Chiffratzea bukotik bukora: esanahia eta seguritatea

Bukotik bukora chiffratzea — askotan E2EE (End-to-End Encryption) laburtua — gaur egun ciber segurtasuna, mezu segurua eta, gero eta gehiago, elektroniko sinatzaren inguruko diskusioen notizia gehien aipatutakoa da. Hala ere, bere benetako esanahia eta bere funtzionamendu teknikoa, askotan, enpresaren zuzendaritza legala eta informatikoa gaizki ulertzen dute. Kontratuen dematerializazioa azeleratuz dagoen eta Europaren arau-eskaera indartzen ari den testuinguruan, bukotik bukora chiffratzea ulertzea estrategia helburu bihurtu da. Artikulu hau osoa aztertzea babeslea: definizioa, mekanismo kriptografikoak, elektronikoki sinatzeko seinalea-ren lotura eta zure dokumentu sensitiboen babesa.

Zer da bukotik bukora chiffratzea? Definizioa eta esanahia

Bukotik bukora chiffratzea datu-babesaren mekanismo bat deitzen da, non igorlea eta baimendutako hartzaileak soilik irakurri dezakete mezu edo dokumentu baten edukia. Trantsizioan chiffratzea klasikoa (TLS/HTTPS) ez bezala, E2EE-k bermatzen du, nahiz eta datuak garraiatzen edo gordetzen dituen prestatzaileak — zerbitzari tartekoa — edukia deshiffratzea ezin duela.

Trantsizioan chiffratzea eta bukotik bukora chiffratzea bertan behera

Trantsizioan chiffratzean (TLS protokoloa, aurretik SSL), datuak zure nabigatzaile eta prestatzailearen zerbitzariaren artean chiffratu diren. Berak deshifratu egiten ditu jasotzen dutenean, prozesatzen dituzte, ondoren berriro chiffratu eta bukaerako destinaziora bidaltzeko. Prestatzaileak, beraz, duten datuak argitan dute tratamenduan osoan.

Bukotik bukora chiffratzean, datuak igorlearen aparatuaren aurretik chiffratu egiten diren bere terminala uzten aurretik. Haiek deshifratu bakarrik hartzailearen azken aparatuan. Bien artean, ez zerbitzariek, ez rete administratzaileak, ez cloud gordegileak edukia atzitu ahal dute. Hau E2EE-k pribatutasunean horrelako gailena babestu egintzen du.

Chiffratzea simetrikoa vs asimetrikoa: E2EE-ren bi zutabetak

E2EE-k normalean bi kriptografia mota konbinazioan datza:

• Kriptografia simetrikoa: gutxiengo tokiko gailu bakarrean chiffratu eta deshifratu egiten diren datuak. Oso azkarra, edukia bereau chiffratzeko erabiltzen du (adb.: AES-256, ANSSI-k gomendatua).
• Kriptografia asimetrikoa: gutxiengo sare bat — publikoa eta pribatua gakoa — gako simetrikoa seguroki trukatzeko erabiltzen da. Gako publikoak chiffratu, soilik gako pribatua (inoiz partekatua) deshifratu. RSA-2048 edo hobeto, ECDSA kurba eliptikoan (P-256, P-384), askotan erabiltzen diren algoritmoak dira.

Praktikan, truke seguruan, saioko gako simetrikoa hartzailearen gako publikoarekin chiffratu egiten da, ondoren transmititzen. Hartzaileak bere gako pribatua erabiltzen du gako simetrikoa berreskuratzeko eta edukia deshiffratzeko. Hau mekanismo hibridoa da azkartasun eta seguritate altua bera eskaintzen duena.

Bukotik bukora chiffratzea eta elektroniko sinatzea: osagarri lotura

Elektroniko sinatzea eta bukotik bukora chiffratzea bi mekanismo desberdina baina sakonean osagarriak. Elektroniko sinatzeak dokumentu baten integritatea eta autentikotasuna bermatzen du — dokumentua ez dela aldatua eta sinatzailea direna prokoa egin dezala. Bukotik bukora chiffratzea, aldean, pribatutasuna bermatzen du — dokumentuaren edukia baimendutako aldeak soilik irakur dezakete.

eIDAS n°910/2014 araupenean eta bere eIDAS 2.0 bilakaerean, elektronikoki sinaltzea sailean (SEQ) baimendutako konfiantza zerbitzuen prestatzaile (TSP) batean isua kalifikatua basortzaile batean oinarritzen da. Sertifikatua bereau gako publikoko kriptografietan oinarritzen da. E2EE-rekin lotura, beraz, zuzen dago: sinatariearen gako pribatua da soberanea gailu — hori, konpromisua baldin bada, konfiantza sare osoa baliogabetzat egiten badu.

Infraestrukturen gako publikoa (PKI) eta ziurtapen kudeaketa

Infraestrukturen Gako Publikoa (PKI — Public Key Infrastructure) organisazional eta teknikoaren osagaien sortzea da baten cikloa kudeatzea ahalbidetzen dutenak kriptografiko gakoak eta ziurtapenen numerikoak. Barne ditu:

• Ziurtapenaren Automatea (AC) ziurtapena atera eta baliogabetzat egiten duena
• Ziurtapenen direktorioa publiko atzitzeko
• Ziurtapenen baliogabetzat egin lanak (CRL) edo OCSP zerbitzua balidetasuna denean-denean egiaztatzeko
• HSM moduluak (Hardware Security Module) gako pribatua material seguru ingurune batean gordetzen dutenak

Elektroniko sinatzea serio batean, ETSI EN 319 132 (XAdES) eta ETSI EN 319 122 (CAdES) norma beren artean beharrezko bat, PKI sendoa bat integratu egiten du bukotik bukora chiffratzea ezin dela kanpotik kalean ez prestatzaileak bereau.

Elektronikoki sinaltzea sailean eta gako pribatua babesean

eIDAS araupenak buru, saileko sinaltzearentzat, sinatariearen gako pribatua sortu eta kalifikatutako sinatzea sortzea aparatuean (QSCD) gordetzen dela eratu — tipikoki txar balea agiatzea Common Criteria EAL4+ edo HSM kalifikatua. Hardware eskakizun honek E2EE printzipioa erreglamentua gailutzatzea da: gakoak ez du inoiz aparatua uzten seguru, hirugarren baten ateratze saihestuz.

Enpresak prozeso kontratuen modernizazioa nahi dutenak, elektroniko sinatzako soluzioen konparatua merkatu batean gaur egun sistematikoki integratu mekanismo kriptografikoak eta gako kudeaketaren ebaluazioa.

Nola funtzionatzen duen konkretua E2EE dokumentu sinatze fluxu batean?

Imajinatu zerbitzuaren kontrata bat enpresa emitza eta subkontratista artean. Hau nola aplikatzen den bukotik bukora chiffratzea fluxuan:

Urratsa 1 — Prestaketa eta dokumentu chiffratzea

Igorlea (zuzendaritza legala) kontratua PDF formatuan igo platefroma sinatzearen. Dokumentua bereala gaitu AES-256 gako simetrikoa sortzen du. Dokumentu gakoa bereau chiffratu hartzaile bakoitzaren gako publikoarekin (sinatzailea, ko-sinatzailea, testilaria). Dokumentu chiffratu eta gako entsulu zerbitzariak joni — baina zerbitzariek ez dute inoiz gakoa argitara du.

Urratsa 2 — Autentifikazioa eta deshiffratzea sinatzaile aldetik

Sinatzetailea e-mail seguru batean gonbidapena jaso. Autentifikazioa ondoren (OTP SMS, autentifikazioa sendo sinatze maila behar balitz), bere aparatuak dokumentu gakoa berreskuratu chiffratu bere gako publikoarekin. Bere gako pribatua — QSCD edo digital portafolia seguru batean gordetzen — dokumentu gakoa deshifratu. PDF argitan agertzen da berau bere terminalean soilik.

Urratsa 3 — Sinatzea eta zigilua kriptografikoa

Sinatzaileak bere sinatzea gailudu. Platefroma hash kriptografikoa kalkulatu egiten du (SHA-256 edo SHA-3 atzamara), ondoren hash hau sinatariearen gako pribatua chiffratu. Eragiketa honek sinatzea numerikoa sortu kriptografiko zentzua — datuen bloke bat froga egiten da gakoa pribatua duten badiela hori dokumentu hori zehazki sinaldu (eta ez beste bat).

Urratsa 4 — Denborazko eta artxibaketa

Denbora jotze tokena sailean (RFC 3161), baimendutako Denbora-autoritate (TSA) batean atera, sinatzearen jarrita. Dokumentua sinatua zerrendan froga egiten du, segundo baten zehaztasunean. Osoa — dokumentua, sinatzeak, sertifikatuak, denbora-jotzeak — froga sorta chiffratu eta artxibaketa ETSI EN 319 162 arauen arabera.

Taldeak bai dokumentu fluxu osoa ulertu nahi dutenak, gure gidea kontsultatu ahal dute elektroniko sinatzea enpresetan, zehazten dutenak integrazio prozesuak existitzen diren IT ingurute batean.

Segurtasun arazo zehatzak bukotik bukora chiffratzean

Gakoen cikloa kudeaketa eta konpromiso arrisku

E2EE sistema sendotasun pribatu gako babesean datza guztian. Erasoaren bektore gehien orokorrak hauek diren:

• Gako pribatua lapurtu malware edo eragin inguruneko erasoaren bidez
• Erdiko gizonaren erasoa (MITM) gako publikoak trukea autentifikatua ez bada
• Gakoak sortze prozesua konpromisoa (entropia gutxia, PRNG atera)
• Erasoa kuantikoak: 2030-2035 horizonte baten, ordenagailuak kuantikoak nahikoa sendoak ahal izango lukete RSA eta ECDSA algoritmo klasiko hausturik. NIST-ak 2024an finalizatua bere lehenengo estandarrak kriptografia post-kuantikoan (CRYSTALS-Kyber gako entsulu batean, CRYSTALS-Dilithium sinatzeetan), zeinen migrazio gradualak jadanik gomendatua ANSSI-k bere migrazioaren gidean.

Bukotik bukora chiffratzea eta RGPD dirua

RGPD-ak (Erreglua n°2016/679) behartzen du bete neurriak aholkularientzat babestu karaktere datua. Bukotik bukora chiffratzea adierazten da CNIL eta EDPB-k (Europaren Datua Babesmen Komitea) neurri seguritate lehen mailan. Datuen hausturan kasuan, konpromisotutako datuak chifrratu ziren E2EE-rekin eta gakoak ez ziren bidali, erantzule manudatua ahal da **kanpo jakinarazpen beharra{{ personas interesadaren}} (RGPD 34.3 artikulua). Hau abantaila operazional eta fama itzela da.

Zero-Knowledge Arkitektura: E2EE bere estremura bultzatu

Beste platefroma bazekin sinatze eta dokumentu kudeaketa bat hartzatu Zero-Knowledge arkitektura deitzen: ez soilik datuak chiffratu bukotik bukora, baina prestatzaileak nola diseinatu bere sistema noiz ez dezake inoiz potentzial tekniko gakoak edo datuak argitan atzitzeko — nahiz judizial bilaketa. Hurrengo jakin, nahiz konplexua bete (bereziki bilaketaren eta indexazioaren funtzioetan), adierazten du babesaren maila maximoa dokumentu oso sensitive batean (osasun datuak, informazioa estrategia M&A, judizial karpetak). Gehiagorako hautatu kriterioetan, elektroniko sinatzea glossarioa Certyneo-ren bitartez dago entziklopedia termino teknikoak eszenario kudeaketa.

Araupen eremu aplikagarria chifrratzea eta elektroniko sinatzean

Kriptografi seguritatea dokumentu elektronikoak dago eremuaren lexiko dentsoa, bai estatu- eta europarra, zein edozein enpresa elektroniko sinatzea erabiltzen duena kudeaketa du.

Frantziako Kode Zibila — 1366 eta 1367 artikuluak

1366 artikulua Kode Zibilaren ematen du printzipioen berdintasun idazti elektroniko eta idazti paperaren artean, baldin baldin pertsona zein datorre «egokiaren identifikatua» eta dokumentua «ezarritua eta kontserbatua moduan integritate natura bera kaltegarria da». 1367 artikulua definituko du elektroniko sinatzea honela «gakoa bat erabiltzea fidel irizpide bat identifikatzea garantizatzea bere sarea dokumentuarekin». Bukotik bukora chiffratzea, integritatearen hash kriptografikoa garantitzeko eta autentikotasunaren eta sinatze numeriko bidez, hau den teknika konkretizazioa honentzako arauetan.

Erreglua eIDAS n°910/2014 eta eIDAS 2.0

Europaren araupenak eIDAS ezarri hiru maila elektroniko sinatzea (sinplea, aurrez aurrekoa, sailean) eta defini eskaera teknikoak elkarren. Aurrez aurrekoa sinatzearen (SEA), 26 artikulua eskatu bereziki honela:«sortu behar du elektroniko sinatzea sortzea datua sinatariak behar, mailakoarekin konfiantza altuaren, erabili bere kontrol bakartzaren ondoren» — zein implika zuzen seguru kudeaketa gako pribatua. Sailean sinatzea (SEQ) behartzen du gainera erabilera QSCD sailean. Araupen eIDAS 2.0 (Erreglua UE 2024/1183) zabaltzen du eskaera honentzako Europaren identitate digital portafolia (EUDIW).

RGPD n°2016/679

32 artikulua RGPD behartzen du erantzule tratamendua bete «neurriak teknikoak eta antolamendu ondorioa» ahal izatea datua seguritate. Chifrratzea aipatzen da adierazle (32.1.a artikulua). 34.3.a artikulua ematen du jakinarazpen kanpo kasua datua babespen hausturaren baldin «datuak karaktere pertsonala eraso ziren inaccessible pertsona ez bat autoriza atzitzera, bereziki chifrratzea bidez».

Direktiba NIS2 (UE 2022/2555)

Frantziako zuzenbidean legez 1 de agosto 2023ean eta n°2023-703 legearen bidez, direktiba NIS2 behartzen du ehunak esenzial eta garrantzitsua — zein artean antza kopuru prestatzaile zerbitzua numeriko eta enpresa kritikoak — bete politikak chifrratzea indartsu. Bete ez behartzen duten santzioari ahal 10 milioi euroak edo 2 % munduko beheite enpleguaren % urtean.

Estandarrak ETSI

Estandarren ETSI EN 319 132 (XAdES — XML Advanced Electronic Signatures) eta ETSI EN 319 122 (CAdES — CMS Advanced Electronic Signatures) defini formatu teknikoak sinatzen elektroniko aurrez aurrekoa eta sailean. Estandarra ETSI EN 319 162 gobernantza zerbitzua denbora-jotzea. Estandarrek bera interoperabilitate eta egiaztatu juridikoa denean neguara sinatzea — bai face kristau obsoletzia kriptografia, grazia sinatzea formatua barne froga balidetasunaren denean-denean sinatzea (LT eta LTA).

Erabili eszenarioak: bukotik bukora chiffratzea praktikan

Szenario 1 — Abokatuen bulegoa gobernua negozioarekin egiten duten kasuan

Abokatuen bulegoa gobernua 25 elkarlangilean inguru dira eta hainbat fusioa-erosketa eragiketa gidatu urtean, inplika truke itxura letraren, agora edo datuen gabinete konfidentziala. Informazio sentibel estremua (balioazioak, aktibo estrategikoak, zuzendari pertsonalen datuak) behartzen du babes maila maximoa.

Saiolari sinatze elektroniko soluzioa bukotik bukora chifrratzea eta zero-jakintza arkitekturarekin, bulegoak seguru egiten du nahiz prestatzaileak SaaS-k ez dezake dokumentua atzitu. Bakoitza dokumentua chifrratu bereala gako AES-256 bidez, entsulu gako publikoarekin alak parte-hartzaile. Emaitzak ikusi diren gaite honentzako: murriztu 70 eta 80 % denbora biltzea sinatzea (5 eta 7 lan egunak baino gutxiago 24 ordutan), desagertu bidalketa olio edo konpromiso, eta trazagarritasun osoa auditatzea atzitzea. Soluzioa bulegoak juridikoen Certyneo-ren dago bereziki diseinatu honentzako privatutasun-eskakizun maximoa.

Szenario 2 — ETI industrialak 300 kontrata hornitzaileen ondoren urtean

ETI industrialak 450 langile inguru eta bere kontratua sinaldu eta artxibatu behar diren ehunka batean urtean: kontrata subkontrataren, ituna konfidentziala (NDA), aginduak komandoen-markoetan. Aurreragin, prozesuak oinarritua ziren PDF truke e-mail ez seguruan, izena emana enpresa arrazoigatik falsifikazio, intertzepzioa eta ez-direna direna RGPD.

Ondoren saiolari E2EE soluzioa sailean eIDAS arauan, bakoitza kontrata chifrratu bere kargatzen platefroma sinatzearen. Hornitzaileak sinatzen duten duten duten portalen autentifikatu. Irabaz operazional esanguratsua: benchmark sektorialen McKinsey kasuen entzunduta (2024), enpresakak diren demateriazliza prozesuak kontratua seguru tresna bidez gutxitzen duten 60 eta 75 % denbora administratiboa kontratua kudeaketarekin. Enpresakak bera onura segurtasun arriskuen gutxiotzea harremanean falsifikazio dokumentua, grazia integritate kriptografikoa hash SHA-256 bakoitza dokumentua sinatua bidez.

Szenario 3 — Erakunde ospitalaria eta datua osasun babesean

Erakunde ospitalaria taldea hainbat estazioa eta 1200 log inguru bere kudeaketa egingo du elektroniko sinatzea kontrata doktore, konbentzioa lankide ikerketarekin eta dokumentu administratiboak inplika datua osasun (sailean kategoria zentzuan 9 RGPD). CNIL eta ANS (Agentzia Numerikoaren Osasunean) behartzen du estandarren segurtasun zehatzak, bereziki lodiera Osasun Datuen (HDS) kalifikatua.

Eintegratu soluzioa sinatze elektroniko sailean HDS-rekin, bukotik bukora chifrratzea, estazioen denen datuak eta egiaztatu journal atzitzea bakoitza, erakunde ospitalaria bete erabaki PGSSI-S (segurtasun politika informatika osasunaren) eta HDS araubidea. Erabila bukotik bukora chifrratzea bermatzen berauretara kasua segurtasun ezurra ospitalean ere, mediku datuak baldintza argitara. Elektroniko sinatzea osasunean bete honentzako arazo zehatzak kalifikazioa batean.

Bukatzea

Bukotik bukora chifrratzea ez da xehetasun teknikoa kriptografia adiskideen: hau fundazio konfiantza ezinbestekoa edozein serio deklarazioa elektroniko sinatzea. Esanahia mekanismo kriptografikoa bere ondorioa araubide konkretua — eIDAS, RGPD, NIS2 — arabe bere zeregina gakoa pribatua eta integritate dokumentua, E2EE osatzen da zutabea dokumentu seguritate enpresatan.

Aurkitzen mehatxua cyberkrimena eta behartzen direna araubide direna gehiago exigitzea, hautatu platefroma sinatze elektroniko zein inplementu zintzo bukotik bukora chifrratzea ez da gehiago aukera baina eskatzen duten estrategia.

Certyneo integratu natiboa AES-256 chifrratzea bukotik bukora, kudeaketa PKI sailean eIDAS eta artxibaketa froga kalifikatua. Aurkitu gure araudiak eta abiarazi zure saia aske seguru zure fluxu dokumentu gaur egun.