Viimeaikaiset paljastukset valtion valvonnasta ovat herättäneet kysymyksen: miksi pilvipalvelut eivät salaa tietojasi? No, he yleensä salaavat tietosi, mutta heillä on avain, jotta he voivat purkaa sen milloin tahansa.
Todellinen kysymys on: Miksi verkkopalvelut eivät salaa ja pura tietojasi paikallisesti, jotta ne tallennetaan salattuun muotoon, kukaan ei voi snoopata? LastPass tekee sen salasanatietokannallasi.
Kuinka end-to-end-salaus olisi erilainen
Selvyyden vuoksi tietosi on todennäköisesti salattu. Otetaan esimerkiksi Dropbox. Kun muodostat yhteyden Dropboxiin, Dropbox siirtää kaikki tiedot salatun yhteyden kautta, joten kukaan ei voi ryöstää sitä kuljetuksen aikana. Dropbox lupaa myös, että he tallentavat tiedostosi palvelimilleen salatussa muodossa.
Salaus on kuitenkin lukko, ja onko jokin lukittu, on vähemmän tärkeää kuin kenellä avain on. Dropboxilla on salausavain kaikkien tiedostojen tarkastelemiseen palvelimillaan, joten vaikka onkin totta, että se on salattu, on totta myös se, että Dropboxilla on täydet käyttöoikeudet niihin ja että he voivat tehdä yhteistyötä valtion valvonnan kanssa tai roistovaltioiden työntekijä voi piilottaa tiedostosi.
Ajatus "end-to-end-salauksesta" - voit myös viitata siihen "paikallisena salauksena ja salauksen purkuna" - on erilainen. End-to-end-salauksella data puretaan vain loppupisteissä. Toisin sanoen, end-to-end-salauksella lähetetty sähköposti salattaisiin lähteessä, jota ei voi lukea palveluntarjoajille, kuten Gmailin siirrossa, ja sitten puretaan sen päätepisteessä. Tärkeää on, että sähköposti puretaan vain loppukäyttäjän tietokoneella ja se pysyy salatussa, lukukelvottomassa muodossa sähköpostipalveluun, kuten Gmailiin, jolla ei ole avaimia käytettävissä sen salauksen purkamiseen. Tämä on paljon vaikeampi.
Lataa ja paikallinen salauksenpurku
Kuten edellä mainitsimme, LastPass käyttää paikallista salausta ja salauksen purkamista verkkoselaimesi kautta. Se lataa salatun blobin, joka sisältää salasanasi, purkaa sen salauksen salasanallasi ja antaa sinun käyttää salasanojasi. Huomaa, että LastPassin on ladattava koko salasanasi ja muu data, jotta se puretaan. LastPassin tapauksessa tämä toimii hienosti - se on melko pieni tiedosto.
Se ei kuitenkaan ole läheskään yhtä helppoa tehdä tämä muiden verkkopalvelujen kanssa. Jos esimerkiksi Gmail toimisi samalla tavalla, Gmailin olisi ladattava tietokoneellesi tiedosto, joka edustaa koko 5 Gt: n sähköpostilaatikkoa. Se voisi ehkä käyttää tähän HTML5: n LocalStorage-määrittelyä, jos LocalStorage pystyy tallentamaan enemmän tietoja. Tämä tiedosto on sitten purettava paikallisesti, jotta pääsy sähköpostilaatikkoon voidaan viedä, mikä vie jonkin aikaa.
On mahdollista, että Gmail voisi tehdä tämän toisin, erillisen tiedoston avulla jokainen uusi salattu sähköposti. Mutta sähköpostiohjelman suunnittelussa on niin paljon monimutkaisuutta.
Tämä olisi todellisuudessa enemmän tai vähemmän mahdotonta - LocalStorage on usein rajoitettu 5 Mt: iin tai vähemmän suosittuja selaimia kohden. Specs sanoo, että käyttäjien pitäisi pystyä nostamaan tätä rajaa, jos haluavat, mutta harvat selaimet toteuttavat tämän.
Ei suojattuja verkkosovelluksia
Pilvivarastopalvelut, kuten SpiderOak ja Wuala, eroavat Dropboxista - ne tarjoavat täydellisen paikallisen salauksen ja salauksen purun. Asenna SpiderOak- tai Wuala-työpöytäohjelma, ja ne salaavat tiedostosi ennen niiden lataamista, joten palvelu itse ei koskaan tiedä, mitä tallennat, ja sinun salausavain tarvitaan niiden käyttämiseen.
Nämä palvelut poikkeavat Dropboxista myös muilla tavoin - ne eivät kannusta verkkokäyttöliittymän käyttöä helppoa käyttöä varten. Dropboxin on helppo tarjota verkkosovellus, jonka avulla voit käyttää tiedostojasi, koska se ymmärtää, mitkä tiedostot ovat. SpiderOak ja Wuala eivät ymmärrä, mitä tallennat, joten heidän on paljon helpompaa sallia sinun ladata kaikki salatut lohkot työpöytäohjelmallasi ja antaa työpöytäohjelman tehdä kovaa työtä.
