A zero knowledge, azaz nullaismeretű technológiát alkalmazó digitális azonosítás során nem tárolják személyes adatainkat egy támadásoknak kitett központi szerveren és más eljárásokhoz képest nagyobb védelmet kaphatnak az érzékeny információink.
Sokat emlegetett tény, hogy minél kevesebb személyes információ kering rólunk online, és minél kevesebb adatot tárolnak rólunk a szolgáltatók, annál kevésbé tesszük ki magunkat a csalók esetleges támadásainak. Mégis naponta millióknak kell megadniuk jelszavukat vagy más titkos információjukat a neten, hogy hozzá tudjanak férni még a legegyszerűbb szolgáltatásokhoz is.
Joggal gondolhatnánk, hogy a szolgáltatóknak valamilyen személyes adatra feltétlenül szükségük van rólunk ahhoz, hogy azonosítani tudjanak minket, illetve hitelesíteni tudják a személyazonosságunkat. Legalább a jelszavunkat meg kell adni a rendszerükbe való belépéskor, igaz? Nem feltétlenül.
Az egyre szélesebb körben használt nullaismeretű (azaz zero knowledge) technológia segítségével például akár életkorunk megadása nélkül is bizonyíthatjuk, hogy elég idősek vagyunk egy-egy termék megvásárlásához, vagy megtakarításaink részletes bemutatása nélkül is tanúsíthatjuk, hogy elég forrás áll rendelkezésünkre egy-egy tranzakció végrehajtásához.
„Ez egy olyan feljövőfélben lévő technológia, ami választ adhat arra a problémára, hogy mennyi információt kell megosztanunk egymással, hogy megbízzunk egymásban” – foglalta össze Keleti Arthur kibertitok jövőkutató. „Ez szerintem kulcsfontosságú, hosszútávon pedig még ahhoz is hozzájárul, hogy a felhasználók kényelmén javítson” – tette hozzá.
Jobban megvédheti az adatainkat
A nullaismeretű eljárásban, ahogy az elnevezése is utal rá, anélkül lehet igazolni egy információ valódiságát, hogy az ezt bizonyító konkrét adatokat felfednénk, illetve két fél közötti kommunikáció esetén megosztanánk egy harmadik féllel. A megfelelő algoritmusokkal titkosított személyes adatok más technológiákhoz képest sokkal erősebb védelmet kaphatnak.
„A nagy problémánk az, hogy ha valakinek odaadjuk az adatainkat, az mit fog kezdeni vele, tud-e rá vigyázni, nem veszíti-e el. Magyarán minél kevesebb adatot adok át, annál jobb. A zero knowledge koncepció, azaz hogy a szolgáltató semmit, vagy minél kevesebbet tud a titkainkról, nem tűnik egy rossz megoldásnak” – mondta Keleti Arthur.
A nullaismeretű bizonyítás matematikai modelljét az 1980-as években dolgozták ki amerikai kutatók. A lényege, hogy az egyik fél (bizonyító) birtokában van egy titkos információ, és erről úgy kell meggyőznie egy másik felet (ellenőr), hogy magát az információt nem árulja el neki. Persze egyik fél sem bízik a másikban, ezért objektív bizonyítékra van szükség.
Lássunk erre egy példát (amit a szakirodalomban Ali Baba barlangjaként emlegetnek). A-nak be kell bizonyítania B számára, hogy át tud jutni egy kör alakú alagút közepén lévő ajtón, de a kulcsot nem mutathatja meg neki. B a bejáratnál marad és instrukciókat ad A-nak, hogy melyik irányból hagyja el az alagutat. A bármelyik irányból ki tud jönni, és a feladatot sokszor megismételve B is megbizonyosodhat A igazáról anélkül, hogy látta volna a kulcsát.
Adatszéfként működik a mobilunk
A zero knowledge technológia több területen is használható, például blockchain-ügyleteknél vagy akár katonai információk igazolására is. Olyan mobilalapú azonosítási és hitelesítési rendszereknél is alkalmazzák, mint az ID&Trust által kifejlesztett GoodID digitális irattárca, amellyel a felhasználók kényelmesen és biztonságosan azonosíthatják magukat különféle szolgáltatóknál.
A GoodID a felhasználó és a szolgáltató közötti adattovábbításkor a megadott személyes információkat megfelelő algoritmusokkal titkosítva küldi tovább, és ezeknek a visszafejtésére kizárólag a szolgáltató képes. Az érzékeny adatokat csak a felhasználó mobilja tárolja, tehát nem kerülnek be egy központi adatbázisba, az ID&Trust pedig nem ismeri meg és nem is kezeli őket.
