Una descripció del xifrat: com, per què i quan de la criptografia

La llista de llocs que emmagatzemen la vostra contrasenya sense xifrar és impressionant. L’incompliment de dades de Ashley Madison de la memòria recent és un exemple primordial de la mala manipulació d’informació sensible, on es van comprometre més de 300 GB de dades d’usuaris en forma de text complet. Tampoc és l’únic exemple: alguns llocs com ara Britannica han estat acusats recentment d’emmagatzemar contrasenya en format complet.


En aquesta guia sobre xifratge, tractarem per què cal encriptar informació confidencial en el trànsit i emmagatzematge per tal de protegir-vos de les males pràctiques de seguretat. Us donarem una definició bàsica de xifratge, revisarem les diferents maneres de succeir i us proporcionarem alguns usos.

La nostra esperança és que al final d’aquesta guia entengueu la necessitat de xifrar les dades sensibles i les aplicacions del món real. Si bé la criptografia és un tema dens i complex, hem intentat fer-ho el més simple possible per a aquesta finalitat.

Què és Xifrat?

El xifrat és un concepte senzill per comprendre. Essencialment, és una manera de codificar una informació, de manera que només el destinatari que hi pot accedir. La informació es remena amb un xifrat, com ara AES, i es comparteix una clau entre les parts que permet al destinatari desxifrar-la.

El xifrat converteix el text en xifrat, convertint la informació en llegible. Per tal d’assegurar-se que només el destinatari previst pot desxifrar aquestes dades, es comparteix una clau de xifratge que permet a dues màquines acceptar que la font i la destinació de les dades estiguin previstes. Parlarem més sobre les claus de xifratge a la següent secció.

La criptografia, el terme més ampli per passar informació de forma segura, no és nova. Els grecs antics sovint utilitzaven les xifres per rastrejar missatges, normalment només reordenant les lletres de cada paraula o aplicant una regla simple. El xifrat de Ceaser és un bon exemple. Els mateixos mètodes s’apliquen al xifratge digital, però les xifrades són més complexes.

En el món digital, el xifrat s’utilitza com a mitjà per obtenir informació personal, com ara contrasenyes i tràfic d’internet, com parlarem en una secció posterior. Si teniu un compte en línia pràcticament a qualsevol part, és probable que la vostra informació sigui xifrada. Tot i que no heu participat activament en el procés, tot i així, encara heu rebut el benefici.

El xifrat protegeix contra la interceptació i el robatori de les vostres dades. Les dades remenades només es poden xifrar amb la clau de xifrat a la qual l’atacant no hauria de tenir accés. Hi ha dos tipus principals de xifratge que tenen funcions diferents.

Tipus de xifrat

Hi ha més d’una manera de xifrar el text complet: el límit sembla ser la imaginació humana. Vegem alguns dels tipus més habituals.

Xifrat de clau privada / simètrica

El xifratge simètric utilitza la mateixa clau per xifrar i xifrar les dades. Això vol dir que es comparteix la clau de xifratge entre parts abans que les dades es xifrin o es desxifrin. El xifratge simètric seria com tenir un cofre on emmagatzemen les vostres dades. Vostè i qualsevol altra persona que pugui accedir a aquestes dades, necessitarien la combinació per obrir la caixa de seguretat.

Xifratge simètric

Aquest xifrat s’utilitza principalment per protegir dades en repòs. Un bon exemple d’això és l’emmagatzematge en núvol, on es produeix el xifratge mentre encara es guarden les dades, i només es desxifra quan s’accedeix per un usuari autoritzat.

El procés bàsic funciona així: un usuari sol·licita accés a dades xifrades. El contenidor d’emmagatzematge envia una devolució de claus al gestor de claus. El gestor de claus verifica la legitimitat de cada part i, a continuació, obre una connexió segura entre elles.

Ara que s’ha obert la connexió segura, la clau de xifratge es comparteix entre les parts. Un cop finalitzat això, la informació xifrada es desxifra i s’envia com a text complet a la part sol·licitant.