Näiden palveluiden on annettava sinun purkaa ja ymmärtää salattujen tiedostojen nimet, ladata salattu tiedosto selaimeesi (ehkä LocalStorage-palvelun kautta), käyttää salauksen purkamisalgoritmia sen salauksen purkamiseen paikallisesti ja kehottaa sinua sitten tallentamaan se tietokoneellesi. LocalStoragen rajoitusten vuoksi tämä olisi käytännössä mahdotonta.
SpiderOak tarjoaa tosiasiallisesti verkkosovelluksen, vaikka he suosittelevatkin käyttämättä sitä, koska sen on tallennettava SpiderOak-salausavaimesi heidän palvelimiensa muistiin, kun käytät tiedostojasi. He sanovat tarjoavansa sen "ylivoimaisen asiakaskysynnän" seurauksena - jopa palvelusta, joka tunnetaan parhaiten salauksestaan ja turvallisuudestaan, asiakkaat vaativat ylivoimaisesti mukavampia ja epävarmempia vaihtoehtoja.
Ei roskapostisuodatusta, hakua ja muita älykkäitä ominaisuuksia
Gmailin kaltaiset palvelut ovat erityisiä, koska ne tarjoavat lisäpalveluita sen sijaan, että ne olisivat vain laatikko, johon mahtuu kaikki sähköpostisi. Esimerkiksi Gmail tutkii saapuvat sähköpostit ja suorittaa roskapostisuodattimen sen selvittämiseksi, onko se roskaa. Gmail indeksoi sähköpostisi, jotta voit tehdä sen nopeasti. Gmail tarkastelee sähköpostin sisältöä osittain selvittääkseen sen tärkeyden ja antaa sinun määrittää suodattimia, jotka suorittavat automaattisesti toiminnot sähköpostin sisällön perusteella.
Kaikki nämä ominaisuudet perustuvat siihen, että Gmail - ja Google - pystyvät ymmärtämään sähköpostiosoitteesi ja pääsevät niihin. Jos heillä ei ole pääsyä, he eivät pystyneet suorittamaan roskapostisuodatusta, ottamaan käyttöön sähköpostin suodatusta sisällön perusteella tai antamaan sinun tehdä hakuja postilaatikostasi. Niin monet tärkeimmistä ominaisuuksista riippuvat palvelun pääsystä tiedostoihisi.
Ei salasanan palautusta
Useimmat online-palvelut tarjoavat salasanan palautusmekanismeja. Aidosti turvallista paikallista salausta varten ei kuitenkaan voi olla salasanan palautusmekanismia. Sinulla on salausavaimesi, joka purkaa tiedostosi salauksen. Jos menetät pääsyn tähän avaimeen, et voi purkaa tiedostojen salausta.
Salasanan palautusmekanismin tarjoaminen olisi mahdotonta, ellei palvelu tiedä tietojen sisältöä. Palvelut voivat tehdä tämän nyt, koska salasanasi on vain tapa todentaa tililläsi - se ei ole pakollinen koodi, joka tekee tietosi saataville. Vaikka palvelut voisivat helposti siirtyä päästä-päähän-salaukseen, se antaisi heille tauon - monet keskivertokäyttäjät unohtavat salausavaimensa, menettävät tietonsa, valittavat ja siirtyvät sitten salaamattomalle palveluntarjoajalle. Palvelua kannustettaisiin rentouttamaan salaus.
SpiderOak yrittää auttaa käyttäjiä tarjoamalla heille salasanavihjeen, jonka he antoivat tilin perustamisen yhteydessä, mutta se ei voi palauttaa salasanaa kokonaan. Unohda salasanasi ja tiedostosi ovat kadonneet olettaen, että niitä ei ole tallennettu paikalliseen tietokoneeseen.
He haluavat myydä tietojasi tai kohdemainoksiasi
Emme aio väittää toisin: Monet palvelut haluavat myös analysoida henkilötietojasi ja käyttää niitä ansaitaksesi rahaa. Google skannaa sähköpostisi ja käyttää hänelläsi olevia tietoja kohdistettujen mainosten esittämiseen, mutta ainakaan eivät myy kyseisiä henkilötietoja muille yrityksille. Facebook myy henkilökohtaisia tietojasi suoraan muille yrityksille.
Palvelut tarvitsevat pääsyn tietoihisi, jotta he voivat tehdä tämän, joten heitä kannustetaan olemaan toimittamatta vahvaa, kattavaa salausta.
Nämä eivät ole kaukana ainoista syistä, miksi henkilötietojesi paikallinen salaus ja salauksen purkaminen ei ole käynnistysohjelma useimmille pilvipalveluille. Toivomme, että se on valjastanut asiaan liittyviä vaikeita ongelmia ja selittänyt, miksi muut ihmiset ovat teoreettisesti lukeneet niin paljon tietojasi. Joidenkin salausominaisuuksien käyttöönotto voi olla helpompaa - esimerkiksi sallimalla käyttäjien lähettää salattu sähköposti Gmailin kautta - mutta älä odota, että kaikki salataan ja puretaan salauksen lähiaikoina.
Kuvahyvitys: Andy Roberts Flickrissä
