Encryption

Szyfrowanie zamienia czytelną informację, zwaną tekstem jawnym, w postać nieczytelną, zwaną szyfrogramem, za pomocą algorytmu i tajnej wartości, czyli klucza. Algorytm jest jawny i dobrze przebadany, a jedynym sekretem pozostaje klucz. Kto ma właściwy klucz, może odwrócić proces, a wszyscy pozostali widzą tylko szum.

To podstawowy techniczny sposób zachowania poufności tam, gdzie nośnik lub łącze nie zasługują na zaufanie: przy skradzionym laptopie, skopiowanej kopii zapasowej czy kablu w cudzym budynku. Dlatego szyfrowanie jest rdzeniem programów ochrony danych, a przepisy o danych osobowych i płatniczych, od RODO po PCI DSS, regularnie wskazują je jako zabezpieczenie.

Niezależnie od produktu powtarza się ten sam cykl: klucz i algorytm zamykają dane, a ten sam cykl wykonany w odwrotną stronę je otwiera.

1. 1

   Wybór algorytmu i klucza

   Użyj standardowego, sprawdzonego algorytmu, takiego jak AES, i klucza wygenerowanego z silnego źródła losowości.

2. 2

   Szyfrowanie

   Algorytm łączy tekst jawny z kluczem, zwykle dodając nową wartość losową dla każdej wiadomości, i tworzy szyfrogram.

3. 3

   Zapis lub wysyłka

   Szyfrogram może leżeć na dysku albo przechodzić przez internet. Bez klucza nie zdradza niczego o treści.

4. 4

   Odszyfrowanie

   Posiadacz właściwego klucza odwraca proces i odzyskuje dane, a zły klucz daje tylko nieczytelne śmieci.

Silne algorytmy są jawne, więc szyfrowanie zawodzi najczęściej przez klucze, a nie przez matematykę. Nie usuwa ryzyka, tylko przenosi je z danych na klucz, dlatego klucz potrzebuje własnego cyklu życia:

• Generuj klucze z zaufanego źródła losowości za pomocą standardowego narzędzia.
• Przechowuj klucze osobno od chronionych danych, w menedżerze kluczy lub module sprzętowym.
• Ogranicz, kto i co może używać każdego klucza, i rejestruj każde użycie.
• Wymieniaj klucze według harmonogramu oraz po każdym podejrzeniu ujawnienia.
• Twórz kopie kluczy i procedurę odzyskiwania, bo utrata klucza oznacza trwałą nieczytelność danych.
• Niszcz klucze, gdy dane mają zniknąć: usunięcie klucza może uczynić dane nieodwracalnie nieczytelnymi, co opisuje kasowanie kryptograficzne.

Szyfrowanie działa na kilku warstwach i każda odpowiada na inne zagrożenie. Szyfrowanie dysków i plików chroni dane w spoczynku, a szyfrowanie transmisji obejmuje dane w ruchu.

Szyfrowanie chroni dane przed osobami bez klucza. Nie robi nic wobec osób, które go mają: pracownik otwierający zaszyfrowany plik widzi go w postaci jawnej i w tej samej sesji może wysłać go na prywatną skrzynkę. Dlatego szyfrowanie uzupełnia system DLP, a nie go zastępuje, i dlatego eksfiltracja danych często odbywa się doskonale zaszyfrowanym kanałem.

Działa to w obie strony. Ransomware wykorzystuje te same techniki do blokowania plików ofiary, a powszechnie używane algorytmy klucza publicznego, takie jak RSA czy kryptografia krzywych eliptycznych, mogłyby zostać złamane przez wystarczająco duży komputer kwantowy, dlatego organizacje normalizacyjne opublikowały już algorytmy postkwantowe.

Większość ruchu internetowego jest szyfrowana, więc agent, który by go pomijał, nie zauważyłby większości transferów. W konsoli Anexet ustawienia przechwytywania ruchu sieciowego pozwalają agentowi podmieniać certyfikaty serwerów na wystawione przez zaufany urząd główny, aby zaszyfrowany ruch WWW można było analizować w ramach monitorowania ruchu WWW. Certyfikat może być wygenerowany automatycznie albo własny dla firmy, a filtr hostów wyklucza wybrane witryny.

Szyfrowanie bywa mylone z technikami, które też zmieniają wygląd danych, ale działają inaczej. Haszowanie jest jednokierunkowe, kodowanie, takie jak Base64, to tylko zmiana formatu, a maskowanie danych podmienia wartości na potrzeby testów lub ekranów. Tylko szyfrowanie łączy odwracalność z tajnym kluczem.

Zacznij od danych, a nie od narzędzia: ustal, co jest wrażliwe i gdzie leży, a następnie zaszyfruj magazyny i kanały, które to przechowują, standardowymi algorytmami i z menedżerem kluczy. Zapisz, kto odpowiada za każdy klucz i jak jest wymieniany i odzyskiwany. Na końcu sprawdź, co dzieje się po odszyfrowaniu, bo uprawnieni użytkownicy nadal wymagają nadzoru.