Şifreleme nedir ve nasıl çalışır?

Veri şifreleme neden gereklidir?

Gizlilik: Verileri yalnızca sahibi ve alıcısı okuyabilir, böylece saldırganların, İSS'lerin ve hatta hükümetlerin hassas verileri ele geçirmesi engellenir.

Güvenlik: Şifreleme veri ihlallerini önlemeye yardımcı olur; kurumsal bir cihaz kaybolur veya çalınırsa ancak içeriği şifrelenmişse, veriler hala güvende olacaktır.

Veri bütünlüğü: Şifreleme, şifrelenmiş veriler yol boyunca görüntülenemediğinden veya kurcalanamadığından, iletim sırasındaki saldırılar (iletim sırasında bilgilerin ele geçirilmesi) gibi kötü amaçlı davranışları da önler.

Düzenlemeler: HIPAA, PCI-DSS ve GDPR gibi birçok sektör ve devlet düzenlemesi şirketlerin kullanıcı verilerini şifrelemesini gerektirmektedir. ABD devlet kurumları ve yüklenicileri FIPS (Federal Information Processing Standards - Federal Bilgi İşleme Standartları) kullanmalıdır.

Şifreleme algoritmaları

Bir şifreleme algoritması, verilerin şifreli metne dönüştürme şeklidir. Şifreleme anahtarı, algoritma tarafından verileri tutarlı biçimde değiştirmek için kullanılır. Böylece rastgele görünse bile şifre çözme anahtarı bunu kolayca düz metne geri dönüştürebilir. Yaygın şifreleme algoritmaları arasında AES, 3-DES, SNOW (tümü simetrik) ve eliptik eğri kriptografisi ve RSA (her ikisi de asimetrik) sayılabilir.

Tüm asimetrik şifrelemelerde olduğu gibi RSA da asal faktorizasyon (iki çok büyük asal sayının çarpılması) yöntemini kullanır. Bunu kırmak çok zordur çünkü kullanılan asal sayıların belirlenmesi gerekir. Bu da matematiksel oldukça zordur. Bir RSA anahtarını kaba güçle (brute force) kırmak neredeyse imkansızdır.

Kaba güç (Brute force)

Bir bilgisayar bir şifreyi veya şifre çözme anahtarını kırmak için milyonlarca hatta milyarlarca deneme yaparsa buna kaba güç saldırısı denir. Modern bilgisayarlar bu olası permütasyonları inanılmaz bir hızla uygulayabilir. Modern şifrelemenin bu tür saldırılara karşı dayanıklı olması gerekir. Kriptografi alanı, şifrelemeyi kırmak için daha hızlı yollar geliştirenler ile daha sofistike şifreleme yöntemleri geliştirenler arasında sürekli bir silahlanma yarışıdır.

Şifreleme şirketinize nasıl yardımcı olabilir?

Özellikle daha fazla işletmenin bulut bilişimi kullanmaya başlamasıyla siber güvenlik stratejilerinin veri şifrelemeyi içermesi gerekir. Şifreleme, şirket faaliyetlerini çeşitli yollarla destekleyebilir.

E-posta şifreleme: E-posta, kuruluş çapında iletişim ve iş faaliyetlerinin temeli olduğundan, kötü amaçlı kişiler bunlara saldırabilir veya yanlışlıkla ifşa durumları ortaya çıkabilir. Finansal hizmetler veya sağlık hizmetleri gibi sektörler yüksek düzeyde düzenlemeye tabidir, ancak özellikle son kullanıcıların genellikle standart işletim prosedüründe değişikliğe direndiği e-postalarda uygulama zor olabilir. İşletim sistemleri ve yaygın kullanılan e-posta istemcileri şifreleme yazılımı ile güçlendirilebilir. Bu sayede şifrelenmiş bir e-posta göndermek şifrelenmemiş bir e-posta göndermek kadar kolay hale getirilebilir.

