Wat is end-to-end-encryptie en hoe werkt het?

Ga zo door Kryptus op Google Nieuws 

Door Moisés Matias, Cybersecurity Architect Officer bij Kryptus 

Wat is end-to-end-encryptie en hoe werkt het?

De crypteEnd-to-end-versleuteling is een methode voor gegevensbescherming waarbij de informatie op het apparaat van de verzender wordt versleuteld en alleen op het apparaat van de ontvanger wordt ontsleuteld. Dit betekent dat het bericht, terwijl het door servers en netwerken reist, onontcijferbaar en ontoegankelijk blijft voor anderen, totdat het de ontvanger bereikt. Het is alsof je een bericht verstuurt in een virtuele kluis waarvan alleen de ontvanger de sleutel heeft om hem te openen.

Hoe werkt P2P-encryptie

Dankzij end-to-end-encryptie kunnen bedrijven veilige communicatieverbindingen creëren tussen apparaten of componenten in die apparaten. Zo wordt voorkomen dat tussenliggende apparaten gevoelige informatie blootstellen die mogelijk in gevaar kan komen.onderweg zijn op het netwerk. P2P wordt het meest ingezet als oplossing voor naleving van de Payment Card Industry Data Security Standard (PCI DSS), maar kan ook worden gebruikt voor andere gevoelige gegevens.

Denk bijvoorbeeld aan een kledingketen met veel winkels verspreid over het land, die alle financiële transacties vanuit één centraal gelegen datacenter verwerkt. Het zou voor de retailer lastig zijn om de fysieke veiligheid van de lokale netwerken van elke winkel te garanderen, gezien het grote aantal netwerken en het openbare karakter van de winkels. Bovendien is het onwaarschijnlijk dat er bij alle outlets getraind beveiligingspersoneel aanwezig is om het netwerk te bewaken.

Het belangrijkste voordeel van end-to-end-encryptie is dat de omvang van de beveiligingsinspanningen wordt verkleind.

Door P2P-encryptie te implementeren, kan de retailer de blootstelling van creditcardnummers in de merchandisingomgeving beperken. Als u bijvoorbeeld een kassasysteem (POS) implementeert dat gebruikmaakt van gecodeerde kaartscanners en dat wordt ondersteund door een back-endsysteem op het hoofdkantoor dat end-to-end-codering ondersteunt, wordt het hele winkelnetwerk buiten beschouwing gelaten.

Omdat de hardwarekaartlezer de gegevens versleutelt voordat deze de POS-terminal bereiken, is er geen apparaat in het winkelnetwerk dat het kaartnummer kan ontsleutelen. Hiermee worden kaartnummers beschermd tegen diverse aanvallen, waaronder ongeautoriseerd meeluisteren en malware-infecties op de POS-terminal. Dergelijke apparaten hebben geen toegang tot de encryptiesleutel en kunnen daardoor ook niet bij het kaartnummer.

Waarom P2P-encryptie gebruiken?

Het belangrijkste voordeel van end-to-end-encryptie is dat de omvang van de beveiligingsinspanningen wordt verkleind. In het hierboven beschreven retailscenario is het zo dat, als de winkelier de integriteit van de hardwarekaartlezers kan garanderen, hij alleen de meest strikte beveiligingsmaatregelen hoeft toe te passen op de gecentraliseerde back-endsystemen die kwetsbaar zijn voor ontsleuteling. In sterk gereguleerde omgevingen kan deze strategie het aantal systemen en netwerken dat moet voldoen aan vaak kostbare nalevings- en monitoringvereisten, drastisch verminderen; zowel in tijd als in waarde voor de klant.

Beperkingen van P2P-encryptie

Hoewel end-to-end-encryptie een veelbelovende beveiligingstechnologie is, wordt het nog niet op grote schaal toegepast, voornamelijk vanwege het geringe aantal volwassen producten op de markt.

Verschillende organisaties wilden het al snel na de lancering implementeren. Raad voor PCI-beveiligingsnormen Hoewel ze een vereenvoudigd validatieproces voor dergelijke producten hanteerden, konden veel bedrijven geen producten vinden die voldeden aan de specificaties en normen van PCI. 

Er zijn gevallen bekend van leveranciers die aangeven dat ze nog maar net begonnen met het testen van hun oplossingen in de praktijk. Er was nog geen commercieel haalbare oplossing die hen kon bedienen. Tegenwoordig is de markt in Brazilië steeds volwassener en willen steeds meer bedrijven deze oplossing toepassen. Dit scenario kan ook overal ter wereld worden waargenomen.

Deze vertraging in de naleving leidt tot de tweede grote beperking van P2P-encryptie; Vaak is er een aanzienlijke financiële investering nodig om de operatie op te starten, omdat er geen lokale leveranciers zijn of omdat de prijzen onpraktisch worden geacht. Hierbij moet u denken aan upgrades van POS-hardware en -software en mogelijke tariefsverhogingen van leveranciers die willen inspelen op de plotselinge vraag van bedrijven die hun nalevingsverplichtingen willen beperken.

Hoe sleutels te beschermen cryptografisch

Om ervoor te zorgen dat P2P-encryptie zo veilig mogelijk werkt, moeten er altijd strikte controles op de beveiliging van en toegang tot decryptiesleutels worden uitgevoerd. De huidige richtlijnen vereisen het gebruik van hardwarebeveiligingsmodules (HSM's) met een passende beveiligingsclassificatie om de toegang tot deze sleutels te beschermen.

Acquisities en andere deelnemers in de betalingsketen commercialiseren tegenwoordig al diensten met toegevoegde waarde die gebruikmaken van P2PE om de nalevingskosten voor hun eindklanten te verlagen. Vanuit PCI DSS-perspectief valt elk systeem dat accountgegevens kan decoderen, direct onder het bereik. De mogelijkheid om handelaren te isoleren door sleutels in HSM's te beveiligen, levert dan ook aanzienlijke voordelen op voor de hele toeleveringsketen.