Kryptering omvandlar läsbar data till oläslig form. Endast någon med rätt nyckel kan vända processen. Matematiken har funnits i årtionden. Det är implementeringen som det går fel. AES-256 är i praktiken okrossbart med nuvarande teknik. Ett system som använder AES-256 med ett svagt lösenord är det inte. Kryptering är ett verktyg, inte en garanti.

Kryptering skyddar data i vila och under överföring. Fulldiskkryptering skyddar en stulen bärbar dator. TLS skyddar data som flyttas mellan en webbläsare och en server. End-to-end-kryptering skyddar meddelanden så att inte ens tjänsteleverantören kan läsa innehållet. Varje användningsfall har olika krav. I vila behöver du nyckelhantering och säker lagring. Under överföring behöver du certifikatvalidering och framåtriktad sekretess. För meddelanden behöver du nyckelverifiering för att förhindra man-in-the-middle-attacker. Kryptering är också ett juridiskt slagfält. Regeringar vill ha laglig åtkomst. Integritetsförespråkare hävdar att alla bakdörrar försvagar hela systemet. Debatten har ingen tydlig lösning. Det som är tydligt är att okrypterad data är exponerad data. Om det är värt att lagra är det värt att kryptera.

Kryptering i praktiken

• I vila — kryptering på full disk, databas och filnivå
• Under överföring — TLS för webb, VPN för fjärråtkomst
• Hela flödet – meddelanden och e-post
• Nyckelhantering – den svåra delen, inte algoritmen

Kryptering utan nyckelhantering är teater. Nycklarna är hemligheten. Skydda dem som det.