Współczesne media to nie tylko walka o ułamki sekund podczas transmisji na żywo. Równie istotne jest to, co dzieje się z materiałem wideo lub audio chwilę po zakończeniu emisji. Archiwa stacji radiowych i telewizyjnych, zawierające surowe materiały ze śledztw dziennikarskich, wywiady z informatorami czy produkcje chronione prawem autorskim, przedstawiają ogromną wartość. Jednocześnie są łakomym kąskiem dla cyberprzestępców, konkurencji, a w niektórych sytuacjach mogą również stać się przedmiotem zainteresowania służb państwowych.
Powstaje więc pytanie: jak w praktyce stacja medialna może zabezpieczyć swoje serwery archiwalne, przechowujące tzw. dane w spoczynku, aby osoby nieposiadające odpowiednich kluczy kryptograficznych nie mogły uzyskać do nich dostępu? I czy w sytuacji kryzysowej możliwe jest trwałe uniemożliwienie odczytania zgromadzonych materiałów?
Jedną z największych zalet zabezpieczania materiałów archiwalnych jest brak presji związanej z transmisją na żywo. Plik nie musi być natychmiast udostępniany odbiorcom, co pozwala zastosować rozbudowane mechanizmy ochrony kryptograficznej. W nowoczesnych systemach zarządzania zasobami medialnymi można wykorzystać szyfrowanie hybrydowe, łączące zalety kryptografii symetrycznej i asymetrycznej.
Przykładowo sam materiał wideo zostaje zaszyfrowany za pomocą algorytmu AES-256, natomiast klucz służący do jego odszyfrowania jest dodatkowo chroniony przy użyciu kryptografii asymetrycznej, np. RSA. W praktyce może to wyglądać następująco: system emisyjny kończy nadawanie audycji, po czym automatyczny proces zapisuje nagranie w archiwum i szyfruje je przed udostępnieniem do długoterminowego przechowywania.
Jednym z rozwiązań jest fizyczne lub logiczne oddzielenie kluczy deszyfrujących od serwerów przechowujących nagrania. Oznacza to, że serwer archiwalny znajdujący się w siedzibie stacji nie dysponuje samodzielnie wszystkimi informacjami niezbędnymi do odszyfrowania materiałów. Nawet jeśli cyberprzestępcy uzyskają uprawnienia administratora serwera albo dojdzie do fizycznej kradzieży czy zajęcia nośników danych, przejęcie samych zaszyfrowanych plików nie musi oznaczać możliwości ich odczytania.
Klucze deszyfrujące mogą być przechowywane w odizolowanym systemie zarządzania kluczami lub specjalistycznym urządzeniu kryptograficznym, pozostającym pod kontrolą uprawnionych osób. Odpowiednio wdrożone szyfrowanie sprawia, że odczytanie przejętych danych bez właściwego klucza staje się praktycznie niewykonalne przy użyciu znanych metod obliczeniowych. Warunkiem jest jednak prawidłowa konfiguracja systemu oraz wykluczenie sytuacji, w której napastnik uzyska dostęp do odszyfrowanych kopii lub kluczy znajdujących się w pamięci pracujących urządzeń.
Wiele organizacji medialnych korzysta z zewnętrznych centrów danych lub usług chmurowych, między innymi do tzw. zimnego przechowywania archiwów. W takich przypadkach szczególnie istotne jest szyfrowanie po stronie klienta, czyli jeszcze przed przesłaniem materiałów na zewnętrzny serwer. Warto również zwrócić uwagę na model HYOK, w którym organizacja zachowuje kontrolę nad kluczami kryptograficznymi.
Materiał może zostać zaszyfrowany wewnątrz stacji telewizyjnej lub radiowej, a na serwer zewnętrzny trafia wyłącznie jego zaszyfrowana wersja. Dostawca przestrzeni dyskowej przechowuje wówczas dane, ale przy prawidłowo zaprojektowanym szyfrowaniu po stronie klienta nie posiada kluczy umożliwiających odczytanie ich zawartości. Nie oznacza to jednak całkowitej anonimowości. Dostawca może nadal dysponować informacjami o wielkości plików, czasie ich przesłania czy innych metadanych.
