Vad är zero knowledge?

Vad är zero knowledge – egentligen?

Zero knowledge är ett säkerhetskoncept inom datahantering. Det innebär att ingen utomstående har möjlighet att komma åt din information.

Tänk dig att du skaffar ett kassaskåp för alla dina värdesaker eller viktiga dokument.

Kassaskåpet kommer från en internationellt välkänd tillverkare i ett annat land. Skåpet är jättesäkert och skyddar mot både bränder och avancerade kassaskåpsprängare. Det finns till och med en ”app” för att använda kassaskåpet.

Leverantören kan ställa upp med certifikat som visar hur bra kassaskåpet är och hur säker du kan känna dig. När kassaskåpet levereras till dig så får du såklart med ett par extra nycklar. En som du använder dagligen. En som du har i reserv på något säkert ställe.

Vad är Zero knowledge – en metafor

En dag får du ett utpressningsbrev i posten där det står att du måste betala en stor summa i bitcoin för att inte utpressaren ska skicka den där pinsamma bilden på dig från initieringsriten i modelljärnvägsklubben till media! 

Men hur gick det till? 

Bilden låg ju i kassaskåpet. Och du vet att du har koll på nycklarna…

Det visar sig att kassaskåpstillverkaren alltid sparar en nyckel till varje kassaskåp. Detta för att ha ett sätt att hjälpa dig om du tappar bort dina nycklar. Eller – och det här är viktigt för att få vara en kassaskåpsleverantör i det landet – om en myndighet i tillverkarens hemland bestämmer att de vill kunna kontrollera vad du egentligen har i kassaskåpet.

En sådan nyckel har kommit på avvägar och hamnat i fel händer.

En kedja är bara så säker som sin svagaste länk

Ett kassaskåp är alltså inte säkrare än hur samtliga nycklar hanteras. Inklusive nycklarna till dit kassaskåp som du inte ens visste fanns.

Vad kan man göra åt det? Du kan ju visserligen försöka att gömma kassaskåpet bakom lås och bom, men hur praktiskt är det?

Så problemet kvarstår. 

Tänk om tillverkaren slarvar, och någon arg anställd säljer kopior av nycklarna, eller om…

Känner du dig lika säker nu, och att du har full kontroll över det som du lagrar i kassaskåpet?

Vad är zero knowledge – lagring i molnet?

Precis så här kan det fungera när man lagrar data i molnet.

Man talar gärna om kryptering av data, vilket är jättebra för att göra det mycket svårt för obehöriga att komma åt data. Det innebär konkret att en krypterad version av dina data är lagrad någonstans i molnet. Om någon lyckas hitta just dina data går det fortfarande inte att läsa utan extrema svårigheter.

Men kryptering kräver ju att man har en nyckel i form av en annan liten bit data både för att kryptera och för av dekryptera, vilket man ju måste göra för att kunna använda sina data. Frågan blir då precis som med kassaskåpet vem som har tillgång till nycklarna. Är det bara du?

De flesta leverantörer har nycklar och bakdörrar till din data

Många leverantörer av molnlagring har krav på sig att kunna hjälpa myndigheter i sina hemländer att komma åt alla data som de lagrar åt dig ifall de tycker att de behöver det. I USA är detta helt lagligt med stöd av den så kallad cloud act-lagen.

Men det stoppar inte där. En del leverantörer tycker till och med att det är viktigt att kunna se vad du lagrar (även om det är krypterat) så de kan avgöra om innehållet är ”lämpligt”. Detta görs på mer eller mindre subjektiva värderingar. Dessutom förekommer det också att leverantörerna använder din privata information i molntjänsten för att de ska kunna sälja extra tjänster till dig. Det händer också att denna information delas med tredje part.

För att göra detta så kan alltså leverantören av molnlagring hjälpa dig att kryptera dina data när de lagras, men samtidigt så behåller de en kopia av den nyckel som krävs för att dekryptera dem. Kommer den nyckeln på avvägar, så spelar inte krypteringen längre någon roll.

Känner du dig lika säker nu?

Tycker du att du har full kontroll över det som du lagrar i molntjänsten?

Zero knowledge – ”I know nothing”

Det är precis detta som zero knowledge handlar om.

Det innebär att den tekniska lösningen för molnlagringen är uppbyggd så att det endast är du som har tillgång till alla nycklar.

Inte lagringsleverantören. Ingen myndighet. Ingen annan än du.

Dina data är säkert skyddade med kryptering även om de lagras på datorer som inte finns hos dig och du kan hantera och använda dem som du vill.

För att zero knowledge ska vara till riktig nytta så behöver det också kompletteras med end-to-end-kryptering, men det är ändå fundamentalt för en lösning ska kunna säga vara riktigt säker.

Det spelar inte heller någon roll var datorerna finns som lagrar dina krypterade data om man använder zero knowledge. Eller om hur integrerade de är med andras data. Allt detta är möjligt att kontrollera med en zero knowledge-lösning.

Självklart är Synkzones säkerhetslösning Truly secure byggd på zero knowledge. Plus flera andra saker som du också kan läsa mer om här.