Co to jest szyfrowanie i jak działa? Rodzaje i zastosowanie w internecie

Szyfrowanie to proces zamiany czytelnego tekstu w niezrozumiały ciąg znaków przy użyciu algorytmu matematycznego, do którego odczytania wymagany jest odpowiedni ciąg danych deszyfrujących. Działa to jak cyfrowy zamek, który zabezpiecza informacje przed odczytaniem przez osoby niepowołane w trakcie ich przesyłania przez sieć lub magazynowania na dyskach twardych. Prawda jest zresztą absolutnie taka, że bez tego mechanizmu cały internet po prostu by runął. My w branży widzimy to codziennie. Każde logowanie do systemu bankowego upadłoby po pięciu minutach. To twardy fakt. Zabezpieczenia kryptograficzne chronią nasze hasła, numery kart płatniczych i prywatne wiadomości. Używamy ich non stop.

Z matematycznego punktu widzenia sprawa sprowadza się do operacji na bitach. Bierzemy plik. Przepuszczamy go przez funkcję matematyczną. Otrzymujemy szum. Ten szum wędruje przez kable światłowodowe. Złodziej widzi tylko chaos. Dopiero odbiorca z właściwym ciągiem znaków potrafi ten chaos odwrócić i złożyć w sensowną całość. Proste. Skuteczne.

Jak właściwie działa algorytm szyfrujący?

Zasada opiera się na trzech elementach. Mamy tekst jawny. Mamy algorytm. Mamy dane dostępowe. Kiedy wysyłasz e-mail, program pocztowy bierze treść wiadomości i miesza ją według ściśle określonych reguł. To nie jest przypadkowe tasowanie. To zaawansowana matematyka. Wynikiem jest szyfrogram.

W zeszłym miesiącu konfigurowaliśmy bramkę VPN dla małego biura rachunkowego na warszawskim Targówku. Serwer wywalił błąd autoryzacji o drugiej w nocy. Okazało się, że stary router sprzętowo nie wyrabiał z generowaniem zabezpieczeń dla protokołu IPSec. Sprzęt po prostu dławił się matematyką przy dużym obciążeniu sieciowym. Wymieniliśmy pudełko na nowsze z procesorem obsługującym sprzętowe wspomaganie AES. Problem zniknął. To pokazuje wprost, jak bardzo wymagające obliczeniowo potrafią być te procesy.

Mechanizm działania najlepiej podzielić na konkretne etapy bez owijania w bawełnę:

• Inicjalizacja połączenia i wymiana parametrów bezpieczeństwa pomiędzy klientem a serwerem. To tutaj maszyny ustalają, jakim językiem będą do siebie mówić. Trwa to ułamki sekund.
• Właściwa faza szyfrowania. Procesor bierze dane blok po bloku i wykonuje na nich operacje XOR, przesunięcia bitowe i podstawienia w tabelach. Ten proces mieli procesor na najwyższych obrotach.

Zrozumienie tego procesu ułatwia pracę przy wdrożeniach. Jeżeli deweloper nie rozumie, jak działa bezpieczeństwo danych, napisze dziurawy kod. My zawsze ciśniemy na testy penetracyjne przed wypuszczeniem aplikacji na produkcję. Bez tego prosisz się o wyciek z bazy.

Jakie są główne rodzaje szyfrowania danych?

Rynek dzieli kryptografię na dwie główne gałęzie. Każda ma swoje konkretne zadanie. Nie ma tu miejsca na zgadywanie. Używamy odpowiednich narzędzi do odpowiednich problemów.

Siedzę czasem nad logami z serwera i widzę te nieustanne próby wbicia się po SSH z chińskich IP. Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się z tym borykałem dzisiaj u siebie we wtorek. Ludzie myślą, że cyberbezpieczeństwo to magia dla hakerów w kapturach. Bzdura. To czysta, brutalna kalkulacja statystyczna. Zwykłe przestawianie jedynek i zer. Jak zgubisz dane autoryzacyjne, to leżysz. Nikt ci tego nie odzyska. Systemy są bezlitosne.

