Ett privat meddelande ska inte behöva bli läsbart för alla servrar och nätverk det passerar. End-to-end-kryptering skyddar meddelandets innehåll från avsändare till mottagare, men tekniken har också tydliga begränsningar som är viktiga att förstå vid bedrägerier. Här går jag igenom hur skyddet fungerar, vad det faktiskt stoppar och vilka vanor som fortfarande krävs för att du ska vara säker.
Det viktigaste om krypterade meddelanden
- End-to-end-kryptering gör att bara avsändaren och mottagaren ska kunna läsa innehållet.
- Servern kan ofta fortfarande se metadata, till exempel när ett meddelande skickades och vilka konton som kommunicerar.
- Bedrägerier stoppas inte automatiskt, eftersom bedragaren kan lura dig även i en krypterad chatt.
- En stulen eller infekterad mobil kan avslöja meddelanden efter att de har dekrypterats på enheten.
- Identitetskontroll, starkt skärmlås och uppdateringar är minst lika viktiga som själva krypteringen.
Vad innebär end-to-end-kryptering i praktiken
End-to-end-kryptering, även kallad totalsträckskryptering, innebär att ett meddelande krypteras på avsändarens enhet och dekrypteras först på mottagarens enhet. Tjänsten som transporterar meddelandet ska inte kunna läsa innehållet på vägen.
Det skiljer sig från vanlig kryptering mellan din mobil och en server. Där kan informationen vara skyddad under överföringen, men i vissa fall läsbar för tjänsteleverantören när den ligger på servern. Med totalsträckskryptering är tanken att krypteringsnycklarna finns hos kommunikationens ändpunkter, inte hos mellanhanden.
Jag brukar beskriva det som att skicka ett låst paket genom ett budnätverk. Budet kan se att ett paket har skickats och vart det ska, men ska inte kunna öppna det. Det är en förenklad bild, men den fångar kärnan i tekniken.
IMY använder också begreppet end-to-end-kryptering när personuppgifter ska skyddas hela vägen från avsändare till mottagare. För företag är det särskilt viktigt att kontrollera hur nycklar, säkerhetskopior och anslutna enheter hanteras, eftersom krypteringens kvalitet beror på hela lösningen och inte bara på en etikett i appen.
Så färdas ett krypterat meddelande mellan två personer
När du skickar ett meddelande skapas eller används kryptografiska nycklar som hör ihop med din och mottagarens enhet. En offentlig nyckel kan delas med andra, medan den privata nyckeln ska hållas skyddad på enheten.
- Avsändarens app förvandlar meddelandet till krypterad text.
- Den krypterade informationen skickas via tjänstens servrar.
- Servern vidarebefordrar meddelandet utan att behöva kunna läsa innehållet.
- Mottagarens app använder rätt nyckel för att visa meddelandet i klartext.
Moderna meddelandetjänster använder ofta nya sessionsnycklar löpande. Teknik som forward secrecy minskar risken att gamla meddelanden kan dekrypteras om en framtida nyckel skulle hamna i fel händer. Det är en viktig säkerhetsfördel, men den skyddar inte en mobil som redan är övertagen.
En detalj som många missar är att krypteringen inte automatiskt bevisar vem du pratar med. Du kan ha en krypterad kanal till ett konto som utger sig för att vara din bank, chef eller familjemedlem. Därför erbjuder vissa appar säkerhetsnummer eller QR-koder för att kontrollera kontaktens identitet.
Vad skyddar tekniken mot och vad skyddar den inte mot
Skyddet är kraftfullt, men det är inte ett komplett säkerhetssystem. Den största missuppfattningen är att kryptering gör all kommunikation hemlig. I praktiken skyddar den främst innehållet under transport och lagring hos tjänsten.
| Hot | Skyddar krypteringen? | Vad krävs dessutom? |
|---|---|---|
| Avlyssning på ett öppet wifi | Ofta ja, när krypteringen är korrekt implementerad | Uppdaterad app och säker enhet |
| Att meddelandet läses av tjänsteleverantören | Ja, om äkta totalsträckskryptering används | Kontrollera säkerhetskopior och anslutna enheter |
| En stulen mobil som är upplåst | Nej | Starkt skärmlås och automatisk låsning |
| Skadlig kod i mobilen | Nej | Uppdateringar, appkontroll och säkerhetsrutiner |
| En bedragare som låtsas vara någon annan | Nej | Verifiera identiteten i en annan kanal |
| Information om när och med vem du kommunicerar | Inte alltid | Granska tjänstens metadata- och integritetspolicy |
Servrar kan alltså i vissa fall se metadata, exempelvis tidpunkter, konton, IP-adresser eller meddelandestorlek. Exakt mängd beror på tjänsten. Om du behöver hög sekretess räcker det därför inte att läsa orden “krypterad kommunikation” i en annons.
