För bara några år sedan kretsade diskussionen kring hur vi skulle kunna möjliggöra användningen av amerikanska molntjänster – från juridiska hinder till säkerhetsfrågor. Idag handlar diskussionerna snarare om hur organisationer i större grad kan skydda sig från amerikanska, lite oklara, intressen och hur vi i högre utsträckning kan lösgöra oss från amerikanska molntjänster. Ett återkommande ämne har varit hur kryptografi kan fungera som en möjliggörare.
För en handfull år sedan uppstod panik när det blev uppenbart att den önskade vägen fram för många var att använda amerikanska molntjänster för att fortsatt kunna nyttja sin ordbehandlarfavorit fullt ut. Det är flera decennier sedan som ordbehandlarfavoriten kröntes, och den verkar förbli krönt under överskådlig framtid. Betänk att offentlig sektor än idag ofta ställer krav på att handlingar ska vara i ordbehandlarfavoritens format. Ordbehandlarfavoriten var kanske den enskilt starkaste kraften i den tidiga molneran?
I sann public service-anda ska sägas att det finns fler ordbehandlare på marknaden.
I början av molneran handlade kryptografifrågan om huruvida krypterade personuppgifter skulle betraktas som en tredjelandsöverföring eller ej. Givet att kryptografi alltid har ett bäst-före-datum är det svårt att säga att det inte är en överföring, trots kryptografi. Parallellt med denna diskussion tillkom en ändring i offentlig- och sekretesslagstiftningen som möjliggjorde ”teknisk bearbetning och lagring” samt ett adekvansbeslut i EU som möjliggjorde överföring av personuppgifter till amerikanska molntjänster.
Med tanke på den turbulens som råder i Vita huset vilar också adekvansbeslutet på orolig grund och diskussionen har åter tagit fart. Egentligen skiljer sig inte diskussionen nämnvärt från tidigare. Frågan som återupprepas är huruvida kryptografi är lösningen på problemet?
Det enkla svaret är att kryptografi har varit en möjliggörare i hundratals år, för att inte säga tusentals år. Stora krig har både vunnits och förlorats med stöd av kryptografi. Väldigt förenklat har vinnarna haft då oanade förmågor och förlorarna slarvat med allt från algoritmer och nycklar till rena handhavandefel.
Den avgörande frågan handlar oftast om kryptonycklarna, dess kvalitet, skydd och livscykel. Diskussionen lämnar dock övrigt att önska. De kryptografiska hårdvarumodulerna (HSM) står som en garant för förbättring av kvalitet och skydd av nyckelmaterial. Jag vågar dock påstå att den ökade efterfrågan på uppacknings- och nyckelceremonier inte står i proportion till marknadsökningen.
Historien upprepar sig som ofta. Eftersom HSM nu har blivit en dussinvara så hanteras den som vilken hårdvarukomponent som helst. Den erbjuds på mellandagsrea, transporteras i brutna leveranskedjor, tillverkas i länder som konsekvent bryter mot mänskliga rättigheter och installeras som en kontorsswitch. Till detta kan tilläggas att nycklarna gärna ska kunna exporteras och att FIPS-mode bara krånglar till det, för att citera switchinstallatören. Det kanske är bättre att köpa även detta som en molntjänst? Eller varför inte begagnade HSM:er på exempelvis eBay med redan färdiggenererat nyckelmaterial?
Den kryptografi som ska skydda informationen ska upprätthålla förväntad kvalitet och förväntat skydd av kryptonycklarna där bland annat uppacknings- och nyckelceremonier är ett led i detta. Kryptografin står och faller med kvaliteten och skyddet av kryptonycklarna, och kvaliteten och skyddet är i sin tur helt beroende av de processer och rutiner som styr hanteringen. Det kommer även att finnas behov, inte bara av att rulla nycklar med regelbundenhet, utan även att rulla algoritmer över tid. Kryptoagilitet är A&O. Inte minst nu när vi närmar oss ett stort generationsskifte från förväntat sårbara asymmetriska algoritmer, som RSA och ECC, till postkvantumdatorsäkra (PQC) algoritmer. Detta apropå att kryptografi alltid har ett bäst-före-datum. Klockan tickar redan. För er som minns hysterin kring den förväntade millenniebuggen så är den att betrakta som en parentes i sammanhanget givet utmaningen att byta till helt nya krypteringsalgoritmer.
Det är dags att ta frågan om kryptografi på allvar, inte minst i en tid när det är svårt att avgöra vem som är god och vem som är ond. Vi har under våren sett att det kan skifta från en dag till en annan. Att i denna tid inte veta vem som har tillgång till nyckeln till din nyckel är verkligen inte acceptabelt. Det är allvar nu!
Thomas Nilsson
