Digitaalinen elämäsi ja kryptografia

Aikaperusteiset kertakäyttöiset salasanat (TOTP), joita käytetään esimerkiksi Google Authenticatorin kaltaisissa sovelluksissa, luodaan soveltamalla HMAC-SHA1:tä nykyiseen aikaleimaan ja jaettuun salaisuuteen.

Palvelin ja puhelimenne laskevat itsenäisesti saman koodin, koska niillä on yhteinen salaisuus ja tieto nykyisestä ajasta. Yhden koodin kaapannut hyökkääjä ei voi käyttää sitä uudelleen, koska se vanhenee 30 sekunnin kuluttua.

1Passwordin ja Bitwardenin kaltaiset salasanojen hallintaohjelmat tallentavat salasananne AES-256-salauksella salattuun säilöön. Sama salausalgoritmi on käytössä hallituksilla ja asevoimilla ympäri maailman.

Pääsalasanaa ei tallenneta mihinkään. Sen sijaan siitä johdetaan salausavain avaimen johdantafunktion, kuten PBKDF2:n tai Argon2:n, avulla. Ilman pääsalasanaa säilön murtaminen raakavoimalla on laskennallisesti käytännössä mahdotonta.

VPN (Virtual Private Network) luo salatun tunnelin laitteenne ja VPN-palvelimen välille. Kaikki Internet-liikenteenne kulkee tämän tunnelin kautta, jolloin se pysyy piilossa Internet-palveluntarjoajaltanne ja paikallisen verkon tarkkailijoilta.

Useimmat nykyaikaiset VPN:t käyttävät WireGuardin (ChaCha20-Poly1305) tai OpenVPN:n (AES-256-GCM) kaltaisia protokollia. Salaus estää paikallisessa verkossa olevia näkemästä, millä sivustoilla vierailette.

macOS:n FileVault ja Windowsin BitLocker salaavat kiintolevyn jokaisen tavun AES-128- tai AES-256-salauksella. Ilman salauksen purkuavainta varastetusta kannettavasta tietokoneesta ei paljastu mitään.

Nykyaikaiset iPhone- ja Android-laitteet salaavat tallennustilan myös oletusarvoisesti ja sitovat salauksen laitteen pääsykoodiin. Lainvalvonta ei voi käyttää salatun puhelimen tietoja ilman pääsykoodia tai merkittävää haavoittuvuutta.

Selaimen osoiterivillä näkyvä lukkokuvake ilmaisee HTTPS-yhteyden. TLS salaa selaimen ja verkkopalvelimen välisen liikenteen ja estää Internet-palveluntarjoajia, verkko-operaattoreita ja lähistöllä olevia hyökkääjiä lukemasta tai muuttamasta sisältöä.

Selainten valmistajat ovat edistäneet HTTPS:n yleistä käyttöönottoa voimakkaasti merkitsemällä HTTP-sivustot "Not Secure" -merkinnällä ja suosimalla HTTPS-sivustoja hakusijoituksissa.

Signalia pidetään turvallisen viestinnän kultaisena standardina. Se käyttää Signal Protocol -protokollaa päästä päähän salattuihin viesteihin ja puheluihin, minimoi metatietojen keräämisen, on täysin avoimen lähdekoodin ohjelmisto ja sitä ylläpitää voittoa tavoittelematon organisaatio.

Signal tukee myös katoavia viestejä, itselle lähetettävien viestien salausta ja sealed sender -ominaisuutta, joka piilottaa jopa lähettäjän henkilöllisyyden Signal-palvelimilta viestien siirron aikana.

Applen iCloud Advanced Data Protection mahdollistaa iCloud-varmuuskopioiden päästä päähän -salauksen, mikä tarkoittaa, ettei Apple itse voi käyttää varmuuskopiotietojanne. Avaimet ovat vain luotetuilla laitteillanne.

Jos tätä ominaisuutta ei ole otettu käyttöön, Apple säilyttää varmuuskopionne avaimet ja viranomaiset voivat velvoittaa yhtiön luovuttamaan ne. E2E-varmuuskopioiden salaus on tärkeä, mutta usein huomiotta jäävä yksityisyysasetus.

Kryptovaluuttalompakko on pohjimmiltaan kryptografisten avainten pari: yksityinen avain (salainen) ja julkinen avain (lompakko-osoitteenne). Tapahtumat allekirjoitetaan yksityisellä avaimella omistajuuden todistamiseksi.

Yksityisen avaimen menettäminen tarkoittaa varojenne pysyvää menettämistä. Salasanan palautusta tai asiakastukea ei ole. Kryptografinen järjestelmä ei matemaattisesti anna anteeksi avainten katoamista.

Kun käytätte Face ID:tä tai sormenjälkitunnistusta, biometriset tietonne käsitellään Secure Enclave -ympäristössä. Se on erillinen suoritin, jolla on oma salattu muistinsa ja omat avaimensa.

Biometrinen malli ei koskaan poistu Secure Enclave -ympäristöstä eikä sitä koskaan lähetetä Applelle tai Googlelle. Tunnistautuminen tapahtuu paikallisesti: Secure Enclave vahvistaa vastaavuuden ja vapauttaa laitteen avaimen.

Vahva kaikkialla käytetty kryptografia tarkoittaa, että yksityinen viestintä on mahdollista valvonnastakin huolimatta, rahoitustapahtumat todennetaan ja niiden peukalointi voidaan havaita sekä tallennetut tiedot pysyvät suojattuina, vaikka laitteet takavarikoitaisiin.

Kriitikot väittävät, että tämä vaikeuttaa lainmukaista viestien sieppausta viranomaisille. Kryptografien mukaan takaovet heikentävät kaikkien turvallisuutta perustavanlaatuisesti ja vahva salaus hyödyttää yhteiskuntaa kokonaisuutena.

Monet päivittäistä digitaalista elämäänne suojaavista kryptografisista työkaluista ovat avoimen lähdekoodin ohjelmistoja: Signal Protocol, OpenSSL, LibreSSL, GnuTLS, WireGuard ja Linux-ytimen kryptografinen alijärjestelmä.

Avoimen lähdekoodin kryptografia mahdollistaa asiantuntijoiden julkisen tarkastelun kaikkialla maailmassa. Toisin kuin omisteiset mustan laatikon toteutukset, avoimen lähdekoodin koodin voi auditoida ja varmentaa riippumattomasti sekä kryptografian yhteisö voi kehittää sitä.

Kryptografia suojaa lähes kaikkia digitaalisen elämänne osa-alueita: 2FA-koodeja, salasananhallinnan holveja, VPN-tunneleita, koko levyn salausta, HTTPS-selausta, suojattua viestintää, salattuja varmuuskopioita ja kryptovaluuttalompakoita.

Kun ymmärrätte, mitkä työkalut käyttävät mitäkin kryptografisia primitiivejä, voitte tehdä parempia tietoturvapäätöksiä ja ymmärtää, miksi tietyillä yksityisyysasetuksilla on merkitystä.