Kryptering gør data ulæselige for den, der ikke har nøglen. I praksis møder man to steder, hvor det bliver brugt, og de løser hver sit problem. Data under transport beskyttes, mens de bevæger sig over netværket. Data i hvile beskyttes, når de ligger lagret.
To beskyttelser, to huller
Under transport sker det på web med TLS. Det forhindrer, at nogen på vejen kan læse eller ændre trafikken.
I hvile beskytter krypteringen data i databasen, på disken og i backuppen. Det er værn mod tyveri af selve lagermediet. Det er ikke værn mod en kompromitteret applikation, der har lovlig læseadgang til databasen, for den får sine data pænt dekrypteret som altid.
De to erstatter ikke hinanden, og der er et hul, som ingen af dem dækker. Under selve behandlingen ligger data i klartekst i applikationens hukommelse. Det kan ikke krypteres væk. Det kan kun begrænses ved at behandle mindre.
TLS 1.3
Nyeste version er TLS 1.3, RFC 8446 fra august 2018. Den ryddede op ved at fjerne RC4, 3DES, CBC-tilstande og RSA-nøgleudveksling helt. Kun AEAD-ciphers er tilbage, og dermed er en lang række konfigurationsfejl ikke længere mulige.
TLS 1.3 gør også forward secrecy obligatorisk. Bliver serverens langtidsnøgle kompromitteret i morgen, kan gårsdagens optagede trafik stadig ikke læses. Det er en reel forskel for enhver, der sender personoplysninger over nettet.
Hvad GDPR faktisk siger
GDPR artikel 32 nævner kryptering udtrykkeligt som en teknisk foranstaltning, man skal overveje. Formuleringen er risikobaseret. Der står ikke, at alt skal krypteres altid, og der står ikke, hvilken algoritme man skal bruge.
Det betyder to ting i praksis. Man kan ikke pege på artikel 32 og sige, at kryptering er ulovligt at undlade uden videre. Og man kan omvendt ikke pege på kryptering og sige, at så er man færdig. Vurderingen følger risikoen ved netop de oplysninger, man behandler.
Krypterede personoplysninger er stadig personoplysninger
Det er den forveksling, der oftest koster. Kryptering skjuler indholdet. Den fjerner det ikke. Har du nøglen, har du oplysningen, og så gælder reglerne fuldt ud.
Det er værd at holde op mod pseudonymisering og tokenisering, som gør noget andet. Ved en identitetskontrol er det derfor sjældent krypteringen, der afgør sagen. Det afgørende er, om CPR-nummeret overhovedet skulle indsamles, for et felt, der aldrig blev fyldt ud, kan hverken lækkes eller skulle slettes.