Gapet mellan påstående och arkitektur
Uppdaterat för 2026
Varje molnleverantör säger samma sak: "Vi krypterar dina uppgifter." Det påståendet är nästan alltid sant. Det är nästan alltid inte tillräckligt.
LastPass-intrånget 2022 är det bästa exemplet. LastPass krypterade användarnas lösenordsvalv. De använde riktig kryptering. Påståendet var korrekt. Och ändå hade 25 miljoner användare sina valv stulna. Fram till 2025 hade 438 miljoner dollar stulits från LastPass-användare i kryptostölder. Coinbase Institutional spårade denna siffra.
UK Information Commissioner's Office bötfällde LastPass brittiska enhet med 1,2 miljoner pund i december 2025. Anledningen: "underlåtenhet att implementera lämpliga tekniska och organisatoriska säkerhetsåtgärder". Krypteringen var verklig. Men den uppfyllde inte den krävda standarden.
LastPass-fallet ändrar nyckelfrågan för alla molnintegritetverktyg. Inte "krypterar de våra uppgifter?" utan: "kan de dekryptera våra uppgifter?"
Fyra frågor som faktiskt spelar roll
Fyra frågor avslöjar om en leverantörs nollkunskapspåstående håller.
1. Var sker nyckelderivering?
I verklig nollkunskapsdesign sker nyckelderivering på klientsidan. Det innebär i webbläsaren eller desktopappen, innan data skickas. Nyckeln krypterar data lokalt. Bara kryptotext når leverantörens servrar.
Om leverantören deriverar nycklar på sina servrar innehar de nycklarna. Om de innehar nycklarna kan de dekryptera. Påståendet kan vara korrekt — men det vilseleder.
2. Ser leverantören någonsin klartext?
Vissa verktyg krypterar data i vila. Men de dekrypterar det för bearbetning. Detta kan ske för att köra AI-modeller, sökindex eller revisionsloggar. Under det fönstret finns klartext på leverantörens system. En attack i det ögonblicket exponerar okrypterad data.
3. Vad händer under rättslig process?
En leverantör med serversidenycklar kan tvingas lämna ut dekrypterat innehåll. En leverantör med verklig nollkunskap kan bara producera kryptotext. De har inget användbart att lämna ut, inte ens under en stämning.
4. Vad exponerar en fullständig serverkompromiss?
I ett genuint nollkunskapssystem ger en fullständig kompromiss bara krypterade blobbar. Angriparen får kryptotext utan nycklar. I ett leverantörsnyckelsystem exponerar ett intrång både nycklar och data på en gång.
LastPass-implementeringsgapet
LastPass-incidenten avslöjade en specifik brist. Äldre konton använde PBKDF2 med så få som 1 iteration för nyckelderivering. Det säkra antalet är 600 000 iterationer. Den svaga inställningen gjorde brute-force-attacker på stulna valv genomförbara.
Detta visar varför det inte räcker att bara kontrollera designen. En leverantör kan använda en nollkunskapsdesign och ändå implementera den dåligt. Fråga om båda: var nycklar deriveras och hur stark algoritmen är.
Ett annat felsätt: Okta
I oktober 2023 avslöjade Okta en läcka av 600 000+ kundsupportposter. Okta är en identitetsplattform. Detta var inte en svag nollkunskapsdesign. Det var ett intrång i ett supportsystem som innehöll kunddata.
300 %-ökningen av SaaS-attackerunder 2024 (AppOmni/CSA) återspeglar båda felsätten. Nollkunskapsdesign adresserar den första typen. Det tar inte bort all risk. Men det säkerställer att en fullständig systemkompromiss inte exponerar dekrypterbar kunddata.
Hur en verklig utvärdering ser ut
Här är en praktisk checklista för upphandlingsteam.
Arkitekturgransknik:
- Fråga var nyckelderivering sker — på klienten eller på leverantörens server
- Be om krypteringsalgoritm, nyckellängd och iterationsantal
- Bekräfta att klartext aldrig skickas till leverantörens servrar
Test av kompromissscenario:
- Fråga vad en fullständig serverkompromiss skulle exponera
- Det enda korrekta svaret: "krypterad kryptotext vi inte kan dekryptera"
- Något annat svar innebär att påståendet inte är verklig nollkunskap
Granskning av rättslig process:
- Fråga om leverantören kan efterkomma en stämning om kundklartext
- En verklig nollkunskapsleverantör kan inte producera det de inte har
Efterlevnadskontroll:
- Begär leverantörens GDPR artikel 32-dokumentation
- ISO 27001 — specifikt bilaga A om kryptografiska kontroller — ger extern verifiering
Den 1,2 miljoner pund-böten från ICO till LastPass visar att tillsynsmyndigheter nu kontrollerar om krypteringspåståenden uppfyller en krävd standard. Upphandlingsteam kan tillämpa samma test innan en incident inträffar.
Se vår säkerhets- och efterlevnadsöversikt för hur anonym.legal hanterar nollkunskap. Efterlevnadsdokumentationen täcker GDPR artikel 32 fullständigt. För vanliga frågor, se nollkunskaps-FAQ.