30Aug
Πρόσφατες αποκαλύψεις σχετικά με την κυβερνητική επιτήρηση έθεσαν την ερώτηση: γιατί οι υπηρεσίες cloud δεν κρυπτογραφούν τα δεδομένα σας;Λοιπόν, γενικά κάνουν κρυπτογράφηση των δεδομένων σας, αλλά έχουν το κλειδί ώστε να μπορούν να αποκρυπτογραφούν οποιαδήποτε στιγμή τους αρέσει.
Το πραγματικό ερώτημα είναι: Γιατί οι υπηρεσίες web δεν κρυπτογραφούν και αποκρυπτογραφούν τα δεδομένα σας τοπικά, έτσι ώστε να αποθηκεύονται σε κρυπτογραφημένη μορφή που κανείς δεν μπορεί να παρακολουθήσει;Το LastPass το κάνει με τη βάση δεδομένων κωδικών πρόσβασης.
Πώς η κρυπτογράφηση από άκρο σε άκρο θα ήταν διαφορετική
Για να είναι σαφές, τα δεδομένα σας πιθανόν να είναι κρυπτογραφημένα.Ας πάρουμε το Dropbox για παράδειγμα.Όταν συνδέεστε στο Dropbox, το Dropbox μεταφέρει όλα τα δεδομένα μέσω μιας κρυπτογραφημένης σύνδεσης, ώστε κανείς να μην μπορεί να το σπρώξει στη διαμετακόμιση.Το Dropbox υπόσχεται επίσης να αποθηκεύει τα αρχεία σας στους διακομιστές τους σε κρυπτογραφημένη μορφή.
Ωστόσο, η κρυπτογράφηση είναι μια κλειδαριά, και αν κάτι είναι κλειδωμένο είναι λιγότερο σημαντικό από ό, τι έχει το κλειδί.Το Dropbox έχει το κλειδί κρυπτογράφησης για να προβάλετε όλα τα αρχεία σας στους διακομιστές του, οπότε ενώ είναι αλήθεια ότι είναι κρυπτογραφημένο, είναι επίσης αλήθεια ότι το Dropbox έχει πλήρη πρόσβαση σε αυτά και ότι θα μπορούσαν να συνεργαστούν με επιτήρηση της κυβέρνησης ή ότι ένας απατεώνας υπάλληλος θα μπορούσε να παρακολουθήσει τα αρχεία σας.
Η ιδέα της "κρυπτογράφησης από άκρο σε άκρο" - θα μπορούσατε να την αναφέρετε και ως "τοπική κρυπτογράφηση και αποκρυπτογράφηση" - είναι διαφορετική.Με κρυπτογράφηση από άκρο σε άκρο, τα δεδομένα αποκρυπτογραφούνται μόνο στα τελικά σημεία.Με άλλα λόγια, ένα μήνυμα ηλεκτρονικού ταχυδρομείου που αποστέλλεται με κρυπτογράφηση από άκρο σε άκρο θα είναι κρυπτογραφημένο στην πηγή, μη αναγνώσιμο στους παρόχους υπηρεσιών όπως το Gmail κατά τη μεταφορά και στη συνέχεια αποκρυπτογραφείται στο τελικό του σημείο.Βασικά, το ηλεκτρονικό ταχυδρομείο θα αποκρυπτογραφείται μόνο για τον τελικό χρήστη στον υπολογιστή του και θα παραμείνει σε κρυπτογραφημένη μορφή που δεν μπορεί να διαβαστεί σε μια υπηρεσία ηλεκτρονικού ταχυδρομείου, όπως το Gmail, η οποία δεν θα είχε τα κλειδιά διαθέσιμα για να την αποκρυπτογραφήσει.Αυτό είναι πολύ πιο δύσκολο.
