Je telefoon en je laptop

Je telefoon wordt gejat op de tram. Alles staat erop: je foto's, je chats, je mails, de app van de bank. En je hebt hem beveiligd met … vier cijfers. Toch komt de dief er niet in, ook niet als hij de chip uitsoldeert en de geheugenkaart in zijn eigen computer steekt. Dat klinkt te mooi. Dit hoofdstuk legt uit waarom het toch klopt, en precies wanneer het niet meer klopt.

Alles op de schijf staat als cijfertekst

De opslag van je toestel is van begin tot eind versleuteld met AES, dezelfde cijfer uit hoofdstuk 4. Dat is geen extra programma dat meedraait: er zit een stuk hardware tussen de opslagchip en het werkgeheugen dat elk blok ontsleutelt bij het lezen en versleutelt bij het schrijven. Je merkt er niets van, en dat is de bedoeling.

Waar staat de sleutel dan?

Hier zit het echte inzicht. Een AES-sleutel is 256 bits: een getal uit 2²⁵⁶ mogelijkheden, een getal van 78 cijfers. Jouw code is vier cijfers. Die twee kunnen onmogelijk hetzelfde zijn.

Reken even mee. Vier cijfers van 0 tot 9 geven 10 × 10 × 10 × 10 mogelijkheden:

10⁴ = 10 000

Tienduizend. Uitgedrukt in bits is dat log₂(10 000) ≈ 13,3 bits — iets meer dan 2¹³ = 8192, iets minder dan 2¹⁴ = 16 384. Een computer gaat door tienduizend mogelijkheden in minder dan een seconde. Als je pincode de sleutel wás, was je toestel binnen een oogwenk open.

De pincode ís de sleutel dus niet. De echte sleutel is willekeurig en 256 bits lang, en hij ligt in een aparte chip die de pincode controleert en hem daarna pas vrijgeeft.

Die chip bewaart ook een uniek getal dat in de fabriek in het silicium is vastgelegd en dat er nooit uit komt. De sleutel van je opslag wordt uit dat getal én je pincode samen afgeleid. Gevolg: de opslagchip uitsolderen en in een andere computer steken levert niets op. Het uniek getal blijft achter in het toestel, en zonder dat getal is er geen sleutel, hoeveel pincodes je ook probeert.

Waarom vier cijfers hier wél volstaan

In hoofdstuk 3 was traagheid het wapen: een hashfunctie die met opzet honderdduizenden rondjes draait, zodat de aanvaller er per gok een fractie van een seconde over doet in plaats van een miljardste. Hier gebeurt hetzelfde, maar radicaler, en niet met rekenwerk maar met een klok.

De beveiligingschip telt de foute pogingen en weigert gewoon te antwoorden. Herstarten helpt niet — de teller staat in de chip, niet in het besturingssysteem, en de wachttijd begint na een herstart zelfs opnieuw te lopen. Dit zijn de echte schema's:

Tel na wat dat betekent. Er zijn tienduizend codes. Op een iPhone krijgt de dief er negen, en dan is het gedaan. Op Android krijgt hij er negentien, waarvan de laatste hem negen jaar kost. Negentien van de tienduizend: hij heeft één kans op ongeveer 526 als hij goed gokt, en 1234 of je geboortejaar zijn helaas geen goede gok.

Dát is waarom vier cijfers hier volstaan en op een website niet. Op een website kan de aanvaller de hele lijst kopiëren en thuis miljarden keren per seconde raden, en heeft de verdediger alleen traagheid per gok. Hier kan hij niet kopiëren: er is één exemplaar van de sleutel, het zit in één chip, en die chip telt mee. Traagheid is geen vertraging meer maar een muur.

Op de iPhone kan je bij de code-instellingen nog Wis gegevens aanzetten. Dan wist het toestel zichzelf na tien foute pogingen op rij. Weeg dat af tegen een klein broertje dat graag knopjes indrukt.

Aan of uit maakt een groot verschil

Een toestel dat volledig uitstaat, heeft de sleutel nergens. Die moet nog uit je pincode en het chipgetal berekend worden, en tot dat gebeurt is alles op de opslag ruis. Dat is de toestand voor de eerste ontgrendeling: BFU.

Maar zodra je na het aanzetten één keer je code hebt ingetikt, staat de sleutel in het werkgeheugen, en hij blijft daar staan — ook als je het scherm weer vergrendelt. Dat moet wel: je telefoon moet nog wekkers laten afgaan, berichten binnenhalen en oproepen aannemen met een vergrendeld scherm. Dat is AFU, na de eerste ontgrendeling, en het is de toestand waar je toestel bijna altijd in zit.

Apple maakt dat expliciet met beschermingsklassen. De strengste gooit de sleutel weg zodra je het scherm vergrendelt. De standaardklasse voor gegevens van apps van derden heet Protected Until First User Authentication en doet dat niet: die sleutel blijft in het geheugen tot je het toestel uitschakelt.

Praktisch: een gestolen telefoon die uitstond is een steen. Een gestolen telefoon die aanstond en die dag al ontgrendeld was, is een kluis waarvan de sleutel binnenin op tafel ligt — nog altijd moeilijk, maar dit is precies het verschil waar forensische bedrijven hun geld mee verdienen. Vandaar het advies dat je soms hoort en dat geen bijgeloof is: zet je toestel helemáál uit als je het echt uit handen geeft, of als je vreest dat je het kwijtraakt. Herstarten is genoeg — na een herstart is het weer BFU.

Waar het niet tegen beschermt

Schijfversleuteling beschermt tegen één ding: iemand die je toestel in handen krijgt terwijl het op slot zit. Meer niet. Staat je laptop open en ingelogd, dan is alles gewoon leesbaar — voor jou, voor de vriend die er even achter kruipt, en voor een programma dat je per ongeluk installeerde. De sleutel is op dat moment in gebruik, dus alles wordt netjes voor iedereen ontsleuteld. Hetzelfde geldt voor iemand die over je schouder meekijkt, voor een schermafdruk, en voor een bestand dat je zelf naar een cloud stuurt: dat vertrekt ontsleuteld en valt onder de versleuteling van die cloud, niet die van je schijf. De sleutel die je uit hoofdstuk 8.1 printte, is op een ontgrendelde laptop even goed te lezen als op papier.