3.1.2.1. De technieken
Â
Cryptografie omvat een scala aan technieken die allemaal onder één of andere vorm te maken hebben met encryptie van informatie:
Vanuit gebruikersperspectief:
Het onleesbaar maken van informatie voor onbevoegden door versleuteling met een encryptiesleutel;
De integriteit van informatie garanderen door toevoegen van een hash of digitale handtekening – deze actie maakt de informatie echter niet onleesbaar voor onbevoegden, maar garandeert enkel dat de informatie niet gewijzigd is door onbevoegden;
Ervoor zorgen dat informatie niet door een bepaalde persoon kan worden weerlegd door middel van digitale handtekening ondersteund door een digitaal certificaat – dit noemt men onweerlegbaarheid of non-repudiation;
Authenticatie van een gebruiker door middel van een aan hem/haar toegekend digitaal certificaat – eID is hiervan een voorbeeld.
Technische activiteiten – deze zijn transparant voor een gebruiker:
De uitgifte en beheer van digitale certificaten door middel van een PKI (Public Key Infrastructure);
Het sleutelbeheer en de levenscyclus van een sleutel of sleutelpaar;
De vertrouwelijkheid en integriteit van informatie tijdens transport over een netwerk bijvoorbeeld door het opzetten van VPN (Virtual Private Network);
De afkomst van software garanderen door middel van digitale handtekening;
De authenticiteit van een website garanderen d.m.v. een (Secure Sockets Layer- of SSL-) certificaat; en
Systeem-authenticatie door middel van digitale certificaten.
Deze technieken bieden een antwoord op de volgende vragen:
Hoe kan worden vastgesteld met wie er wordt gecommuniceerd en hoe weet de ontvanger zeker dat de verzender ook daadwerkelijk de verzender is en niet iemand anders?
Hoe kan worden voorkomen dat informatie tijdens transport en opslag onopgemerkt worden gewijzigd, zodat de ontvanger een zekere mate van garantie heeft dat de informatie integer is en dat de informatie inderdaad afkomstig is van de persoon wiens identiteit als ondertekenaar staat vermeld?
Hoe kan ervoor worden gezorgd dat de inhoud van informatie onleesbaar is voor niet geautoriseerde personen?
Waarmee kan worden aangetoond dat informatie tijdens transport of opslag (niet) is gewijzigd?
Waarmee kan worden aangetoond dat bepaalde gebeurtenissen of handelingen hebben plaatsgevonden, zoals het verzenden en ontvangen van digitale documenten?
Cryptografie is de wetenschappelijke discipline om aan de hand van wiskundige technieken informatie te beveiligen. Door toepassing van cryptografische technieken kunnen een aantal veiligheidsdiensten (security services) gerealiseerd worden:
Vertrouwelijkheid: waarborgen dat informatie enkel leesbaar is voor degenen die daartoe geautoriseerd zijn (zie hoofdstuk: ‘Bouwstenen voor vertrouwelijkheid’);
Integriteit: waarborgen dat informatie of functionaliteit niet werd gewijzigd door onbevoegden (zie hoofdstuk: 'Bouwstenen voor integriteit');
Authenticatie van entiteiten: verifiëren van de identiteit van een entiteit (entiteit= persoon, organisatie, proces, systeem …) (zie hoofdstuk: 'Bouwstenen voor authenticatie');
Data-authenticatie: waarborgen van de oorsprong en integriteit van informatie. Data-authenticatie heeft dus twee elementen: verifiëren dat de gegevens van de juiste entiteit afkomstig is en de integriteit van die gegevens valideren. Verwezenlijken van data-authenticatie is complexer dan verwezenlijken van vertrouwelijkheid.
Onweerlegbaarheid (non-repudiation): voorkomen dat eerdere acties of verplichtingen kunnen worden ontkend (zie hoofdstuk: 'Bouwstenen voor onweerlegbaarheid');
Anonimiteit: het waarborgen van de vertrouwelijkheid van communicerende entiteiten (d.w.z. metadata: wie communiceert met wie) is tevens een beveiligingsdienst waarvoor cryptografische technieken kunnen ingeschakeld worden.
Cryptografische technieken kunnen toegepast worden op opgeslagen informatie (Data at Rest of DAR), op informatie tijdens gebruik door een toepassing of systeem (Data in Use of DIU) of transport van informatie (Data in Motion of DIM).
Cryptografie is dus duidelijk meer dan encryptie alleen!