Λήψη και τοπική αποκρυπτογράφηση
Όπως προαναφέρθηκε, το LastPass χρησιμοποιεί τοπική κρυπτογράφηση και αποκρυπτογράφηση μέσω του προγράμματος περιήγησης ιστού.Μεταφορτώνει ένα κρυπτογραφημένο blob που περιέχει τους κωδικούς πρόσβασής σας, το αποκρυπτογραφεί με τον κωδικό πρόσβασής σας και σας επιτρέπει να έχετε πρόσβαση στους κωδικούς πρόσβασής σας.Σημειώστε ότι το LastPass πρέπει να κατεβάσει ολόκληρο το φάκελο των κωδικών πρόσβασης και άλλων δεδομένων για να το αποκρυπτογραφήσει.Στην περίπτωση του LastPass, αυτό λειτουργεί καλά - είναι ένα αρκετά μικρό αρχείο.
Ωστόσο, δεν θα ήταν κοντά σε τόσο εύκολο να το κάνουμε αυτό με άλλες υπηρεσίες ιστού.Για παράδειγμα, αν το Gmail λειτουργούσε ομοίως, το Gmail θα πρέπει να κατεβάσει έναν υπολογιστή που αντιπροσωπεύει ολόκληρο το φάκελο εισερχομένων ηλεκτρονικού ταχυδρομείου 5 GB στον υπολογιστή σας.Θα μπορούσε ίσως να χρησιμοποιηθεί η προδιαγραφή LocalStorage του HTML5 για αυτό, εάν το LocalStorage μπορούσε να αποθηκεύσει περισσότερα δεδομένα.Αυτό το αρχείο θα πρέπει τότε να αποκρυπτογραφηθεί τοπικά για να παρέχει πρόσβαση στα εισερχόμενά σας ηλεκτρονικού ταχυδρομείου, τα οποία θα χρειαστούν λίγο χρόνο.
Είναι πιθανό το Gmail να το κάνει διαφορετικά, με ξεχωριστό αρχείο που αντιπροσωπεύει κάθε νέο κρυπτογραφημένο μήνυμα ηλεκτρονικού ταχυδρομείου.Αλλά υπάρχει τόσο πολύ περισσότερη πολυπλοκότητα για την αρχιτεκτονική ενός πελάτη ηλεκτρονικού ταχυδρομείου με αυτόν τον τρόπο.
Αυτό θα ήταν στην πραγματικότητα περισσότερο ή λιγότερο αδύνατο σήμερα - το LocalStorage συχνά περιορίζεται σε 5 MB ή λιγότερο ανά ιστοσελίδα σε δημοφιλή προγράμματα περιήγησης.Το spec λέει ότι οι χρήστες θα πρέπει να είναι σε θέση να αυξήσουν αυτό το όριο αν τους αρέσει, αλλά λίγα προγράμματα περιήγησης το υλοποιούν.
Δεν υπάρχουν Secure Web Apps
Υπηρεσίες αποθήκευσης Cloud όπως το SpiderOak και το Wuala διαφέρουν από το Dropbox - παρέχουν πλήρη τοπική κρυπτογράφηση και αποκρυπτογράφηση.Εγκαταστήστε το πρόγραμμα επιτραπέζιων υπολογιστών για SpiderOak ή Wuala και θα κρυπτογραφήσουν τα αρχεία σας πριν τα μεταφορτώσουν, οπότε η ίδια η υπηρεσία δεν ξέρει ποτέ τι αποθηκεύετε και το κλειδί κρυπτογράφησης σας απαιτείται για να έχετε πρόσβαση σε αυτά.
Ωστόσο, αυτές οι υπηρεσίες είναι διαφορετικές από το Dropbox και με άλλους τρόπους - δεν ενθαρρύνουν τη χρήση διεπαφής ιστού για εύκολη πρόσβαση.Είναι εύκολο για το Dropbox να παρέχει μια εφαρμογή ιστού που σας επιτρέπει να έχετε πρόσβαση στα αρχεία σας, επειδή κατανοεί τι είναι αυτά τα αρχεία.Το SpiderOak και το Wuala δεν καταλαβαίνουν τι αποθηκεύετε, γι 'αυτό είναι πολύ πιο εύκολο γι' αυτούς να σας επιτρέψουν να κατεβάσετε όλα τα κρυπτογραφημένα blobs με το desktop πρόγραμμα σας και αφήστε το desktop πρόγραμμα να κάνει τη σκληρή δουλειά.
