Πόση ασφάλεια χρειάζεται ένα διαιτολογικό λογισμικό;

Ο φάκελος ενός διαιτώμενου περιέχει πράγματα που η τράπεζά του δε θα μάθει ποτέ: αποτελέσματα ιατρικών εξετάσεων, παθήσεις, φάρμακα που λαμβάνει κ.ο.κ.. Συνεπώς, η ερώτηση δεν είναι αν το λογισμικό σου χρειάζεται «ασφάλεια τραπέζης», αλλά αν χρειάζεται περισσότερη.

Ένας αριθμός με 77 μηδενικά

Το 1997 η αμερικανική κυβέρνηση προκήρυξε έναν διαγωνισμό για το ποιος θα σχεδιάσει την κρυπτογράφηση του 21ου αιώνα. Ο αλγόριθμος AES-256 των δύο Βέλγων νικητών κλειδώνει σήμερα τραπεζικές συναλλαγές, μηνύματα WhatsApp, τον δίσκο του iPhone και τα «Top Secret» έγγραφα της NSA.

Τα πιθανά κλειδιά του ανέργονται σε 10⁷⁷. Με απλά λόγια, αν κάθε υπολογιστής που υπάρχει στη Γη δοκίμαζε κλειδιά ασταμάτητα από τη δημιουργία του Σύμπαντος μέχρι σήμερα, δε θα είχε φτάσει ούτε στο ένα τρισεκατομμυριοστό των πιθανών συνδυασμών.

Το Nutrition Hero™ κρυπτογραφεί με AES-256 ολόκληρο το αρχείο της βάσης του, όχι απλώς μερικά «ευαίσθητα» πεδία. Οποιοσδήποτε άλλος προσπαθήσει να ανοίξει κάποιο από τα αρχεία σου, παίρνει απλώς έναν σωρό από άχρηστα bytes και τίποτα περισσότερο.

Το 1234

Πριν κάποια χρόνια, ένας αγνώστου ταυτότητας hacker ανέλυσε περίπου 3,4 εκατομμύρια PIN που είχαν διαρρεύσει στο διαδίκτυο, διαπιστώνοντας πως το PIN «1234» ήταν σχεδόν το 11% όλων, το «1111» δεύτερο και το «0000» τρίτο. Σήμερα γνωρίζουμε πως οι είκοσι πιο συνηθισμένοι τετραψήφιοι συνδυασμοί καλύπτουν περίπου το 25% των χρηστών.

Ένα PIN τεσσάρων ψηφίων έχει μόλις 10.000 συνδυασμούς που σημαίνει πως δοκιμάζονται εύκολα μόλις σε ένα απόγευμα. Κι όμως η τραπεζική σου κάρτα είναι ασφαλής γιατί στην τρίτη λάθος προσπάθεια κλειδώνει. Τη δουλειά λοιπόν που δε μπορεί να κάνει το πλήθος των ψηφίων, την κάνει ο περιορισμός των προσπαθειών.

Στο Nutrition Hero™ η εισαγωγή του PIN είναι η πόρτα εισόδου, με διάρκεια κλειδώματος που μεγαλώνει σε κάθε λάθος προσπάθεια. Αλλά έχει και ένα... κρυφό χαρακτηριστικό: δεν κρυπτογραφεί τίποτα. Η κρυπτογράφηση της βάσης είναι δεμένη με τον λογαριασμό σου στα Windows, όχι με το PIN σου. Ακόμη λοιπόν κι αν το ξεχάσεις, τα δεδομένα σου παραμένουν ακέραια και μπορείς να τα ανακτήσεις μέσω μίας ασφαλούς διαδικασίας που θα αναλύσουμε σε άλλο άρθρο.

Η δισκέτα του συνεδρίου

Το πρώτο ransomware της ιστορίας δεν ήρθε από κάποια κυβερνοεπίθεση, αλλά ταχυδρομικά. Το 1989, εστάλησαν 20.000 δισκέτες προς τους συνέδρους της Παγκόσμιας Οργάνωσης Υγείας για το AIDS. Η κάθε δισκέτα φερόταν να έχει ένα δωρεάν λογισμικό εκτίμησης κινδύνου, το οποίο, μετά από 90 επανεκκινήσεις, κλείδωνε τα αρχεία, ζητώντας 189 δολάρια σε ταχυδρομική θυρίδα στον Παναμά. Για την ιστορία, ο δράστης ήταν ένας διδάκτορας Βιολογίας στο Harvard.

