In de cyberwereld van vandaag is er een altijd aanwezig risico op ongeautoriseerde toegang tot alle vormen van gegevens. Het grootste risico zijn financiële en betalingssysteemgegevens die de persoonlijk identificeerbare informatie (PII) of betaalkaartgegevens van klanten en klanten kunnen onthullen. Versleuteling is cruciaal voor het beschermen van PII en het verminderen van de risico’s waarmee bedrijven die betalingstransacties uitvoeren elke minuut van de dag worden geconfronteerd.
In dit artikel zullen we het hebben over symmetrische versleuteling in het bankwezen, de voordelen ervan en enkele uitdagingen bij het beheer van de sleutels.
Wat is symmetrische versleuteling?
Symmetrische versleuteling is een soort versleuteling waarbij slechts één sleutel (een geheime sleutel) wordt gebruikt om elektronische informatie zowel te versleutelen als te ontsleutelen. De entiteiten die communiceren via symmetrische versleuteling, moeten de sleutel uitwisselen zodat deze kan worden gebruikt in het ontsleutelingsproces. Deze versleutelingsmethode verschilt van asymmetrische versleuteling waarbij een paar sleutels, een openbare en een privé, wordt gebruikt om berichten te versleutelen en te ontsleutelen.
Door symmetrische versleutelingsalgoritmen te gebruiken, worden gegevens geconverteerd naar een vorm die niet kan worden begrepen door iedereen die niet over de geheime sleutel beschikt om het te ontsleutelen. Zodra de beoogde ontvanger die de sleutel bezit, het bericht heeft, keert het algoritme zijn actie terug, zodat het bericht terugkeert naar zijn oorspronkelijke en begrijpelijke vorm. De geheime sleutel die de afzender en de ontvanger beide gebruiken, kan een specifiek wachtwoord / code zijn of het kan een willekeurige reeks letters of cijfers zijn die is gegenereerd door een beveiligde random number generator (RNG). Voor versleuteling van bankkwaliteit moeten de symmetrische sleutels worden gemaakt met behulp van een RNG die is gecertificeerd volgens industriestandaarden, zoals FIPS 140-2.
Er zijn twee soorten symmetrische versleutelingsalgoritmen:
-
Blokalgoritmen. Ingestelde bitslengten worden versleuteld in blokken elektronische gegevens met behulp van een specifieke geheime sleutel. Terwijl de gegevens worden versleuteld, houdt het systeem de gegevens in zijn geheugen terwijl het wacht op volledige blokken.
-
Streamalgoritmen. Gegevens worden versleuteld terwijl ze worden gestreamd in plaats van dat ze in het systeemgeheugen worden bewaard.
Enkele voorbeelden van symmetrische versleutelingsalgoritmen zijn:
-
AES (Advanced Encryption Standard)
-
DES (Data Encryption Standard)
-
IDEA (International Data Encryption Algorithm)
-
Blowfish (Drop-in vervanging voor DES of IDEA)
-
RC4 (Rivest Cipher 4)
-
RC5 (Rivest Cipher 5)
-
RC6 (Rivest Cipher 6)
AES, DES, IDEA, Blowfish, RC5 en RC6 zijn blokcijfers. RC4 is een stroomcijfer.
DES
In “moderne” computers was DES het eerste gestandaardiseerde cijfer voor het beveiligen van elektronische communicatie, en wordt in variaties gebruikt (bijv. 2-key of 3- key 3DES) De originele DES wordt niet meer gebruikt omdat deze als te “zwak” wordt beschouwd vanwege de verwerkingskracht van moderne computers. Zelfs 3DES wordt niet aanbevolen door NIST en PCI DSS 3.2, net als alle 64-bits coderingen. 3DES wordt echter nog steeds veel gebruikt in EMV-chipkaarten.
AES
Het meest gebruikte symmetrische algoritme is de Advanced Encryption Standard (AES), die oorspronkelijk bekend stond als Rijndael. Dit is de standaard die in 2001 door het US National Institute of Standards and Technology is vastgesteld voor de codering van elektronische gegevens die is aangekondigd in US FIPS PUB 197. Deze standaard vervangt DES, dat in gebruik was sinds 1977. Onder NIST heeft de AES-codering een blokgrootte van 128 bits, maar kan drie verschillende sleutellengtes hebben, zoals weergegeven met AES-128, AES-192 en AES-256.
Waar wordt symmetrische versleuteling voor gebruikt?
Terwijl symmetrische codering is een oudere coderingsmethode, het is sneller en efficiënter dan asymmetrische codering, die zijn tol eist van netwerken vanwege prestatieproblemen met de gegevensgrootte en zwaar CPU-gebruik. Vanwege de betere prestaties en hogere snelheid van symmetrische codering (in vergelijking met asymmetrische), wordt symmetrische cryptografie doorgaans gebruikt voor bulkcodering / codering van grote hoeveelheden gegevens, bijv. voor database-encryptie. In het geval van een database is de geheime sleutel mogelijk alleen beschikbaar voor de database zelf om te versleutelen of ontsleutelen.
