Jako James Bond … a proč vlastně ne?

Zní to tajemně. Šifruješ?

jan-dusatkoCítíte to kouzlo, být v roli špióna, tajit vše před okolním světem, který vám jde po krku v čele se super zloduchy vybavenými apokalyptickými nástroji zkázy. Většina lidí si poklepe na čelo, začnou vás považovat za paranoika, případně vám doporučí návštěvu u psychiatra. Ostatní se na vás podívají s útrpným úsměvem. Ale, není to tak náhodou trochu obráceně?

Dnešní technologie umožňují ve chvilce matematické operace, které před několika desítkami let byly nedosažitelné. Jsou nástrojem, který slouží každému, ale stejně jako jiný nástroj je možné je použít pro různé účely. Kladivem můžete zatlouci hřebík, nebo rozbít okno. S počítačem můžete řešit složité úlohy, ale také zaútočit na jiný počítač, ovládnout ho. Nebo, a to je horší, můžete odposlouchávat cizí komunikaci, případně ji pozměnit. Je možné se potkat s podvrženými fakturami, protože lidé se ještě nenaučili ověřovat původ dokumentu např. pomocí elektronického podpisu, případně neověřují komunikační trasu. V praxi se objevují stále více útoky na špatně nakonfigurované servery nebo VPN, kde se použila slabá metoda šifrování nebo jiný bezpečnostní prohřešek. V poslední době se rozšířily útoky ransomware, které zašifrují uživatelská data a útočníci pak za jejich dešifraci požadují výpalné. Na internetu lze vyhledat další a další příběhy, ve kterých šifrování sehrálo svoji podstatnou roli.

Ale proč vlastně šifrovat?
K čemu je taková technologie dobrá?

To jsou dobré otázky. Šifrování slouží v úzkém významu pro ochranu informace před přístupem neoprávněné osoby. Ale to není vše. Kryptografie, mimo jiné umožňuje ověřování uživatelů při přihlašování, ověřování zaslaných informací, zda nebyly upraveny a pocházejí od osoby, od které pocházet mají. Díky tomu je možné chránit soukromí občanů, společností, státu před aktivitami jiných občanů, organizací nebo států. To není paranoia, to je realita. Každý z nás se snaží dosáhnout svých cílů, soupeříme o to, komu se to podaří dříve a získá nějakou výhodu. Jenže ochrana soukromí naráží na potřebu zajistit bezpečnost, tedy kontrolovat vše, co by mohlo způsobit ve vztahu ke ztrátě soukromí problémy. A tyto dva přístupy, tedy ochrana soukromí a ochrana bezpečnosti mají právě v kryptografii velkého spojence, který jim to je schopen to zajistit.

Jak na to ?
Jenže, co když bude šifrování zakázáno?
Je to vůbec možné?

Dobře, zkusíme si malý experiment. Je opravdu možné zakázat šifrování? Ale ano, zákonem určitě. Ale reálně asi stejně, jako zakázat číslo π, logaritmus, Pythagorovu větu, nebo zakázat slunci aby svítilo. V případě zákazu by stejně měl zákon dopad pouze na slušnou část obyvatelstva. Situace je podobná jako u zbraní (konec konců, kryptografie byla v některých zemích mezi ně řazena). Zákaz držení zbraní neomezí zločince, ty si je seženou nebo vyrobí kdykoliv. Ne nadarmo angličtina pojmenovává zločince jako „outlaws“, tedy mimo zákon (ruský výraz „vor v zakonu“ tedy „bор по закону“ má trochu jiný kontext). A je to pojmenování výstižné.

Jak by vlastně vypadal svět bez šifer?

To je otázka, na kterou je těžké odpovědět. Ale jedno je jisté. Zákaz kryptografie by měl drastické dopady. Představte si elektronický platební styk (od klasického internetového bankovnictví, přes platby kartou až po platby mezi bankami). Bezpečnost je na kryptografii závislá. Zákaz kryptografie by byl pro současné bankovnictví zničující. Znamenal by nutnost nabrat obrovské množství personálu nebo neuvěřitelné zpomalení plateb. Jenom ty fronty v bankách, prostoje lidí … To by mělo přímý dopad na ekonomiku jednotlivých států. Stejně by tomu bylo v případě VPN sítí, spojujících pobočky velkých firem a dalších metod pro bezpečnou komunikaci v rámci složitých dodavatelsko-odběratelských vztahů (příkladem může být například výroba automobilů). Dopady na ekonomiku by i zde byly fatální.

Dobře, co v takovém případě šifrování omezit?
Zde je ale první otázka, kde vést hranici? A proč?

Tyto otázky souvisí s problémy, které neřešíme moc často. Omezení totiž souvisí s otázkou přiměřené bezpečnosti a ochranou soukromí. Soukromí patří každému z nás, nejsou to jen myšlenky, které nesdělujeme, jsou to i některé naše aktivity, které z různých důvodů (a to nikoliv kriminálních) chceme prostě před veřejností nebo určitým okruhem osob utajit.. Některé i z dobrých důvodů. Soukromí má smysl v okamžiku, kdy nejste sám, kdy tajíte něco před někým druhým. S určitou parafrází jde tvrdit, že jistou formu soukromí má i jakákoliv organizace nebo i stát. Ale taková bezpečnost? Co s ní? U ní se jedná o pravý opak. V bezpečí před někým druhým jste pouze sám. Čím více „ostatních“ tím větší nebezpečí vyzrazení je. V tuto chvíli schválně opomíjím druh rizika, který je daný nehodami, zásahem vyšší moci a jinými situacemi, ve kterých „nemá prsty“ člověk.

Pokud šifrování nemůžeme ani omezit, ani zakázat, může někoho napadnout vytvořit šifru, která má univerzální klíč.

Je vůbec možné vytvořit šifrování se zadními vrátky?
A proč se takovému systému vyhnout?

Když se podíváme na vývoj informačních technologií (a nejenom jich), je tu mnoho případů pokusů o tvorbu systémů se zadními vrátky. Dříve nebo později na ně přišla ta „zlá strana“, ať je to kdo je to („Quis autem custodiat ipsos custodes?“). Tedy může to být člověk, co vás nemá rád. Konkurenční firma. Stát, se kterým vedete válku. A pak jste v problému. Takový systém je totiž nebezpečný, poskytuje pouze falešnou iluzi bezpečí a reálně nemusí před ničím chránit. Neochrání vaši komunikaci, vaše data, peníze, znalosti, domluvené postupy …, protože naslouchat může kdokoliv, kdo oficiální nebo neoficiální cestou získal potřebný postup jak využít zadní vrátka (a tedy tuto šifru napadnout). Je to jako stará hádanka:“Čeho nikdy nemůže být půl?“ Odpověď je „Důvěry“.

Ale protože i šifrování je práce (strojový čas počítače), tak protože se jedná o práci, generuje teplo. Zbytečné, ale teplo. Osobně ale doporučuji pořídit si přímotop.

Vracíme se tedy na začátek. Proč vlastně šifrovat?

Především pro ochranu svého soukromí. Před průmyslovou špionáží, více či méně organizovaným zločinem, před státem, před marketingovými aktivitami atd. Důvody jsou jednoduché. Znalosti o vás, o vašem chování, vašich plánech a budoucích rozhodnutích mohou útočníkovi přinést zisk nebo vám zabrání dosáhnout vašeho cíle či znepříjemní život.

Dnes je možné zpeněžit vše. Cena jednoho osobního údaje (identity) je v současnosti okolo 20 $, cena kompletního identikitu mezi 1500 $-2000 $. Na základě získaných údajů je následně možné podvržení všech potřebných dokumentů (pas, občanský a řidičský průkaz, platební karta) a jejich další použití pro kriminální aktivity, falešné podklady pro imigraci, sociální inženýrství a další. Většinu falešných dokumentů je možné v ceně okolo 1000 $/kus nechat vyrobit na černém trhu. Chcete, aby někdo platil vaší kartou, půjčoval si na vás peníze? A to mohou být ty nejmenší problémy.