„Itt a mobil egyfajta adatszéfként működik” – mondta Lovász Dávid, az ID&Trust IT-biztonsági menedzsere. „A felhasználói hitelesítés után az applikáció visszafejti az általa titkosítva tárolt adatokat és ismételten titkosítja azokat, immár a szolgáltató kulcsával. Az app tehát nyílt formában nem tárolja és nem is továbbítja az adatokat sem a szolgáltatónak sem nekünk” – tette hozzá.
A megoldás részben a zero knowledge eljárásnak köszönhetően kifejezetten biztonságos. A titkosított adatokhoz illetéktelenek nem férnek hozzá, ehhez minden egyes mobilt és appot külön-külön fel kellene törni. Nincs egy központi rendszer, amit támadni lehetne.
További előny, hogy a felhasználók döntik el, milyen információkat adnak meg a szolgáltatónak, így kontrollálni tudják az adataikat. A GoodID ráadásul több védelmi megoldást is alkalmaz, például vizsgálja, mennyi idő telt el az utolsó hitelesítés és az szolgáltatónak történt adatküldés között, és ha ez meghalad egy bizonyos mértéket, akkor ismételt hitelesítésre kéri a felhasználót.
A GoodID rendszert a nullaismeretű azonosítás is megkülönbözteti a Facebook- vagy Google-fiókkal történő azonosítástól, hiszen ahogy említettük, itt nem tárolják és kezelik központilag az információkat. Emellett a mobil irattárca többtényezős hitelesítést végez a mobil és valamilyen más biztonsági funkció – például PIN, ujjlenyomat vagy arcfelismerés – felhasználásával.
Mára sokak számára fontossá vált, milyen adatokat gyűjtenek róluk és ezeket miként használják fel. Az Apple a jövőben kötelezővé tenné, hogy az App Store alkalmazásainak fejlesztői tüntessék fel az ezzel kapcsolatos információkat. A lépés érzékenyen érinti a felhasználói adatokból élő cégeket, köztük a Facebookot, amely újsághirdetésekben kritizálta az Apple új szabályait.
Személyesebb megoldások jöhetnek
A személyes adatokkal, személyazonossággal való visszaéléseket sokkal gyakrabban lehet tapasztalni Nyugat-Európában és az Egyesült Államokban, mint itthon, de Lovász Dávid szerint a probléma Magyarországon is egyre inkább előtérbe kerül. Ez a jövőben bővítheti a zero knowledge technológia alkalmazását, illetve növelheti ennek a megoldásnak a jelentőségét.
Meg is akaszthatja viszont a fejlődést, hogy a bűnügyi és terrorellenes hatóságok is hozzá szeretnének férni a harmadik feles szolgáltatók számára titkosított adatokhoz. Az Európai Bizottság nemrégiben már e hozzáférés törvényes keretek közötti javítását sürgette, az Európai Tanács pedig egy határozatot is hozott a titkosítás és biztonság viszonyának újradefiniálásáról.
A kezdeményezések kicsapták a biztosítékot négy technológiai cégnél, köztük a magyar Tresoritnál, amely közös állásfoglalásban hívta fel a figyelmet arra, hogy bár érthető a hatóságok célja, a hozzáférésük a magánszféra megsértéséhez vezethetne. „A javaslatok annak a digitális megfelelőjét jelentik, mintha a hatóságok kulcsot kapnának minden állampolgár lakásához” – írták.
„Mostanra átalakultak a 15 évvel ezelőtti biztonsági megoldások, hiszen ma már mindenütt ott vannak a digitális hálózatok és adatrendszerek” – mondta Keleti Arthur. Szerinte olyan azonosítási megoldásokra van szükség, amik személyesek, minél jobban próbálják védeni az emberek magánszféráját, és minél kevesebbet árulnak el róluk, viszont hatékonyak és egyszerű használni őket.
A jövőben szerinte optimális megoldás lehet, ha a nullaismeretű azonosítási megoldásokat mesterséges intelligenciát (AI) alkalmazó profilozással kombinálják. Ezek a személyes rendszerek kontextusba helyezik és jobban megértik majd az adatainkat. Többet is fognak tudni rólunk, hogy megvédjenek, viszont nem osztják majd meg az információkat a szolgáltatókkal. „Ehhez jók a zero knowledge technológiák” – tette hozzá.
Felhasznált források: Wired, TechChrunch, Cointelegraph, Hackernoon, BBVA, ELTE, Tresorit, hvg.hu