Aldarrikapenaren eta Arkitekturaren Arteko Aldea
2026rako eguneratua
Hodei hornitzaile bakoitzak gauza berdina esaten du: "Zure datuak enkriptatzen ditugu." Aldarrikapen hori ia beti egia da. Ia beti ez da nahikoa.
LastPass-en 2022ko haustura adibiderik onena da. LastPass-ek erabiltzailearen pasahitz ganga-salak enkriptatu zituen. Enkriptazio erreala erabili zuten. Aldarrikapena zehatza zen. Eta hala ere 25 milioi erabiltzailek beren ganga-salak lapurtu zizkieten. 2025erako, 438 milioi dolar hartu ziren LastPass erabiltzaileengandik kripto lapurretak bidez. Coinbase Institutional-ek zifra hau jarraitu zuen.
Erreinuko Informazioaren Komisariaren Bulegoak LastPass-en UK entitateak 1,2 milioi libra isunarazi zituen 2025eko abenduan. Arrazoia: "segurtasun neurri tekniko eta antolakuntza egokiak ezartzeko hutsegitea." Enkriptazioa erreala zen. Baina ez zuen beharrezko estandarra bete.
LastPass kasua ikusmira nagusia aldatzen du edozein hodei pribatutasun tresnarentzat. Ez "gure datuak enkriptatzen al dituzte?" baizik: "gure datuak desenkriptatu al ditzakete?"
Benetazko Axola Duten Lau Galdera
Lau galderak hornitzailearen zero-knowledge aldarrikapenak eusten duen agerian uzten du.
1. Non gertatzen da gako erator?
Benetako zero-knowledge diseinuan, gako eratora bezeroaren aldetik gertatzen da. Honek esan nahi du nabigatzailean edo mahaiganeko aplikazioan, datu edozein bidali aurretik. Gakoak datuak lokalki enkriptatzen ditu. Soilik zifratzea iristen da hornitzailearen zerbitzarietara.
Hornitzaileak gako eratora bere zerbitzarietan egiten badu, gakoak dituzte. Gakoak badituzte, desenkriptatu dezakete. Aldarrikapena zehatza izan daiteke -- baina engainagarria.
2. Inoiz ikusten al du hornitzaileak testu garbia?
Tresna batzuek atseden datuak enkriptatzen dituzte. Baina prozesatzeko desenkriptatzen dituzte. Hau AI ereduak, bilaketa indizeak edo ikuskatze erregistroak exekutatzeko gerta daiteke. Leiho horretan, testu garbia hornitzailearen sistemetara dago. Momentu horretan egindako eraso batek enkriptatu gabeko datuak agerian uzten ditu.
3. Zer gertatzen da prozesu legalaren pean?
Zerbitzari aldetik gakoak dituen hornitzaile batek desenkriptatutako edukia entregatzera behartu daiteke. Benetako zero-knowledge dituen hornitzaileak soilik zifratzea eman dezake. Ez daukate ezer erabilgarririk entregatzeko, subpoena baten pean ere.
4. Zer agerian uzten du zerbitzari osoa arriskuan jartzen denean?
Benetako zero-knowledge sisteman, osoko konpromiso batek soilik enkriptatutako blokeak lortzen ditu. Erasotzaileak gakurik gabeko zifratzea lortzen du. Hornitzaile-gako sisteman, sartzeak gakoak eta datuak aldi berean agerian uzten ditu.
LastPass Ezarpen Hutsunea
LastPass gertakariak falta zehatz bat agerian utzi zuen. Kontu zaharragoek PBKDF2 1 iterazio bezain gutxirekin erabiltzen zuten gako eratoran. Ziurtasun kopurua 600.000 iterazio da. Ezarpen ahul horrek ebatsi ganga-salen gainean indar gordinezko erasoak bideragarri egin zituen.
Honek erakusten du soilik diseinua egiaztatzea ez dela nahikoa. Hornitzaile batek zero-knowledge diseinua erabili eta oraindik gaizki ezarri dezake. Galdetu biak: non eratortzen diren gakoak, eta zein sendoa den algoritmoa.
Hutsegite Modu Ezberdin Bat: Okta
2023ko urrian, Okta-k 600.000 bezero laguntza erregistroen ihesa jakinarazi zuen. Okta identitate plataforma bat da. Hau ez zen zero-knowledge diseinu ahul bat. Bezero datuak zeukan laguntza sistema sartzea zen.
2024ko %300eko SaaS eraso hazkundea (AppOmni/CSA) bi hutsegite motak islatzen ditu. Zero-knowledge diseinuak lehen mota heltzen du. Ez du arrisku guztia kentzen. Baina sistema osoaren konpromisoa ziurtatzen du ez duela desenkriptatu daitekeen bezero-datuak agerian uzten.
Benetako Ebaluazioak Nolakoa Den
Hona kontrataziorako taldeen zerrenda praktikoa.
Arkitektura berrikuspena:
- Galdetu non gertatzen den gako eratora -- bezeroaren aldetik ala hornitzailearen zerbitzarian
- Eskatu enkriptazio algoritmoa, gako luzera eta iterazio kopurua
- Berretsi testu garbia ez doa hornitzaileen zerbitzarietara
Konpromiso eszenatoki proba:
- Galdetu zer agerian uzten duen zerbitzariaren osoko konpromisoak
- Erantzun bakarra: "desenkriptatu ezin dugun enkriptatutako zifratzea"
- Beste edozein erantzunek esan nahi du aldarripena ez dela benetako zero-knowledge
Prozesu legal berrikuspena:
- Galdetu hornitzaileak bezeroaren testu garbiaren subpoena batekin bete dezakeen
- Benetako zero-knowledge hornitzaile batek ezin du ezer ekoitzi ez duelako
Betetze egiaztapena:
- Eskatu hornitzailearen GDPR 32. artikuluaren dokumentazioa
- ISO 27001 -- bereziki A Eranskin kriptografiko kontrolak -- kanpoko egiaztapena ematen du
1,2 milioi librako LastPass ICO isuna erakusten du erregulatzaileek orain enkriptazio aldarrikapenek beharrezko estandar bat betetzen duten ala ez egiaztatzen dute. Kontratazio taldeek proba berdina aplika dezakete gertakari bat gertatu aurretik.
Ikusi gure segurtasun eta betetze ikuspegia nola kudeatzen duen anonym.legal-ek zero-knowledge. Betetze dokumentazioak GDPR 32. artikulua osoki estaltzen du. Galdera arruntentzat, ikusi zero-knowledge FAQ.