Szyfrowanie szyfrowaniem, ale kto ma klucze?

Przechowując dane w chmurze używając wielu popularnych serwisów takich jak GoogleDrive czy Dropbox musimy zdawać sobie sprawę, że są one zabezpieczone wyłącznie za pomocą loginu i hasła (i czasem uwierzytelniane dwuskładnikowego, jeśli takową usługę włączymy). Dane nie są szyfrowane. Dostęp do nich ma operator usługi, a także każdy, kto pozyska nasze dane logowania albo złamie zabezpieczenia.

Jednym z zaleceń ekspertów ds. bezpieczeństwa, które znajduje nawet umocowanie prawne (np. w RODO, art. 32), jest szyfrowanie danych.. Wielu z nas jednak nie zdaje sobie sprawę, że szyfrowanie szyfrowaniu nie równie (i nie jest to nawet kwestia użytych algorytmów ani długości kluczy). Najważniejsze jest pytanie, jakich kluczy używa się do szyfrowania (publicznych czy prywatnych), gdzie i jak zabezpieczone są klucze, a także bardzo istotna kwestia – czy klucz prywatny jest rzeczywiście kluczem prywatnym, a nie jego atrapą, która ląduje na serwerze dostawcy usługi.

Musimy mieć świadomość, że fizyczne zabezpieczenie w postaci najlepszych drzwi pancernych z wielozapadkowym zamkiem nie będzie skuteczne, jeśli klucze trzymane są pod wycieraczką.

Bardzo często w czasie swoich wystąpień stosuje analogię usług do przechowywania danych z coraz bardziej popularnymi (w szczególności w większych miastach) usługami „self storage”, czyli pomieszczeniami do magazynowania samoobsługowego, które można wynajmować na jakiś czas, aby przechowywać w nich różne niepotrzebne w danym momencie rzeczy czy też w trakcie przeprowadzki, remontu.

Wyobraźmy sobie taki magazyn, w którym jest recepcja, gdzie pracownik zajmuje się uwierzytelnianiem klientów i wydawaniem kluczy do indywidualnych magazynów wynajętych do danej osoby. Do budynku magazynu przychodzi klient, który na prośbę recepcjonisty musi potwierdzić swoją tożsamość: czy to pokazując dowód tożsamości, czy też odczytując kod przesłany przez recepcjonistę na numer telefonu podany przy podpisaniu umowy, czy też potwierdzając tożsamość klienta na podstawie weryfikacji podanych 4 cyfr chociażby z PESELu i nazwiska panieńskiego matki. Jak się zastanowicie możecie stwierdzić, że każda z tych metod jest nie do końca bezpieczna: można podrobić dowód, można ukraść telefon albo wyrobić duplikat karty SIM, zaś z pozyskaniem PESELu i nazwiska panieńskiego matki nawet średnio rozgarnięta osoba, stosując metody białego wywiadu (OSINT) takie dane znajdzie… gdzieś. Tutaj mamy jeden słaby punkt.

Po poprawnej weryfikacji tożsamości danego klienta recepcjonista wydaje klucze, którymi otworzyć można indywidualny magazynek. Musimy mieć tego świadomość, że klucze, które są w posiadaniu recepcji (albo ich duplikat, gdyby klient miał swój IDENTYCZNY) narażone są na szereg zagrożeń: klucze może ktoś ukraść, podmienić (też problem), recepcjonista może zostać zaszantażowany, czuć się zagrożonym może zostać przekupiony. Może się zdarzyć, że przyjdą przedstawiciele różnych organizacji i również nielegalnie będą próbować pozyskać owe klucze („A po co ma pan, panie recepcjonisto, mieć problemy?”). Ba… może zdarzyć się sytuacja, że właściciel budynku z pomieszczeniami może żyć i zarabiać na podstawie tego, co umiejscowione jest w owych skrytkach (np. na podstawie informacji, że ktoś przechowuje w nich obrazy olejne może proponować specjalne usługi przechowywania tychże albo ukierunkowania własnej działalności biznesowej w tym kierunku).

W powyższym przykładzie najlepszym rozwiązaniem dla klienta byłoby posiadanie swojego własnego jedynego klucza (ewentualnie którego „zapas” trzyma jeszcze w jakimś super bezpiecznym miejscu), którym klient mógłby otwierać i zamykać swój indywidualny magazynek. Dostęp do miejsca owego indywidualnego magazynu recepcjonisty czy właściciela budynku z magazynami jest możliwy usunięciu niezniszczalnego magazynku z modułu, w którym ten magazyn się znajdował.

Zawsze powinniśmy być czujni przy użyciu serwisów webowych, w których przechowujemy albo za pośrednictwem których przesyłamy dane. Użycie serwisu webowego, w którym się logujemy oznacza to, że dostęp do danych może mieć również usługodawca, nawet jeśli dane są szyfrowane (usługodawca ma klucze /publiczne/ i zna także nasze dane uwierzytelniające w tym hasło lub hash hasła i/lub podobnie hasło i hash hasła którym szyfrowany jest klucz)

Nie bez przypadku uznaje się, że dane stają się walutą czy też złotem XXI wieku. Dlatego je chrońmy. Podobnie w gospodarce ma miejsce transformacja cyfrowa, tak przestępczość ulega podobnym zmianom. Zabezpieczajmy swoje dane – szyfrując je. Pamiętajmy jednak, że szyfrowanie szyfrowaniu nie równe i to nie tylko chodzi o stosowane algorytmy – tylko uzyskując odpowiedź: kto ma klucze? Jeśli ktoś mówi o szyfrowaniu „end-to-end” – to gdzie jest to „end” i ile tych „end” jest?