Cifratura e crittografia: qual è la differenza (e perché è importante?)

La cifratura mantiene i dati al sicuro da occhi indiscreti. E la crittografia? È solo un altro nome per lo stesso concetto?

Non esattamente. Sebbene questi termini spesso siano usati in modo intercambiabile, non sono esattamente identici. Vediamo di capire concretamente cosa significano questi termini, come vengono utilizzati nella sicurezza informatica e perché è importante distinguerli.

Che cos'è la cifratura?

La cifratura converte informazioni leggibili in informazioni illeggibili utilizzando una chiave. Le informazioni leggibili sono anche chiamate testo in chiaro, mentre quelle illeggibili sono chiamate testo cifrato. Una volta crittografati, i dati vengono effettivamente "bloccati" e solo chi è in possesso della giusta chiave può aprire il lucchetto e decrittografare i dati.

Facciamo un esempio.

Bob vuole inviare a Susan un aggiornamento via e-mail sul progetto sensibile a cui stanno lavorando. Il suo messaggio è semplice: "La fase 1 è completa". Se invia questo messaggio senza cifratura, è possibile che gli attaccanti intercettino digitalmente la conversazione e leggano il suo messaggio.

La cifratura trasforma il messaggio di Bob in un qualcosa che sembra incomprensibile. Utilizzando una chiave di cifratura, il messaggio ora recita: "2gnew Ln aog noaglss". È importante notare che il testo cifrato non deve necessariamente avere la stessa lunghezza dell'originale. Susan riceve il messaggio e, utilizzando la sua chiave di decrittazione, lo riconverte in testo in chiaro.

Esistono due approcci comuni alla cifratura: simmetrica e asimmetrica.

Nella cifratura simmetrica, la chiave per codificare e decodificare i messaggi è la stessa. Questo significa che deve sempre rimanere privata. La cifratura simmetrica è semplice e veloce, ma comporta rischi se le chiavi vengono accidentalmente divulgate o rubate.

Nella cifratura asimmetrica, vengono utilizzate due chiavi diverse. Per crittografare i dati viene utilizzata una chiave pubblica. Questa chiave può essere condivisa liberamente in quanto il suo unico scopo è convertire il testo in chiaro in testo cifrato. Le chiavi private vengono utilizzate per decrittografare i dati e devono essere mantenute segrete.

Uno dei framework simmetrici più comuni è l'Advanced Encryption Standard (AES), che utilizza chiavi di tre diverse lunghezze: 128, 192 e 256 bit. Più bit ci sono, più difficile è decifrare la chiave. In teoria, una chiave a 256 bit impiegherebbe milioni di anni per essere decifrata da un computer.

Che cos'è la crittografia?

La crittografia è il campo di studio che si occupa della comunicazione sicura. Riguarda tre grandi aree: riservatezza, integrità e autenticazione.

Riservatezza: questo aspetto della crittografia si concentra sull'offuscare il contenuto di un messaggio. La cifratura rientra in questa categoria.

Integrità: l'integrità dei dati garantisce che i messaggi originali rimangano inalterati. Questo si ottiene proteggendo il messaggio stesso da manomissioni o modifiche. In pratica, potrebbe assumere la forma di reti aziendali protette o reti private virtuali (VPN) che impediscono le intercettazioni digitali.

Autenticazione: l'autenticazione riguarda l'identità. Il mittente del messaggio è effettivamente chi dice di essere? La persona che tenta di accedere al messaggio è effettivamente il destinatario previsto? Dal lato del mittente, gli strumenti avanzati di protezione dell'e-mail utilizzano algoritmi di IA per rilevare ed eliminare potenziali minacce. Dal lato del destinatario, soluzioni come l'autenticazione a più fattori (MFA) possono aiutare a verificare l'identità degli utenti.

In che modo influenzano la sicurezza informatica?

In assenza di una cifratura efficace, le aziende possono perdere dati finanziari, intellettuali e personali.

Considera la recente fuga di oltre 184 milioni di credenziali di accesso utente. Archiviate in un database disponibile al pubblico, le credenziali riguardano tutto, dagli accessi Google e Apple a quelli per i servizi governativi e le piattaforme di videogiochi.

L'aspetto comune? Assenza di cifratura. Una volta all'interno del database, che di per sé non era protetto da password, non c'era nulla che impedisse ai criminali informatici di prendere quello che volevano e utilizzarlo per compromettere gli account. Fortunatamente, la perdita di dati è stata rilevata da ricercatori di sicurezza prima che attori dannosi potessero accedervi, e il database è ora offline.

Anche se il database è crittografato, tuttavia, questo non ne garantisce la sicurezza. Con l'evolversi delle tecnologie, gli attaccanti diventano più abili nel trovare e sfruttare le falle nei processi di cifratura. Ad esempio, i metodi più vecchi, come lo Standard di cifratura dei dati, utilizzano lunghezze di chiave più piccole, il che li rende vulnerabili agli attaccanti.

La ricerca sulla cifratura aiuta a scoprire e testare nuovi metodi di cifratura. Ad esempio, il NIST di recente ha rilasciato il suo primo set di algoritmi di cifratura a resistenza quantistica. Questo rappresenta una risposta alla rapida evoluzione dei computer quantistici, che potrebbero essere in grado di ridurre il tempo necessario per violare gli standard attuali come l'AES 256.

Perché la differenza è importante?

Considerando la sovrapposizione tra cifratura e crittografia, non sorprende che i termini spesso vengano confusi. In generale, questo ha un impatto minimo ai fini della sicurezza informatica. Fino a quando i dati sono protetti, la terminologia non ha grande importanza.

La differenza è importante nello sviluppo di nuove soluzioni e tecniche di sicurezza. Sebbene la cifratura sia un elemento chiave per una difesa efficace, è solo una parte di un sistema più ampio. Da sola, impedisce agli attaccanti di accedere ai dati sensibili, ma non affronta i problemi di integrità o autenticità.

Per le aziende, la cifratura ha funzione di prima linea di difesa: anche se i dati vengono rubati, rimangono inutilizzabili. L'integrità e l'autenticazione, nel frattempo, aiutano a creare un approccio olistico alla sicurezza informatica che riduce il rischio totale.