Enkele voorbeelden van waar symmetrische cryptografie wordt gebruikt zijn:
-
Betaaltoepassingen, zoals kaarttransacties waarbij PII moet worden beschermd om identiteitsdiefstal of frauduleuze afschrijvingen te voorkomen
-
Validaties om te bevestigen dat de afzender van een bericht is wie hij claimt te zijn
-
Willekeurige nummergeneratie of hashing
Sleutelbeheer voor symmetrische versleuteling – waar we rekening mee moeten houden
Helaas heeft symmetrische codering zijn eigen nadelen.Het zwakste punt zijn de aspecten van sleutelbeheer, waaronder:
Sleuteluitputting
Symmetrische versleuteling lijdt aan gedrag waarbij elk gebruik van een sleutel bepaalde informatie ‘lekt’ die mogelijk kan worden gebruikt door een aanvaller om de sleutel te reconstrueren. De verdediging tegen dit gedrag omvat het gebruik van een sleutelhiërarchie om ervoor te zorgen dat hoofd- of sleutelversleutelingssleutels niet te veel worden gebruikt en de juiste rotatie van sleutels die wel datavolumes versleutelen. Om traceerbaar te zijn, vereisen beide oplossingen competente strategieën voor sleutelbeheer, want als (bijvoorbeeld) een buiten gebruik gestelde coderingssleutel niet kan worden hersteld, gaan de gegevens mogelijk verloren.
Attributiegegevens
In tegenstelling tot asymmetrisch (openbare sleutel) Certificaten, symmetrische sleutels hebben geen ingesloten metadata om informatie vast te leggen, zoals vervaldatum of een toegangscontrolelijst om aan te geven waarvoor de sleutel kan worden gebruikt – bijvoorbeeld om te versleutelen maar niet te ontsleutelen.
Dit laatste probleem wordt enigszins aangepakt door standaarden zoals ANSI X9-31, waar een sleutel kan worden gebonden aan informatie die het gebruik voorschrijft. Maar voor volledige controle over waarvoor een sleutel kan worden gebruikt en wanneer deze kan worden gebruikt, is een sleutelbeheersysteem vereist.
Sleutelbeheer op grote schaal
Waar slechts een paar sleutels zijn betrokken bij een schema (tientallen tot lage honderden), de overhead van het beheer is bescheiden en kan worden afgehandeld door handmatige, menselijke activiteit. Bij een groot landgoed wordt het volgen van de vervaldatum en het regelen van de rotatie van sleutels echter al snel onpraktisch.
Overweeg een EMV-betaalkaartimplementatie: miljoenen kaarten vermenigvuldigd met meerdere sleutels per kaart vereisen een speciale voorziening en sleutel -beheersysteem.
Conclusie
Het onderhouden van grootschalige symmetrische versleutelingssystemen is een zeer uitdagende taak. Dit geldt met name wanneer we beveiliging en controleerbaarheid van bankkwaliteit willen bereiken wanneer de bedrijfs- en / of IT-architectuur gedecentraliseerd / geografisch verspreid is.
Om dit op de juiste manier te doen, wordt aanbevolen om speciale software te gebruiken om de juiste levenscyclus voor elke aangemaakte sleutel te behouden. In gevallen van massale sleutelregistratie, is het echt onmogelijk om sleutelbeheer handmatig uit te voeren. Daar hebben we gespecialiseerde, belangrijke levenscyclusbeheersoftware voor nodig.
Quantum computing zal naar verwachting binnen de komende 5-10 jaar worden gerealiseerd. Nu al adviseert NIST om het veelgebruikte 3DES-algoritme te vervangen door algoritmen waarvan we denken dat ze veiliger zijn, gebaseerd op de huidige kennis.
Niet wetende welke vooruitgang in technologie en dus in de evolutie kwaadaardige decoderingsalgoritmen kunnen zijn, we raden banken ten zeerste aan om te migreren naar een crypto-agile setup. Een dergelijke setup zal het mogelijk maken om snel algoritmen te vervangen wanneer zwakke punten worden gedetecteerd door algoritmen die als veiliger worden beschouwd. Investerings- en architectuurbeslissingen moeten nu worden genomen om te voorkomen grote schade in de komende jaren.
Referenties en verder lezen
- Koopgids voor het kiezen van een cryptosleutelbeheersysteem – Deel 1: Wat is een sleutelbeheersysteem (2018) , door Rob Stubbs
- Kopersgids voor het kiezen van een cryptosleutelbeheersysteem; Deel 2: Het vereiste voor een sleutelbeheersysteem (2018), door Rob Stubbs
- Koopgids voor het kiezen van een cryptosleutelbeheersysteem – Deel 3: het kiezen van het juiste sleutelbeheersysteem (2018), door Rob Stubbs
-
NIST SP800-57 Deel 1 Revisie 4: A Recommendation for Key Management (2016) door Elaine Barker
-
Geselecteerde artikelen over sleutelbeheer (2012-heden) door Ashiq JA, Dawn M. Turner, Guillaume Forget, James H. Reinholm, Peter Landrock, Peter Smirnoff, Rob Stubbs, Stefan Hansen en meer
-
CKMS-productblad (2016), door Cryptomathic