Kryptering konverterer læsbare data til en ulæselig form. Kun en person med den korrekte nøgle kan vende processen om. Matematikken har eksisteret i årtier. Implementeringen er der, hvor tingene går galt. AES-256 er reelt ubrydelig med den nuværende teknologi. Et system, der bruger AES-256 med en svag adgangskode, er ikke. Kryptering er et værktøj, ikke en garanti.

Kryptering beskytter data i hvile og under overførsel. Fuld diskkryptering beskytter en stjålet bærbar computer. TLS beskytter data, der flyttes mellem en browser og en server. End-to-end-kryptering beskytter beskeder, så ikke engang tjenesteudbyderen kan læse indholdet. Hvert use case har forskellige krav. I hvile har du brug for nøglehåndtering og sikker opbevaring. Under overførsel har du brug for certifikatvalidering og forward secrecy. Til beskeder har du brug for nøgleverifikation for at forhindre man-in-the-middle-angreb. Kryptering er også en juridisk slagmark. Regeringer ønsker lovlig adgang. Fortalere for privatlivets fred argumenterer for, at enhver bagdør svækker hele systemet. Debatten har ingen klar løsning. Det, der er klart, er, at ukrypterede data er eksponerede data. Hvis det er værd at gemme, er det værd at kryptere.

Kryptering i praksis

• I hviletilstand — kryptering på fuld disk, database og filniveau
• Undervejs — TLS til web, VPN til fjernadgang
• End-to-end — beskeder og e-mail
• Nøglehåndtering — den svære del, ikke algoritmen

Kryptering uden nøglehåndtering er teater. Nøglerne er hemmeligheden. Beskyt dem som om de var det.