«I ro» betyr bare «ikke i bevegelse». Passkanningen din i en mappe er i ro. Den samme skanningen vedlagt en e-post, på vei over internett, er «under overføring». Sikkerhetsfolk bryr seg om forskjellen fordi truslene er ulike: at noen avlytter en forbindelse er ett problem, at noen plukker opp en mistet telefon eller stjeler en bærbar PC er et annet.
En telefon er der forsikringskortet, leiekontrakten og bildene av skattemeldingen din havner, og telefoner blir borte. Kryptering i ro er låsen på den skuffen.
Hva kryptering i ro er
NIST, det amerikanske standardiseringsbyrået, definerer kryptering som omformingen av lesbare data, kalt klartekst, til en form, kalt chiffertekst, som skjuler dataenes opprinnelige mening for å hindre at de blir kjent eller brukt. Hvis omformingen kan reverseres, kalles reverseringen dekryptering. Nøkkelen er det som gjør den reverserbar: ingen nøkkel, ingen lesing.
NISTs veiledning for lagringskryptering på sluttbrukerenheter, SP 800-111, beskriver det som å bruke kryptering og autentisering for å begrense tilgang til og bruk av lagret informasjon. Den nevner tre vanlige tilnærminger: kryptering av hele disken, kryptering av volumer og virtuelle disker, og kryptering av filer eller mapper. Riktig valg, sier den, avhenger hovedsakelig av typen lagring, hvor mye informasjon som må beskyttes, hvor lagringen skal oppbevares, og truslene du prøver å stoppe.
Apples tilnærming på iPhone er den filbaserte typen. Apples sikkerhetsveiledning sier at Data Protection tildeler hver fil en klasse, og at en fils tilgjengelighet avhenger av om den klassens nøkler er låst opp. Hver gang en fil opprettes på datavolumet, lager Data Protection en ny 256-biters nøkkel for den og gir den til en maskinvarebasert krypteringsmotor, som krypterer filen når den skrives til flashlagringen.
Hvordan det ser ut
Kryptering i ro er ikke noe du ser. Den viser seg noen få steder, og tabellen under skiller det den dekker fra det den ikke dekker.
| Situasjon | Dekket av kryptering i ro? | Hva du bør sjekke |
|---|---|---|
| Telefon mistet eller stjålet mens den er låst | Ja, det er tilfellet den er laget for | Bruk en sterk kode og en kort autolås |
| Telefon gitt fra deg mens den er låst opp | Nei | Kort autolås; Face ID på sensitive apper |
| Fil sendt på e-post eller lastet opp | Nei (det er kryptering under overføring) | Bruk en sikker lenke eller et kryptert vedlegg |
| Harddisk tatt ut av en bærbar PC og lest et annet sted | Ja, med kryptering av hele disken slått på | Bekreft at det er slått på i systeminnstillingene |
| Skysikkerhetskopi eller synkronisering | Avhenger av leverandøren og innstillingene | Les leverandørens beskrivelse av hva som er kryptert |
| Papirutskrift | Nei | Makuler den (makulering) |
Den ærlige begrensningen er rad to. Kryptering i ro beskytter lagrede data mot noen som har enheten eller lagringen, men ikke nøkkelen. Den gjør ingenting mot noen som allerede er inne i en opplåst økt, eller mot en person du har gitt filen til.
Hva du bør ta vare på og hvor lenge
Kryptering er ikke et dokument, så det er ingenting å arkivere. Det som er verdt å beholde, er vanen og noen få fakta.
- Koden din og gjenopprettingsinformasjonen. Hvis du mister nøkkelen, kan krypterte data være borte for godt. Oppbevar gjenopprettingsdetaljene et trygt og adskilt sted, for eksempel i den digitale beredskapspermen din.
- En kryptert sikkerhetskopi. Kryptering erstatter ikke en. Se hvordan du sikkerhetskopierer viktige dokumenter.
- Et notat om hvor sensitive filer ligger, og hvilke apper som beskytter dem. Hvor lenge du bør beholde selve dokumentene, er et eget spørsmål: se oppbevaringstid.
Ett tips verdt å kjenne til: noen formater er laget for å være lesbare om flere tiår og forbyr kryptering inne i filen. PDF/A, arkivstandarden for PDF, er ett av dem. Det vanlige svaret er å beskytte lagringen, ikke filen.
Der Paperlock passer inn: dokumentene lagres kryptert på telefonen med iOS Data Protection, og appen legger en Face ID- eller kodelås oppå. Det er det samme i-ro-laget som beskrives over, pluss en lås for tilfellet med den opplåste telefonen.