Büyük veriler (Big data): Gizlilik uyumluluğu için sürekli veri koruması, güvenli bulut analizleri, bulut aktarımları için şifreleme ve tokenizasyon teknolojisi; ve şifreleme, veri merkezli korumayı merkezi hale getirerek çoklu bulut işlemlerini kolaylaştırabilir. Hassas veriler çoklu bulut ortamlarından her geçtiğinde, bu teknolojiler tarafından şifrelenecektir.

Ödeme güvenliği: PCI DSS (Payment Card Industry Data Security Standard - Ödeme Kartı Endüstrisi Veri Güvenliği Standardı) ve veri gizliliği yasalarına uyabilmeleri için satıcılar, ödeme işlemcileri ve işletmeler, ödeme kartı sahibi verileri gibi yüksek değerli hassas verilerin güvenliğini sağlamakta büyük zorluklar yaşamaktadır. Bununla birlikte, şifreleme yazılımı perakende POS, web ve mobil e-ticaret işlemlerini koruyabilir.

Şifrelemenin sunduğu yukarıdaki hizmetlere ve korumalara ek olarak, gizlilik (bir mesajın içeriğini kodlama), kimlik doğrulama (bir mesajın kaynağını doğrular), inkar edememe (şifrelenmiş bir mesajın gönderildiğinin inandırıcı bir şekilde inkar edilmesini önler) ve bütünlük (mesaj içeriğinin değiştirilmediğini kanıtlar) sağlar.

Şifrelemenin dezavantajları var mı?

Şifreleme, yetkisi olmayan kişilerin veya birimlerin kötü amaçlarla elde edilen verileri anlamasını engellemek için tasarlanmıştır. Ancak bazı durumlarda veri sahibinin engellenmesine neden olabilir. Anahtar yönetimi işletmeler için zordur çünkü anahtarın bir yerde durması gerekir ve saldırganlar genellikle onları arama konusunda bilgilidir. Felaket durumunda anahtarların alınması ve yedek sunuculara eklenmesi zaman alacağından, anahtar yönetimi yedekleme ve geri yüklemeyi daha karmaşık hale getirir. Yöneticilerin anahtar yönetim sistemi koruması için; örneğin büyük ölçekli bir felaket meydana gelirse geri alınması kolay ayrı bir yedekleme gibi bir planı olmalıdır.

Anahtar yönetimini kolaylaştırmak için key wrapping (anahtar paketleme) gibi yazılımlar mevcuttur. Bunlar, bir kuruluşun şifreleme anahtarlarını tek tek veya toplu olarak şifreler. Gerektiğinde, genellikle simetrik şifreleme ile açılabilirler.

Kaba güç (brute force) saldırıları yüksek bitli anahtarlara karşı etkisiz olsa da güvenlik açıkları da mevcuttur. Birçok girişim, sosyal mühendislik yöntemleriyle anahtarlara izinsiz erişmeye odaklanmaktadır. Yani saldırı sisteme değil, sistemi sürdüren ve onunla etkileşim içinde olan insanlara yöneltilir. Kimlik avcılığı (Phishing), kötü amaçlı yazılımlar (malware), BadUSB saldırıları: Bilgisayar korsanlarının, ağları dış saldırılardan korumak için uygulamaya konulan güvenlik önlemlerini, insanların yanıl potansiyelinden yararlanarak atlatabilecekleri birçok yöntem vardır.

Yazılım tabanlı şifrelemenin de donanım tabanlı şifrelemeden daha az güvenli olduğu düşünülmektedir. Yazılım tabanlı şifreleme, fiziksel saldırılar yapan kötü aktörler tarafından potansiyel olarak aşılabildiği için 'kaldırılabilir şifreleme' olarak da adlandırılır. Donanım tabanlı şifrelemenin, kurcalanmayı önlemek için fiziksel savunmalar içermesi nedeniyle genellikle daha güvenli olduğu düşünülür.

#KingstonIsWithYou #KingstonIronKey