Devlet gözetimi ile ilgili son açıklamalar şu soruyu gündeme getirdi: Bulut hizmetleri verilerinizi neden şifrelemiyor? Genelde verilerinizi şifrelerler, ancak anahtara sahiptirler, böylece istedikleri zaman şifresini çözebilirler.
Asıl soru şudur: Neden web hizmetleri verilerinizi yerel olarak şifrelemiyor ve şifresini çözmüyor, böylece veriler, kimsenin gözünden kaçamayacağı bir şifrelenmiş biçimde saklansın? Son Geçiş bunu parola veri tabanınızla yapar.
Uçtan Uca Şifreleme Nasıl Farklı Olabilir?
Açık olmak gerekirse, verileriniz muhtemelen şifrelenmiştir. Örneğin Dropbox'ı ele alalım. Dropbox'a bağlandığınızda, Dropbox tüm verileri şifreli bir bağlantı üzerinden aktarır, böylece aktarım sırasında kimse onu gözetleyemez. Dropbox ayrıca dosyalarınızı sunucularında şifreli biçimde saklayacaklarına söz verir.
Bununla birlikte, şifreleme bir kilittir ve bir şeyin kilitli olup olmadığı, anahtara kimin sahip olduğundan daha az önemlidir. Dropbox, tüm dosyalarınızı sunucularında görüntülemek için şifreleme anahtarına sahiptir, bu nedenle şifreli olduğu doğru olsa da, Dropbox'ın bunlara tam erişime sahip olduğu ve devlet gözetimi ile işbirliği yapabilecekleri veya haydut bir çalışanın dosyalarınıza göz atabileceği de doğrudur.
"Uçtan uca şifreleme" fikri - buna "yerel şifreleme ve şifre çözme" de diyebilirsiniz - farklıdır. Uçtan uca şifreleme ile verilerin şifresi yalnızca uç noktalarda çözülür. Başka bir deyişle, uçtan uca şifreleme ile gönderilen bir e-posta, kaynakta şifrelenir, geçiş halindeki Gmail gibi hizmet sağlayıcıları tarafından okunamaz ve ardından uç noktasında şifresi çözülür. En önemlisi, e-postanın şifresi yalnızca son kullanıcı için bilgisayarında çözülür ve şifresini çözmek için anahtarlara sahip olmayan Gmail gibi bir e-posta hizmetinde şifrelenmiş, okunamaz bir biçimde kalır. Bu çok daha zor.
İndirme ve Yerel Şifre Çözme
Yukarıda bahsettiğimiz gibi, LastPass, web tarayıcınız aracılığıyla yerel şifreleme ve şifre çözme kullanır. Parolalarınızı içeren şifreli bir blob indirir, parolanızla şifresini çözer ve parolalarınıza erişmenizi sağlar. LastPass'in şifresini çözmek için tüm parola kasanızı ve diğer verileri indirmesi gerektiğini unutmayın. LastPass söz konusu olduğunda, bu gayet iyi çalışıyor - oldukça küçük bir dosyadır.
Ancak, bunu diğer web hizmetleriyle yapmak o kadar kolay olmazdı. Örneğin, Gmail benzer şekilde çalışırsa, Gmail'in 5 GB e-posta gelen kutunuzun tamamını temsil eden bir dosyayı bilgisayarınıza indirmesi gerekir. LocalStorage daha fazla veri depolayabilseydi, bunun için HTML5’in LocalStorage belirtimini kullanabilirdi. E-posta gelen kutunuza erişim sağlamak için bu dosyanın yerel olarak şifresinin çözülmesi gerekir ve bu biraz zaman alır.
Gmail'in her yeni, şifrelenmiş e-postayı temsil eden ayrı bir dosyayla bunu farklı şekilde yapması mümkündür. Ancak bir e-posta istemcisinin bu şekilde tasarlanmasında çok daha fazla karmaşıklık vardır.
Bu aslında bugün neredeyse imkansız olurdu - LocalStorage, popüler tarayıcılarda web sitesi başına genellikle 5 MB veya daha azıyla sınırlıdır. Spesifikasyon, kullanıcıların isterlerse bu sınırı artırabileceklerini söylüyor, ancak çok az tarayıcı bunu uyguluyor.
Güvenli Web Uygulaması Yok
SpiderOak ve Wuala gibi bulut depolama hizmetleri Dropbox'tan farklıdır - tam yerel şifreleme ve şifre çözme sağlarlar. SpiderOak veya Wuala için masaüstü programını yükleyin ve dosyalarınızı yüklemeden önce şifreleyecekler, böylece hizmetin kendisi ne depoladığınızı asla bilemez sizin Bunlara erişmek için şifreleme anahtarı gerekir.
Ancak, bu hizmetler diğer açılardan Dropbox'tan farklıdır - kolay erişim için bir web arayüzü kullanımını teşvik etmezler. Dropbox'ın dosyalarınıza erişmenizi sağlayan bir web uygulaması sağlaması kolaydır çünkü bu dosyaların ne olduğunu anlar. SpiderOak ve Wuala ne depoladığınızı anlamıyorlar, bu yüzden masaüstü programınızla tüm şifrelenmiş blobları indirmenize ve masaüstü programının zor işi yapmasına izin vermeleri onlar için çok daha kolay.