Από τότε, ο τομέας της υγείας αποτελεί αγαπημένο στόχο. Και εδώ κρύβεται μία αλήθεια που οι περισσότεροι αγνοούν: η κρυπτογράφηση προστατεύει από την ανάγνωση, όχι από την καταστροφή.

Αυτό φυσικά δε σημαίνει πως η απώλεια ενός αρχείου ή ακόμη χειρότερα όλων των αρχείων, δεν είναι μικρό πράγμα. Το 1998 ένας τεχνικός της Pixar έτρεξε κατά λάθος μία εντολή διαγραφής στον διακομιστή του Toy Story 2. Το 90% της ταινίας χάθηκε μέσα σε λίγα λεπτά και τα εταιρικά backup βγήκαν ελαττωματικά. Η ταινία σώθηκε από μία συνεργάτιδα που δούλευε από το σπίτι, διατηρώντας ένα αντίγραφο στον προσωπικό της υπολογιστή.

Το Nutrition Hero™ διατηρεί από μόνο του στον υπολογιστή σου κρυπτογραφημένα ημερήσια αντίγραφα 30 ημερών. Αν και αυτό δε σε προστατεύει από βλάβη του δίσκου σου ή από κλοπή της συσκευής σου, δε χρειάζεται πανικός, καθώς αυτό είναι κάτι που λύνεται εύκολα μέσα από μία απλή ρύθμιση μέσα στο ίδιο το λογισμικό που επιτρέπει τη συγχρονισμένη αποθήκευση των αρχείων σου σε δικό σου cloud διακομιστή (Google Drive, OneDrive, Dropbox κ.α.).

Μία κλειδαριά χωρίς αντικλείδι

Ίσως να έχεις δει στο Viber πως «τα μηνύματά σου είναι κρυπτογραφημένα από άκρο σε άκρο». Αυτό σημαίνει ότι ούτε η ίδια η εταιρεία δε μπορεί να τα διαβάσει. Αν λοιπόν της χτυπήσει την πόρτα ένας εισαγγελέας, η εταιρεία θα του δώσει έναν σωρό από άχρηστα bytes γιατί μόνο αυτά έχει στη διάθεσή της.

Στη γλώσσα των κρυπτογράφων αυτό λέγεται zero-knowledge. Για να το καταλάβεις καλύτερα, σκέψου δύο κλειδαράδες! Ο πρώτος, σου τοποθετεί μία κλειδαριά ασφαλείας, κρατώντας όμως ένα αντικλείδι για παν ενδεχόμενο. Ο δεύτερος κάνει το ίδιο, χωρίς όμως να κρατήσει κάποιο αντικλείδι. Η διαφορά ανάμεσα στους δύο είναι πως ο πρώτος υπόσχεται να μη μπει σπίτι σου, ενώ ο δεύτερος δε μπορεί.

Αν ρωτήσεις τον πάροχο του λογισμικού σου «τι γίνεται αν ξεχάσω τον κωδικό μου;» και λάβεις την απάντηση «σας τον στέλνουμε εμείς», τότε τον έχει. Αν απαντήσει «μπαίνουμε εμείς και τον αλλάζουμε», τότε έχει και τα δεδομένα σου.

Ο διακομιστής του Nutrition Hero™ ξέρει μόνο ένα πράγμα, ότι η συνδρομή σου είναι ενεργή, τίποτε άλλο.

Επίλογος

Κανένα λογισμικό και κανένας server δεν είναι απόρθητα. Μπορεί όμως να είναι ειλικρινή, λέγοντάς σου τι προστατεύουν, πώς και τι μένει στα δικά σου χέρια.

Τα δεδομένα σου, στον υπολογιστή σου

Το Nutrition Hero™ κρυπτογραφεί ολόκληρη τη βάση με AES-256 και δεν κρατάει τίποτα σε διακομιστή.

Κατέβασε το demo

Πηγές: NIST FIPS 197 (AES, 2001)· DataGenetics, ανάλυση 3,4 εκατ. PIN (2012)· AIDS Trojan, Joseph Popp (1989)· Goldwasser, Micali & Rackoff (1985)· Oren Jacob & Galyn Susman, Pixar, για το Toy Story 2 (1998).