Jak postupně vychází najevo, americká agentura NSA může nejen kdykoli legálně žádat v USA operující mezinárodní společnosti o konkrétní data, ale zařídila si zadní vrátka do většiny jejich produktů například pomocí úmyslně oslabených šifrovacích standardů. To samozřejmě v určité míře platí i u bezpečnostních organizací dalších států.
Neuplyne týden, abychom se nedozvěděli, že je sledována nebo rozkrývána internetová komunikace a její obsah slouží k nejrůznějším státním nebo soukromým cílům. Politická reprezentace, především v Evropě je šokována zjištěním o svém sledování, bezpečnostním expertům se zase potvrzují jejich nejparanoidnější sny o celých kompromitovaných systémech včetně bubáků, jako jsou nedůvěryhodné generátory náhodných čísel ve všude přítomných procesorech.
Především cloudy tak procházejí obdobím nedůvěry veřejnosti. Aféra PRISM se reálně dotýká všech cloudových řešení, podle odhadů organizace ITIF (Information technology & Innovation Foundation) přijdou američtí provozovatelé cloudových služeb během následujících tří let o 35 miliard dolarů. Tato částka částečně reprezentuje služby, které budou přesměrovány na neamerické cloudy, vnímané jako bezpečnější, částečně půjde o projev in-sourcingu, kdy zákazníci omezí své plány na omezení vlastní infrastruktury.
Nedostatečné zabezpečení a ztráta kontroly nad vlastními daty je stále citovanou obavou mnoha organizacemi, a to v současné době vede k masivnímu nasazování především šifrovacích technologií prakticky mezi všemi cloudovými provozovateli v rámci jejich snahy o damage control
.
Nezasvěcené uživatele může překvapovat, že až dosud byla jeho data nechráněna a v podstatě dána napospas nejen pracovníkům cloudových provozovatelů, ale i organizačním chybám vedoucím například k prodeji použitých pevných disků s ledabyle – pokud vůbec – smazanými daty klientů. Realitou bezpečnostních technologií ale je, že výrazně více zatěžující infrastrukturu cloudu a bez existujícího tlaku zákazníků prostě společnosti na jejich nasazování nespěchaly.
Samozřejmě zašifrování dat není jednoznačnou odpovědí na všechny problémy. Například firma Google od srpna šifruje veškerá data zapisovaná do svého cloudového úložiště a ve svém prohlášení prohlašuje, že šifrovací klíče nepředá žádné vládě, ale následuje douška: vlastní data uživatelů poskytujeme třetím stranám pouze v souladu se zákonem
(samozřejmě americkým).
A tady leží jádro pudla. Prosté ukládání je jednoduché, data může a asi by měl zašifrovat samotný majitel před jejich odeslání do cloudového úložiště. Pokud ale chce nechat cloudového provozovatele data i zpracovávat, musí je dešifrovat nebo poskytnout dešifrovací klíče a věřit v korektní chování firmy nejlépe vybrané podle legislativy, pod kterou její datová centra spadají.
Samozřejmě ani technologický vývoj se nezastavil a cloudoví operátoři mohou stavět na stále propracovanějších správách sdílených klíčů, provozu neustále šifrovaných virtuálních počítačů a pokračuje hledání Svatého gralu světa bezpečnosti – homomorfního šifrování, které umožňuje provádět požadované operace na datech, aniž by musela být dešifrována.
Jaroslav Zapletal
Autor pracuje ve společnosti T-Systems Czech Republic
