Pare de olhar para o próprio umbigo na criptografia

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Ficamos tão fascinados com nossa própria genialidade em criptografia que nos esquecemos de que a maioria dos dados em repouso — armazenados em bancos de dados — não é criptografada.

Um exemplo disso: uma análise da Skyhigh sobre controles de criptografia constatou que 81,8% dos provedores de serviços em nuvem criptografam os dados em trânsito usando SSL ou TLS, mas apenas 9,4% deles criptografam os dados depois que são armazenados na nuvem. Isso transforma o número crescente de organizações que oferecem acesso irrestrito a bancos de dados na nuvem e buckets de armazenamento do AWS S3 em um pesadelo prestes a acontecer.

As defesas cibernéticas atuais dependem fortemente do fato de que até mesmo os supercomputadores clássicos mais poderosos levariam um tempo quase inimaginável para decifrar os algoritmos criptográficos que protegem nossos dados, redes de computadores e outros sistemas digitais.
Extraído de <https://it.slashdot.org/story/18/12/05/2342226/quantum-computers-pose-a-security-threat-that-were-still-totally-unprepared-for>

Essa afirmação é indiscutivelmente verdadeira. O problema é que a criptografia não protege completamente nossos dados, redes de computadores e outros sistemas digitais. Ela protege os dados em trânsito e, se tivermos sorte, em repouso. Ela reforça o controle de acesso a sistemas críticos. Mas a realidade é que, para que as "redes" e os "sistemas" processem dados e executem lógica, eles precisam ser capazes de visualizar os dados em texto simples, sem qualquer proteção. As organizações correm mais riscos com aplicativos desprotegidos e sem as devidas correções do que com bisbilhoteiros digitais.

Em última análise, é por isso que as violações continuam ocorrendo com frequência cada vez maior. Não porque os dados não estejam criptografados em trânsito ou em repouso, mas porque os aplicativos e as APIs não conseguem processá-los em sua forma criptografada. Eles precisam ser descriptografados e, nesse momento, ficam vulneráveis à exposição. E vulnerabilidades atraem invasores.

Os aplicativos e as APIs que interagem com esses dados não criptografados e os processam representam uma ameaça maior à segurança e à privacidade dos dados do que a quebra da criptografia baseada em computação quântica. Esse é um dos motivos pelos quais são alvos tão frequentes. Na análise de uma década de violações realizada pelo F5 Labs “os aplicativos foram os alvos iniciais em 53% das violações.” Além de serem a rota mais fácil para acessar os dados, eles são um dos poucos pontos restantes no caminho cada vez mais criptografado dos dados em que estes não estão criptografados e podem ser prontamente utilizados por quem os procura.

Hoje, estamos quase insensíveis a violações de dados, pois elas acontecem com uma frequência tão alarmante que se tornou normal ver notícias de milhões de registros extraídos de algum banco de dados por meio de uma aplicação. Isso apesar dos esforços para nos obrigar a usar criptografia — a usar HTTPS em vez de HTTP. Isso apesar de os navegadores imporem padrões criptográficos aos algoritmos e aos tamanhos das chaves usados para proteger os dados de olhares "indiscretos".

Se as “defesas cibernéticas” atuais realmente dependem muito da robustez da criptografia, então estamos de fato em apuros. Isso porque não é apenas a robustez da criptografia que impede as violações e a exfiltração de dados que assolam nossos feeds de notícias e lotam nossas caixas de entrada. É a capacidade — e, cada vez mais, a inteligência — com que conseguimos reconhecer e impedir um ataque que leva à perda de dados.

Código malicioso criptografado continua sendo malicioso. Credenciais roubadas criptografadas e inseridas em sistemas de autenticação de aplicativos continuam sendo credenciais roubadas. Eliminar dispositivos intermediários não elimina a ameaça de um servidor web ou de aplicativos vulnerável executar um exploit para obter acesso a dados valiosos e desprotegidos.

Não basta contemplar com admiração nossa capacidade de fortalecer a criptografia se ela leva os ataques que ameaçam explorar aplicações e APIs diretamente ao coração da nossa economia digital. Proteger nossos ativos digitais (aplicações) e os canais pelos quais eles são acessados (APIs) exige uma abordagem mais abrangente à proteção de aplicações, que combine inteligência, identidade e detecção de ataques, além de uma criptografia robusta.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie