dat ze geen verborgen deurtjes hebben.

Maar jij kunt het niet controleren. Het is een 'gok op goed vertrouwen'.

Bij Open Source is vertrouwen niet nodig, want je kunt het zelf nagaan. De community doet dat voor je.

Een ander groot voordeel is snelheid van patchen. Stel dat er een ernstig lek wordt gevonden in een populair open source programma. Binnen enkele uren staan er experts klaar om het te fixen.

De oplossing is direct wereldwijd beschikbaar. Bij gesloten software moet je wachten tot het bedrijf de prioriteit geeft aan het lek, een patch ontwikkelt, test en uitrolt.

Dat kan weken duren. In die weken ben je kwetsbaar. Dit speelt ook bij betaalde diensten. Een VPN-provider zoals ProtonVPN of Mullvad bouwt vaak voort op open source technologie.

Zij gebruiken de kracht van de community om hun eigen code te versterken. Jij betaalt voor het gemak en de servers, maar de onderliggende technologie is vaak open en dus extreem goed getest. Je krijgt dus het beste van twee werelden.

Hoe werkt het in de praktijk? De kern van de zaak

Het mechanisme achter Open Source beveiliging is 'veel ogen'. Het idee is simpel: als genoeg mensen naar de code kijken, worden alle foutjes vanzelf ontdekt.

Dit is het tegenovergestelde van 'security through obscurity'. De gedachte dat iets veilig is omdat het geheim is, werkt volgens experts niet op de lange termijn. Iemand vindt het vanzelf uit. Open Source gaat ervan uit dat vijanden het ook kunnen zien, en bouwt de verdediging zo sterk dat het niet uitmaakt.

Een prachtig voorbeeld van hoe dit werkt, is het verhaal van de Heartbleed-bug in OpenSSL. OpenSSL is de software die een groot deel van het internet beveiligt.

Er zat een fout in. Die fout is ontdekt door onderzoekers (niet door de makers zelf).

Omdat de code openbaar was, konden ze precies zien wat er misging en een oplossing bedenken. Het was een ramp, maar dankzij de openbaarheid kon de hele wereld direct actie ondernemen. Gesloten software heeft vaker dergelijke lekken, maar die blijven vaak jarenlang onopgemerkt of worden stiekem gepatcht zonder dat gebruikers het weten.

Denk aan de tools die je misschien zelf gebruikt. Bitwarden, een populaire wachtwoordmanager, heeft een open source versie.

Dit betekent dat experts hebben gecontroleerd dat je wachtwoorden echt versleuteld worden opgeslagen. Ze weten precies hoe het algoritme werkt. Je hoeft niet te gokken of je data wel veilig is.

Je kunt het nalezen. Die rust is onbetaalbaar.

De werkelijkheid: Is het altijd veiliger?

Het klinkt perfect, maar we moeten even met beide benen op de grond blijven. Open Source is niet per se automatisch veiliger.

Het hangt er namelijk heel erg van af wie er naar de code kijkt.

Als een project klein is en weinig aandacht krijgt, kunnen fouten lang onopgemerkt blijven. Er is een verschil tussen 'iedereen mag kijken' en 'iedereen kijkt ook daadwerkelijk'. Een populair project als Linux of Signal heeft duizenden experts die meekijken, terwijl je bij je eigen camerabeelden op één dashboard vaak zelf de enige toezichthouder bent.

Een obscuur scriptje van een hobbyist heeft dat niet. Er is ook een keerzijde, zeker als je bijvoorbeeld een niet-HomeKit camera toevoegt via Homebridge.

Omdat de code openbaar is, kunnen hackers ook makkelijker zien hoe iets in elkaar zit. Ze zoeken naar zwaktes. Als ze die vinden, hebben ze een aanvalspunt. Bij gesloten software moeten ze eerst 'reverse engineeren' (terugrekenen) om de code te doorgronden, wat veel moeite kost.

Open Source maakt het dus makkelijker voor aanvallers om zwaktes te vinden, maar het zorgt er ook voor dat de goede hackers ze sneller vinden en melden.

Een ander risico is 'supply chain attacks'. Omdat open source vaak gratis is, gebruiken veel bedrijven dezelfde bibliotheken (stukjes code). Als er in zo'n populair stukje code een kwaadaardige aanpassing wordt gedaan, heeft dat direct impact op duizenden systemen.

Dit is de reden waarom bedrijven als GitHub (eigendom van Microsoft) en GitLab steeds meer tools introduceren om code te scannen op kwetsbaarheden voordat deze in productie gaat. Het is een gedeelde verantwoordelijkheid.

Praktische tips: Hoe kies je de juiste open source beveiliging?

Wil je overstappen op Open Source beveiliging of al je apparaten veilig beheren? Hier zijn een paar concrete tips die je direct kunt toepassen:

• Kijk naar de populariteit: Kies voor projecten die actief worden onderhouden en een grote community hebben. Een app die 5 jaar geleden voor het laatst is geupdate, is waarschijnlijk onveilig. Check het aantal 'commits' (updates) op GitHub.
• Combineer met betaalde diensten: Gebruik open source software die door een bedrijf wordt ondersteund. Denk aan ProtonMail (gebaseerd op open source code) of Nextcloud. Je krijgt de veiligheid van open source met het gemak van klantenservice.
• Check de licentie: Echt open source gebruikt licenties als MIT of GPL. Dit garandeert dat de code vrij blijft en niet ineens achter een betaalmuur verdwijnt.
• Begin klein: Je hoeft niet meteen je hele digitale leven om te gooien. Start met een wachtwoordmanager als Bitwarden (gratis versie is top) of een VPN dat WireGuard ondersteunt.

Uiteindelijk draait het om bewustwording. Open Source is een mentaliteit van vertrouwen op bewijs in plaats van mooie praatjes.

Het is niet perfect, maar het is de beste kans die we hebben om een eerlijk en veilig internet te behouden. Door voor open tools te kiezen, steun je een ecosysteem dat transparantie en controle door gebruikers vooropstelt. En dat is de moeite waard.