Kuromori Kabuki – niematerialne dziedzictwo prefektury Yamagata. Pokaz z prelekcją
Każdego dnia wysyłamy wiadomości, logujemy się do banku, płacimy telefonem i przekazujemy dane aplikacjom działającym w chmurze. Większość tych czynności nie byłaby bezpieczna bez mechanizmów, których użytkownik zazwyczaj nawet nie zauważa. Za ochronę informacji w wielu systemach odpowiada kryptografia, czyli dziedzina łącząca matematykę, informatykę i inżynierię bezpieczeństwa.
Choć kojarzy się ona przede wszystkim z zamianą czytelnego tekstu w niezrozumiały zapis, jej rola jest znacznie szersza. Nowoczesne rozwiązania kryptograficzne pomagają nie tylko ukrywać treść danych, lecz także wykrywać ich modyfikację, potwierdzać pochodzenie komunikatu oraz bezpiecznie ustalać tożsamość użytkowników i urządzeń.
Czym jest kryptografia?
Najprościej rzecz ujmując, kryptografia to zbiór metod pozwalających chronić informacje za pomocą przekształceń matematycznych. Dane w postaci czytelnej mogą zostać przetworzone przez algorytm do formy zaszyfrowanej. Osoba lub system posiadający właściwe uprawnienie może następnie odwrócić tę operację i odzyskać pierwotną treść.
Odpowiedź na pytanie, czym jest kryptografia, nie powinna jednak ograniczać się tylko do szyfrowania. Jej najważniejsze zadania obejmują bowiem:
- poufność – informacja pozostaje niedostępna dla osób nieuprawnionych,
- integralność – można sprawdzić, czy dane nie zostały zmienione,
- uwierzytelnienie – możliwe jest potwierdzenie tożsamości podmiotu albo pochodzenia informacji,
- niezaprzeczalność – autor wykonanej operacji nie może łatwo podważyć swojego udziału, jeśli zastosowano odpowiedni mechanizm podpisu i właściwie chronione klucze.
Kryptografia dostarcza zatem narzędzi, które budują techniczne podstawy zaufania w środowisku cyfrowym. Amerykański National Institute of Standards and Technology wskazuje tu wprost, że techniki kryptograficzne wykorzystują matematykę do zabezpieczania informacji i znajdują zastosowanie między innymi w komunikacji, urządzeniach mobilnych oraz transakcjach elektronicznych.
Jak działa szyfrowanie danych?
W uproszczonym modelu szyfrowania występują trzy elementy – dane wejściowe, algorytm oraz klucz kryptograficzny. Algorytm określa reguły przekształcenia informacji, natomiast klucz wpływa na konkretny wynik operacji. Ten sam algorytm użyty z innym kluczem utworzy inny szyfrogram.
Można to porównać do wielu identycznych sejfów wyposażonych w różne zamki. Konstrukcja każdego sejfu działa na tej samej zasadzie, ale otwarcie konkretnego egzemplarza wymaga dopasowanego klucza. Bezpieczeństwo nie powinno więc zależeć od ukrywania sposobu działania algorytmu. W dojrzałych rozwiązaniach to klucz pozostaje chronionym elementem systemu.
Klucze muszą być odpowiednio generowane, przechowywane, przekazywane, odnawiane i wycofywane. Nawet silny algorytm nie zapewni ochrony, jeżeli klucz zostanie zapisany w publicznie dostępnym repozytorium, przesłany otwartym kanałem albo pozostawiony w urządzeniu bez właściwych zabezpieczeń. Zarządzanie kluczami jest więc równie ważne jak wybór samej metody kryptograficznej.
Kryptografia symetryczna, czyli jeden tajny klucz po obu stronach
Kryptografia symetryczna wykorzystuje ten sam tajny klucz do zaszyfrowania i odszyfrowania danych. Nadawca oraz odbiorca muszą wcześniej uzyskać dostęp do wspólnego tajnego klucza i skutecznie chronić go przed przejęciem.
Największą zaletą tego podejścia jest wydajność. Algorytmy symetryczne dobrze sprawdzają się przy ochronie dużych ilości informacji, dlatego mogą zabezpieczać pliki, kopie zapasowe, dyski oraz dane przesyłane w ramach aktywnego połączenia. Powszechnie stosowanym standardem z tej grupy jest AES.