Αυτές οι υπηρεσίες θα πρέπει να σας επιτρέπουν να αποκρυπτογραφείτε και να κατανοείτε τα κρυπτογραφημένα ονόματα αρχείων, να κάνετε λήψη του κρυπτογραφημένου αρχείου στο πρόγραμμα περιήγησης( ίσως μέσω του LocalStorage), να χρησιμοποιήσετε έναν αλγόριθμο αποκρυπτογράφησης για να το αποκρυπτογραφήσετε τοπικά και στη συνέχεια να σας ζητήσετε να το αποθηκεύσετε στον υπολογιστή σας.Λόγω των περιορισμών του LocalStorage, αυτό θα ήταν αδύνατο στην πράξη.
ΤοSpiderOak παρέχει στην πραγματικότητα μια εφαρμογή ιστού, αν και συνιστά να μην το χρησιμοποιήσετε, επειδή πρέπει να αποθηκεύσετε το κλειδί κρυπτογράφησης SpiderOak στη μνήμη στους διακομιστές του, ενώ έχετε πρόσβαση στα αρχεία σας.Λένε ότι το παρέχουν ως αποτέλεσμα της "συντριπτικής ζήτησης των πελατών" - ακόμη και σε μια υπηρεσία που είναι περισσότερο γνωστή για την κρυπτογράφηση και την ασφάλεια, οι πελάτες ζητούν συντριπτικά πιο άνετες, ανασφαλείς επιλογές.
Δεν υπάρχει φίλτρο ανεπιθύμητης αλληλογραφίας, αναζήτηση και άλλες έξυπνες λειτουργίες
Υπηρεσίες όπως το Gmail είναι ειδικές επειδή παρέχουν πρόσθετες υπηρεσίες αντί να είναι απλά ένα κουτί που περιέχει όλα τα email σας.Για παράδειγμα, το Gmail εξετάζει τα εισερχόμενα μηνύματα ηλεκτρονικού ταχυδρομείου και εκτελεί ένα φίλτρο ανεπιθύμητης αλληλογραφίας εναντίον του, για να καθορίσει εάν είναι ανεπιθύμητο.Το Gmail ευρετηριάζει το ηλεκτρονικό σας ταχυδρομείο, ώστε να μπορείτε να κάνετε γρήγορη αναζήτηση μέσα από αυτό.Το Gmail εξετάζει το περιεχόμενο ενός μηνύματος ηλεκτρονικού ταχυδρομείου εν μέρει για να καθορίσει εάν είναι σημαντικό και σας επιτρέπει να ρυθμίσετε φίλτρα που εκτελούν αυτόματα ενέργειες βάσει του περιεχομένου ενός μηνύματος ηλεκτρονικού ταχυδρομείου.
Όλες αυτές οι δυνατότητες βασίζονται στο Gmail - και στο Google - που είναι σε θέση να κατανοήσουν τα μηνύματα ηλεκτρονικού ταχυδρομείου σας και να έχουν πρόσβαση.Εάν δεν είχαν πρόσβαση, δεν μπορούσαν να πραγματοποιήσουν φιλτράρισμα ανεπιθύμητων μηνυμάτων, να επιτρέψουν το φιλτράρισμα μηνυμάτων ηλεκτρονικού ταχυδρομείου με βάση το περιεχόμενό τους ή να σας επιτρέψουν να πραγματοποιήσετε αναζήτηση στα εισερχόμενά σας.Τόσο πολλά από τα πιο σημαντικά χαρακτηριστικά εξαρτώνται από την υπηρεσία που έχει πρόσβαση στα αρχεία σας.
No Recovery Password
Οι περισσότερες online υπηρεσίες προσφέρουν μηχανισμούς αποκατάστασης κωδικού πρόσβασης.Ωστόσο, για πραγματικά ασφαλή τοπική κρυπτογράφηση, δεν μπορεί να υπάρχει μηχανισμός ανάκτησης κωδικού πρόσβασης.Έχετε το κλειδί κρυπτογράφησης, το οποίο αποκρυπτογραφεί τα αρχεία σας.Εάν χάσετε την πρόσβαση σε αυτό το κλειδί, δεν θα μπορείτε να αποκρυπτογραφήσετε τα αρχεία σας.
