Doordringende encryptie die gegevens beschermt, niet alleen tijdens het transport en in rust, maar ook tijdens het gebruik – en zo bedrijven bevrijdt van de angst voor datalekken – is al lang een droom van bedrijfsleiders, IT-teams en compliance-professionals.

In 2023 kunnen die dromen werkelijkheid worden, met een aantal database- en gegevensbeveiligingsbedrijven die software uitbrengen waarmee bedrijven gegevens versleuteld kunnen houden terwijl ze nog steeds algemene bewerkingen mogelijk maken, zoals zoeken. Vorig jaar, bijvoorbeeld, bracht de leverancier van databasetechnologie MongoDB een preview uit van zijn Queryable Encryption-mogelijkheid, waarmee bedrijven op "expressieve" manieren naar gegevensrecords kunnen zoeken zonder de gegevens te hoeven decoderen. En deze week heeft gegevensbeveiligingsbedrijf Vaulttree een softwareontwikkelingskit uitgebracht waarmee applicatiemakers de Data-in-Use Encryption-functie kunnen uitproberen, die - zo beweert het bedrijf - uitgebreidere bewerkingen op gecodeerde gegevens mogelijk maakt.

Het doel is om bedrijven en hun applicaties de mogelijkheid te bieden om efficiënt toegang te krijgen tot databases en deze efficiënt te doorzoeken, terwijl wordt voorkomen dat ongeautoriseerde gebruikers ooit gevoelige informatie kunnen ontsleutelen, zegt Kenn White, beveiligingsdirecteur bij MongoDB.

“Wat we veel van klanten horen, zijn zorgen over lekken, inbreuken en aanvallen op openbare cloudinfrastructuur, inclusief geprivilegieerde gebruikers. Daarom richten we ons op gebieden waar we extra beveiligingscontroles en technische maatregelen kunnen toevoegen om te beperken wie gevoelige informatie kan zien. gegevens in real time”, zegt hij. "[Wij] geloven dat [encryption-in-use] een gebied zal blijven met veel potentieel voor innovatie, met name voor operationele workloads."

De technologieën beloven organisaties te helpen de zogenaamde "explosieradius" te minimaliseren wanneer een netwerk of systeem wordt aangetast. Doorgaans worden bedrijven die het slachtoffer zijn van een inbreuk geconfronteerd met een opeenstapeling van forensische onderzoeken, wettelijke registraties en boetes, en de mogelijke blootstelling van gevoelige gegevens en intellectueel eigendom. Versleutelde gegevens stellen bedrijven in staat om veel van de verwoestende gevolgen van een datalek te omzeilen, maar hiervoor waren doorgaans complexe ontwerpen van de gegevensarchitectuur vereist om ervoor te zorgen dat informatie in platte tekst niet onbedoeld onveilig blijft.

Veel technologiebedrijven hebben geprobeerd het probleem op te lossen en het veilige gebruik van gegevens door applicaties mogelijk te maken door het gebruik van codering uit te breiden. In de jaren 2010 bijvoorbeeld Ionic Security bedoeld om alle gegevens te versleutelen on the fly en laat het gebruik ervan alleen toe door geautoriseerde gebruikers met specifieke rechten. Twilio kocht het bedrijf in 2021.

Als de huidige reeks technologieën slaagt waar andere hebben gefaald, zouden bedrijven aanzienlijk minder risico kunnen zien in het geval van een inbreuk, zegt Ryan Lasmaili, CEO van Vaultree.

"We weten dat als er een lek is en de gegevens volledig zijn versleuteld, het risico voor het bedrijf onmiddellijk wordt verkleind voor naleving van de regelgeving", zegt hij. "Maar de GDPR op dit moment dekt bijvoorbeeld geen data-in-use-encryptie, omdat tot nu toe werd aangenomen dat het er nog niet was."

Lama's vermijden in de Indy 500

MongoDB's Queryable Encryption versleutelt databasevelden, wat betekent dat de informatie te allen tijde cryptografisch veilig is, maar toch kan worden gebruikt om te zoeken. De sleutels voor het ontsleutelen van de informatie worden bij elke client opgeslagen, waardoor alleen specifieke mensen en apparaten de mogelijkheid hebben om gevoelige velden te ontsleutelen. Zelfs een databasebeheerder kan niet elk veld ontsleutelen, tenzij hij over de juiste sleutels beschikt.

Het realiseren van de technologieën was afhankelijk van onderzoek door kleine groepen academische cryptografen. Queryable Encryption kwam bijvoorbeeld vandaan het werk van Seny Kamara en Tarik Moataz, beiden van de Brown University, die vervolgens een startup oprichtten, Aroki Software, dat was gekocht door MongoDB in 2021.