Pierwszy rodzaj to kryptografia symetryczna. Jeden ciąg znaków szyfruje i ten sam ciąg deszyfruje. Jest szybka. Zużywa mało zasobów procesora. Sprawdza się idealnie do zabezpieczania lokalnych dysków twardych albo dużych baz danych zamkniętych w piwnicy serwerowni. Wadą jest problem dystrybucji tajnego ciągu znaków. Jak przekazać go bezpiecznie komuś na drugim końcu świata? Jeżeli wyślesz go mailem, ktoś może go przechwycić. Wtedy całe zabezpieczenie traci sens.

Drugi rodzaj to kryptografia asymetryczna. Tutaj mamy dwa osobne ciągi znaków. Jeden publiczny. Drugi prywatny. Publiczny rozdajesz wszystkim naokoło. Każdy może nim zakodować wiadomość do ciebie. Ale odczytać ją możesz tylko ty, używając swojego prywatnego zabezpieczenia. To genialne rozwiązanie. Rozwiązuje problem bezpiecznej wymiany informacji przez publiczny internet. Jest wolniejsze. Wymaga więcej mocy obliczeniowej. Używamy go więc oszczędnie.

Dlaczego kryptografia asymetryczna wygrywa z symetryczną?

Ona wcale nie wygrywa. Używamy obu metod naraz w hybrydowym modelu. Przeglądarka internetowa najpierw używa wolnej metody asymetrycznej by bezpiecznie ustalić tajne hasło z serwerem. Następnie obie strony przechodzą na szybką metodę symetryczną do przesyłania właściwych obrazków i tekstów ze strony. To połączenie daje nam i bezpieczeństwo dystrybucji, i szybkość działania. Czysta inżynieria.

Gdzie najczęściej wykorzystujemy szyfrowanie w internecie?

Zastosowanie szyfrowania w internecie to fundament współczesnej gospodarki. Zdecydowana większość ruchu w sieci jest dziś chroniona. Wymusiły to przeglądarki. Po prostu odrzucają nieszyfrowane strony, wywalając wielki czerwony komunikat o braku bezpieczeństwa. To ucięło dyskusje z opornymi administratorami.

Protokół SSL/TLS to absolutna podstawa. Odpowiada za kłódeczkę w pasku adresu. Kiedy wpisujesz adres sklepu, TLS koduje twoje połączenie. Numer karty kredytowej leci przez sieć jako niezrozumiała papka. Nawet jeśli ktoś nasłuchuje na routerze Wi-Fi w kawiarni, nie wyciągnie z tego nic użytecznego. Certyfikaty SSL wydają zaufane urzędy certyfikacji. Potwierdzają one tożsamość serwera. Wiesz, że łączysz się z prawdziwym bankiem, a nie z serwerem oszusta na Seszelach.

Kolejne potężne zastosowanie to sieci VPN. Wirtualne sieci prywatne tworzą bezpieczny tunel przez publiczny internet. Pracownik zdalny łączy się z firmą z hotelu. Odpala VPN. Od tego momentu cały jego ruch sieciowy jest pakowany w zaszyfrowane pakiety. Dostawca internetu w hotelu widzi tylko połączenie z jednym adresem IP i szum danych. Nie wie, jakie strony pracownik odwiedza ani jakie pliki pobiera.

Czy szyfrowanie end-to-end faktycznie chroni nasze wiadomości?

Szyfrowanie typu end-to-end (E2EE) gwarantuje, że wiadomość zostaje zakodowana na twoim telefonie i odkodowana dopiero na telefonie odbiorcy. Serwer pośredniczący, na przykład serwer WhatsAppa czy Signala, widzi tylko zaszyfrowany blok. Komunikator blokuje dostęp do treści nawet swoim własnym twórcom. To odcina służbom i korporacjom możliwość masowego skanowania naszych rozmów.

Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku, czy wielkie firmy technologiczne nie zostawiają sobie jakichś tylnych furtek w kodzie źródłowym. Afery wybuchają co chwila. Kod zamknięty zawsze budzi wątpliwości. Ja ufam tylko otwartemu oprogramowaniu. Tam społeczność może zweryfikować, czy algorytm nie wysyła kopii klucza na zewnątrz. Jeżeli kod jest zamknięty, musisz wierzyć korporacji na słowo. A z tym bywa różnie.

Jakie są najpopularniejsze algorytmy szyfrujące na rynku?

