Pengo Kati ya Dai na Usanifu
Imesasishwa kwa 2026
Kila muuzaji wa wingu anasema kitu kimoja: "Tunasimba fiche data yako." Dai hilo karibu daima ni kweli. Karibu daima halikidhi.
Uvunjaji wa LastPass wa 2022 ni mfano bora. LastPass ilisimba fiche hifadhidata za nywila za watumiaji. Walitumia usimbaji fiche wa kweli. Dai lilikuwa sahihi. Na hata hivyo watumiaji milioni 25 walikuwa na hifadhidata zao zilibiwa. Kufikia 2025, $438 milioni ilikuwa imeibiwa kutoka kwa watumiaji wa LastPass katika wizi wa sarafu za kidijitali. Coinbase Institutional ilifuatilia takwimu hii.
Ofisi ya Makamishna wa Habari wa Uingereza ilifahuliwa huluki ya LastPass ya UK pauni 1.2 milioni Desemba 2025. Sababu: "kushindwa kutekeleza hatua zinazofaa za usalama wa kiufundi na wa shirika." Usimbaji fiche ulikuwa wa kweli. Lakini haukukidhi kiwango kinachohitajika.
Kesi ya LastPass inabadilisha swali kuu kwa zana yoyote ya faragha ya wingu. Si "Je, wanasimba fiche data yetu?" bali: "Je, wanaweza kusimbua fiche data yetu?"
Maswali Manne Yanayofaa Kweli Kweli
Maswali manne yanafichua kama dai la zero-knowledge la muuzaji linashikilia.
1. Utokaji wa funguo unafanyika wapi?
Katika muundo wa kweli wa zero-knowledge, utokaji wa funguo unafanyika kwenye mteja. Hii inamaanisha katika kivinjari au programu ya eneo-kazi, kabla data yoyote kutumwa. Ufunguo unasimba fiche data kwa eneo. Nakala iliyosimbwa fiche tu ndiyo inayofikia seva za muuzaji.
Ikiwa muuzaji anatoa funguo kwenye seva zake, wanashikilia funguo. Wakishikilia funguo, wanaweza kusimbua fiche. Dai linaweza kuwa sahihi -- lakini linapotosha.
2. Je, muuzaji anawahi kuona maandishi wazi?
Zana fulani zinasimba fiche data iliyohifadhiwa. Lakini zinaisimbua fiche kwa usindikaji. Hii inaweza kutokea kuendesha mifano ya AI, faharasa za utafutaji, au kumbukumbu za ukaguzi. Katika dirisha hilo, maandishi wazi yako kwenye mifumo ya muuzaji. Shambulio wakati huo linafichua data isiyosimbwa fiche.
3. Kinatokea nini chini ya mchakato wa kisheria?
Muuzaji mwenye funguo za upande wa seva anaweza kulazimishwa kutoa maudhui yaliyosimbuliwa fiche. Muuzaji mwenye zero-knowledge ya kweli anaweza tu kutoa maandishi yaliyosimbwa fiche. Hawana chochote cha kuleta, hata chini ya hati ya pekee.
4. Ni nini kinachofichuliwa katika kuathiriwa kwa seva kamili?
Katika mfumo wa kweli wa zero-knowledge, kuathiriwa kwa kamili kunatoa blobs zilizosimbwa fiche tu. Mshambuliaji anapata maandishi yaliyosimbwa fiche bila funguo. Katika mfumo wa funguo za muuzaji, uvamizi unafichua funguo na data kwa wakati mmoja.
Pengo la Utekelezaji wa LastPass
Tukio la LastPass lilifunua kasoro moja mahususi. Akaunti za zamani zilitumia PBKDF2 na kama mzunguko 1 kwa utokaji wa funguo. Hesabu salama ni mzunguko 600,000. Mpangilio huo dhaifu ulifanya mashambulizi ya nguvu ya kutafuta kwenye hifadhidata zilizoibiwa kuwa rahisi.
Hii inaonyesha kwa nini kukagua muundo peke yake hakutoshi. Muuzaji anaweza kutumia muundo wa zero-knowledge na bado kuutekeleza vibaya. Uliza kuhusu vyote viwili: mahali funguo zinatokewa, na jinsi algoriti inavyotengenezwa.
Njia Tofauti ya Kushindwa: Okta
Oktoba 2023, Okta ilifichua uvujaji wa rekodi 600,000+ za msaada wa wateja. Okta ni jukwaa la utambulisho. Haikuwa muundo dhaifu wa zero-knowledge. Ilikuwa uvamizi wa mfumo wa msaada ulioshikilia data ya mteja.
Ongezeko la 300% la mashambulizi ya SaaS mwaka 2024 (AppOmni/CSA) linaonyesha aina zote mbili za kushindwa. Muundo wa zero-knowledge unashughulikia aina ya kwanza. Hauondoi hatari yote. Lakini unohakikisha kuathiriwa kwa mfumo kamili hakufichulio data ya mteja inayoweza kusimbuliwa.
Tathmini Halisi Inaonekanaje
Hapa kuna orodha ya kukagua ya vitendo kwa timu za manunuzi.
Ukaguzi wa usanifu:
- Uliza mahali utokaji wa funguo unafanyika -- kwenye mteja au kwenye seva ya muuzaji
- Omba algoriti ya usimbaji fiche, urefu wa ufunguo, na hesabu ya mzunguko
- Thibitisha maandishi wazi hayatumiwi kwenye seva za muuzaji
Jaribio la hali ya kuathiriwa:
- Uliza kuathiriwa kwa seva kamili kungeweza kufichua nini
- Jibu pekee sahihi: "maandishi yaliyosimbwa fiche ambayo hatuwezi kusimbua"
- Jibu lolote lingine linamaanisha dai si zero-knowledge ya kweli
Ukaguzi wa mchakato wa kisheria:
- Uliza kama muuzaji anaweza kutii hati ya pekee kwa maandishi wazi ya mteja
- Muuzaji wa kweli wa zero-knowledge hawezi kutoa asiyoshikilia
Ukaguzi wa uzingatifu:
- Omba nyaraka za Kifungu cha 32 cha GDPR za muuzaji
- ISO 27001 -- hasa udhibiti wa kriptografia wa Kiambatisho A -- inatoa uthibitishaji wa nje
Faini ya ICO ya pauni 1.2 milioni ya LastPass inaonyesha wasimamizi sasa wanaangalia kama madai ya usimbaji fiche yanakidhi kiwango kinachohitajika. Timu za manunuzi zinaweza kutumia jaribio hilo hilo kabla tukio halijatokea.
Angalia muhtasari wetu wa usalama na uzingatifu kwa jinsi anonym.legal inavyoshughulikia zero-knowledge. Nyaraka za uzingatifu zinashughulikia Kifungu cha 32 cha GDPR kikamilifu. Kwa maswali ya kawaida, angalia Maswali Yanayoulizwa Mara Kwa Mara ya zero-knowledge.