Wat is end-to-end encryptie en hoe werkt het?

End-to-end encryptie is een noodzakelijke beveiligingsmaatregel die eigendoms- en gevoelige informatie beschermt. Maar hoe werkt het eigenlijk?

Wat is end-to-end encryptie? End-to-end encryptie is een manier om gegevens te beveiligen terwijl ze van de ene partij naar de andere worden verzonden. De gegevens worden versleuteld tijdens de overdracht. Dus als iemand de gegevens zou onderscheppen, zouden ze onleesbaar zijn.

Wat is end-to-end encryptie en hoe werkt het?

“Encryptie” is het versluieren van informatie zodat deze onleesbaar blijft voor ongeautoriseerde derden. Deze versluiering werkt door gebruik te maken van wiskundige functies om heldere gegevens om te zetten in een code die alleen kan worden gedecodeerd via een specifiek omkeerproces, vaak met behulp van een “sleutel” als authenticatiemiddel voor de ontsleuteling.

Om te garanderen dat versleutelde gegevens veilig blijven, vertrouwen encryptiemethoden op complexe transformaties die het vrijwel onmogelijk maken deze zonder de juiste toegang terug te draaien.

Er is echter niet één universele encryptie-aanpak voor alle gegevens. Encryptie wordt op diverse manieren toegepast, afhankelijk van het specifieke gebruik van die gegevens. Dit omvat encryptie van gegevens in de volgende contexten:

Encryptie in rust

Encryptie in rust is een beveiligingsmaatregel die encryptie gebruikt om gegevens te beschermen terwijl ze zijn opgeslagen of niet in gebruik zijn. Dit werkt door de gegevens te versleutelen met een cryptografische sleutel of hashing-algoritmen.

Gegevens die in rust zijn versleuteld, zijn minder kwetsbaar voor datalekken, omdat aanvallers de gegevens moeten ontsleutelen om ze te kunnen gebruiken. Het wordt vaak gebruikt in combinatie met andere beveiligingsmaatregelen, zoals authenticatie, toegangscontrole en preventie van gegevensverlies.

Encryptie tijdens transport

Encryptie tijdens transport is een vorm van cryptografische bescherming die gegevens beveiligt terwijl ze tussen twee systemen of netwerken reizen via een openbaar of gedeeld netwerk, zoals het internet. Wanneer gegevens tijdens transport zijn versleuteld, zijn ze beschermd tegen afluisteren, manipulatie en andere kwaadaardige activiteiten. Versleutelde gegevens zijn minder kwetsbaar voor spionage en andere aanvallen, waardoor ze veiliger zijn voor gebruik in openbare of gedeelde netwerken.

Encryptie tijdens gebruik

Gegevens “in gebruik” betekent dat de gegevens zichtbaar zijn op een terminal of in het lokale geheugen van een werkstation zijn opgeslagen. Hoewel encryptie tijdens gebruik minder vaak voorkomt dan de andere vormen (maar wel steeds gebruikelijker wordt), omvatten encryptie-aanpakken voor in gebruik zijnde gegevens bijvoorbeeld hardware-versleuteld RAM.

Het beschermen en privé houden van gegevens in rust en tijdens transport zijn de twee meest voorkomende encryptie-uitdagingen. In het eerste geval zijn sterke encryptie, perimeterbeveiliging en toegangsbeheer belangrijke uitgangspunten. Maar recent onderzoek laat ook zien dat aanvullende beveiligings- en complianceprotocollen nodig zijn in de vorm van een Private Content Network (PCN) dat deze en andere governance-tracking en controles omvat (zie verderop).

Gegevens zijn een cruciale bedrijfsfactor, zowel intern als met derden. Daarom moeten dienstverleners en bedrijven encryptie implementeren om meerdere gebruikers in staat te stellen gegevens te delen, meestal via openbare of kwetsbare private systemen, terwijl deze gegevens worden beschermd tegen veelvoorkomende bedreigingen zoals man-in-the-middle aanvallen of afluisteraanvallen.

