Два Начина Енкрипције У Облаку: Нула-Знање vs Нула-Поверење
Сценарио: LastPass Прекид 2023
LastPass је имао нула-знања архитектуру (навтуши)—главна парола энкриптовала свој vault.
Али криминалци су украли $438M у криптовалути управљачи од LastPass залити.
Питање: Ако је LastPass имао нула-знања, откуд криминалци знају шта украсти?
Одговор: LastPass је имао слабог нула-знања—криптовани коначен на њиховим серверима, и криминалци су цілати веб приложаја.
Шта је Нула-Знања (Zero-Knowledge)?
Дефиниција: Облачни сервер никад не вида ваше лозинке, криптографске кључеве, или дечифриране податке.
Како то ради:
- Вас куцаете парола:
MyPassword123 - Браузер генерише
EncryptionKey = SHA256(MyPassword123) - Браузер енкриптовава ваше podatke:
EncryptedVault = AES-256(Vault, EncryptionKey) - Само
EncryptedVaultоди облаку - Сервер никад вида
MyPassword123илиEncryptionKey
Про: Чак и ако суди облачни сервер, криминалци видят EncryptedVault безсмисла.
Контра: Забораво парола = забораво сви подаци. Сервер не може вас помоћи jer нема ваше парола.
Шта је Нула-Поверење (Zero-Trust)?
Дефиниција: Облачни сервер может видеа лозинке, али верижи ни ком (ни вами, ни системи). Требате микро-аутентификацију за сваки захтев.
Како то ради:
- Вас логовате:
username=john@example.com, password=MyPassword123 - Сервер верificuje лозинку, генерише JWT токен
- За сваки захтев, браузер мора вратити сертификат (hardware key, biometric, MFA код)
- Чак и са верном лозинком, налог није приступачан без други фактора
Про: Google, Microsoft, и Amazon користат нула-поверење. Веома безбедно.
Контра: Сложеније конфигурирање. Сервер могућ видети пассворде ако е поквирена.
Нула-Знање vs Нула-Поверење
| Особина | Нула-Знање | Нула-Поверење |
|---|---|---|
| Сервер Вида Лозинке? | НЕ | ДА |
| Ако Сервер Хаквуће | Нема Утицаја (Подаци Енкриптовани) | КРИЗНА (Криминалци видите парола) |
| Дефаултна Парола | ГУБИ ПРИСТУП | Может сервер вратити |
| Конфигурирање | Једноставна | Комплекса (Hardware Keys) |
| Употреба | Ризни ВИ Апликација | Предузећа (Google Workspace, Okta) |
LastPass Лекција: Неуспеала Нула-Знања
LastPass је имао:
- ✓ Енкриптовани vault
- ✓ SHA256 дериврана parola
- ✗ АЛИ... Главни "%user-id%" хранио криптографске кличес на серверу
- ✗ АЛИ... Веб пуб је имала XSS рањивост која дозволи криминалцама украсти обучена cookies и токена
Работда: Нула-знања архитектура је добра, али мора бити правилно имплементирана.