Hi ha molts passos pel que fa al xifrat simètric, cosa que el fa més aplicable a les dades en repòs. El xifrat asimètric és millor per a les dades en moviment, ja que permet als usuaris xifrar activament paquets de dades sense compartir una clau entre ells..

Clau pública / xifrat asimètric

El xifrat asimètric es basa en una parella de claus pública / privada en lloc d’una clau privada compartida entre parts. Comença amb el xifrat de les vostres dades, que utilitza una clau pública. Com el seu nom indica, la clau pública es posa a disposició lliure de tothom qui ho necessiti.

Xifrat asimètric

Aquest tipus de xifratge s’utilitza per a les dades en moviment. Un exemple seria la connexió a Internet mitjançant una xarxa privada virtual, tal com parlarem en una secció posterior. Una clau de sessió simètrica s’utilitza per xifrar les dades, i s’utilitza una clau pública per xifrar la clau simètrica. Una vegada que es reben les dades xifrades, la clau privada s’utilitza per desxifrar la clau que s’utilitza per convertir el xifrat.

Primer, l’emissor i el destinatari verifiquen els certificats dels altres. L’emissor sol·licita la clau pública del destinatari, que després es comparteix. Una clau simètrica efímera (que només s’utilitza per a una sessió) xifra el text complet per xifrar el text.

A continuació, la clau pública xifra la clau simètrica.

Les dades xifrades s’envien al destinatari. La clau simètrica es desxifra mitjançant la clau privada que coincideix amb la pública compartida amb l’emissor. Ara que el destinatari pot veure la clau simètrica, pot convertir el text xifrat de nou a text complet.

Encara hi ha una clau simètrica, però no cal que es comparteixi entre les parts abans que es produeixi el xifratge. Les dades es xifren amb una clau simètrica no compartida i aquesta clau es xifra mitjançant la clau de parella pública / privada.

Emmagatzematge de dades xifrades

Hi ha un defecte inherent a qualsevol xifrat; es pretén desxifrar. Si un atacant té accés a la clau de desxiframent, la informació es revelarà immediatament. L’emmagatzematge de contrasenyes en un servidor, fins i tot de forma xifrada, no és segur. Si suposeu que la vostra contrasenya i el mètode de xifrat són febles, es pot desxifrar fàcilment (consulteu la nostra guia per crear una contrasenya forta per evitar-ho).

La intenció de xifrar és desxifrar pel destinatari. Per això, no és habitual o bona pràctica emmagatzemar contrasenyes xifrades en un servidor. No cal que es conegui el valor de les dades xifrades, de manera que no hi ha cap motiu per permetre que es puguin emmagatzemar aquestes dades. El xifratge està destinat al trànsit, no a l’emmagatzematge.

Hash It

Un mètode més segur és emmagatzemar un hash de contrasenya en un servidor. El batut és un procés on es pot calcular un valor a partir del text mitjançant un algorisme. Les traces són millors perquè no es poden invertir per enginyeria. Podeu generar un hash a partir d’una contrasenya, però no podeu generar una contrasenya a partir d’un hash.

Contrasenya de contrasenya

Malauradament, això no resol tots els problemes. Un atacant encara pot utilitzar el hash per forçar amb força la contrasenya. Si un atacant aconsegueix robar una taula de hashes de contrasenya, pot utilitzar un atac de diccionari per esbrinar aquestes contrasenyes mitjançant un procés de prova i error..

Un cop l’atacant esbrini amb quin algorisme es va rentar les contrasenyes, pot utilitzar un programari que generarà contrasenyes possibles mitjançant paraules comunes al diccionari. Les contrasenyes de candidat es canvien mitjançant l’algorisme conegut i es comparen amb els hashes de contrasenya de la taula.

Si hi ha cap partit, l’atacant ha trencat la contrasenya amb èxit.

És encara més fàcil si utilitzeu una contrasenya comuna. Suposem que hi ha un incompliment de dades i se li ha robat el hash de la vostra contrasenya. Per alguna raó terrible, la contrasenya que heu utilitzat és “password123”. El hash MD5 d’aquesta contrasenya és 482C811DA5D5B4BC6D497FFA98491E38. Sempre serà el problema d’aquesta cadena de text per a aquest algorisme. No podeu revertir cap hací, però podeu encertar la contrasenya. Tot i això, es considera més segur per emmagatzemar dades que no cal que es revelin. 482C811DA5D5B4BC6D497FFA98491E38 no pot passar per l’algorisme per escriure “password123” a l’altre extrem.