Trudność pojawia się podczas bezpiecznego przekazywania klucza. Jeśli dwie strony nie mają jeszcze chronionego kanału komunikacji, muszą w inny sposób uzgodnić wspólny tajny klucz. W systemie obsługującym wielu użytkowników rośnie także liczba kluczy, którymi trzeba zarządzać. Z tego powodu kryptografia symetryczna często współpracuje z rozwiązaniami asymetrycznymi.
Kryptografia asymetryczna, czyli klucz publiczny i prywatny
Kryptografia asymetryczna opiera się na parze matematycznie powiązanych kluczy. Klucz publiczny może być udostępniany, natomiast klucz prywatny powinien pozostawać pod wyłączną kontrolą właściciela. Operacje wykonywane jednym elementem pary są weryfikowane lub uzupełniane za pomocą drugiego.
Jeżeli ktoś chce przesłać odbiorcy chronioną informację, może wykorzystać jego klucz publiczny. Odszyfrowanie danych wymaga wtedy odpowiadającego mu klucza prywatnego. Odmienny kierunek zastosowania pojawia się w podpisie cyfrowym, w którym to właściciel używa klucza prywatnego do podpisania danych, a inni sprawdzają podpis za pomocą klucza publicznego.
Podejście asymetryczne ułatwia nawiązywanie bezpiecznej komunikacji między stronami, które wcześniej nie uzgodniły wspólnego tajnego klucza. Wymaga jednak więcej zasobów obliczeniowych niż szyfrowanie symetryczne. W praktyce oba modele są zatem łączone. Mechanizmy asymetryczne pomagają uwierzytelnić stronę i ustalić materiał kluczowy, a szybkie algorytmy symetryczne chronią dalszą transmisję.
| Cecha | Kryptografia symetryczna | Kryptografia asymetryczna |
| Liczba kluczy | Jeden wspólny klucz tajny | Para: klucz publiczny i prywatny |
| Wydajność | Wysoka, odpowiednia dla dużych zbiorów danych | Niższa ze względu na bardziej złożone obliczenia |
| Główne wyzwanie | Bezpieczna dystrybucja wspólnego klucza | Ochrona klucza prywatnego i potwierdzenie, do kogo należy klucz publiczny |
| Typowe zastosowanie | Szyfrowanie plików, dysków i transmisji | Wymiana kluczy, podpisy cyfrowe i uwierzytelnianie |
Nie tylko szyfrowanie – funkcje skrótu i podpis cyfrowy
Funkcja skrótu przekształca dane o dowolnej długości w wynik o ustalonym rozmiarze, nazywany skrótem lub hashem. Jest projektowana jako operacja jednokierunkowa, na podstawie samego wyniku nie powinno dać się praktycznie odtworzyć danych wejściowych. Nawet niewielka zmiana dokumentu powinna natomiast prowadzić do innego skrótu.
Takie właściwości pozwalają kontrolować integralność plików, wspierają bezpieczne przechowywanie haseł i są wykorzystywane podczas tworzenia podpisów cyfrowych. W systemach uwierzytelniania hasło nie powinno być zapisane w formie jawnej ani po prostu zaszyfrowane. Zwykle przechowuje się wynik odpowiednio dobranej, celowo spowolnionej funkcji wraz z unikalną wartością dodatkową, zwaną solą.
Podpis cyfrowy łączy mechanizmy asymetryczne z funkcją skrótu. Pozwala sprawdzić, czy treść nie została zmieniona po podpisaniu oraz czy podpis został utworzony kluczem prywatnym odpowiadającym wskazanemu kluczowi publicznemu. Nie należy jednak mylić podpisu cyfrowego z poufnością. Podpisany dokument nie staje się automatycznie tajny, do ukrycia jego treści potrzebne jest szyfrowanie.
Kryptografia w podejściu Zero Trust
W tradycyjnym modelu bezpieczeństwa duże znaczenie miała granica sieci organizacji. Współczesne środowiska obejmują jednak chmurę, pracę zdalną, urządzenia mobilne i usługi dostarczane przez wielu partnerów. Sam fakt, że użytkownik znajduje się “wewnątrz” sieci, nie powinien więc przesądzać o zaufaniu.
Model Zero Trust zakłada ciągłą weryfikację dostępu, ograniczanie uprawnień oraz gotowość na możliwość naruszenia zabezpieczeń. Kryptografia wspiera takie podejście przez ochronę transmisji i danych, certyfikaty, podpisy cyfrowe oraz mechanizmy uwierzytelniania. Nie zastępuje jednak kontroli dostępu, monitorowania, segmentacji sieci ani właściwego reagowania na incydenty.
Czy kryptografia pomaga w świecie deepfake?
