Защо повечето уеб услуги не използват шифроване от край до край

Последните разкрития относно правителствения надзор поставиха въпроса: защо облачните услуги не криптират данните ви? Ами, те обикновено криптират данните ви, но имат ключ, за да могат да го декриптират по всяко време.

Истинският въпрос е: Защо уеб услугите не криптират и декриптират данните ви локално, така че да се съхраняват в криптирана форма, на която никой да не може да ги подслушва? LastPass прави това с базата данни за пароли, в края на краищата.

Как ще бъде различното криптиране от край до край

За да бъде ясно, данните ви вероятно са криптирани. Да вземем например Dropbox. Когато се свързвате с Dropbox, Dropbox прехвърля всички данни през криптирана връзка, така че никой не може да ги подслушва транзитно. Dropbox също така обещава, че ще съхраняват вашите файлове на техните сървъри в криптирана форма.

Въпреки това, криптирането е заключване и дали нещо е заключено е по-малко важно от това кой има ключа. Dropbox има ключ за шифроване, за да прегледа всичките ви файлове на техните сървъри, така че докато е вярно, че е криптиран, също така е вярно, че Dropbox има пълен достъп до тях и че те могат да си сътрудничат с правителствено наблюдение или злонамерен служител може да подслушва вашите файлове.

Идеята за “криптиране от край до край” - можете да я наричате и “местно кодиране и декриптиране” - е различна. С криптирането от край до край данните се дешифрират само в крайните точки. С други думи, имейл, изпратен с криптиране от край до край, ще бъде криптиран при източника, който не може да бъде прочетен от доставчици на услуги като Gmail по време на транзит, и след това да бъде дешифриран в крайната точка. От решаващо значение е, че имейл адресът ще бъде дешифриран само за крайния потребител на компютъра им и ще остане в криптирана, нечетлива форма на имейл услуга като Gmail, която няма да разполага с ключовете за дешифриране. Това е много по-трудно.

Изтегляне и локално декриптиране

Както споменахме по-горе, LastPass използва локално кодиране и декриптиране чрез вашия уеб браузър. Той сваля криптирана blob, съдържаща вашите пароли, го декриптира с паролата ви и ви дава достъп до паролите. Имайте предвид, че LastPass трябва да изтегли целия си архив от пароли и други данни, за да го декриптира. В случай на LastPass, това работи много добре - това е доста малък файл.

Въпреки това, не би било почти толкова лесно да се направи това с други уеб услуги. Например, ако Gmail работи по подобен начин, Gmail ще трябва да изтегли файл, представляващ цялата ви пощенска кутия от 5 GB на вашия компютър. Може би може да използва спецификацията на LocalStorage на HTML5 за това, ако LocalStorage може да съхранява повече данни. След това този файл ще трябва да бъде декриптиран на местно ниво, за да се осигури достъп до пощенската ви кутия, което ще отнеме известно време.

Възможно е Gmail да направи това по различен начин, като отделен файл представлява всеки нов, шифрован имейл. Но има толкова много по-голяма сложност при архивирането на имейл клиент по този начин.

Това всъщност ще бъде повече или по-малко невъзможно днес - LocalStorage често е ограничена до 5 MB или по-малко на уебсайт в популярните браузъри. Спецификацията казва, че потребителите трябва да могат да увеличават този лимит, ако желаят, но малко браузъри прилагат това.

Няма сигурни уеб приложения

Услугите за съхранение в облак като SpiderOak и Wuala са различни от Dropbox - те осигуряват пълно локално кодиране и декриптиране. Инсталирайте десктопната програма за SpiderOak или Wuala и те ще криптират файловете ви, преди да ги качват, така че услугата никога не знае какво съхранявате и Вашият за достъп до тях е необходим ключ за шифроване.

Тези услуги обаче са различни от Dropbox по друг начин - те не насърчават използването на уеб интерфейс за лесен достъп. С Dropbox можете лесно да предоставите уеб приложение, което ви позволява да осъществявате достъп до файловете си, защото то разбира какво представляват тези файлове. SpiderOak и Wuala не разбират това, което съхранявате, така че е много по-лесно за тях просто да ви позволят да изтеглите всички криптирани петна с вашата десктоп програма и да оставите десктопната програма да върши упоритата работа.

