End-to-end-kryptering

Den definerende egenskab er, hvor nøglerne befinder sig: kun hos endepunkterne, aldrig hos den, der driver mellemleddet. Det gør E2EE til et udsagn om trusselsmodellen snarere end en algoritme. Indholdet beskyttes mod serveren, dens administratorer, dens cloududbyder og enhver, der tvinger eller bryder ind hos dem; det beskytter ikke mod et kompromitteret endepunkt, en ondsindet klientopdatering eller skærmbilleder, og i de fleste løsninger skjules metadata ikke, fx hvem der taler med hvem, hvornår, fra hvilken IP-adresse og hvor ofte.

Det dominerende design til beskedtjenester er Signal-protokollen. Hver enhed lægger en identitetsnøgle og signerede prekeys på serveren; afsenderen gennemfører en asynkron nøgleudveksling (oprindeligt X3DH, i 2023 afløst af PQXDH, som tilføjer en post-kvante-KEM, så optaget trafik ikke senere kan dekrypteres med en kvantecomputer) og derefter Double Ratchet. Ratchetten afleder en ny beskednøgle for hver besked via en symmetrisk KDF-kæde og blander friske Diffie-Hellman-værdier ind, hver gang samtalens retning skifter. Det giver forward secrecy (dagens stjålne nøgler afslører ikke gårsdagens beskeder) og post-compromise security (samtalen heler, når der er udvekslet nye DH-værdier). WhatsApp og RCS-chats i Google Beskeder bruger Signal-protokollen, Apples iMessage gik over til PQ3-protokollen i 2024, og Messaging Layer Security (RFC 9420, juli 2023) standardiserer effektiv gruppenøgleudveksling med et ratchet-træ, så ændringer i medlemskab koster O(log n) i stedet for O(n).

Det svageste punkt er autentificering af nøgler. Serveren distribuerer de offentlige nøgler, så en ondsindet eller tvunget server kunne udlevere sin egen nøgle og placere sig i midten. Modtrækkene er verifikation af sikkerhedsnumre eller QR-koder ad anden vej og i stigende grad key transparency-logs, der gør den slags udskiftninger offentligt synlige. Understøttelse af flere enheder forstørrer problemet: hver tilknyttet enhed, webklient og backup er endnu et endepunkt. Cloud-backup er et klassisk hul; WhatsApp indførte valgfri end-to-end-krypterede backups i 2021, og Apples Advanced Data Protection udvider E2EE til de fleste iCloud-kategorier, men blev i februar 2025 trukket tilbage for nye brugere i Storbritannien efter et krav fra regeringen.

E2EE adskiller sig fra TLS, der beskytter strækning for strækning og ender hos udbyderen, og fra kryptering af lagrede data, hvor udbyderen har nøglerne. I e-mail giver OpenPGP (RFC 9580) og S/MIME kun E2EE for selve beskedteksten, mens headere og emnelinje står i klartekst. For organisationer er afvejningerne konkrete: E2EE kolliderer med malwarescanning på serveren, litigation hold, arkiveringspligt og DLP, og mistede nøgler betyder mistede data. Forslag om client-side scanning for at finde ulovligt indhold, som har været debatteret i EU i flere år, vil flytte inspektionen ud på endepunktet og kritiseres bredt af kryptografer for at undergrave netop den garanti, E2EE skal give.