Eén van de ontwerpers van het RSA-algoritme, dat wereldwijd wordt gebruikt om belangrijke gegevens te beschermen, heeft gezegd dat recente aanvallen duidelijk maken dat encryptie passé is. Dat liet Adi Shamir tijdens de RSA-conferentie weten. Samen met Ron Rivest en Len Adleman is hij de bedenker van RSA, een asymmetrisch encryptiealgoritme.

"Ik geloof zeker dat encryptie minder belangrijk wordt. Zelfs de best beveiligde computers in de meest geïsoleerde omgevingen zijn de afgelopen jaren door een verzameling Advanced Persistent Threats (APT) en andere geavanceerde aanvallen gehackt", aldus Shamir. Volgens de crypto-expert moeten we dan ook opnieuw bedenken hoe we ons moeten beschermen.

Encryptie
Traditioneel werd er over twee verdedigingslinies nagedacht. De eerste linie was het voorkomen van de infectie door anti-virus en andere maatregelen. De twee maatregel was het detecteren van de malware of hacker zodra die op het systeem was. Recentelijk is duidelijk geworden dat sommige malware jarenlang onopgemerkt kan blijven.

"Het is erg lastig om cryptografie effectief te gebruiken als je ervan uitgaat dat een APT alles bekijkt wat je op het systeem doet", liet Shamir tijdens een paneldiscussie weten. "We moeten over veiligheid in een post-cryptografie wereld gaan nadenken."

Een mogelijke oplossing is het verbeteringen van de al bestaande certificate authority infrastructuur. Recente aanvallen op DigiNotar, Comodo en andere certificaatverstrekkers hebben laten zien dat er een aantal inherente kwetsbaarheden in het systeem aanwezig zijn.

PKI
"We hebben een Public Key Infrastructuur nodig, waar mensen kunnen aangeven wie ze vertrouwen, en dat hebben we niet", liet Rivest weten, die ook tijdens de discussie aanwezig was. "We hebben een PKI nodig die niet alleen flexibel is in de manier waarop de vertrouwende partij aangeeft wat ze vertrouwen, maar ook in de manier hoe ze fouten kunnen tolereren."

Voorlopig verwacht Shamir dat er meer incidenten met certificate authorities zullen plaatsvinden, zoals onlangs gebeurde bij TurkTrust, een Turkse CA. Het bedrijf had een certificaat voor Google-domeinen aan twee partijen uitgegeven, waaronder een aannemer voor de Turkse overheid.

"We zullen meer van dit soort incidenten zien, waar een CA onder druk van een overheid zich vreemd zal gedragen. Het stelt de vraag of de veiligheid van de PKI-infrastructuur niet onder zware druk staat."