Kryptering – Vad det är och hur det skyddar dig (inte alltid)

Kryptering är grunden för mycket av den digitala säkerhet vi tar för given: meddelanden, bankärenden, molnfiler och inloggningar. Svaret på vad kryptering betyder är enkelt på ytan, men det blir riktigt intressant först när man ser hur tekniken skyddar data under överföring, i lagring och mot vanliga bedrägerier. Här reder jag ut hur det fungerar, vilka typer som används och varför ett lås i webbläsaren inte berättar hela sanningen.

Vad kryptering faktiskt innebär

Jag brukar förklara kryptering som en kontrollerad omvandling av klartext till något som ser slumpmässigt ut för den som saknar rätt nyckel. Informationen finns fortfarande där, men den är inte läsbar utan dekryptering. Algoritmen kan vara känd och granskad; det som ska vara hemligt är nyckeln, inte själva metoden.

Det är en viktig skillnad, eftersom många tror att säkerhet bygger på att ingen får veta hur systemet fungerar. I praktiken är det tvärtom: bra kryptering bygger på att metoden är väl testad och att bara nyckeln är skyddad. Om nyckeln läcker faller skyddet snabbt, även om algoritmen i sig är stark.

Den här grundidén låter enkel, men den förklarar också varför kryptering är så användbar i säkerhetsarbete. Nästa steg är att se hur den faktiskt används när data rör sig mellan människor, appar och servrar.

Så fungerar kryptering i praktiken

Jag delar gärna upp det i två lägen: data i rörelse och data i vila. Data i rörelse är sådant som skickas mellan två system, till exempel när du loggar in i en tjänst eller skickar ett meddelande. Data i vila är information som redan ligger sparad på en telefon, dator eller i molnet.

I båda fallen gör kryptering samma grundjobb, men på lite olika sätt. När data skickas genom nätverk minskar kryptering risken för avlyssning på vägen. När data lagras minskar den risken för att någon som stjäl en dator eller får tag i en backup enkelt kan läsa innehållet.

Ett bra vardagsexempel är en modern meddelandeapp. Du skriver ett meddelande, appen krypterar det, informationen skickas vidare och mottagarens app dekrypterar det med rätt nyckel. Om någon fångar trafiken på vägen ser det bara ut som obegriplig data. Samma princip används när du handlar på nätet, men då handlar det ofta om att säkra förbindelsen mellan webbläsaren och tjänstens server.

Det är också här många missar en avgörande detalj: om nyckeln försvinner eller hamnar i fel händer hjälper inte krypteringen längre. Därför är det inte bara tekniken i sig som räknas, utan också hur nycklarna hanteras i vardagen.

De vanligaste sätten att kryptera data

Det finns flera sätt att bygga kryptering, och de används för olika problem. I verkliga system kombineras de ofta, eftersom en metod sällan löser allt lika bra som flera metoder tillsammans.

Om jag ska förenkla det ännu mer: asymmetrisk kryptering hjälper ofta till att skapa en säker förbindelse, medan symmetrisk kryptering sköter den snabba mängden data. Det är därför de flesta moderna lösningar använder båda delarna, inte bara den ena.

Den här uppdelningen spelar också roll när man pratar om bedrägerier, eftersom olika skyddslager stoppar olika typer av angrepp. Det leder oss till den fråga som många egentligen bryr sig mest om.

Så hjälper kryptering mot bedrägerier

Kryptering är ett starkt skydd mot avlyssning och datastöld, men det är inte ett magiskt vaccin mot bedrägerier. Jag ser ofta att människor blandar ihop tekniskt skydd med trovärdighet. En sida kan vara krypterad och ändå vara falsk. Ett mejl kan vara krypterat i transportledet och ändå komma från en bedragare.

Det vanligaste misstaget är att tro att ett hänglås i webbläsaren betyder att avsändaren är legitim. Det gör det inte. Det betyder bara att förbindelsen mellan din webbläsare och servern är skyddad. Om bedragaren själv driver sajten får han eller hon också en krypterad förbindelse, vilket är precis det som gör phishing så effektivt.

Jag brukar beskriva bedrägerier som ett försök att lura människan, inte att knäcka matematiken. Därför hjälper kryptering framför allt när problemet är att någon försöker läsa eller ändra data på vägen. Den hjälper mycket mindre när angriparen får dig att lämna ifrån dig lösenord, verifieringskoder eller godkännanden på frivillig väg.

