Hva er datakryptering, og hvorfor er det viktig?

Datakryptering er en vesentlig teknologi som sikrer at informasjon bare kan leses av autoriserte parter. Den fungerer ved å gjøre lesbare data om til en kryptert form som bare kan dekrypteres med en bestemt nøkkel. Mens dataene lagres eller overføres i kryptert form, er de beskyttet mot uautorisert tilgang; de trenger bare å dekrypteres når de faktisk brukes.

I tillegg bruker mange krypteringssystemer en kombinasjon av symmetrisk og asymmetrisk kryptering for å optimalisere sikkerhet og ytelse: Symmetrisk kryptering bruker den samme nøkkelen til både kryptering og dekryptering, noe som gjør den rask og effektiv, mens asymmetrisk kryptering bruker et nøkkelpar (en offentlig og en privat nøkkel) for å sikre at bare den tiltenkte mottakeren kan dekryptere dataene. Dette gjør det mulig å overføre data sikkert over usikre nettverk.

Sammenlignet med ukrypterte data, som er sårbare for avlytting og manipulering, gir krypterte data en langt høyere grad av sikkerhet, hovedsakelig fordi de bare kan dekrypteres av dem som har riktig nøkkel, noe som gjør kryptering til en vesentlig del av moderne databeskyttelse. Der data bare skal skjules for visse brukere, for eksempel i loggfiler eller testmiljøer, brukes ofte datamaskering som et supplement.

Symmetrisk kryptering er en metode der den samme nøkkelen brukes både til å kryptere og dekryptere data. Denne typen kryptering er kjent for hastighet og effektivitet, ettersom den krever mindre regnekraft enn asymmetrisk kryptering. Symmetrisk kryptering er ideell i situasjoner der store datamengder må behandles raskt, men den krever at nøkkelen deles sikkert mellom de involverte partene. Hvis nøkkelen kompromitteres, kan dataene bli tilgjengelige for uvedkommende.

Asymmetrisk kryptering bruker derimot et nøkkelpar: en offentlig nøkkel til kryptering og en privat nøkkel til dekryptering. Fordelen er at den private nøkkelen aldri må deles, noe som løser problemet med å utveksle nøkler sikkert, men den er også mer ressurskrevende og langsommere enn symmetrisk kryptering. Asymmetrisk kryptografi brukes ofte til nøkkelutveksling og autentisering av parter, for eksempel i digitale signaturer og TLS-protokollen, etterfølgeren til SSL.

I praksis brukes ofte en kombinasjon av begge metodene, der asymmetrisk kryptografi brukes til å sikre utvekslingen av den symmetriske nøkkelen, som deretter brukes til å kryptere selve dataene. Denne hybride tilnærmingen utnytter fordelene ved begge teknologiene: den praktiske nøkkelhåndteringen i asymmetrisk kryptografi og hastigheten i symmetrisk kryptering.

Ende-til-ende-kryptering (E2EE) er en sikkerhetsteknologi som sikrer at bare avsenderen og mottakeren av en melding kan lese innholdet. Teknologien brukes i økende grad i apper for å beskytte brukernes personvern og data. Noen av de viktigste fordelene og ulempene ved å bruke ende-til-ende-kryptering i apper er:

• Bedre personvern: Ende-til-ende-kryptering sikrer at bare de involverte partene får tilgang til innholdet i en melding. Selv apptilbyderen kan ikke dekryptere meldingene, noe som beskytter brukernes personvern mot datainnsamling og overvåking. Metadata, som hvem som kommuniserer med hvem og når, kan likevel være synlige for tilbyderen.
• Beskyttelse mot avlytting: Ettersom dataene er kryptert fra avsender til mottaker, blir det svært vanskelig for hackere eller uvedkommende å fange opp og lese meldingene. Dette gjør E2EE til en effektiv beskyttelse mot avlytting og datatyveri under overføring, selv om den ikke kan beskytte meldinger på en enhet som selv er kompromittert.
• Integritet og autentisering: E2EE sikrer at meldinger ikke kan endres under overføringen uten at det oppdages. Dette betyr at mottakeren får den opprinnelige meldingen, og hvis partene verifiserer hverandres nøkler, for eksempel med sikkerhetsnumre, kan de også være trygge på hverandres identitet, noe som styrker tilliten mellom dem.

Til tross for de mange fordelene finnes det også noen ulemper ved å innføre ende-til-ende-kryptering i apper:

• Kompleks implementering: Å integrere E2EE i en app kan være teknisk krevende og krever betydelige ressurser og kompetanse, og derfor brukes det som regel etablerte protokoller som Signal-protokollen. Dette kan være en barriere for mindre utviklingsteam eller oppstartsbedrifter.
• Begrenset funksjonalitet: Enkelte funksjoner, som serverbasert søk i meldinger eller sikkerhetskopiering, kan være vanskelige å implementere med E2EE, ettersom dataene er kryptert og ikke tilgjengelige for servere.
• Regulatoriske utfordringer: I noen land kan det finnes lovkrav om tilgang til kommunikasjonsdata for politi og påtalemyndighet. E2EE kan gjøre det vanskelig å oppfylle slike krav, noe som kan gi juridiske utfordringer for apptilbydere.

Samlet sett gir ende-til-ende-kryptering sterk beskyttelse av brukernes data og personvern, men den kommer med tekniske og juridiske utfordringer som utviklerne må håndtere. For mange brukere og virksomheter er fordelene med økt sikkerhet og personvern likevel verdt investeringen, noe som gjør E2EE til en populær løsning i moderne apper.