Het doel van Queryable Encryption is om vandaag technologie te leveren die query's kan verwerken die echt nuttig zijn en die de mogelijkheid gemakkelijk maken voor ontwikkelaars, MongoDB's White zei tijdens een presentatie op de USENIX ENIGMA-conferentie in januari. De sleutel tot dat alles is dat prestaties niet in de weg mogen staan, zei hij.

"Het moet sublineair zijn - het verschil tussen 1,000 documenten, een miljoen, 5 miljoen en 100 miljoen documenten, het zou sublineair moeten zijn", zei hij. “Veel van het academische werk was gedaan op een manier die superlineair was, dus het werkt geweldig op 10 records, of 100, 1,000, 5,000 - verder is het pijnlijk. En je kunt er meer CPU's tegenaan gooien, maar weet je, het is net zoiets als racen met de Indy 500 met lama's - er is maar zo veel dat je kunt doen.

Andere technologieën, zoals volledig homomorfe codering (FHE), beloven een uitgebreider scala aan bewerkingen op gecodeerde gegevens mogelijk te maken en zijn uitgebreid gefinancierd door het Amerikaanse ministerie van Defensie. Een team van Intel en Microsoft ondertekende een meerjarige onderzoeksbeurs met de DoD in 2021 onder het DARPA Data Protection in Virtual Environments (DPRIVE) -programma om een ​​hardwareversneller te creëren om de beruchte verwerkingsintensieve FHE-benaderingen te versnellen. In januari kondigde Duality Technologies, een andere ontvanger van een DPRIVE-beurs, aan dat het werd genoemd Fase 2 van dat programma om machine-learning verwerking van versleutelde gegevens te versnellen.

"Gestructureerde codering beschermt, zoals de meeste coderingsschema's, de vertrouwelijkheid van gegevens - dit betekent dat gegevens worden beschermd op een manier waarop alleen mensen die zijn goedgekeurd om de gegevens te ontvangen, daadwerkelijk toegang hebben tot deze gegevens", zegt Kurt Rohloff, chief technology officer bij Duality Technologies. "FHE biedt ook gegevensvertrouwelijkheid, maar staat meer verwerking van de gegevens toe zonder dat decodering nodig is."

Meer testen nodig

Nieuwe coderingsmodellen en -technologieën vereisen doorgaans een marathon van testen en evalueren. MongoDB's Vraagbare versleuteling kwam voort uit academisch onderzoek naar gestructureerde encryptie, met verschillende papers die de aanpak beschrijven. FHE heeft tientallen jaren van onderzoek en open ontwikkeling. van Vaultree Versleuteling van gegevens in gebruik blijft grotendeels een zwarte doos, hoewel CEO Lasmaili belooft dat er wetenschappelijke artikelen zullen verschijnen.

In een blog over de mogelijkheden van alomtegenwoordige encryptie, waarschuwde cyberbeveiligingsbedrijf Kaspersky dat dergelijke technologieën veel toezicht vereisen, omdat zelfs kleine misstappen de veiligheid van de systemen kunnen ondermijnen.

"Dit is een veelvoorkomend probleem van praktische cryptografie - wanneer de ontwikkelaars van een informatiesysteem zich gedwongen voelen om intern iets te maken dat voldoet aan hun specifieke vereisten voor gegevenscodering", aldus het bedrijf. “Dat 'iets' blijkt dan vaak kwetsbaar, omdat bij de ontwikkeling geen rekening is gehouden met de laatste wetenschappelijke onderzoeken.”

Terwijl encryptie-in-gebruik een vroege voorsprong kan claimen omdat het bruikbaar is in zijn huidige staat, kunnen doorbraken in FHE op de lange termijn winnen, vooral omdat kwantumcomputing uiteindelijk een differentiator kan worden. FHE blijft functionele en beveiligingsvoordelen bieden, vooral in een post-kwantumversleutelingswereld, zegt Rohloff van Duality Technologies.

"Volledig homomorfe codering maakt veel veiliger bewerkingen mogelijk in vergelijking met algemene gestructureerde codering", zegt hij. "Niet alle varianten van gestructureerde encryptie [zijn] beschermd tegen quantum computing-aanvallen, maar alle gebruikte volledig homomorfe encryptieschema's worden verondersteld te zijn beschermd tegen quantum computing-aanvallen."

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://www.darkreading.com/emerging-tech/technology-firms-delivering-much-sought-encryption-in-use