Grundidéen: fra læsbar tekst til sikkert indhold

Kryptografi er metoder til at beskytte information ved hjælp af matematik og nøgler. Når data krypteres, bliver indholdet uden den rigtige nøgle uforståeligt for andre. Det betyder typisk, at selv hvis nogen opsnapper din trafik, kan de ikke læse selve indholdet.

Samtidig kan kryptografi også bruges til at sikre, at data ikke er ændret undervejs. Det opnås ofte med funktioner, der kan kontrollere integritet. Derudover kan kryptografi bruges til autentifikation, så modtageren kan få rimelig sikkerhed for, at afsenderen eller serveren faktisk er den, man tror.

Eenvoudigt model: kryptering, nøgler og verifikation

Tænk på en online besked som tre lag:

  1. Kryptering (fortrolighed): Afhænger af en nøgle. Senderen krypterer med en nøgle, som kun de rette parter kan bruge til at dekryptere.

  2. Integritet (ændringsdetektion): En kontrolværdi kan afsløre, om data er blevet ændret. Hvis kontrollen ikke matcher, er indholdet sandsynligvis ikke det samme.

  3. Autentifikation/signatur (tillid): Kryptografiske mekanismer kan binde data til en identitet. Det kan fx gøre det muligt at verificere, at en besked kommer fra den rigtige part—men kun hvis nøgler og tillidskæder er sat korrekt.

Det centrale er, at kryptografi ikke kun handler om at “skjule”, men også om at “kontrollere”. Hvilke af de tre lag der bruges, afhænger af protokollen og opsætningen.

Hvad kryptografi beskytter—andet den ikke gør

Kryptografi kan beskytte mod flere trusler, men der er begrænsninger.

  • Den beskytter indholdet under transport, hvis forbindelsen bruger stærke og korrekt konfigurerede mekanismer. Hvis der ikke er kryptering, eller hvis nøglehåndtering er svag, kan beskyttelsen falde.

  • Den beskytter ikke automatisk alt om din enhed eller konto. Hvis en angriber får adgang til din login-session, malware aflæser data lokalt, eller du deler oplysninger frivilligt, kan kryptografi i forbindelsen ikke forhindre det.

  • “Sikker” betyder ikke “fejlfri”. Sårbarheder kan opstå, hvis algoritmer er forældede, nøgler genbruges, implementeringen har fejl, eller tillid til certificater/nøgler etableres forkert. Derfor kan kryptografi give stærk beskyttelse, men den er ikke universelt perfekt.

  • Metadata kan stadig afsløres. Selv når indhold krypteres, kan nogle oplysninger om forbindelsen (fx at der kommunikeres, og hvornår) være synlige, afhængigt af systemet.

Hvornår du kan forvente effekt i praksis

For at vurdere om kryptografi faktisk hjælper, kan du tjekke følgende kontrolpunkter:

  • Bruger forbindelsen kryptering? I mange sammenhænge ses det ved, at sessioner er beskyttet med etablerede sikkerhedsstandarder. Hvis forbindelsen er ukrypteret, beskytter kryptografi ikke mod aflæsning af indhold.

  • Er der autentifikation, der kan verificeres? Når en server identificerer sig via kryptografiske nøgler/certifikater, mindsker det risikoen for, at du taler med en forkert part. Men hvis systemet ikke kan verificere identiteten korrekt, kan beskyttelsen være mindre.

  • Er der integritetskontrol? Integritet er vigtig, fordi kryptering alene ikke nødvendigvis afslører alle typer manipulation. God praksis bruger typisk mekanismer, der opdager ændringer.

  • Hvad er konteksten? Kryptografi beskytter typisk bedre mod “i trafikken”-angreb end mod kompromis af enheden eller kontoen. Hvis en trussel kræver, at angriberen får adgang til dine endepunkter, hjælper forbindelseskryptering ikke alene.

Hvis du vil bruge informationen til at forstå din egen situation, så kig efter, om data er beskyttet i den specifikke fase (transport, lagring, eller begge) og om nøgler/tillid håndteres korrekt. Det er ofte forskellen på “kryptografi i teorien” og “kryptografi der virker”.