Bu servisler, şifrelenmiş dosya adlarının şifresini çözmenize ve anlamanıza, şifrelenmiş dosyayı tarayıcınıza indirmenize (belki LocalStorage yoluyla), yerel olarak şifresini çözmek için bir şifre çözme algoritması kullanmanıza ve ardından sizden bilgisayarınıza kaydetmenizi istemeye izin vermelidir. LocalStorage'ın sınırlamaları nedeniyle, bu pratikte imkansız olacaktır.
SpiderOak aslında bir web uygulaması sağlıyor, ancak dosyalarınıza erişirken SpiderOak şifreleme anahtarınızı sunucularında hafızasında saklaması gerektiğinden, kullanılmasını önermiyorlar. Bunu "ezici müşteri talebinin" bir sonucu olarak sağladıklarını söylüyorlar - en iyi şifreleme ve güvenliğiyle bilinen bir hizmette bile, müşteriler ezici bir çoğunlukla daha uygun, güvensiz seçenekler talep ediyor.
Spam Filtreleme, Arama ve Diğer Akıllı Özellikler Yok
Gmail gibi hizmetler özeldir, çünkü yalnızca tüm e-postalarınızı tutan bir kutu olmak yerine ek hizmetler sağlarlar. Örneğin, Gmail gelen e-postayı inceler ve önemsiz olup olmadığını belirlemek için ona karşı bir spam filtresi çalıştırır. Gmail, e-postanızı dizine ekler, böylece içinde hızla arama yapabilirsiniz. Gmail, önemli olup olmadığını belirlemek için kısmen bir e-postanın içeriğine bakar ve bir e-postanın içeriğine göre otomatik olarak eylemler gerçekleştiren filtreler oluşturmanıza olanak tanır.
Tüm bu özellikler, e-postanızı anlayabilmek ve erişime sahip olmak için Gmail'e ve Google'a bağlıdır. Erişimleri olmasaydı, spam filtreleme gerçekleştiremezlerdi, e-postaları içeriklerine göre filtreleyemezlerdi veya gelen kutunuzda arama yapmanıza izin veremezlerdi. En önemli özelliklerin çoğu, hizmetin dosyalarınıza erişmesine bağlıdır.
Şifre Kurtarma Yok
Çoğu çevrimiçi hizmet, şifre kurtarma mekanizmaları sunar. Ancak, gerçekten güvenli yerel şifreleme için bir şifre kurtarma mekanizması olamaz. Dosyalarınızın şifresini çözen şifreleme anahtarınız var. Bu anahtara erişimi kaybederseniz dosyalarınızın şifresini çözemezsiniz.
Servis verilerin içeriğini bilmediği sürece bir "şifre sıfırlama" mekanizması sunmak imkansız olurdu. Şifreniz yalnızca hesabınızla kimlik doğrulaması yapmanın bir yolu olduğu için hizmetler bunu şimdi yapabilir - verilerinizi erişilebilir kılan zorunlu bir kod değildir. Hizmetler kolayca uçtan-uca şifrelemeye geçebilse bile, bu onları duraklatır - birçok ortalama kullanıcı şifreleme anahtarlarını unutur, verilerini kaybeder, şikayet eder ve ardından şifrelenmemiş bir sağlayıcıya geçer. Hizmetin şifrelemeyi gevşetmesi teşvik edilecektir.
SpiderOak, kullanıcılarına hesabı oluştururken sağladıkları bir şifre ipucu göndermeyi teklif ederek yardımcı olmaya çalışır, ancak şifreyi tamamen sıfırlayamaz. Parolanızı unutun ve yerel bir bilgisayarda depolanmadıklarını varsayarak dosyalarınız kaybolur.
Verilerinizi Satmak İstiyorlar veya Reklamları Hedefliyorlar
Aksini iddia etmeyeceğiz: Birçok hizmet de kişisel verilerinizi analiz etmek ve para kazanmak için kullanmak ister. Google, e-postalarınızı tarar ve hedefli reklamlar sunmak için sizinle ilgili sahip olduğu bilgileri kullanır, ancak en azından bu kişisel bilgileri başka şirketlere satmaz. Facebook, kişisel bilgilerinizi doğrudan diğer şirketlere satar.
Hizmetlerin bunu yapabilmeleri için verilerinize erişmeleri gerekir, böylece güçlü, uçtan uca şifreleme sağlamamaya teşvik edilirler.
Bunlar, kişisel verilerinizin yerel şifrelenmesinin ve şifresinin çözülmesinin bulut hizmetlerinin büyük çoğunluğu için başlangıç olmamasının tek nedenlerinden uzaktır. İlgili zor sorunlara biraz ışık tuttuğunu ve verilerinizin neden bu kadar çoğunun teorik olarak başkaları tarafından okunabilir olduğunu açıkladığını umuyoruz. Bazı şifreleme özelliklerini uygulamanın daha kolay yolları olabilir - örneğin, kullanıcıların Gmail aracılığıyla şifrelenmiş bir e-posta göndermesine izin vererek - ancak yakın zamanda her şeyin yerel olarak şifrelenip şifresinin çözülmesini beklemeyin.
Resim Kredisi: Andy Roberts Flickr'da
