Encryption at rest er beskyttelse af lagrede data ved at kryptere dem, så en fil, der ligger på en telefon, en bærbar, en USB-nøgle eller en server, er ulæselig uden den rigtige nøgle.
„At rest“ betyder bare „i hvile“. Din passcanning i en mappe er i hvile. Den samme scanning vedhæftet en e-mail, på vej gennem internettet, er „in transit“, altså undervejs. Sikkerhedsfolk går op i forskellen, fordi truslerne er forskellige: En, der opsnapper en forbindelse, er ét problem; en, der samler en tabt telefon eller en stjålet bærbar op, er et andet.
En telefon er dér, hvor dit forsikringskort, din lejekontrakt og billederne af din selvangivelse ender, og telefoner bliver væk. Encryption at rest er låsen på den skuffe.
Hvad encryption at rest er
NIST, den amerikanske standardiseringsmyndighed, definerer kryptering som omdannelsen af læsbare data, kaldet klartekst, til en form, kaldet chiffertekst, der skjuler dataenes oprindelige betydning for at forhindre, at de bliver kendt eller brugt. Er omdannelsen reversibel, kaldes det modsatte dekryptering. Nøglen er det, der gør den reversibel: ingen nøgle, ingen læsning.
NIST's vejledning i lagerkryptering på slutbrugerenheder, SP 800-111, beskriver det som brug af kryptering og autentificering til at begrænse adgangen til og brugen af lagrede oplysninger. Den nævner tre almindelige tilgange: kryptering af hele disken, kryptering af diskenheder og virtuelle diske samt kryptering af filer eller mapper. Det rigtige valg, siger den, afhænger mest af lagertypen, hvor mange oplysninger der skal beskyttes, hvor lageret opbevares, og hvilke trusler man vil stoppe.
Apples tilgang på iPhone er filniveau-varianten. Apples sikkerhedsvejledning siger, at Data Protection tildeler hver fil en klasse, og at en fils tilgængelighed afhænger af, om den klasses nøgler er låst op. Hver gang en fil oprettes på datadiskenheden, opretter Data Protection en ny 256-bit nøgle til den og overdrager den til en hardwarekrypteringsmotor, som krypterer filen, mens den skrives til flashlageret.
Sådan ser det ud
Encryption at rest er ikke noget, du ser. Den viser sig nogle få steder, og tabellen nedenfor adskiller det, den dækker, fra det, den ikke dækker.
| Situation | Dækket af encryption at rest? | Hvad du skal tjekke |
|---|---|---|
| Telefon mistet eller stjålet, mens den er låst | Ja, det er netop det tilfælde, den er lavet til | Brug en stærk adgangskode og en kort autolås |
| Telefon rakt videre, mens den er låst op | Nej | Kort autolås; Face ID på følsomme apps |
| Fil sendt på e-mail eller uploadet | Nej (det er encryption in transit) | Brug et sikkert link eller en krypteret vedhæftning |
| Drev fra bærbar taget ud og læst et andet sted | Ja, hvis kryptering af hele disken er slået til | Bekræft, at den er slået til i systemindstillingerne |
| Sikkerhedskopi eller synkronisering i skyen | Afhænger af udbyderen og indstillingerne | Læs udbyderens beskrivelse af, hvad der er krypteret |
| Papirudskrift | Nej | Makulér den (makulering) |
Den ærlige begrænsning er anden række. Encryption at rest beskytter lagrede data mod en, der har enheden eller lageret, men ikke nøglen. Den gør intet mod en, der allerede er inde i en oplåst session, eller mod en person, du har givet filen til.
Hvad du skal gemme, og hvor længe
Kryptering er ikke et dokument, så der er intet at arkivere. Det, der er værd at gemme, er vanen og nogle få fakta.
- Din adgangskode og dine gendannelsesoplysninger. Mister du nøglen, kan krypterede data være væk for altid. Opbevar gendannelsesoplysningerne et sikkert og separat sted, fx i dit digitale nødberedskab.
- En krypteret sikkerhedskopi. Kryptering erstatter ikke en. Se sådan sikkerhedskopierer du vigtige dokumenter.
- En note om, hvor følsomme filer ligger, og hvilke apps der beskytter dem. Hvor længe selve dokumenterne skal gemmes, er et separat spørgsmål: se opbevaring af dokumenter.
Et tip, der er værd at kende: Nogle formater er bygget til at kunne læses om årtier og forbyder kryptering inde i filen. PDF/A, den arkiveringsegnede PDF-standard, er et af dem. Det sædvanlige svar er at beskytte lageret, ikke filen.
Hvor Paperlock passer ind: Dens dokumenter lagres krypteret på telefonen ved hjælp af iOS Data Protection, og appen tilføjer en Face ID- eller adgangskodelås oven på. Det er det samme at-rest-lag, som beskrives ovenfor, plus en lås til tilfældet med den oplåste telefon.