End-to-end encryptie—dat onderdeel moet zijn van elke strategie voor risicobeheer door derden (TPRM)—pakt beide problemen aan door de gegevens te versleutelen voordat ze worden verzonden, zodat de gegevens niet afhankelijk zijn van een server- of transportencryptieschema voor bescherming. Zowel de verzender als de ontvanger gebruiken een specifieke encryptiemethode om de informatie te versleutelen en te ontsleutelen, en de informatie blijft versluierd, zowel in rust op een server als tijdens transport.

Hoe verschilt end-to-end encryptie van encryptie tijdens transport of in rust?

Het belangrijkste verschil tussen end-to-end encryptie en andere benaderingen is dat het een volledige oplossing is van verzender tot ontvanger. Daarentegen versleutelen methoden voor gegevens in rust en tijdens transport alleen in een specifieke context.

Denk aan een typische e-maildienst. Hoewel we vaak niet letten op de technische details van gewone e-mail, bieden de meeste providers zowel encryptie in rust als tijdens transport:

• E-mailservers zijn vaak beschermd met AES-128 of AES-256 encryptie.
• E-mailtransmissies maken vrijwel altijd gebruik van een versie van transportlaagbeveiliging (TLS), de moderne versie van SSL-tunnels. Daarnaast moeten gebruikers die via webdiensten verbinding maken met deze e-mailproviders vaak HTTPS gebruiken, de beveiligde vorm van HTTP.

Het probleem met bovenstaande opzet is dat deze informatie niet voldoende beschermt voor de meeste beveiligde toepassingen. Er is geen manier om volledig te garanderen dat e-mail in een veilige omgeving terechtkomt wanneer deze door elke mailserver gaat waarmee hij in contact komt op weg naar de eindbestemming.

Om dit op te lossen, versleutelt E2E de gegevens onafhankelijk van de technologieën die voor transmissie of op de server zijn geïmplementeerd. Dit houdt in dat de gegevens zelf op het moment van verzending worden versleuteld en dat de versleutelde gegevens via openbare kanalen worden verzonden (ongeacht andere encryptieprotocollen zoals TLS), waardoor een versluierd bericht wordt afgeleverd dat alleen de eindgebruiker kan ontsleutelen.

Let op het verschil: Bij E2E-encryptie zijn het de gebruikers die de informatie versleutelen en ontsleutelen, niet de eigenaar van de server of infrastructuur. Encryptie vindt plaats op het niveau van het apparaat, niet op de server.

Meer specifiek maakt end-to-end encryptie gebruik van asymmetrische encryptiesleutels:

• Symmetrische encryptie: In symmetrische systemen vindt encryptie en decryptie plaats met dezelfde sleutel. Eén systeem versleutelt het bericht met een specifieke sleutel, terwijl ontvangende systemen die gegevens ontsleutelen met een identieke sleutel die aan hen is verstrekt.
• Asymmetrische encryptie: Ook wel publieke sleutel-encryptie genoemd, maken asymmetrische systemen gebruik van een combinatie van publieke en private sleutels om publieke encryptie te ondersteunen. In deze schema’s heeft een gebruiker een publieke sleutel (gedeeld met het grote publiek of collega’s binnen een organisatie) en een private sleutel (geheim gehouden voor iedereen).

  Iemand die een versleuteld bericht naar die gebruiker wil sturen, gebruikt diens publieke sleutel, en de ontvanger moet dat bericht ontsleutelen met zijn private sleutel. Berichten die met een publieke sleutel zijn versleuteld, kunnen alleen worden ontsleuteld met de bijbehorende private sleutel.

De meeste encryptiemethoden zijn symmetrisch. AES gebruikt bijvoorbeeld identieke sleutels die, hoewel sterk, ook aanzienlijke beveiliging en onderhoud vereisen. Veel E2E-oplossingen gebruiken echter een vorm van asymmetrische encryptie.

