Datakryptering

Datakryptering er en proces, hvor læsbare data omdannes til en kodet form – ofte kaldet krypteringstekst – ved hjælp af en algoritme og en nøgle. Kun den, der har den rigtige nøgle, kan omdanne dataene tilbage til deres oprindelige, læsbare form. Metoden bruges til at beskytte adgangskoder, personlige oplysninger og anden fortrolig information, både når data sendes mellem systemer, og når de ligger gemt på en server eller enhed.

Et hverdagseksempel er netbank: Når du logger ind, krypteres forbindelsen mellem din browser og bankens server, så oplysninger som kontonummer og adgangskode ikke kan læses, selv hvis nogen skulle opsnappe dataene undervejs.

Den type beskyttelse bygger typisk på protokoller som TLS og SSL, der begge bruger kryptering til at sikre dataoverførsel mellem to systemer.

Symmetrisk og asymmetrisk kryptering

Der findes to grundlæggende krypteringsmetoder: symmetrisk og asymmetrisk kryptering. Ved symmetrisk kryptering bruges samme nøgle til både at kryptere og dekryptere data. Det gør processen hurtig og velegnet til store datamængder, men nøglen skal deles mellem afsender og modtager, hvilket øger risikoen for, at den bliver opsnappet undervejs.

Ved asymmetrisk kryptering bruges to forskellige, matematisk sammenkædede nøgler: en offentlig nøgle, som kan deles frit, og en privat nøgle, som kun ejeren kender. Data krypteret med den offentlige nøgle kan kun dekrypteres med den tilhørende private nøgle.

Metoden løser problemet med at skulle dele en hemmelig nøgle, men er beregningsmæssigt tungere end symmetrisk kryptering. I praksis kombinerer mange systemer derfor begge metoder: asymmetrisk kryptering bruges til at udveksle en symmetrisk nøgle sikkert, hvorefter selve dataoverførslen krypteres symmetrisk, fordi det er hurtigere.

Krypteringsalgoritmer: fra DES til AES

En krypteringsalgoritme er den matematiske metode, der omsætter data til krypteringstekst ved hjælp af nøglen. DES (Data Encryption Standard) var en tidlig symmetrisk algoritme med en nøglelængde på 56 bit, men den regnes i dag ikke længere for sikker, fordi moderne computerkraft kan gennemtvinge nøglen relativt hurtigt. 3DES kørte DES-processen tre gange for at øge sikkerheden, men metoden er langsom og bliver gradvist udfaset.

AES (Advanced Encryption Standard) blev udviklet som en mere sikker og effektiv afløser og er i dag en af de mest udbredte symmetriske krypteringsalgoritmer, blandt andet i beskedapps og filkomprimeringsprogrammer.

Til asymmetrisk kryptering bruges ofte RSA, som er opkaldt efter de tre matematikere, der beskrev metoden. RSA-nøgler anbefales typisk med en længde på mindst 2048 bit; nogle systemer bruger op til 4096 bit for at øge sikkerheden yderligere, om end det afhænger af det konkrete system og dets tekniske krav.

Kryptering af data under overførsel og i hvile

Data kan krypteres i to forskellige situationer. Når data flytter sig mellem enheder eller over internettet, kaldes det data under transport – her beskytter kryptering mod, at oplysningerne kan læses, hvis de bliver opsnappet undervejs, for eksempel via sikker dataoverførsel. Når data ligger gemt på en disk eller i en database, kaldes det data i hvile, hvor kryptering primært beskytter mod, at nogen får adgang til rådataene ved at stjæle eller kompromittere selve lagringsenheden.

Ende-til-ende-kryptering er en form for kryptering under transport, hvor data krypteres på afsenderens enhed og først dekrypteres på modtagerens enhed – uden at mellemliggende servere nogensinde har adgang til den ukrypterede information. Det bruges blandt andet i visse beskedtjenester og e-mailløsninger, men beskytter kun selve indholdet under overførslen, ikke nødvendigvis data, der efterfølgende gemmes ukrypteret et andet sted.

Nøgleadministration i praksis

Kryptering er kun så sikker som håndteringen af de nøgler, den bygger på. Mister en organisation adgangen til sin krypteringsnøgle, kan de tilknyttede data i visse tilfælde blive utilgængelige, indtil nøglen genoprettes. Får en uvedkommende derimod adgang til nøglen, kan vedkommende i princippet dekryptere alt, hvad nøglen beskytter.

Til at håndtere denne risiko bruger mange virksomheder centraliserede tjenester til nøgleopbevaring, for eksempel Microsoft Azure Key Vault, hvor nøgler kan opbevares isoleret, rotere med jævne mellemrum og tildeles begrænset adgang. Kryptering løser dermed ikke alle sikkerhedsudfordringer alene – det skal suppleres med procedurer og undervisning af medarbejdere samt løbende opdatering af sikkerhedssystemer, da forældede algoritmer eller dårlig nøglehåndtering kan gøre selv krypterede systemer sårbare over for hackere.

Kryptering og lovkrav som GDPR og NIS2

GDPR kræver, at virksomheder anvender passende tekniske og organisatoriske foranstaltninger til at beskytte persondata – kryptering nævnes som et eksempel på en sådan foranstaltning, men loven foreskriver ikke én bestemt metode eller algoritme. NIS2-direktivet stiller mere specifikke krav til virksomheder inden for kritisk infrastruktur, blandt andet inden for energi, transport og sundhed, hvor kryptering af følsomme data typisk indgår som en del af de forventede sikkerhedsforanstaltninger.

Uanset lovkrav er formålet det samme: at reducere værdien af data, hvis de bliver stjålet eller opsnappet. Kryptering gør det sværere for cyberangreb at udnytte stjålne oplysninger, men det fjerner ikke risikoen for selve angrebet eller for, at adgangskoder og andre oplysninger kan blive kompromitteret på andre måder, for eksempel gennem forældede systemer eller en zero-day sårbarhed, som endnu ikke er rettet. Trådløse netværk er et andet område, hvor kryptering spiller en rolle – her bruges i dag typisk WPA3 kryptering til at beskytte forbindelsen mellem enheder og router.