For å sikre at krypteringen er sikker og pålitelig er det viktig å velge veltestede metoder og innføre flere sikkerhetslag som beskytter mot mulige trusler og sårbarheter:

• Sterk algoritme: Det bør velges en krypteringsalgoritme som er anerkjent og testet av kryptografiske eksperter, som AES (Advanced Encryption Standard) eller RSA, helst i en autentisert modus som AES-GCM. Disse algoritmene har gjennomgått omfattende evaluering og er kjent for å være robuste, og hjemmelagde algoritmer bør aldri brukes.
• Nøkkellengde: Det bør brukes en tilstrekkelig lang nøkkel for å hindre brute force-angrep. AES med 128-bits nøkler regnes som sikkert i dag, og 256-bits nøkler anbefales ofte for høy sikkerhet og langsiktig beskyttelse, mens RSA-nøkler bør være minst 2048 og helst 3072 bit.
• Jevnlige oppdateringer: Krypteringsbiblioteker og programvare bør holdes oppdatert for å beskytte mot nye sårbarheter og angrepsteknikker. Dette omfatter å installere sikkerhetsoppdateringer og rettelser så snart de er tilgjengelige, og å fase ut algoritmer som ikke lenger regnes som sikre.
• Sikker implementering: Krypteringen må implementeres riktig i programvare og maskinvare, helst med veletablerte biblioteker og plattformenes egne kryptografi-API-er. Feil i implementeringen kan føre til sikkerhetshull, selv med sterke algoritmer.
• Bruk av salt og initialiseringsvektorer (IV-er): Tilfeldige IV-er eller nonser bør brukes ved kryptering, slik at selv identiske data gir ulike krypterte resultater, noe som gjør det vanskeligere for angripere å finne mønstre, mens salt brukes ved hashing av passord og utledning av nøkler fra passord.
• Tilgangskontroll og autentisering: Det bør innføres sterke mekanismer for tilgangskontroll og autentiseringsprotokoller for å sikre at bare autoriserte brukere får tilgang til krypterte data, og nøkler bør lagres sikkert, for eksempel i enhetens maskinvarebaserte nøkkellager.
• Jevnlige revisjoner og tester: Jevnlige sikkerhetsrevisjoner og penetrasjonstester hjelper med å finne og utbedre mulige svakheter i krypteringssystemet.

Samlet sett bidrar kombinasjonen av sterke algoritmer, tilstrekkelig nøkkellengde, jevnlige oppdateringer, korrekt implementering, bruk av salt og IV-er, tilgangskontroll og jevnlige revisjoner til at krypteringen forblir sikker og pålitelig over tid.

Datakryptering er en kritisk del av beskyttelsen av sensitiv informasjon, og det finnes flere lovkrav og standarder som organisasjoner bør kjenne til når de tar i bruk krypteringsteknologi. Kravene varierer etter region og bransje, men noen av de vanligste er:

GDPR (General Data Protection Regulation): GDPR er et omfattende personvernregelverk som gjelder for organisasjoner som behandler personopplysninger om personer i EU/EØS; i Norge gjelder det gjennom EØS-avtalen og personopplysningsloven, med Datatilsynet som tilsynsmyndighet. Etter GDPR er kryptering anerkjent som et egnet teknisk tiltak for å beskytte personopplysninger. Organisasjoner må sikre at tiltakene deres er tilstrekkelige til å beskytte data mot uautorisert tilgang og brudd på personopplysningssikkerheten, og hvis data som har gått tapt, var forsvarlig kryptert, er det ikke nødvendigvis påkrevd å varsle de berørte personene.

HIPAA (Health Insurance Portability and Accountability Act): For organisasjoner som håndterer helseopplysninger i USA, er HIPAA et avgjørende regelverk. Etter HIPAA er kryptering av beskyttede helseopplysninger (PHI) ved lagring og overføring et «addressable»-krav: Det er ikke obligatorisk i alle tilfeller, men hvis det ikke brukes, må organisasjonen dokumentere hvorfor, og hvilke tilsvarende sikkerhetstiltak som brukes i stedet.

PCI DSS (Payment Card Industry Data Security Standard): PCI DSS er en global bransjestandard, ikke lovgivning, som gjelder for alle organisasjoner som håndterer betalingskortdata. Standarden krever at kortdata krypteres når de overføres over åpne, offentlige nettverk, og at lagrede kortnumre gjøres uleselige, for eksempel ved kryptering. Dette bidrar til å beskytte betalingsinformasjon mot avlytting og misbruk.

FISMA (Federal Information Security Management Act): FISMA gjelder for amerikanske føderale myndigheter og krever at de beskytter føderale informasjonssystemer mot trusler. Kryptering er en av teknologiene som kan brukes for å oppfylle FISMAs krav til informasjonssikkerhet.

Innføring av datakryptering krever en grundig forståelse av de relevante lovkravene og standardene. Organisasjoner må sikre at krypteringsløsningene deres ikke bare oppfyller de tekniske kravene, men også overholder gjeldende lovgivning, for å unngå sanksjoner og beskytte brukernes data effektivt.

Listen ovenfor er ikke uttømmende, og hvilke krav som gjelder, avhenger av land, bransje og type data, så det er lurt å innhente juridisk rådgivning før en app som håndterer sensitive data, lanseres.

Brukeren merker vanligvis ikke krypteringen, ettersom den skjer automatisk i bakgrunnen. Moderne enheter og servere har maskinvare som gjør kryptering rask, så HTTPS og kryptert lagring gir normalt ingen merkbar forsinkelse.

Kryptering kan likevel påvirke opplevelsen på andre måter. Med ende-til-ende-kryptering kan tjenesten selv ikke lese dataene, så funksjoner som serverbasert søk og gjenoppretting av glemte passord kan være begrenset. Brukeren kan bli bedt om å ta vare på en gjenopprettingsnøkkel. På den annen side gir kryptering trygghet, og mange brukere setter pris på å kunne se at dataene deres er beskyttet.