Waarom is encryptie belangrijk voor gegevensbeveiliging?

Encryptie is een proces dat helpt om gegevens te beschermen tegen ongeautoriseerde toegang en biedt een extra beveiligingslaag voor gegevens die zijn opgeslagen of verzonden via een netwerk. Het is een essentiële beveiligingsmaatregel geworden voor organisaties van elke omvang en wordt gebruikt om gegevens te beschermen tegen ongeautoriseerde toegang, identiteitsdiefstal, kwaadaardige aanvallen en andere vormen van cybercriminaliteit.

Encryptie zorgt ervoor dat gegevens niet kunnen worden geopend of gewijzigd door anderen dan de verzender of ontvanger. Dit gebeurt door de gegevens om te zetten in een “geheime code” of cijfer, waarvoor een sleutel nodig is om deze te ontsleutelen. Zonder de sleutel zijn de versleutelde gegevens onbegrijpelijk en kunnen ze niet worden gelezen door iemand met toegang tot de gegevens. Dit zorgt ervoor dat alleen geautoriseerd personeel toegang heeft tot de gegevens en dat wijzigingen aan de gegevens beperkt blijven tot geautoriseerde gebruikers.

Encryptie is ook belangrijk voor naleving van diverse wetten en regelgeving, zoals HIPAA en GDPR. Deze regelgeving vereist vaak dat organisaties stappen ondernemen om gevoelige informatie te beschermen, waaronder encryptie.

Hoe kan encryptie uw organisatie helpen?

Encryptie helpt een organisatie om de gevoelige gegevens van klanten, medewerkers en partners te beschermen door deze onleesbaar te maken voor iedereen zonder de juiste ontsleutelingssleutel. Het voorkomt dat kwaadwillenden toegang krijgen tot gevoelige gegevens en beschermt zo een organisatie tegen gegevensverlies, identiteitsdiefstal en financiële fraude.

Organisaties kunnen encryptie toepassen om diverse soorten gegevens te beschermen, waaronder vertrouwelijke klantinformatie, financiële documenten en privécommunicatie. Door zeer gevoelige gegevens te versleutelen, kunnen organisaties ongeautoriseerde toegang voorkomen en hun reputatie beschermen. Bovendien kunnen versleutelde gegevens niet gemakkelijk worden gewijzigd of beschadigd, waardoor de integriteit en authenticiteit worden gewaarborgd.

Encryptie helpt organisaties ook om te voldoen aan regelgeving op het gebied van gegevensprivacy. Veel regelgeving, zoals GDPR, vereist dat organisaties persoonsgegevens beschermen met encryptie en andere beveiligingsmaatregelen. Door gevoelige gegevens te versleutelen, kunnen organisaties aantonen dat ze stappen ondernemen om aan de regelgeving te voldoen.

Wat zijn de voordelen en uitdagingen van end-to-end encryptie?

Het is duidelijk dat er aanzienlijke voordelen zijn aan end-to-end encryptie, anders zou er niet voortdurend over worden gesproken. Uitgebreide bescherming en op de gebruiker gerichte beveiliging zijn onderdeel van de aanpak die organisaties gebruiken voor end-to-end encryptie.