Kryptering gör meddelandet privat men stoppar inte bedrägeriet
Bedragare kan använda samma säkra meddelandetjänster som alla andra. Krypteringen gör deras meddelanden svårare för utomstående att läsa, men den avgör inte om personen bakom kontot är ärlig. Tekniken skyddar kanalen, inte ditt omdöme.
Ett vanligt scenario är att någon utger sig för att vara en anhörig och ber om pengar snabbt. Ett annat är ett falskt meddelande från banken med en länk till “verifiering”. Även om meddelandet skickas genom en krypterad app kan länken leda till en falsk webbplats som stjäl inloggningsuppgifter eller bankuppgifter.
Jag reagerar särskilt på kombinationen av stress, sekretess och brådska. Formuleringar som “svara inte genom att ringa”, “du måste göra detta inom tio minuter” eller “berätta inte för någon” är starka varningssignaler, oavsett hur säker appen påstås vara.
- Ring personen på ett telefonnummer du redan känner, inte numret i meddelandet.
- Öppna banken genom den vanliga appen eller skriv själv in adressen.
- Skicka aldrig koder, kortuppgifter eller privata nycklar i en chatt.
- Kontrollera mottagarens namn och nummer innan du skickar pengar.
- Rapportera misstänkta konton och spara meddelanden som bevis.
Min praktiska tumregel är enkel: ett oväntat betalningskrav ska alltid verifieras i en annan kanal. Krypterad kommunikation är bra, men den ska aldrig användas som anledning att hoppa över identitetskontrollen.
Så kontrollerar du om en app ger det skydd du tror
Börja med att ta reda på om krypteringen gäller som standard eller bara i ett särskilt läge. Fråga också om den omfattar text, samtal, bilder, filer och gruppchattar. En tjänst kan skydda vissa funktioner men hantera andra på ett helt annat sätt.
Kontrollera säkerhetskopiorna
En krypterad chatt kan få en svagare punkt när innehållet säkerhetskopieras till molnet. Kontrollera om säkerhetskopian är krypterad med en nyckel som bara du kontrollerar, om den är valfri och hur återställningen fungerar vid förlorad mobil.
Skydda kontot och enheten
Använd ett långt skärmlås, aktivera flerfaktorsinloggning när det finns och ta bort gamla anslutna enheter. En angripare behöver inte bryta krypteringen om han eller hon redan är inloggad på ditt konto.
Läs också: Varför bedragare har ditt nummer – Skydda dig nu!
Verifiera viktiga kontakter
För känsliga samtal bör du jämföra säkerhetsnummer, säkerhetskod eller QR-kod direkt med kontakten. Signal är ett tydligt exempel på en tjänst där sådana kontroller används för att bekräfta att du kommunicerar med rätt person.
Installera dessutom uppdateringar från officiella appbutiker och var försiktig med modifierade appar. En stark krypteringsalgoritm hjälper inte om appen är falsk, enheten är infekterad eller kontot har kapats.
När räcker inte krypterad chatt för företag
Företag behöver tänka längre än till själva meddelandet. Det krävs regler för vilka uppgifter som får skickas, hur länge de får sparas och vad som händer om en medarbetares telefon försvinner. Personuppgifter, kundavtal och känsliga filer kan kräva helt andra system än en vanlig konsumentapp.
Jag rekommenderar att företag dokumenterar vilken information som ska skyddas och mot vilka hot. Därefter kan man välja tjänst utifrån nyckelhantering, loggning, åtkomstkontroll, säkerhetskopior och möjligheten att stänga av en förlorad enhet på distans.
Det finns också en praktisk kompromiss. Ju mer kontroll företaget vill ha över lagring, återställning och efterlevnad, desto mindre “magisk” blir lösningen för användaren. En tjänst som inte kan återställa något utan användarens nyckel kan vara mycket säker, men också svår att hantera när en anställd tappar åtkomsten.
Välj säker kommunikation med rätt förväntningar
End-to-end-kryptering är ett viktigt skydd mot avlyssning och obehörig åtkomst till meddelandeinnehåll. Den ger däremot inte automatiskt anonymitet, skydd mot skadlig kod eller garanti för att mottagaren är den han eller hon utger sig för att vara.
Det bästa skyddet bygger på flera lager: en seriös app, uppdaterad enhet, starkt skärmlås, kontrollerade säkerhetskopior och en vana att verifiera oväntade krav. När jag bedömer en kommunikationstjänst tittar jag därför minst lika mycket på hur människor använder den som på vilken krypteringsteknik som står i produktbeskrivningen.
