Nyheten om at Microsoft, etter en rettskjennelse, har utlevert Bitlocker-nøkler til FBI, ga mange en ubehagelig overraskelse og avdekket en grunnleggende misforståelse i krypteringsdebatten: at sterk kryptering automatisk betyr full kontroll over egne data.
Gjenopprettingsnøkler til krypterte PC-er var lagret i Microsofts sky og kunne dermed utleveres. Mange trodde nøkkelen kun lå lokalt hos dem. Men problemet er ikke krypteringen. Det er at nøkkelhåndtering forklares for dårlig.
Misforstått kryptering
Hendelser de siste årene hos blant annet Capital One, Okta og Microsoft viser at det sjelden er krypteringsalgoritmene som svikter, men hvordan nøkler og tilgang håndteres i praksis. Både hos banker, teknologiselskaper og identitetsleverandører har stjålne eller feilforvaltede nøkler gitt uvedkommende tilgang til store mengder data.
Fellesnevneren er ikke svak kryptering, men manglende kontroll over hvem som faktisk sitter med nøklene.
Når nøklene lekker
I praksis handler dette om én ting: å forstå at nøkkelhåndtering er en egen sikkerhetsfunksjon. Enten velger man full lokal kontroll, eller en skybasert løsning med høyere tilgjengelighet – og tar dermed et bevisst tillits- og risikovalg, også for mobile enheter og skybaserte sikkerhetskopier.
Når du aktiverer kryptering, må nøkkelen lagres et sted: enten lokalt under din kontroll eller i skyen som del av en tjeneste. Mange klikker «Ja» på anbefalt oppsett og tror de har valgt maksimal sikkerhet, men tar i realiteten et valg om kontroll – og hvem de stoler på.
Et valg om kontroll
Sterk kryptering er fortsatt en av våre viktigste sikkerhetsmekanismer. EU har flere ganger understreket at svekket kryptering vil undergrave sikkerheten i samfunnet som helhet. Likevel dukker kravet om «tilgang» stadig opp, ofte uten å skille mellom selve krypteringen og håndteringen av nøklene.
Denne diskusjonen viser hvorfor det er avgjørende å holde disse begrepene fra hverandre. «Ingen bakdører» betyr ikke at data aldri kan bli gjort tilgjengelige, men at det ikke skal bygges skjult tilgang inn i selve krypteringsmekanismen. Når tilgang er nødvendig, må den skje gjennom tydelige, lovfestede og kontrollerbare prosesser.
Tydelige spilleregler
Når leverandører oppbevarer nøkler på vegne av brukerne, trenger Europa felles og forståelige rammer. Det må være klart hvilken hjemmel som gjelder, hva som er nødvendig, og når leverandører faktisk skal si nei. Der regelverket åpner for lovpålagt utlevering eller tilgang, bør både selskaper og myndigheter være åpne om hvordan slike prosesser håndteres i praksis.
Også lovgiverne har et ansvar for å kommunisere disse skillene tydeligere, slik at debatten ikke reduseres til slagord om å være for eller imot kryptering. Uklarhet skaper unødvendig uro og undergraver tilliten vi er helt avhengige av.
Norden har et høyt nivå av digital tillit. Det forplikter. Brukere må få enkel og ærlig informasjon når de setter opp en enhet: Hvis du lagrer gjenopprettingsnøkkelen i skyen, har også leverandøren mulighet til å håndtere den.
Tre ting må spikres
Bitlocker-diskusjonen blir ikke den siste. Flere slike spørsmål vil komme i takt med at stadig mer blir skybasert. Derfor bør Norge og Europa stå fast på tre ting:
- Ingen bakdører i kryptering.
- Klare og forståelige rammer for situasjoner der leverandører sitter med nøkler.
- Åpenhet om hvordan disse rammene praktiseres.
Folk skal ikke måtte gjette hvordan dataene deres er beskyttet, eller hvor nøklene faktisk ligger.
Sterk kryptering beskytter både individet og samfunnet. I en tid der stadig mer av livet vårt er digitalt, er forståelsen av hvor kontrollen over dataene faktisk ligger, blitt et demokratisk spørsmål. Det er derfor krypteringen må forsvares, ikke svekkes.
For når nøklene ikke kontrolleres av brukeren, gjør heller ikke dataene det. Det er vi alle tjent med å forstå.
IBM-studie: Derfor er mange bedrifter ikke klare for KI-revolusjonen