Voordelen van end-to-end encryptie

• Krachtige gegevensbescherming: E2E-encryptie is, zoals de naam al zegt, bescherming van begin tot eind. De verzonden informatie wordt versluierd op het moment dat deze wordt verstuurd en wordt pas ontsleuteld door de eindontvanger. Bovendien maken asymmetrische systemen toegankelijkere encryptie via openbare transmissiekanalen mogelijk.
• Privacy: E2E-encryptie biedt een hoger niveau van privacy dan alternatieven. Omdat de informatie via een sleutel wordt versleuteld, kan niemand, inclusief dienstverleners of routeringsknooppunten, deze informatie inzien tenzij zij over de publieke sleutel beschikken.
• Sterkere verdediging tegen admin-aanvallen: Omdat publieke en private sleutels in handen zijn van gebruikers, hoeven deze niet door beheerders te worden beheerd. Beheerders zijn daardoor geen zwakke schakel, omdat zij deze sleutelgegevens niet kunnen prijsgeven, en hacks op admin-accounts compromitteren niet per se de gebruikersencryptie.
• Naleving: Veel compliance-raamwerken vereisen volledige encryptiebescherming van gegevens tijdens alle fasen van overdracht en opslag. Oplossingen voor alleen gegevens in rust of tijdens transport zijn vaak niet voldoende, waardoor ze niet kunnen worden gebruikt om beschermde informatie te delen. Goed geconfigureerde E2E kan echter in veel gevallen voldoen aan compliance-vereisten zoals NIST-gereguleerde contexten (FedRAMP, NIST 800-53), HIPAA of CMMC.

Hoewel dit grote voordelen zijn voor elke organisatie die waarde hecht aan beveiliging, zijn er ook enkele belangrijke uitdagingen:

• Implementatie: End-to-end encryptie is geen gedeelde technologie. In tegenstelling tot AES of TLS (waar providers vaak standaardisatie gebruiken om interoperabiliteit te bevorderen), lopen E2E-systemen tegen adoptieproblemen aan. Het is lastig om een publiek sleutelsysteem te implementeren dat aan alle gebruikers en providers voldoet, waardoor het bijna onmogelijk is om E2E betrouwbaar toe te passen voor openbare communicatie.

  Bovendien vereisen publieke sleutelsystemen vaak meer middelen om encryptiesleutels te genereren en te berekenen dan hun symmetrische tegenhangers. Grote systemen moeten aanzienlijke rekenkracht inzetten om E2E te ondersteunen.

• Social engineering: Zolang publieke sleutels privé blijven, zijn deze veilig. Hackers kunnen echter, met de juiste kennis, gebruikers misleiden om hun sleutels prijs te geven. Dit probleem kan worden beperkt met een sleutelbeheersysteem, maar dan verliest u een deel van de voordelen van E2E door de toegang te centraliseren.

PCI DSS en gegevensencryptie

Encryptie helpt bij PCI DSS-naleving door ervoor te zorgen dat alle gegevens worden versleuteld wanneer ze worden opgeslagen of verzonden. Dit voorkomt dat kwaadwillenden toegang krijgen tot creditcardgegevens, klantendossiers en andere gevoelige informatie. PCI DSS vereist dat organisaties sterke encryptie-algoritmen gebruiken (zoals AES) met sleutellengtes van minimaal 128 bits, en dat ze een unieke sleutel gebruiken om elk gegevenselement te versleutelen.

Encryptie helpt ook bij PCI DSS-naleving door datalekken te voorkomen. Als de systemen van een organisatie worden gehackt en de gegevens zijn versleuteld, kunnen aanvallers niet bij de gegevens komen. Dit komt doordat zij niet over de sleutel beschikken om de gegevens te ontsleutelen. Encryptie beschermt gegevens ook tegen onderschepping tijdens transport, waardoor diefstal of wijziging wordt voorkomen.

Profiteer van end-to-end encryptie met Kiteworks

In de meeste gevallen hebben grote ondernemingen in sterk gereguleerde sectoren moeite gehad met encryptie- en privacykwesties, zelfs terwijl ze zoeken naar nieuwe manieren om informatie vrij en veilig te delen met hun klanten. Oplossingen zoals private portals, beveiligde links en andere maatregelen hebben in veel gevallen als tijdelijke oplossing gediend, maar zijn niet zo ideaal als directe communicatie met het publiek.