Тези услуги би трябвало да ви позволят да дешифрирате и разберете кодираните имена на файлове, да изтеглите криптирания файл в браузъра си (може би чрез LocalStorage), да използвате дешифриращ алгоритъм, за да го дешифрирате локално, след което ви подканя да го запишете на вашия компютър. Поради ограниченията на LocalStorage, това би било невъзможно на практика.

SpiderOak всъщност предоставя уеб приложение, въпреки че те препоръчват да не го използвате, защото трябва да съхранявате вашия ключ за криптиране SpiderOak в паметта на техните сървъри, докато имате достъп до вашите файлове. Те казват, че те го осигуряват в резултат на „огромното търсене на клиентите“ - дори и на най-известната услуга за криптиране и сигурност, клиентите изискват предимно по-удобни, несигурни опции..

Няма филтриране на спам, търсене и други интелигентни функции

Услуги като Gmail са специални, защото предлагат допълнителни услуги, вместо да са само кутия, която съдържа всичките ви имейли. Например, Gmail проучва входящите имейли и пуска срещу тях филтър за спам, за да определи дали това е боклук. Gmail индексира имейла ви, за да можете бързо да го търсите. Gmail разглежда частично съдържанието на електронната поща, за да определи дали е важно и ви позволява да създавате филтри, които автоматично извършват действия въз основа на съдържанието на имейла.

Всички тези функции разчитат на Gmail - и на Google - че могат да разберат имейла ви и да имат достъп. Ако не са имали достъп, не могат да извършват филтриране на нежелани съобщения, да разрешават филтриране на имейли въз основа на съдържанието им или да ви позволят да търсите във входящата си поща. Така че много от най-важните характеристики зависят от услугата, която има достъп до вашите файлове.

Няма парола за възстановяване

Повечето онлайн услуги предлагат механизми за възстановяване на пароли. Въпреки това, за наистина сигурно локално криптиране, не може да има механизъм за възстановяване на парола. Имате ключа за шифроване, който декриптира вашите файлове. Ако загубите достъп до този ключ, няма да можете да декриптирате файловете си.

Би било невъзможно да се предложи механизъм за „нулиране на паролата“, освен ако услугата не е знаела съдържанието на данните. Услугите могат да направят това сега, защото паролата ви е само начин за удостоверяване с профила ви - това не е задължителен код, който прави данните ви достъпни. Дори ако услугите лесно биха могли да преминат към шифроване от край до край, това би им дало пауза - много средни потребители биха забравили своите ключове за криптиране, загубят данните си, се оплакват и след това се прехвърлят към некриптиран доставчик. Услугата ще бъде насърчавана да отпусне криптирането.

SpiderOak се опитва да помогне на своите потребители, като им предлага да им изпратят подсказка за парола, която са предоставили при настройката на профила, но не може да възстанови напълно паролата. Забравете паролата си и файловете ви са изчезнали, ако не се съхраняват на локален компютър.

Те искат да продават вашите данни или целеви реклами

Няма да се преструваме на друго: Много услуги също искат да анализират личните ви данни и да ги използват, за да печелят пари. Google сканира имейлите ви и използва информацията, която имат за вас, за да представят насочени реклами, но поне не продават тази лична информация на други компании. Facebook продава личната ви информация директно на други компании.

Услугите се нуждаят от достъп до данните ви, за да могат да направят това, така че те са окуражени да не предоставят силно криптиране от край до край..

Те далеч не са единствените причини, поради които локалното кодиране и декриптиране на вашите лични данни не е стартер за по-голямата част от облачните услуги. Надяваме се, че тя хвърли светлина върху трудните проблеми и обясни защо толкова много от вашите данни теоретично се четат от други хора. Възможно е да има по-лесни начини за прилагане на някои функции за криптиране - например, като позволява на потребителите да изпращат криптирана електронна поща чрез Gmail - но не очаквайте всичко да стане локално кодирано и декриптирано скоро.

Автор на снимката: Анди Робъртс на Flickr