Kryptering

Moderne kryptering følger Kerckhoffs' princip: Algoritmen er offentlig, og sikkerheden hviler alene på nøglen. Den gennemgående symmetriske algoritme er AES (FIPS 197, 2001), en blokchiffer med 128-bit blokke og nøgler på 128, 192 eller 256 bit; ChaCha20 er det udbredte alternativ som strømchiffer på hardware uden AES-instruktioner. En blokchiffer krypterer i sig selv kun én blok, så driftsformen (mode of operation) betyder lige så meget som selve algoritmen: ECB lækker mønstre, fordi ens blokke giver ens chiffertekst, og CBC uden separat MAC kan manipuleres og er gentagne gange faldet for padding-oracle-angreb. Nutidens praksis er autentificeret kryptering (AEAD), fx AES-GCM (NIST SP 800-38D) eller ChaCha20-Poly1305 (RFC 8439), som giver fortrolighed og integritet på én gang. GCM's svage punkt er genbrug af nonce: Krypteres to beskeder med samme nøgle og nonce, afsløres XOR af klarteksterne, og en angriber kan forfalske autentifikationstags.

Asymmetriske metoder (RSA, elliptisk kurve-kryptografi) er langsomme og bruges til at etablere eller indpakke symmetriske nøgler frem for at kryptere store datamængder. RSA-kryptering kræver korrekt padding (OAEP); den ældre PKCS#1 v1.5-padding muliggjorde Bleichenbachers oracle-angreb fra 1998, som dukkede op igen som ROBOT i 2017. TLS 1.3 bruger derfor flygtig (EC)DH-nøgleudveksling for at opnå forward secrecy, og KMS-tjenester i skyen bruger envelope encryption: Data krypteres med en datakrypteringsnøgle (DEK), som selv er krypteret med en nøglekrypteringsnøgle (KEK), der ligger i KMS'en eller et HSM. NIST SP 800-57 del 1 knytter nøglestørrelser til sikkerhedsstyrke: RSA-2048 giver omtrent 112 bit, RSA-3072 og kurven P-256 omtrent 128 bit.

En tilstrækkelig stor kvantecomputer med Shors algoritme ville bryde RSA og elliptiske kurver, mens Grovers algoritme kun halverer den effektive styrke af symmetriske nøgler - derfor foretrækkes AES-256 til data med lang levetid. NIST udgav de første post-kvante-standarder i august 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) og FIPS 205 (SLH-DSA). Fordi trafik, der optages i dag, kan dekrypteres senere ("harvest now, decrypt later"), har de store browsere og TLS-biblioteker allerede indført hybrid nøgleudveksling, der kombinerer X25519 med ML-KEM.

Kryptering bliver ofte overvurderet. Fuld diskkryptering som BitLocker beskytter en slukket eller låst enhed; når systemet er låst op, dekrypterer styresystemet gennemsigtigt for alle processer - også ransomware. Transparent data encryption i databaser beskytter filer og backup, ikke data, der hentes ud via SQL injection. Kryptering uden autentifikation sikrer ikke integritet, og kryptering er ikke det samme som hashing. I praksis skyldes de fleste fejl nøgler og tilfældighed - hårdkodede nøgler, svage tilfældighedsgeneratorer, nøgler gemt ved siden af data - snarere end brudte algoritmer. Juridisk nævner databeskyttelsesforordningens art. 32, stk. 1, litra a, kryptering som eksempel på en passende foranstaltning; art. 34, stk. 3, litra a, kan fjerne pligten til at underrette de registrerede, når de kompromitterede data var uforståelige for uvedkommende; og NIS2 art. 21, stk. 2, litra h, kræver politikker for brug af kryptografi og kryptering.