• Vid offentlig wifi minskar kryptering risken att någon snokar i trafiken.
• Vid stulen laptop eller mobil skyddar en krypterad lagring innehållet bättre.
• Vid bankinloggning skyddar kryptering data i överföringen, men den skyddar inte mot en falsk inloggningssida.
• Vid mejl och bilagor hjälper kryptering inte om du själv öppnar en skadlig fil eller lämnar ut information.

Det här är också skälet till att kryptering nästan alltid måste kombineras med andra kontroller. Nästa steg är därför att se hur du själv känner igen när skyddet faktiskt är på plats.

Så känner du igen att något är krypterat

Det enklaste tecknet på en krypterad webbförbindelse är https i adressfältet. Ofta visas också ett låst hänglås. Det är en bra signal, men inte ett bevis på att sajten är ärlig eller säker i alla avseenden. Den säger främst att trafiken mellan dig och sajten är krypterad.

I appar är det lite mer diskret. Där får du ofta leta efter formuleringar som end-to-end-kryptering, krypterad backup eller en säkerhetsinställning i appens meny. I många mobiler och bärbara datorer är diskkryptering aktiverad som standard när du har satt en lösenkod eller inloggning. Det är praktiskt, men bara om du själv faktiskt skyddar enheten med en stark låsning.

Jag brukar också vara uppmärksam på skillnaden mellan transportkryptering och totalsträckskryptering. Den första skyddar vägen fram till tjänsten. Den andra gör att även tjänsteoperatören inte kan läsa innehållet. Det är en stor skillnad, särskilt för känsliga samtal och affärsdokument.

Om du vill se det i ett enkelt test brukar jag säga så här: fråga inte bara om något är krypterat, utan vad som är krypterat, när det är krypterat och vem som fortfarande kan läsa det.

Vanliga missförstånd som skapar falsk trygghet

Det finns några missförstånd som återkommer så ofta att de förtjänar att sägas rakt ut. Det första är att kryptering skulle betyda anonymitet. Det stämmer inte. Kryptering döljer innehållet, men inte nödvändigtvis vem som kommunicerar med vem, när det sker eller vilken tjänst som används.

Det andra är att kryptering skulle lösa alla säkerhetsproblem automatiskt. Det gör den inte. En infekterad dator kan läsa information innan den krypteras eller efter att den dekrypterats. En svag lösenkod kan göra en krypterad telefon lättare att låsa upp än många tror. Och ett konto som kapas via phishing är fortfarande kapat, även om trafiken mellan dig och sajten var krypterad.

Det tredje missförståndet är att alla krypteringslösningar är lika starka. Det är de inte. Styrkan beror på algoritm, nyckellängd, implementation och hur nycklarna skyddas. När jag granskar säkerhet ser jag oftare problem i implementationen än i själva principen.

• Kryptering är inte samma sak som identitetskontroll.
• HTTPS betyder inte att avsändaren är sann.
• Stark algoritm hjälper inte om nyckeln står i klartext i ett mejl.
• Backuper måste också skyddas, annars blir de en genväg till data.

När man väl ser de här fallgroparna blir nästa fråga mer praktisk: vad är rimligt att göra själv utan att överarbeta säkerheten?

Tre vanor jag hade prioriterat i vardagen

Om jag bara fick välja några få åtgärder skulle jag börja här. De här vanorna ger bra effekt utan att göra vardagen onödigt krånglig.

För företag lägger jag dessutom till en enkel princip: kartlägg var känslig data finns, vem som kan läsa den och hur nycklarna förvaras. Det låter byråkratiskt, men det är ofta där riktiga säkerhetsvinster uppstår.

Tre kontrollfrågor jag använder när säkerheten ska hålla

När jag bedömer en lösning frågar jag alltid tre saker: Vem kontrollerar nyckeln? Vad skyddas faktiskt när data skickas eller lagras? Vad händer om en användare klickar fel? De tre frågorna fångar nästan alltid de svagheter som annars göms bakom fina ord som säker, krypterad eller skyddad.

Om du kan besvara dem tydligt har du redan en mycket bättre förståelse för kryptering än de flesta. Då ser du också när tekniken hjälper, när den bara ger en del av skyddet och när det är något helt annat, som autentisering, utbildning eller rutiner, som saknas.