Az állítás és az architektúra közötti szakadék
2026-ra frissítve
Minden felhőszolgáltató ugyanazt mondja: „Titkosítjuk az adatait.” Ez az állítás szinte mindig igaz. Szinte soha nem elegendő.
A 2022-es LastPass-adatvédelmi incidens a legjobb példa. A LastPass titkosította a felhasználói jelszótárcákat. Valódi titkosítást alkalmaztak. Az állítás pontos volt. Mégis 25 millió felhasználó tárcáját lopták el. 2025-re 438 millió dollárt vontak el LastPass-felhasználóktól kriptovalutás rablásokban. A Coinbase Institutional nyomon követte ezt a számot.
Az Egyesült Királyság Információs Biztosa 2025 decemberében 1,2 millió font bírságot szabott ki a LastPass brit egységére. Az indok: „a megfelelő technikai és szervezeti biztonsági intézkedések végrehajtásának elmulasztása.” A titkosítás valós volt. De nem felelt meg az előírt szabványnak.
A LastPass-eset megváltoztatja a felhőalapú adatvédelmi eszközök legfontosabb kérdését. Nem „titkosítják-e az adatainkat?”, hanem: „Vissza tudják-e fejteni az adatainkat?”
Négy kérdés, amely valóban számít
Négy kérdés fedi fel, hogy egy szolgáltató zéró-tudás állítása megállja-e a helyét.
1. Hol történik a kulcslevezetés?
Valódi zéró-tudás tervezés esetén a kulcslevezetés az ügyfélen történik. Ez azt jelenti, hogy a böngészőben vagy az asztali alkalmazásban, mielőtt bármilyen adatot elküldenének. A kulcs helyben titkosítja az adatokat. Csak a titkosított szöveg jut el a szolgáltató szervereire.
Ha a szolgáltató a saját szerverein vezeti le a kulcsokat, ő tartja a kulcsokat. Ha ő tartja a kulcsokat, vissza tudja fejteni. Az állítás pontos lehet – de félrevezető.
2. Látja-e valaha a szolgáltató a tiszta szöveget?
Néhány eszköz titkosítja az adatokat nyugalmi állapotban. De a feldolgozáshoz visszafejti azokat. Ez megtörténhet AI-modellek futtatása, keresési indexek vagy naplók esetén. Ebben az ablakban a tiszta szöveg a szolgáltató rendszerein van. Egy ebben a pillanatban bekövetkező támadás titkosítatlan adatokat tesz kitéve.
3. Mi történik jogi eljárás esetén?
Egy szerveri kulcsokkal rendelkező szolgáltatót kényszeríthetnek visszafejtett tartalom átadására. Egy valódi zéró-tudású szolgáltató csak titkosított szöveget tud előállítani. Még bírósági határozatra sem tud semmi hasznosat átadni, mivel egyszerűen nem rendelkezik azzal.
4. Mi derül ki egy teljes szerveri feltörés esetén?
Egy valódi zéró-tudású rendszerben egy teljes feltörés csak titkosított adatblobokat hoz felszínre. A támadó titkosított szöveget kap kulcsok nélkül. Egy szolgáltatói kulcsrendszerben egy behatolás egyszerre teszi kitéve a kulcsokat és az adatokat.
A LastPass megvalósítási hiányossága
A LastPass-incidens egy konkrét hibát tárt fel. A régebbi fiókok PBKDF2-t alkalmaztak mindössze 1 iterációval a kulcslevezetéshez. A biztonságos szám 600 000 iteráció. Ez a gyenge beállítás megvalósíthatóvá tette az ellopott tárcákra irányuló brute-force támadásokat.
Ez megmutatja, miért nem elegendő csupán a tervezést ellenőrizni. Egy szolgáltató alkalmazhat zéró-tudás tervezést, és mégis rosszul valósíthatja meg azt. Kérdezzen mindkettőről: hol történik a kulcslevezetés, és milyen erős az algoritmus.
Egy eltérő hibaforma: az Okta esete
2023 októberében az Okta bejelentette, hogy több mint 600 000 ügyfél-támogatási nyilvántartás szivárgott ki. Az Okta egy identitásplatform. Ez nem gyenge zéró-tudás tervezés volt. Ez egy ügyfél-támogatási rendszer behatolása volt, amely ügyféladatokat tárolt.
A 300%-os SaaS-támadás-növekedés 2024-ben (AppOmni/CSA) mindkét hibaformát tükrözi. A zéró-tudás tervezés az első típust kezeli. Nem távolít el minden kockázatot. De biztosítja, hogy egy teljes rendszerfeltörés semmiféle visszafejthető ügyféladatot nem tesz kitéve.
Hogyan néz ki egy valódi értékelés?
Íme egy gyakorlati ellenőrzőlista a beszerzési csapatok számára.
Architektúra-átnézés:
- Kérdezze meg, hol történik a kulcslevezetés – az ügyféloldalon vagy a szolgáltató szerverén
- Kérje a titkosítási algoritmust, kulcshosszt és iterációszámot
- Erősítse meg, hogy a tiszta szöveg soha nem kerül a szolgáltató szervereire
Feltörési forgatókönyv tesztelése:
- Kérdezze meg, mit tenne kitéve egy teljes szerveri feltörés
- Az egyetlen helyes válasz: „titkosított adatokat, amelyeket mi sem tudunk visszafejteni”
- Bármilyen más válasz azt jelenti, hogy az állítás nem valódi zéró-tudás
Jogi eljárás átnézése:
- Kérdezze meg, hogy a szolgáltató teljesíthet-e bírósági határozatot az ügyféli tiszta szövegért
- Egy valódi zéró-tudású szolgáltató nem tud előállítani olyat, amivel nem rendelkezik
Megfelelőség-ellenőrzés:
- Kérje a szolgáltató GDPR 32. cikk szerinti dokumentációját
- Az ISO 27001 – különösen az A. melléklet kriptográfiai kontrolljai – külső ellenőrzést biztosít
Az 1,2 millió fontos LastPass ICO-bírság megmutatja, hogy a szabályozó hatóságok most már ellenőrzik, hogy a titkosítási állítások megfelelnek-e az előírt szabványnak. A beszerzési csapatok ugyanezt a tesztet alkalmazhatják egy incidens bekövetkezése előtt.
Lásd a biztonsági és megfelelőségi áttekintőnket arról, hogyan kezeli az anonym.legal a zéró-tudást. A megfelelőségi dokumentáció teljes körűen tárgyalja a GDPR 32. cikkét. A gyakori kérdésekért lásd a zéró-tudás GYIK-et.