Standardy rynkowe wyznacza amerykański instytut NIST. Reszta świata w większości to akceptuje. Wymienię te, z którymi pracujemy na co dzień w infrastrukturze serwerowej.

AES jest standardem. Nikt go jeszcze NIE ZŁAMAŁ w praktyce przy zastosowaniu odpowiednio długiego klucza. Najczęściej spotykamy wersje AES-128 oraz AES-256. Liczba oznacza długość klucza w bitach. Im dłuższy, tym trudniej przeprowadzić atak siłowy (brute-force). AES to szyfr blokowy. Dzieli dane na 128-bitowe porcje i mieli je w wielu rundach transformacji matematycznych. Używamy go do ochrony dysków i wewnątrz tuneli VPN.

RSA to weteran krypto​grafii asymetrycznej. Opiera się na trudności rozkładu wielkich liczb na czynniki pierwsze. To matematyczny problem, z którym tradycyjne procesory radzą sobie bardzo słabo. Służy głównie do cyfrowego podpisywania dokumentów i bezpiecznej wymiany kluczy sesyjnych. Jego powolność rekompensuje niesamowita użyteczność w autoryzacji komunikacji na linii klient-serwer.

Warto wspomnieć o funkcjach skrótu. Hash takich jak SHA-256 to nie jest szyfrowanie w ścisłym tego słowa znaczeniu, bo procesu nie da się odwrócić. Zmieniamy plik w unikalny ciąg znaków o stałej długości. Zmienisz jeden znak w pliku, hash zmienia się całkowicie. Służy to do weryfikacji integralności pobieranych programów. Używamy tego też do bezpiecznego przechowywania haseł w bazach danych. Nikt nie trzyma haseł czystym tekstem. Przynajmniej nikt, kto ma pojęcie o robocie.

Porównanie głównych podejść do bezpieczeństwa danych

Zbudowaliśmy krótkie zestawienie parametrów, by uciąć akademickie dyskusje i pokazać surowe fakty wdrożeniowe. Różnice są drastyczne u podstaw działania systemu.

Sprawdźcie swoje certyfikaty na serwerach produkcyjnych. Termin ważności mija szybciej niż myślicie. Przeglądarki odrzucają stare formaty. Zaloguj się przez terminal i odnów to teraz. Zostawianie tego na poniedziałek rano to najgorsza opcja z wszystkich możliwych decyzji administracyjnych.

Najczęściej zadawane pytania (FAQ)

• Co to jest szyfrowanie danych?
  Szyfrowanie to matematyczny proces zamiany czytelnych informacji w niezrozumiały ciąg znaków. Wymaga odpowiedniego klucza deszyfrującego do odczytania zawartości.
• Jak działa kryptografia asymetryczna?
  Wykorzystuje dwa powiązane ze sobą klucze: publiczny do kodowania wiadomości oraz prywatny, znany tylko odbiorcy, służący do jej odczytania.
• Czym różni się AES od RSA?
  AES to szybki algorytm symetryczny używający jednego klucza do ochrony dużych zbiorów danych. RSA to algorytm asymetryczny używany głównie do bezpiecznej wymiany kluczy i podpisów cyfrowych.
• Co oznacza szyfrowanie end-to-end (E2EE)?
  To metoda komunikacji, w której dane są kodowane na urządzeniu nadawcy i dekodowane dopiero na urządzeniu odbiorcy. Serwery pośredniczące nie mają dostępu do treści.
• Po co używa się sieci VPN?
  VPN tworzy bezpieczny, zaszyfrowany tunel w publicznym internecie. Ukrywa ruch sieciowy użytkownika przed dostawcą usług internetowych i potencjalnymi podsłuchiwaczami.
• Dlaczego certyfikaty SSL/TLS są ważne?
  Zapewniają poufność przesyłanych danych między przeglądarką a serwerem. Uwierzytelniają również tożsamość witryny, chroniąc przed atakami polegającymi na podszywaniu się pod banki czy sklepy.

Źródła i bibliografia

1. Naukowa i Akademicka Sieć Komputerowa – https://nask.pl
2. Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego – https://cert.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
5. Wydawnictwo Naukowe PWN – https://pwn.pl