Vad är kryptering?

Kryptering gör läsbar information oläslig för alla som inte har rätt nyckel. Det är tekniken som skyddar lösenord, betalningar och känsliga uppgifter, både när de lagras och när de skickas över nätet.

För en verksamhet är kryptering sällan frivilligt. Både GDPR och cybersäkerhetslagen pekar ut det som en grundläggande skyddsåtgärd. Skillnaden mellan symmetrisk och asymmetrisk kryptering, mellan data i vila och data i rörelse, och inte minst hur nycklarna hanteras, avgör hur mycket skyddet faktiskt är värt.

Så fungerar kryptering

Kryptering omvandlar klartext till chiffertext med hjälp av en algoritm och en nyckel. Utan rätt nyckel ser informationen ut som slumpmässigt brus, även för den som kommer över den.

Styrkan ligger i nyckeln, inte i att metoden är hemlig. Moderna algoritmer är tvärtom offentliga och hårt granskade, just för att svagheter ska hittas. Det är nyckeln som hålls hemlig, och nyckelns längd avgör hur svår krypteringen är att forcera.

Symmetrisk och asymmetrisk kryptering

Det finns två grundtyper. Vid symmetrisk kryptering används samma nyckel för att låsa och låsa upp. Den är snabb och passar stora datamängder, men kräver att parterna delar nyckeln på ett säkert sätt. AES är dagens standard, ofta med 256 bitars nyckel.

Vid asymmetrisk kryptering finns i stället ett nyckelpar: en publik nyckel som får spridas och en privat som hålls hemlig. Det som låses med den ena öppnas med den andra. Det löser problemet med att dela nycklar, men är långsammare. I praktiken kombineras de ofta, till exempel när en webbplats använder asymmetrisk kryptering för att komma överens om en symmetrisk nyckel.

Data i vila och data i rörelse

Kryptering behövs på två ställen. Data i vila är information som ligger lagrad, på en hårddisk, i en databas eller i en säkerhetskopia. Krypterad disk gör att en stulen dator inte lämnar ut något.

Data i rörelse är information på väg någonstans, till exempel mellan en webbläsare och en server. Det är här TLS kommer in, tekniken bakom hänglåset och https i webbläsaren, och samma princip används i en VPN-tunnel. I vissa tjänster går krypteringen hela vägen, så kallad end-to-end-kryptering, där inte ens den som driver tjänsten kan läsa innehållet. Båda delarna hör till verksamhetens digitala säkerhet.

Var kryptering används

I en verksamhet sitter kryptering på fler ställen än man tror:

Hårddiskar och mobila enheter, så att borttappad utrustning inte läcker.
Webbtrafik via https, så att inloggningar och formulär inte kan avlyssnas.
E-post och filöverföring med känsligt innehåll.
Säkerhetskopior, så att en läckt backup inte går att läsa.
Databaser med person- eller affärsuppgifter.

Inte samma sak som hashning

De två blandas ofta ihop. Kryptering går att vända: med rätt nyckel får du tillbaka originalet. Hashning är enkelriktad och räknar fram ett fast värde som inte går att räkna baklänges.

Därför sparas lösenord som hashar, inte som krypterad text, så att inte ens den som driver systemet ser dem i klartext. Hashning används också för att kontrollera att en fil inte har ändrats, eftersom minsta ändring ger ett helt annat värde.

Nyckelhantering är det svåra

Själva krypteringen är sällan problemet. Det svåra är att hantera nycklarna. Tappas en nyckel bort är den krypterade datan i praktiken förlorad, och hamnar nyckeln i fel händer är skyddet borta.

Därför behöver en verksamhet rutiner för var nycklar lagras, vem som har tillgång och hur de byts ut med jämna mellanrum. Det är en av de delar som oftast missas i en verksamhets informationssäkerhet, trots att den avgör om resten håller.

Kryptering och regelkraven

För många verksamheter är kryptering inget val. GDPR lyfter fram det som en lämplig åtgärd för att skydda personuppgifter, och cybersäkerhetslagen räknar upp kryptering bland de åtgärder som berörda aktörer ska överväga.

Krypterade uppgifter som läcker är dessutom lättare att hantera. Är datan oläslig för den som kommer över den minskar skadan, och det kan påverka hur en incident bedöms. Kryptering är på så sätt en del av en bredare cybersäkerhet.

Praktiska råd

Börja med vad som faktiskt behöver skyddas och kryptera det först: bärbara datorer, säkerhetskopior och känsliga uppgifter. Slå på diskkryptering och https där det inte redan finns.

Lägg sedan lika mycket möda på nyckelhanteringen som på tekniken, och bestäm vem som ansvarar för nycklarna och hur de byts. En stark algoritm med slarvigt hanterade nycklar ger ingen verklig trygghet, eftersom skyddet aldrig är starkare än sin svagaste länk.