Met een door Kiteworks ondersteund Private Content Network profiteren bedrijven van de beveiliging en kracht van een end-to-end encryptieschema dat is ingebouwd in enterprise-grade beveiligde e-mail, bestandsoverdracht, beheerde bestandsoverdracht (MFT), webformulieren en application programming interfaces (API’s). Bovendien omvatten de end-to-end encryptiemogelijkheden in het Kiteworks-platform een e-mail protection gateway aangedreven door totemo, een overname waarmee we end-to-end e-mailencryptie kunnen leveren vanaf elke e-mailserver.

Een belangrijk voordeel van een door Kiteworks ondersteund private content network is dat klanten met door Kiteworks gehoste inzet, waarbij versleutelde bestanden tot 16 TB (maximale bestandsgrootte op Linux-systemen) kunnen worden verzonden of gedeeld.

Met Kiteworks kunt u rekenen op de volgende functies:

• Beveiliging en compliance: Kiteworks gebruikt AES-256 encryptie voor gegevens in rust en TLS 1.2+ voor gegevens tijdens transport. Het geharde virtual appliance-platform, granulaire controles, authenticatie, andere beveiligingsstack-integraties en uitgebreide logging en auditrapportages stellen organisaties in staat eenvoudig en snel compliance met beveiligingsstandaarden aan te tonen. Het Kiteworks-platform biedt standaard compliance-rapportages voor branche- en overheidsregelgeving en -normen, zoals de Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI DSS), SOC 2 en General Data Protection Regulation (GDPR).

  Bovendien beschikt Kiteworks over certificering en compliance met diverse standaarden, waaronder maar niet beperkt tot FedRAMP, FIPS (Federal Information Processing Standards) en FISMA (Federal Information Security Management Act). Ook wordt Kiteworks beoordeeld op IRAP (Information Security Registered Assessors Program) PROTECTED-level controles. Op basis van een recente beoordeling voldoet Kiteworks aan bijna 89% van de Cybersecurity Maturity Model Certification (CMMC) Level 2-praktijken.

• Audit logging: Met de onveranderlijke audit logs van het Kiteworks-platform kunnen organisaties erop vertrouwen dat aanvallen sneller worden gedetecteerd en dat de juiste bewijsketen wordt behouden voor forensisch onderzoek.

  Omdat het systeem invoer van alle componenten samenvoegt en standaardiseert, besparen de uniforme syslog en waarschuwingen van Kiteworks beveiligingscentrumteams kostbare tijd en helpen compliance-teams zich voor te bereiden op audits.

• SIEM-integratie: Kiteworks ondersteunt integratie met toonaangevende security information and event management (SIEM)-oplossingen, waaronder IBM QRadar, ArcSight, FireEye Helix, LogRhythm en anderen. Het beschikt ook over de Splunk Forwarder en bevat een Splunk App.
• Zichtbaarheid en beheer: Het CISO-dashboard in Kiteworks geeft organisaties een overzicht van hun informatie: waar deze zich bevindt, wie er toegang toe heeft, hoe deze wordt gebruikt en of gegevens die worden verzonden, gedeeld of overgedragen voldoen aan regelgeving en standaarden. Het CISO-dashboard stelt organisatieleiders in staat om geïnformeerde beslissingen te nemen en biedt een gedetailleerd inzicht in compliance.
• Single-tenant cloud-omgeving: Bestandsoverdracht, geautomatiseerde bestandsoverdrachten, bestandsopslag en gebruikersrechten vinden plaats op een toegewijde Kiteworks-instantie, ingezet on-premises, op de Infrastructure-as-a-Service (IaaS)-middelen van een organisatie, of gehost als een private single-tenant instantie door Kiteworks in de cloud via de Kiteworks Cloud-server. Dit betekent geen gedeelde runtime, gedeelde databases of repositories, gedeelde resources of risico op cross-cloud datalekken of aanvallen.

Voor meer informatie over beveiligde e-mail, end-to-end encryptie en het private content network van Kiteworks, lees meer over Kiteworks secure email.