Review: Chrome OS anno 2013

Veiligheid

Een van de belangrijkste pijlers, wellicht de belangrijkste, is veiligheid. Chrome OS moet simpel en makkelijk, maar vooral veilig zijn. Daarom heeft Google gekozen voor een beveiligingsstructuur van meerdere lagen. Ook controleert Chrome OS zichzelf, om te kijken of er iets in de code van het besturingssysteem is aangepast wat niet hoort. Mocht dit gebeuren, dan zal het besturingssysteem zichzelf herstellen. Alle data die lokaal wordt opgeslagen is ook versleuteld opgeslagen, zonder het wachtwoord van de Gmail-account is het in principe onmogelijk om de bestanden in te zien.

Ook zijn de lokale mogelijkheden van Chrome OS beperkt, ten behoeve van de veiligheid. Alle applicaties draaien binnen een zogenaamde sandbox, waar ze niet uit kunnen. De applicaties kunnen op deze manier niet zomaar bij zaken komen waar ze niet bij horen te komen. De beveiliging van Chrome OS is hiermee een stuk strenger dan bij traditionele besturingssystemen.

Een van de gevolgen is dan ook dat Chrome OS wel veel met het internet en de cloud moet doen. Lokaal is het systeem namelijk dichtgetimmerd. Hoewel het Chromium-project in hoog tempo wordt door ontwikkeld door Google, zowel de Chrome-browser als Chrome OS, heeft het systeem tot op heden nog geen grote schade geleden door bugs of lekken in de software. Niet dat deze niet gevonden worden, want dat gebeurt met grote regelmaat. Google zit er echter zo dicht bovenop, dat de bugs en lekken vaak al gedicht zijn voordat criminelen ze hebben gevonden of hebben kunnen misbruiken. Google looft bovendien ook beloningen uit aan vinders van kwetsbaarheden. Google bijvoorbeeld ook elk jaar mee aan verschillende hackwedstrijden, waarbij het prijzengeld uitkeert als mensen lekken vinden in de software.

Een andere kant van veiligheid is natuurlijk hoe veilig al je data en bestanden zijn in de cloud bij Google. Het staat uiteindelijk wel gewoon online. Om te beginnen moet je je afvragen hoe waardevol jouw informatie is voor andere mensen of bedrijven. Vervolgens moet je je afvragen hoe groot de kans is dat jouw informatie op straat komt te liggen.

Google steekt natuurlijk enorm veel energie in het beveiligen van zijn systemen en de zoekgigant zal er alles aan doen om hackers buiten te houden. Toch duikt er met enige regelmaat nieuws op dat populaire diensten als Gmail, Hotmail, Google Docs, Office 365, Twitter en Facebook het doelwit zijn geworden van hackers. Deze zijn vaak afkomstig uit het Midden-Oosten of China. Zij zijn uiteraard niet op zoek naar informatie van Jan met de pet of een klein lokaal adviesbureau uit Nederland. Vaak zijn dit soort hackers politiek gemotiveerd of op zoek naar gevoelige informatie over infrastructuur of financiële gegevens van de top 500 bedrijven. Dit kan informatie zijn waar écht misbruik van gemaakt kan worden.

Een minder bekend veiligheidsrisico is de Amerikaanse overheid. De Verenigde Staten heeft namelijk in de wet staan dat alle Amerikaanse bedrijven hun data, ook in de cloud, inzichtelijk moeten houden voor de Amerikaanse inlichtingendiensten. Hieronder valt ook alle Europese data, of data die in Europa is opgeslagen. In theorie is het dus mogelijk dat de Amerikaanse overheid jouw informatie bekijkt. Of dat voor hen interessant of zinvol is, dat is natuurlijk de grote vraag. In veel gevallen niet, maar mensen die werkzaam zijn in bepaalde sectoren weten dat vaak heel goed of dat zo is. Wel heeft Staatssecretaris Teeven recent aan de Tweede Kamer laten weten dat de VS dat niet doet zonder officieel verzoek aan de Nederlandse overheid. Volgens Teeven is er tot op heden geen situatie voorgekomen waarvan bekend is dat de VS dat niet hebben gedaan.

Tot slot is er nog de communicatie tussen het Chrome OS-systeem en de servers van Google. Google gebruikt voor al zijn diensten inmiddels beveiligde verbindingen die voorzien zijn van SSL-certificaten. Alle data gaat dus over een versleutelde verbinding naar Google.

Naast cloudopslag is er ook nog beperkte lokale opslagcapaciteit in een Chromebook. Alle data die hierop wordt opgeslagen is ook versleuteld. Mocht je dus een Chromebook kwijtraken, dan is alle data die hierop staat vergrendeld, dus niet zomaar in te zien. Ook moet er bij het opstarten altijd worden ingelogd in een Chromebook. Zonder wachtwoord is de data niet in te zien.

Google biedt nog geen functie om een Chromebook op afstand te wissen. Dat zou door de encryptie ook niet nodig zijn. Voor mensen die beveiliging echt serieus nemen is er ook nog de zogenaamde twee-staps-verificatie voor een Google Account. Hierbij gaat het inloggen in je Google Account altijd in twee stappen. Als je een nieuw apparaat toevoegt of er te vaak het verkeerde wachtwoord wordt ingevuld, dient de gebruiker een code in te vullen welke via SMS wordt verstrekt aan het 06-nummer dat is gekoppeld aan de Google Account. Meer hierover is te lezen in een Techzine-tutorial over de beveiliging.