Důvody a cíle organizovaného zločinu jsou pochopitelné, ale proč marketingové aktivity?

To je jednoduché. V rámci těchto aktivit prodáváme pod cenou svoje osobní data (“ … vaše osobní údaje budou použity pro … a mohou být poskytnuty partnerským organizacím ….“, rozuměj: dej nám svoje data, my je pak můžeme prodat dál). Prodáváme svoji identitu a soukromí za drobnou slevu. Prodáváme nejenom soukromí svoje, ale i svých dětí a díky vytěžování sociálních sítí (což mohou být už etablované sítě na internetu, stejně jako databáze vaší komunikace mobilem, e-mailem …. atd.) i soukromí vašich blízkých. A to mi připadá minimálně neslušné, protože tím zasahujete do práv lidí, kteří s tím nedali souhlas a nevědí o tom.

Poslední je stát. Zde je těžké najít dobrý úhel pohledu. Stát musí z principu být schopen spočítat své ovečky, tedy podobně jako u marketingových aktivit, do jisté míry zasahovat do soukromí. Kde je ta hranice je otázkou celospolečenské diskuse, ale míra zasahování by měla být udržována na nejnižší možné míře tak, aby bylo možné zajistit určitý poměr mezi soukromím a bezpečností. Příliš velký vpád do soukromí může skončit jako techno-teror nebo policejní stát. Příliš velká benevolence a stát může přestat plnit svoji funkci.

Rozumíme dnes principům šifrování?

Velice málo. Velké množství chytrých lidí se věnuje posouvání tohoto oboru dále, ale je tu stále spousta zajímavých otevřených problémů. Dnes sice umíme dost dobře šifrovat, ale umíme to opravdu dobře, resp. volíme správné postupy pro daný účel? Jinými slovy používáme tuto technologii moudře?

Příkladem budiž zatracovaná elektronická evidence tržeb. Před několika lety jsme se v rámci EU zavázali k elektronické evidenci daní (počátky spadají k Směrnici Evropského parlamentu a Rady 2000/31/ES ze dne 8. června 2000), tudíž EET není až tak od věci. Řada podnikatelů vyjadřuje obavy,že se stát dozví komu, co a za kolik prodávají. Obavy jednak oprávněné a jednak jde pouze o zástupný problém jak EET napadnout a odmítat. Kompletní rozkrytí dodavatelsko-odběratelských vztahů by v případě úniku mohlo mít pro jednotlivou firmu katastrofální dopady, tedy bylo by možné ji teoreticky „vyšachovat“ z trhu. Kryptografie zde nabízí řešení. To se skrývá pod tajemným a podivným názvem homomorfní šifrování. V principu jde o systém, kdy je možné zašifrovat data a nad nimi dělat některé výpočty. Finanční úřad tak nemusí vědět co je obsahem konkrétních dat, ale přesto získá výsledek souhlasí / nesouhlasí. V tu chvíli může nastoupit finanční policie, která bude mít heslo pro otevření evidence. To vypadá trochu lépe, nemyslíte?

Co říci závěrem tohoto zamyšlení?

Šifrování je součástí bezpečnosti, rozhodně alespoň bezpečnosti informačních technologií. Zároveň je součástí ochrany soukromí, protože bezpečnost a soukromí jsou dvě strany téže mince. Bohužel v současnosti většina lidí, a to včetně uživatelů výpočetní techniky, těmto technologiím nerozumí. Díky tomu se objevují nové a nové úspěšné úniky dat. Různé studie dnes udávají, že přibližně 60% internetového provozu je již šifrováno, ale také se udávají jiná čísla. Přibližně 60% VPN serverů a 80% webových a poštovních serverů je špatně zabezpečeno. A nevhodné použití kryptografie má na tom má bohužel svůj podíl.

Autor: Jan Dušátko (foto)

By continuing to use the site, you agree to the use of cookies. more information

The cookie settings on this website are set to "allow cookies" to give you the best browsing experience possible. If you continue to use this website without changing your cookie settings or you click "Accept" below then you are consenting to this.

Close