Salar-lo

El nostre teòric hacker ha descobert que 482C811DA5D5B4BC6D497FFA98491E38 és el hash de “password123”. Encara pitjor, han trobat 50 coincidències amb aquest hash a la base de dades, cosa que significa que es comprometen 50 comptes pel preu d’un.

És aquí on entra el salat. Les dades de sal s’afegeixen a una contrasenya abans que es desprengui. No hi ha cap norma establerta sobre com ha de ser una sal; qui hagi saltat la vostra contrasenya ho pot determinar. Diguem, per exemple, que heu creat un compte i el lloc web que el vau crear amb una solució de contrasenya abans de posar-lo.

Per a aquest compte, el salt és afegir un número aleatori més la primera i la darrera inicial a la vostra contrasenya, en funció de la informació del compte que vau introduir quan us vau registrar. Ara, “password123” es converteix, per exemple, en “password1239jr”.

Saltar no elimina el problema dels atacs de força bruta, però redueix significativament la possibilitat que un atac tingui èxit. Fins i tot els usuaris amb contrasenyes idèntiques no tindran el mateix resultat hash, el que significa que l’atacant ha de descobrir no només l’algoritme de hashing, sinó també el mètode de salat.

Usos per al xifrat

El xifratge és important i hi ha estat durant segles. En l’era digital, això no podria ser més cert. Una sola dada sensible pot exposar-vos a la ciberdelinqüència, inclosos els robatoris d’identitat i el frau. Hi ha molts usos per al xifratge que poden protegir els vostres comptes en línia, fitxers delicats i trànsit a Internet.

Com protegir les vostres contrasenyes

Les contrasenyes són les dades més importants que desitgeu xifrar, tenint en compte que sovint és la clau que desbloqueja innombrables altres dades sobre vosaltres. Un gestor de contrasenyes us permet utilitzar una contrasenya forta i única a cadascun dels vostres comptes en línia, augmentant de manera exponencial la vostra seguretat.

quadre de comandament identitat dashlane

Com hem comentat a la secció d’ancoratge anterior, es pot revelar un hash de contrasenya mitjançant un atac de força bruta. Tanmateix, aquests atacs presen de contrasenyes febles i no de fortes. Un atac similar, tot i que es podia esbrinar “password123”, tindria un difícil moment en generar “ZTG $ iS% 8a2zF” com a contrasenya del candidat..

L’exemple anterior es va generar amb l’extensió del navegador LastPass. Pot generar una contrasenya de 12 caràcters, com passa amb el nostre exemple anterior, però també qualsevol combinació de fins a 99 caràcters. És també el millor gestor de contrasenyes gratuït del mercat que podeu llegir a la nostra revisió LastPass.

Els gestors de contrasenyes emmagatzemen dades de contrasenya en una volta xifrada a la qual només teniu accés. Aquesta volta està protegida amb una contrasenya principal de la qual només teniu coneixement. Els millors gestors de contrasenyes també tenen mesures de seguretat per protegir la vostra contrasenya mestra.

Dashlane, per exemple, utilitza un model de coneixement zero, és a dir, no es desa la contrasenya principal ni cap dels seus hashes. La vostra contrasenya principal està xifrada amb AES-256 al dispositiu local després de salar i enviada a través de 200.000 rondes de hashing SHA2..

Com que el hashing és un carrer unidireccional, això fa que la vostra contrasenya principal sigui molt més difícil de contrarestar. Una contrasenya màquina alfanumèrica d’almenys vuit caràcters triguaria aproximadament 45.000 anys a esquerdar-se mitjançant el dipòsit SHA2. Si utilitzeu l’algorisme més modern de hashing Argon2, que ofereix Dashlane, caldria només tímid de set milions d’anys.

Dashlane té molt a oferir fora de seguretat, també, inclòs un conjunt de funcions robust i una interfície fàcil d’utilitzar. Podeu obtenir més informació al respecte de la nostra revisió Dashlane.