Θα ήταν αδύνατο να προσφέρουμε έναν μηχανισμό "επαναφοράς κωδικού πρόσβασης" εκτός αν η υπηρεσία γνώριζε το περιεχόμενο των δεδομένων.Οι υπηρεσίες μπορούν να το κάνουν αυτό τώρα, επειδή ο κωδικός πρόσβασής σας είναι ένας τρόπος για τον έλεγχο ταυτότητας με το λογαριασμό σας - δεν είναι ένας υποχρεωτικός κώδικας που καθιστά τα δεδομένα σας προσβάσιμα.Ακόμα κι αν οι υπηρεσίες θα μπορούσαν εύκολα να μεταφερθούν στην κρυπτογράφηση από άκρο σε άκρο, αυτό θα τους δώσει μια παύση - πολλοί μέσοι χρήστες θα ξεχάσουν τα κλειδιά κρυπτογράφησης, θα χάσουν τα δεδομένα τους, θα διαμαρτυρηθούν και στη συνέχεια θα μεταφερθούν σε έναν μη κρυπτογραφημένο παροχέα.Η υπηρεσία θα ενθαρρυνθεί να χαλαρώσει την κρυπτογράφηση.Το
SpiderOak προσπαθεί να βοηθήσει τους χρήστες του, προσφέροντας να τους στείλει έναν υπαινιγμό για τον κωδικό πρόσβασης που έδωσαν κατά τη δημιουργία του λογαριασμού, αλλά δεν μπορεί να επαναφέρει πλήρως τον κωδικό πρόσβασης.Ξεχάστε τον κωδικό πρόσβασής σας και τα αρχεία σας έχουν εξαφανιστεί, υποθέτοντας ότι δεν είναι αποθηκευμένα σε έναν τοπικό υπολογιστή.
Θέλουν να πουλήσουν τα δεδομένα σας ή να επιδιώξουν διαφημίσεις
Δεν πρόκειται να προσποιούμαστε διαφορετικά: Πολλές υπηρεσίες θέλουν επίσης να αναλύσουν τα προσωπικά σας δεδομένα και να τα χρησιμοποιήσουν για να βγάλουν λεφτά.Η Google σαρώνει τα μηνύματα ηλεκτρονικού ταχυδρομείου σας και χρησιμοποιεί τις πληροφορίες που έχουν σχετικά με εσάς για να παρουσιάσει στοχοθετημένες διαφημίσεις, αλλά τουλάχιστον δεν πωλούν αυτά τα προσωπικά στοιχεία σε άλλες εταιρείες.Το Facebook πωλεί τα προσωπικά σας στοιχεία απευθείας σε άλλες εταιρείες.Οι υπηρεσίες
χρειάζονται πρόσβαση στα δεδομένα σας, ώστε να μπορούν να το κάνουν, έτσι ώστε να μην παρέχουν ισχυρή κρυπτογράφηση από άκρο σε άκρο.
Αυτά απέχουν πολύ από τους μοναδικούς λόγους για τους οποίους η τοπική κρυπτογράφηση και αποκρυπτογράφηση των προσωπικών σας δεδομένων δεν αποτελεί εκκίνηση για τη συντριπτική πλειοψηφία των υπηρεσιών cloud.Ελπίζουμε ότι έχει ρίξει φως στα δύσκολα προβλήματα και εξήγησε γιατί τόσο μεγάλο μέρος των δεδομένων σας είναι θεωρητικά ευανάγνωστο από άλλους ανθρώπους.Μπορεί να υπάρχουν ευκολότεροι τρόποι υλοποίησης ορισμένων χαρακτηριστικών κρυπτογράφησης - για παράδειγμα, επιτρέποντας στους χρήστες να στέλνουν κρυπτογραφημένο μήνυμα ηλεκτρονικού ταχυδρομείου μέσω του Gmail - αλλά μην περιμένετε τα πάντα να κρυπτογραφηθούν τοπικά και να αποκρυπτογραφηθούν οποιαδήποτε στιγμή σύντομα.Πιστοποίηση εικόνας
: Andy Roberts στο Flickr
