I jakten på raskere innovasjon ønsker noen å avfeie personvern som unødvendig byråkrati. Men kan vi virkelig kalle noe innovativt hvis det overser grunnleggende ansvar for brukernes data? Personvern er ikke en hindring; det er en hygienefaktor – like viktig for programvare som sikkerhet er for biler. På samme måte som Volvo revolusjonerte bilsikkerhet, bør vi som utviklere og produktledere bygge applikasjoner med innebygget personvern fra starten. For produkter uten personvern har rett og slett ikke livets rett.

USAs nye effektiviseringsminister, Elon Musk, har nylig hevdet at amerikanske bedrifter ikke bør bruke tiden sin på det han ser som overdrevent byråkrati, som GDPR. Tanken er at ved å kutte ut tidkrevende reguleringer, kan bedrifter innovere raskere, pivotere kjappere, og bli mer LEAN.

Fra et rent innovasjonsstandpunkt kan man forstå argumentet. Det virker selvsagt forlokkende å slippe et regelverk som potensielt stjeler 10 % av verdikjeden uten, tilsynelatende, å gi noen umiddelbar avkastning. Men å avfeie GDPR og andre personvernregler som unødvendig byråkrati vitner om en dyp misforståelse. For personvern er ikke en fotlenke for innovasjon – det er en hygienefaktor.

Personvern = hygiene for programvaren din

Når persondata flyter fritt, havner i logger og blir liggende ubeskyttet, er det mer enn bare et brudd på GDPR. Det er et tegn på dårlig hygiene for programvaren din. På samme måte som en bilprodusent ikke kan ignorere grunnleggende sikkerhet, kan ikke programvareutviklere overse personvern og sikkerhet.

For å trekke en parallell: Alle har hørt historien om hvordan Volvo delte sitt patent på trepunkts sikkerhetsbeltet, noe som har gjort bilene tryggere for millioner av mennesker. Dette var ikke bare etisk riktig, det ble også et konkurransefortrinn. I dag assosierer vi fortsatt Volvo med trygghet.

Programvareutviklere har et lignende ansvar. Akkurat som bilprodusenter forvalter passasjerenes sikkerhet, må utviklere ta ansvar for å beskytte kundenes persondata. Det handler ikke bare om etikk; det handler om tillit og konkurranseevne.

Innebygget personvern: Bygg det inn fra starten

Innebygget personvern – å tenke på personvern i alle utviklingsfaser – har mange fellestrekk med god programvaredesign. Det henger sammen med prinsipper som “low coupling, high cohesion” og å utvikle løsninger som er enkle å videreutvikle.

Men hva skjer når du forsøker å påføre sikkerhet og personvern på en gammel, rotete applikasjon? Det blir dyrt, tungvint, og oppleves som en klamp om foten. Og det er nettopp derfor slike applikasjoner, i mine øyne, ikke har livets rett. De som klager på kostnadene ved etterlevelse, har sannsynligvis ignorert hygienefaktorene i utgangspunktet.

Innovasjon med ansvar: Produktlederen som personvernforkjemper

Innovasjon handler ikke bare om å være først, raskest eller billigst – det handler også om å bygge produkter som står seg over tid og som brukerne stoler på. I dette landskapet har produktlederen en nøkkelrolle. Produktledere er ikke bare ansvarlige for å skape verdi for selskapet; de er også ansvarlige for å sikre at produktene er trygge, etiske, og tilpasset brukernes behov – inkludert deres behov for personvern.

Hvorfor må produktlederen lede an i personvern?

Produktlederen er den som definerer produktets visjon og prioriteringer. Hvis ikke personvern er med på agendaen fra starten, blir det raskt nedprioritert til fordel for nye funksjoner, lanseringsfrister eller kostnadsbesparelser. Dette er en farlig vei, for uten innebygget personvern vil man før eller siden møte problemer som truer både produktets omdømme og brukeropplevelse.

En god produktleder er derfor også en forkjemper for personvern. De sørger for å:
Bygge personvern inn i produktvisjonen: Gjør personvern til en grunnleggende verdi som er like viktig som funksjonalitet og design. På samme måte som du ikke ville vurdert å lansere et produkt uten kjernefunksjoner, skal du heller ikke lansere noe som ikke beskytter brukerdataene.

Skape en kultur for ansvar: Det er produktlederen som setter tonen for teamet. Hvis produktlederen viser at personvern er en prioritet, vil utviklere, designere og markedsførere følge etter. Dette kan innebære å utdanne teamet om GDPR, og andre relevante lover, men også om de etiske prinsippene bak.

Ta eierskap til risikoen: Når produktlederen ser på roadmapen, bør de også spørre: “Hvordan påvirker dette personvernet?” og “Hva kan gå galt?” Ved å være proaktiv og identifisere risikoer tidlig, kan produktlederen sørge for at personvern ikke bare blir en ettertanke.

Tale brukernes sak: I en verden der brukernes data er en verdifull ressurs, er det lett å falle for fristelsen til å hente inn så mye informasjon som mulig. Produktlederen bør være den som spør: “Trenger vi virkelig denne dataen?” og “Hvordan kan vi beskytte dataene vi allerede har?”

Personvern som konkurransefortrinn

Når produktlederen tar ansvar for personvern, kan det også bli et konkurransefortrinn. Brukere begynner i økende grad å kreve produkter som respekterer personvernet deres. Apple har for eksempel gjort personvern til en sentral del av sin merkevare, og det har styrket deres posisjon som et etisk og brukervennlig selskap.

På samme måte kan produktlederen bidra til å skape en merkevare som forbindes med ansvarlighet og tillit. Når brukerne føler seg trygge, er de også mer tilbøyelige til å bli lojale kunder, noe som i sin tur skaper langsiktig verdi for selskapet.

Produktledelse handler i bunn og grunn om å balansere motstridende hensyn: fart vs. kvalitet, kostnad vs. verdi, og i dette tilfellet innovasjon vs. regulering. Men det trenger ikke være en motsetning. En produktleder som aktivt jobber for innebygget personvern og sikkerhet, viser at det er mulig å være innovativ uten å gå på kompromiss med integriteten.

Som produktleder er du ikke bare ansvarlig for produktets suksess, men også for hvordan det påvirker menneskene som bruker det. Og i en tid der personvern stadig kommer høyere på agendaen, er det ditt ansvar å være personvernets forkjemper – ikke bare fordi loven krever det, men fordi det er det rette å gjøre.

Innovasjon uten personvern? Nei takk!

Post-quantum cryptography (PQC) er et uttrykk du kommer til å høre mer om fremover. Idag er ikke kvantedatamaskinene kraftige nok til å utgjøre en trussel mot dagens kryptografi, men det spås å endre seg mot slutten av tiåret. Tiltak vi gjør idag kan gi oss smidighet og kunnskap for å møte det som kommer. Hvordan gjør vi oss klare for PQC?

Det er mange spådommer om hvordan kvantedatamaskinene vil påvirke kryptografi. Man har kanskje hørt om uttrykket Y2K fra 90-tallet da IT-bransjen måtte ta grep for å redde oss fra År 2000-problemet. 

Nå kommer kvanteekvivalenten YQK - tidspunktet når krypterte data blir tilgjengelig som klartekst for en kvantedatamaskin!

Dette vet vi

Idag støvsuges kryptert nettverkstrafikk av de største statene. "Harvest now, decrypt later", som det kalles. På et tidspunkt som antageligvis kommer mot slutten av tiåret, ved bruk av kvantedatamaskiner som er blitt kraftige nok, vil de kunne:

lese ende-til-ende krypterte meldinger: anta det du skriver idag kan bli kjent

lese stjålet kryptert data: anta dine stjålede data blir lesbare

se hva du gjorde på nettsider: trafikk til nettsider en trodde var privat kan en anta blir lesbar

Stekeovnen som aldri vil få en hot-fix

Det er også en stor utfordring at mange av IoT-dingsene vi har rundt oss aldri noen gang vil motta en firmware-oppdatering med kvantesikker kryptografi, og dermed vil stå der eksponert på Internett med åpen linje. 

Var det egentlig noen gang en god ide at stekeovnen trengte å være "smart" og tilkoblet Internett? Er det i hele tatt mulig å skru av Internett-funksjonen på din smarte stekeovn?

Dette sier NSM

Nasjonal sikkerhetsmyndighet (NSM) ved kryptografiekspert Sondre Rønjom ble intervjuet av Kode24, hvor vi lærer at:

Vi i Norge skulle gjerne vært litt lengre frem i arbeidet med kvantesikker kryptografi. Les: vi er bakpå i racet.

Kvantedatamaskiner vil gjøre mesteparten av dagens kryptering ubrukelig.

Kunnskapsløse bevis (zero-knowledge proofs), blokkjede, PKI (Public Key Infrastructure) er teknologier som vi lener oss på idag for innebygget personvern/anonymisering, autentisering og Web 3.0. Disse kan blir sårbare.

Hjelp på veien mot kvantesikker kryptering

NSM har publisert en veileder for kvantemigrasjonen vi står ovenfor. Den bør alle sikkerhetsledere og sikkerhetsutviklere lese.

I veilederen finner man råd om hvordan man kommer igang med kartlegging og oppfølging av arbeidet din virksomhet kan stå ovenfor. 

Ikke glem å inkludere underleverandører i dette arbeidet! Hvor raske de er vil påvirke hvor kryptoagil din virksomhet vil være. Dvs. når du kan bytte til kvantesikker kryptografi.

Sårbare krypteringsalgoritmer

I NSMs veileder nevnes en rekke krypteringsalgoritmer som vil være sårbare for kvantedatamaskinene.

Et par eksempler fra deres liste:

Elliptisk kurve Diffie-Hellman (ECDH) nøkkelutveksling - asymmetrisk algoritme for nøkkelutveksling - NIST SP 800-56A/B/C

RSA signaturalgoritme - asymmetriske algoritmer for digitale signaturer - FIPS SP 800-56B Rev. 1

Elliptisk kurve digital signaturalgoritme (ECDSA) - asymmetriske algoritmer for digitale signaturer - FIPS PUB 186-4

Som Tjerand Silde sa på Sikkerhetsfestivalen iår i sitt foredrag "Kvantesikker kryptografi 1: slutten på starten":

all offentlig nøkkel-basert kryptografi er i teorien dødt

Hvor bør man starte?

1. Bruk NSMs veileder for kvantemigrasjon

Tips din lokale sikkerhetsledelse om NSMs veileder. Arbeidet med å starte prosessen og å følge opp underleverandører må gjerne starte allerede nå.

2. Bli kjent med de nye krypteringsalgoritmene

Sikkerhetsutviklere bør allerede nå bli bedre kjent med algoritmene som norske myndigheter antageligvis vil anbefale (dvs. de samme som  sannsynlig EU også vil anbefale). National Institute of Standards and Technology (NIST) har hatt en prosess for å standardisere nye kvantesikre algoritmer over flere år, og ifjor sommer annonserte de følgende vinnere: 

Generell kryptering

CRYSTALS-Kyber

Kryptografisk signering

CRYSTALS-Dilithium

FALCON

SPHINCS+

Hver algoritme har egne karakteristikker på nøkkelstørrelser, tid og minnebruk, så man velge rett algoritme til rett bruksområde.

NISTs utvelgelses- og standardiseringsprosess ventes å være klar i vinter og bli lovfestet i USA mot sommeren 2024. Rundt den tid vil nok norske myndigheter og EU komme med sine anbefalinger også.

Man bør forvente at det blir lovpålagt med kvantesikker kryptografi for å kommunisere myndighetenes digitale tjenester, men det blir nok noen år til ennå.

3. Bytt ut RSA

Baserer seg på et regnestykke som en kvantedatamaskin vil kunne løse

RSA-kryptosystemet er mye brukt innen kryptering og signering av  dokumenter, samt verifisere utsteder.

I Cloudflares artikkelserie om kvantesikker kryptografi og kvantedatamaskiner forklarer de godt hvorfor spesielt RSA er moden for å bli byttet ut nå:

Most cryptography today is based on algorithms that incorporate difficult problems from number theory, like factoring. The forerunner of nearly all modern cryptographic schemes is RSA [...] 

RSA baserer seg på faktorisering.

a quantum computer with enough qubits could factor large numbers. [...]

Ved å bruke en kraftig nok kvantedatamaskin vil faktoriseringen være mulig å løse uten å kjenne til noen hemmeligheter. 

Som da leder til: 

This ability to factor numbers breaks nearly all modern cryptography.

Nye PQC-alternativer til RSA

Teknisk Ukeblad (7. utgave 2023) skriver i sin artikkel om kvantedatamaskiner og RSA:

RSA-kryptering er regnet som helt sikkert i dag. Spesielt når det brukes nøkler med svært mange bits.

I artikelen blir Tjerand intervjuet og han sier følgende om RSA: 

Jeg mener at vi bør bytte ut RSA i dag, både for nøkkelutveksling/kryptering og for signaturer, mot kvantesikre alternativer.

Tjerand peker på NISTs vinnere som alternativene man bør bytte til, men hvilken signaturalgoritme man bør bruke blir opp til use-caset man har for digital signering.

Oppsummering

Inntil kvantedatamaskinene er kraftige og tilgjengelige nok er sårbarhetene teoretiske, men det må ikke bli en hvilepute. Litt innsats idag vil ha god effekt når kvantedatamaskinene kommer for fullt. 

Start allerede nå med en plan for kvantemigreringen og bytt ut RSA som første PQC-win å feire 🥳

Ønsker alle en riktig god og kvantesikker jul! ⚛️🎅🔐

Sikkerhet

Innovasjon uten personvern? Nei takk!

Er du klar for en post-kvantekryptografisk verden?