← Lees eerst deel 1: waarom PGP voor je e-mail?
In deel 1 maakte je je PGP-sleutel aan — en als je de expert-route volgde, heb je nu iets bijzonders: een hoofdsleutel die losstaat van je dagelijkse gebruik. Die hoofdsleutel is je kroonjuweel. Raak je hem kwijt, dan verlies je de controle over je hele digitale identiteit. Valt hij in verkeerde handen, dan kan iemand zich voorgoed als jou voordoen. De vraag van dit artikel is dus simpel: hoe bewaar je dat kroonjuweel zo dat het nooit verloren gaat én nooit gestolen wordt?
Voor wie is dit? Voor iedereen die deel 1 tot het einde volgde. Het is een stap technischer, maar je hoeft geen expert te zijn: het idee erachter kun je aan je grootmoeder uitleggen. De losse commando’s vind je kant-en-klaar in de begeleidende handleiding.
Waarom juist de hoofdsleutel apart?
Denk aan je sleutelbos. De subsleutels — die je in deel 1 volgens de expert-methode (Kagelmacher, 2023) op je YubiKey zette — zijn je dagelijkse sleutels: je gebruikt ze om te ondertekenen en te ontsleutelen. Raakt zo’n dagelijkse sleutel kwijt, dan maak je gewoon een nieuwe aan.
De hoofdsleutel is het moederslot: hij bewijst dat al die subsleutels echt bij jou horen, en alleen hij kan nieuwe subsleutels maken of oude intrekken. Juist omdat hij zo machtig is, hoort hij niet op je laptop of telefoon, maar offline — op een drager die je opbergt en zelden bovenhaalt. Precies dat maakt bewaren tot een apart vraagstuk.
De regel: 3-2-1-1
In de back-upwereld bestaat een beproefde vuistregel, de 3-2-1-regel (Krogh, 2009), die onder meer door de Amerikaanse cyberveiligheidsdienst CISA wordt aanbevolen. Voor een gewone back-up volstaat die. Voor een geheim als je hoofdsleutel voegen we er één cijfer aan toe. Zo ziet 3-2-1-1 eruit:
| Cijfer | Betekenis | Waarom |
|---|---|---|
| 3 | Drie kopieën van je sleutel | Één kopie is geen kopie. Twee is het minimum, drie geeft marge. |
| 2 | Twee verschillende soorten dragers | Bijvoorbeeld een SD-kaart én papier — ze falen op andere manieren. |
| 1 | Één kopie op een andere locatie | Brand of inbraak thuis mag niet alles wegvagen. |
| +1 | Één kopie van een andere bron | De extra stap die dit artikel toevoegt — zie hieronder. |
Concreet vertaalt zich dat naar jouw opzet: twee versleutelde microSD-kaarten op twee plekken, plus één papieren afdruk als derde drager. Drie kopieën, twee soorten dragers, gescheiden locaties — en die laatste “+1”.
De verrassende stap: koop bij twee verschillende winkels
Dit is het punt dat bijna geen enkele handleiding noemt, en het is juist het slimste onderdeel. Twee identieke SD-kaarten uit dezelfde winkel komen vaak uit dezelfde productie- en leveringspartij. Zit er een fout in die partij — een slechte charge geheugen, of erger, een vervalsing — dan zijn beide kaarten mogelijk getroffen. Je denkt dubbel beschermd te zijn, maar in werkelijkheid deel je één zwak punt.
Daarom de +1: bestel je twee kaarten bij twee verschillende handelaars (en eventueel zelfs van twee merken). Zo is de kans dat beide uit dezelfde foute of vervalste batch komen vrijwel nul. Onafhankelijke kopieën betekent: onafhankelijk falen.
Kies bij voorkeur betrouwbare bronnen die weinig met namaak kampen — gespecialiseerde elektronicawinkels in plaats van een anonieme marktplaats. En controleer elke kaart na ontvangst (daarover zo meer).
Een sleutel-back-up is geen gewone back-up
Foto’s back-uppen vraagt maar één ding: dat ze overleven. Bij een sleutel komen er twee eisen bij. Hij moet ook geheim blijven en echt zijn.
Geheim: altijd versleutelen
Een microSD-kaart verlies je makkelijker dan een sok. Ligt je hoofdsleutel er onversleuteld op, dan is de vinder meteen jou. Versleutel de kaart daarom volledig (op Linux met LUKS). Zonder je wachtwoordzin is de kaart dan enkel een brok willekeurige ruis.
Bewaar de wachtwoordzin apart — bijvoorbeeld in je wachtwoordmanager, nooit op de kaart zelf. Verlies je die zin, dan is de back-up onbruikbaar.
Echt: controleer de kaart
De markt zit vol vervalste geheugenkaarten die minder opslag hebben dan ze beweren — en die stilletjes data verliezen. Test elke nieuwe kaart daarom vóór gebruik met een tool als f3 (Machado, z.j.), die de kaart volschrijft en de echte capaciteit nameet. Pas als die groen licht geeft, vertrouw je er je kroonjuweel aan toe.
Papier: de reddingsboei die alles overleeft
Flashgeheugen — ook in industriële kaarten — is niet gemaakt voor eeuwige, stroomloze opslag. Na jaren in een lade kan de lading in de geheugencellen langzaam “verdampen”. Papier heeft dat probleem niet.
Met een tool als paperkey (Shaw, z.j.) druk je je geheime sleutel af als een compacte tekst (desnoods met QR-code). Dat vel papier, veilig opgeborgen, overleeft je SD-kaarten met gemak. Het is je laatste vangnet: mochten ooit alle kaarten sneuvelen, dan herbouw je je sleutel vanaf papier.
Wat hoort er op elke drager? De geheime hoofdsleutel, je publieke sleutel, en het intrekkingscertificaat (waarmee je de sleutel ongeldig kunt verklaren als het misgaat). De publieke sleutel lijkt overbodig, maar je hebt hem nódig om de papieren afdruk weer om te zetten in een werkende sleutel.
In de praktijk, in het kort
De volledige commando’s met uitleg staan in de begeleidende handleiding. Het stramien is telkens hetzelfde, voor elke kaart apart:
Download de handleiding. Alle stappen met kant-en-klare, kopieerbare commando’s vind je in de PDF-handleiding (huisstijl, Nederlands):
- Controleer de kaart op echtheid (f3).
- Versleutel de kaart volledig (LUKS) met een sterke wachtwoordzin.
- Kopieer je hoofdsleutel, publieke sleutel en intrekkingscertificaat erop.
- Druk daarnaast een papieren afdruk (paperkey) af op een lokale printer.
- Ruim op: werk in tijdelijk geheugen (RAM) zodat er niets op je vaste schijf achterblijft.
Herhaal dit voor de tweede kaart, berg de twee kaarten op verschillende plekken op, en leg het papier op een derde veilige plek. Test tot slot één keer of je vanaf een kaart de sleutel echt kunt terugzetten — een back-up die je nooit uitprobeerde, is geen back-up.
Samengevat
Een hoofdsleutel bewaren is geen kwestie van “ergens op een USB-stick”. Het is 3-2-1-1: drie kopieën, twee soorten dragers, gescheiden locaties, en — de kern van dit artikel — kopieën die van elkaar onafhankelijk zijn, tot aan de winkel waar je ze koopt.
Één concrete stap. Bestel vandaag twee industriële microSD-kaartjes bij twee verschillende winkels. Terwijl je op de levering wacht, lees je de handleiding door. Zodra ze binnen zijn, ben je in een half uurtje klaar — en ligt je kroonjuweel veiliger dan dat van de meeste mensen ooit zal liggen.
Redundantie is pas echte redundantie als je kopieën op verschillende manieren kunnen falen. Twee identieke kaarten uit dezelfde doos zijn één risico in tweevoud.
Referenties
Kagelmacher, N. (2023, 4 september). PGP Schlüssel generieren wie ein Experte. Kagel Blog. https://www.kagel.ch/artikel/pgp-schluessel-generieren-wie-ein-experte/
Krogh, P. (2009). The DAM book: Digital asset management for photographers (2e ed.). O’Reilly Media.
Machado, M. (z.j.). F3: Fight Flash Fraud [Computersoftware]. Digirati. https://fight-flash-fraud.readthedocs.io/
Shaw, D. (z.j.). Paperkey: An OpenPGP key archiver [Computersoftware]. Jabberwocky. https://www.jabberwocky.com/software/paperkey/