Krypto-Shreddern ist die Technik zum Entsorgen von Verschlüsselung Schlüssel für die verschlüsselten Daten, ohne die verschlüsselten Daten auf Null zu setzen/zu löschen, wodurch die Daten unentzifferbar würden.
In den letzten Jahren hat das Thema Datenschutz für Schlagzeilen gesorgt. Der unaufhaltsame Datenverkehr aus unterschiedlichsten Quellen birgt zahlreiche Risiken und Bedrohungen, die Millionen von Nutzern innerhalb kurzer Zeit betroffen haben. Im heutigen technologischen Zeitalter ist die Datenverschlüsselung in verschiedenen Branchen zum De-facto-Standard geworden; die Verwaltung verschlüsselter Daten ist jedoch für die Beteiligten zu einer anspruchsvollen Aufgabe geworden.
Bei der Diskussion über die Verwaltung verschlüsselter Daten müssen zwei Arten verschlüsselter Daten betrachtet werden: aktive verschlüsselte Daten und passive verschlüsselte Daten.
Bei den aktiv verschlüsselten Daten werden die Daten von verschiedenen Kryptosystemen verwendet und innerhalb des Sicherheitsökosystems entsprechend behandelt, während die Daten bei den passiv verschlüsselten Daten nicht aktiv verwendet werden und zur Vernichtung bereit sind.
Herausforderungen bei der Datenvernichtung
Die Vernichtung von Daten ist eine anspruchsvolle Aufgabe, wenn man gleichzeitig das Recht des Einzelnen auf Löschung wahrnimmt, insbesondere im Hinblick auf Datenschutzbestimmungen wie Datenschutz. Bei der Ausübung des Rechts auf Löschung muss die Organisation alle Verweise auf die betreffenden Daten in ihren Datenbanken, Protokollen, Backups usw. nachschlagen, die relevanten Daten finden und sie aus ihren Systemen löschen. Dies ist jedoch keine einfache Aufgabe und birgt seine eigenen Vor- und Nachteile.
Als nächstes kommt die Lösung für dieses Problem, nämlich das Krypto-Shreddern.
Krypto-Shreddern: Lösung zur Datenvernichtung
Wie wir wissen, wird beim Krypto-Shreddern der Verschlüsselungsschlüssel verworfen/zerstört, und da der Schlüssel zerstört wird, werden die mit dem Schlüssel verschlüsselten Daten automatisch unbrauchbar, da sie nicht entschlüsseln ohne den Schlüssel; wir müssen jedoch sicherstellen, dass es keine anderen Kopien des Schlüssels gibt, die von böswilligen Akteuren zum Entschlüsseln der Daten verwendet werden könnten, da die Daten noch verfügbar sind und verschlüsselt vorliegen.
Darüber hinaus könnte es eine weitere Möglichkeit geben, den Verschlüsselungsalgorithmus zu knacken, die man getrost verwerfen kann, als wäre der Algorithmus knackbar gewesen. Er würde von den zuständigen Behörden als anfällig eingestuft und gekennzeichnet, und keine Organisation würde ihn selbst zur Verschlüsselung der Daten verwenden.
Unter Berücksichtigung der oben genannten Hinweise können wir davon ausgehen, dass das Krypto-Shreddern dem Löschen/Nullsetzen der Daten selbst entspricht.
Crypto-Shredding löst das Problem der Suche/Indizierung spezifischer Datenreferenzen in der gesamten Infrastruktur auf eine andere Art und Weise, indem es sich nur auf einen entscheidenden Aspekt konzentriert: die Verwaltung der Verschlüsselungsschlüssel. Ein Beispiel hierfür ist die Erstellung neuer Daten, die gespeichert, gesichert oder repliziert werden sollen. Vor jeder Aktion werden die Daten zunächst verschlüsselt und anschließend für die weitere Verarbeitung verarbeitet. Sollen die Daten gelöscht werden, werden nicht die Datenreferenzen in Ihrer Infrastruktur durchsucht, sondern lediglich die Verschlüsselungsschlüssel gelöscht, um die Daten unlesbar zu machen.
Bisher haben wir die Stärken des Krypto-Shredderns verstanden. Schauen wir uns auch die Schwächen an:
- Wenn die auf die Daten angewendete Verschlüsselung nicht stark genug ist, kann es dennoch zu einem Datenleck kommen. In diesem Fall ist der Prozess des Krypto-Shredderns nicht sinnvoll.
- Da beim Krypto-Shreddern nur die Schlüssel gelöscht werden, sind die verschlüsselten Daten weiterhin vorhanden, und hierfür wäre eine Speicherverwaltung in Ihrer Umgebung erforderlich.
- Da sich das gesamte Konzept des Krypto-Shredderns um die Schlüssellöschung dreht, müssen die Organisationen über ein effizientes Schlüsselverwaltungssystem verfügen, das eine sichere Schlüssellöschung ermöglicht.
Fazit
Derzeit gibt es keine Standards für Krypto-Shreddern als solches. Bestimmte Compliance-Standards schreiben jedoch das sogenannte „Recht auf Vergessenwerden“ vor, bei dem der Kunde das Recht hat, die vollständige und unverzügliche Löschung seiner personenbezogenen Daten zu verlangen. Krypto-Shreddern ist eine effiziente Methode zur Verwaltung passiv verschlüsselter Daten, hat jedoch ihre Grenzen. Viele Organisationen nutzen Krypto-Shreddern noch immer nicht, da es von Behörden wie NIST, DSGVO usw. nicht vorgeschrieben ist. Stattdessen können Kunden einen Blick auf die NIST Special Publication 800-88 Revision 1 werfen, ein NIST-Dokument zur Datenbereinigung.