Rozwój generatywnej sztucznej inteligencji sprawia, że nagranie głosu lub obraz twarzy nie zawsze są wystarczającym potwierdzeniem tożsamości. W dobie deepfake potrzebujemy więc już wielokanałowej weryfikacji, kontroli dostępu i sprawdzania pochodzenia treści.
Mechanizmy kryptograficzne mogą ułatwiać weryfikowanie historii pliku i wykrywanie zmian dokonanych po jego podpisaniu. Trzeba jednak rozumieć ich granice. Poprawny podpis potwierdza związek danych z określonym kluczem oraz ich integralność, ale sam nie dowodzi, że treść przedstawia prawdziwe zdarzenie. Jeżeli fałszywy materiał zostanie podpisany przez uprawniony, lecz źle zabezpieczony system, matematycznie poprawna weryfikacja nie usunie problemu na wcześniejszym etapie.
Co zmienią komputery kwantowe?
Część współczesnych algorytmów asymetrycznych opiera bezpieczeństwo na problemach matematycznych, które są niezwykle trudne dla klasycznych komputerów. Odpowiednio wydajny komputer kwantowy mógłby w przyszłości osłabić niektóre z tych mechanizmów. Nie oznacza to końca kryptografii, lecz konieczność przechodzenia na algorytmy odporne na nowe modele obliczeń.
Kryptografia postkwantowa rozwija metody przeznaczone do działania na obecnych urządzeniach, ale odporne również na znane klasy ataków kwantowych. Migracja obejmuje znacznie więcej niż wymianę nazwy algorytmu, organizacje muszą wiedzieć bowiem, gdzie używają kluczy i certyfikatów, jak długo chronione dane zachowują wartość oraz które systemy będzie można zaktualizować.
Jak rozwijać wiedzę o kryptografii i cyberbezpieczeństwie?
Kryptografia łączy teorię z praktyką. Do zrozumienia algorytmów potrzebne są podstawy matematyki i informatyki, ale równie ważna jest umiejętność bezpiecznego wdrażania bibliotek, protokołów i systemów zarządzania kluczami. Błąd implementacji może bowiem osłabić nawet prawidłowo zaprojektowaną metodę.
Osoby rozpoczynające edukację techniczną mogą rozwijać podstawy programowania, algorytmiki, sieci komputerowych i bezpieczeństwa na kierunku Informatyka w PJATK. To obszary, które pomagają zrozumieć nie tylko działanie zabezpieczeń, lecz także systemy i aplikacje, w których są one stosowane.
Dla absolwentów studiów wyższych zainteresowanych techniczną ochroną infrastruktury, przeznaczone są studia podyplomowe Cyberbezpieczeństwo systemów informatycznych i telekomunikacyjnych. Program ich łączy ochronę informacji z bezpieczeństwem sieci, systemów i środowisk telekomunikacyjnych oraz praktycznym poznawaniem metod ataku i obrony.
Z kolei program studiów Cybersecurity – zarządzanie, systemy i bezpieczeństwo produktu, skupia się na cyberbezpieczeństwie z perspektywy technologii, zarządzania ryzykiem, regulacji oraz całego cyklu życia produktu cyfrowego. Takie spojrzenie jest ważne, ponieważ decyzja o użyciu kryptografii powinna wynikać przede wszystkim z głębokiej analizy zagrożeń i architektury rozwiązania.
Kryptografia jako fundament cyfrowego zaufania
Kryptografia chroni współczesną komunikację, dane i operacje wykonywane w systemach informatycznych. Szyfrowanie symetryczne zapewnia wydajną ochronę dużych ilości informacji, a kryptografia asymetryczna wspiera bezpieczną wymianę kluczy, uwierzytelnianie i podpisy cyfrowe. Funkcje skrótu pozwalają natomiast kontrolować integralność danych i budować kolejne mechanizmy bezpieczeństwa.
Żaden algorytm nie rozwiązuje jednak wszystkich problemów. Skuteczna ochrona wymaga właściwego doboru metod, bezpiecznej implementacji, zarządzania kluczami oraz połączenia kryptografii z kontrolą dostępu, monitoringiem i procedurami organizacyjnymi. To właśnie umiejętność budowania takich wielowarstwowych systemów sprawia, że wiedza kryptograficzna pozostaje jedną z najważniejszych kompetencji w cyberbezpieczeństwie.
Zobacz inne aktualności
Spotkanie autorskie z dr hab. Jaśminą Wójcik!
Platformy no-code/low-code – rewolucja w tworzeniu oprogramowania