Ocultació del trànsit a Internet

La majoria del trànsit a Internet està xifrat. Si arribeu a un lloc que tingui un certificat SSL, esteu connectant-vos a aquest lloc mitjançant una connexió xifrada. Està xifrada des del món exterior, però, no des del vostre ISP. A més, aquesta forma de xifrat ha conegut explotacions que es poden realitzar fàcilment, tal i com podeu llegir a la nostra guia SSL vs. TLS..

És aquí on entra una xarxa privada virtual. A més d’ocultar la vostra adreça IP i anonimitzar el trànsit, una VPN també xifrarà la vostra connexió a Internet. Això vol dir que el vostre ISP, o qualsevol persona que pugui trencar el vostre túnel segur, no podrà detectar què feu en línia.

Prova de velocitat ExpressVPN

Això té avantatges per la seguretat, com ocultar les dades personals que esteu transferint per Internet, però també per a la privadesa. El vostre ISP no podrà espiar què feu, tant si descarregueu un parell de pel·lícules com si no (cosa que haureu de fer amb la nostra millor VPN per fer el torrent).

Els millors proveïdors de VPN també utilitzen mètodes de primer nivell. ExpressVPN, per exemple, xifra el trànsit amb AES-256 amb el protocol OpenVPN. Podeu obtenir més informació sobre els protocols a la nostra guia de seguretat VPN i sobre ExpressVPN a la nostra revisió ExpressVPN.

Si no us importa aquest servei, NordVPN (consulteu la nostra revisió NordVPN) és una gran alternativa. És una de les millors opcions de les nostres revisions VPN.

Emmagatzematge de les seves dades

Tal com vam observar a la nostra guia sobre com xifrar les dades per emmagatzemar el núvol, el xifratge gestionat al núvol causa alguns problemes. En particular, els serveis que xifren les vostres dades als seus servidors també gestionen la clau de xifrat, fent-vos més vulnerable del que necessiteu.

Enllaç de fitxers compartits de Sync.com

És aquí on entra en joc l’emmagatzematge al núvol de coneixement zero. Com passa amb els gestors de contrasenyes que utilitzen aquest model, la vostra contrasenya, xifrada o no xifrada, no es desa als servidors del proveïdor. En la majoria dels casos, també administreu la clau de xifratge, cosa que significa que si una agència governamental trucava, tot el proveïdor els podria donar un grup de xifres.

El coneixement zero no significa, de manera inherent, més seguretat; La seguretat d’emmagatzematge al núvol és més complicada que això. Tot i això, els millors serveis al núvol de coneixement zero són una aposta segura, sobretot perquè molts d’ells comparteixen un lloc a la nostra guia d’emmagatzematge en núvol segur.

Sync.com és el guanyador de les dues guies, així com la nostra comparació de proveïdors d’emmagatzematge en núvol. A la revisió Sync.com va obtenir una qualificació del 100 per cent en seguretat pel seu model de coneixement zero i el xifrat AES-256 de primera qualitat..

Hi ha alguns altres proveïdors amb excel·lents puntuacions de seguretat, com pCloud, com podeu llegir a la nostra revisió pCloud. Si voleu comprar més informació, els millors proveïdors de les revisions d’emmagatzematge en núvol són un bon lloc per començar.

Pensaments finals

El xifrat forma part de l’ús d’internet. La vostra informació sensible és necessària per al servei bancari, accés a registres mèdics i fins i tot comprar en línia. La nostra esperança és que aquesta guia us hagi proporcionat una millor comprensió de com es gestionen les vostres dades per poder prendre una decisió informada sobre les organitzacions que deixeu mantenir..

Mentre es manegui correctament, el xifrat és una de les millors coses per a la ciberseguretat. Els gestors de contrasenyes, VPNs i proveïdors d’emmagatzematge en núvol segurs garanteixen que esteu protegit contra l’emmagatzematge de contrasenya precipitat, els ISPs i les dades no garantides.

Et sents més confiat en el xifrat? Feu-nos-ho saber als comentaris a continuació i, com sempre, gràcies per llegir.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map