Źródłem powszechnych nieporozumień jest różnica między szyfrowaniem a kontrolą dostępu oraz o co chodzi w logowaniu w AxCrypt 2.
Kontrola dostępu
Kontrola dostępu ma miejsce wtedy, gdy dana tożsamość otrzymuje uprawnienia od wyższego organu (jest autoryzowana) do wykonywania czynności, takich jak odczytywanie pliku.
Aby kontrola dostępu działała, potrzebujemy uwierzytelnienia, aby upewnić się, że oświadczenie tożsamości jest rzeczywiście autentyczne. Mówiąc wprost – jestem tym, za kogo się podaję. Potrzebujemy również kogoś, kto przeprowadzi to uwierzytelnienie – zazwyczaj systemu operacyjnego lub serwera.
Gdy ograniczasz dostęp do pliku za pomocą kontroli dostępu, na przykład gdy przechowujesz plik na serwerze sieciowym lub w pamięci masowej w chmurze, obowiązkiem systemu operacyjnego lub serwera pamięci masowej w chmurze jest pytanie o poświadczenia (takie jak hasło) do udowodnić, kim jesteś, a następnie egzekwować ograniczenia, które nałożyłeś na swoje pliki. Uwierzytelnianie można wzmocnić, na przykład uwierzytelnianiem dwuskładnikowym.
Ale nadal jest to oprogramowanie, które zasadniczo prosi o dowód tożsamości, a następnie na tej podstawie podejmuje decyzje dotyczące tego, co możesz, a czego nie możesz zrobić z plikami. Każdy, kto ma dostęp administratora, może zawsze ominąć te zasady, ponieważ właśnie to oznacza bycie administratorem! Ponadto każdy, kto ma dostęp do danych w kanale wstecznym, na przykład kopię zapasową bazy danych, może uzyskać dostęp do danych bez bycia administratorem, korzystając z oprogramowania, które nie honoruje żadnej kontroli dostępu do odczytu pliku.
Szyfrowanie
Szyfrowanie nie dba o to, kim jesteś. Odszyfrowywanie po prostu działa lub nie działa, w zależności od tego, czy do oprogramowania deszyfrującego został dostarczony odpowiedni klucz kryptograficzny.
Nie ma oprogramowania egzekwującego bezpieczeństwo, dane są przekształcane za pomocą szyfrowania do postaci, która nie ujawnia nic o rzeczywistej zawartości. Aby odwrócić transformację, aby ją odszyfrować, wymagany jest poprawny klucz kryptograficzny. Jeśli podany zostanie zły klucz, oprogramowanie deszyfrujące może się nie powieść. Nie ma ominięcia przez bycie administratorem lub dostęp do danych za pośrednictwem tylnych dojść.
Oznacza to również, że w przeciwieństwie do kontroli dostępu każdy, kto posiada właściwy klucz, może odszyfrować dane. Nie ma znaczenia, kim jesteś lub twierdzisz, że jesteś. Jeśli masz klucz, możesz odszyfrować.
Dlatego klucz deszyfrujący musi być utrzymywany w tajemnicy. Dlatego też zaszyfrowana zawartość jest bezpowrotnie tracona w przypadku utraty klucza deszyfrującego.
AxCrypt to oprogramowanie szyfrujące. Szyfruje pliki. Nie uwierzytelnia użytkowników w celu „zezwolenia” na przeglądanie treści.
Zaloguj się do AxCrypt 2
Jeśli AxCrypt działa za pomocą szyfrowania, dlaczego AxCrypt 2 prosi o zalogowanie?
Zdecydowaliśmy się użyć „zaloguj się” jako metafory do normalnego użytkowania, ponieważ to, co się dzieje, jest bardzo podobne, a większość z nas jest przyzwyczajona do „logowania się”. Tak naprawdę nie uwierzytelniamy tożsamości jako takiej (Twojego e-maila), ale upewniamy się, że podane hasło jest poprawne i powiązane z e-mailem. To subtelna różnica. AxCrypt używa zweryfikowanego hasła do szyfrowania i deszyfrowania. Systemy kontroli dostępu wykorzystują uwierzytelnioną tożsamość do porównywania z uprawnieniami.
Oznacza to również, że jeśli dwóch użytkowników faktycznie ma to samo hasło, będą mogli odszyfrować swoje pliki. To kolejny powód, dla którego warto wybrać naprawdę długie, dobre i silne hasło, aby zmniejszyć to ryzyko do skutecznego zera.
Jednym z powodów, dla których w ogóle weryfikujemy hasło do szyfrowania, jest zmniejszenie ryzyka błędnego wpisania hasła podczas szyfrowania plików, co niestety zdarza się zbyt często w przypadku AxCrypt 1. Nawet z wymogiem wpisywania go dwukrotnie.
Ta metafora logowania AxCrypt zapewnia nam zatem realne korzyści, musimy wprowadzić ją tylko raz na sesję, aby mieć gwarancję, że nowe pliki zostaną zaszyfrowane za pomocą hasła, którego faktycznie zamierzaliśmy użyć – i które jest zweryfikowane jako to, którego użyliśmy ostatnim razem, czyli właściwe.