Jednym z rozwiązań jest zastosowanie schematu dzielenia sekretu Szamira. Mechanizm pozwala podzielić sekret kryptograficzny na kilka części, które następnie zostają przekazane różnym osobom. System można skonfigurować w taki sposób, aby do odtworzenia klucza konieczne było połączenie dowolnych trzech spośród pięciu przydzielonych części. Przykładowo fragmentami sekretu mogą dysponować redaktor naczelny, dyrektor techniczny, szef bezpieczeństwa oraz dwie inne upoważnione osoby. Żadna z nich nie jest w stanie samodzielnie odtworzyć klucza. Dopiero współdziałanie wymaganej liczby osób umożliwia dostęp do chronionych materiałów. Takie rozwiązanie ogranicza ryzyko nadużycia uprawnień, przypadkowego ujawnienia klucza czy uzależnienia bezpieczeństwa archiwum od jednej osoby.
W sytuacjach skrajnego zagrożenia tradycyjne usuwanie danych może okazać się niewystarczające. Zwykłe skasowanie pliku często usuwa jedynie informację o jego lokalizacji w systemie plików, pozostawiając możliwość odzyskania zawartości. Z kolei bezpieczne nadpisywanie wieloterabajtowych zbiorów może być czasochłonne, a w przypadku niektórych nowoczesnych nośników nie zawsze zapewnia oczekiwany rezultat. Istnieje jednak inna metoda, znana jako niszczenie kryptograficzne. Jeżeli wszystkie materiały zostały wcześniej poprawnie zaszyfrowane, trwałe i nieodwracalne usunięcie niezbędnych kluczy kryptograficznych może uniemożliwić ich późniejsze odszyfrowanie. Same pliki nadal znajdują się na dyskach. Nie zmieniają się fizycznie w cyfrowy szum, lecz pozostają zaszyfrowanymi danymi, których pierwotnej zawartości nie można w praktyce odzyskać bez odpowiednich kluczy.
Operacja usunięcia niewielkiej ilości materiału kryptograficznego może być znacznie szybsza niż wymazywanie całego archiwum. Skuteczność tej metody zależy jednak od kilku warunków: wszystkie chronione dane muszą być odpowiednio zaszyfrowane, klucze nie mogą pozostawać w innych lokalizacjach, a dostępne kopie zapasowe nie mogą umożliwiać ich odtworzenia. Trzeba też uwzględnić fakt, że wcześniejsze ujawnienie danych lub wykonanie ich odszyfrowanej kopii nie zostanie cofnięte przez późniejsze usunięcie klucza. Systemy kryptograficzne można uzupełniać dodatkowymi mechanizmami bezpieczeństwa. Limit błędnych prób logowania. Wielokrotne wprowadzenie nieprawidłowych danych uwierzytelniających może powodować czasowe zablokowanie dostępu, uruchomienie alarmu lub konieczność dodatkowej autoryzacji.
Niektóre urządzenia kryptograficzne umożliwiają również usuwanie określonych sekretów po przekroczeniu ustalonego progu nieudanych prób. Takie rozwiązanie wymaga jednak wyjątkowej ostrożności, aby zwykła pomyłka lub celowe wywołanie błędów nie doprowadziły do utraty archiwum. W koncepcjach bezpieczeństwa spotyka się również rozwiązania przewidujące specjalny kod alarmowy, którego użycie sygnalizuje, że administrator działa pod presją. W systemach przechowujących cenne materiały dziennikarskie rozsądniejszym rozwiązaniem od automatycznego niszczenia danych może być uruchomienie procedury alarmowej, odcięcie dostępu lub przekazanie kontroli wyznaczonym osobom. Celowość stosowania mechanizmów nieodwracalnego niszczenia informacji powinna być analizowana również pod kątem obowiązków prawnych, ochrony materiałów dowodowych i odpowiedzialności osób zarządzających archiwum.
Nowoczesna kryptografia udostępnia dziś redakcjom, nadawcom radiowym i telewizyjnym narzędzia pozwalające chronić nawet najbardziej wrażliwe materiały. Odpowiednio zaprojektowana architektura archiwum może sprawić, że przejęcie serwera, kradzież dysków czy uzyskanie uprawnień administracyjnych nie wystarczą do odczytania zgromadzonych nagrań. Nie istnieje jednak system zapewniający absolutną odporność na każdy rodzaj ataku. Kluczem do skutecznej ochrony jest nie tylko wybór odpowiedniego algorytmu szyfrującego, ale przede wszystkim przemyślana polityka zarządzania kluczami, kontrola uprawnień, zabezpieczenie kopii zapasowych i regularne sprawdzanie procedur odzyskiwania danych.
Istnieje przy tym jeszcze jeden problem, którego nie rozwiąże nawet najlepszy algorytm.
Kto powinien posiadać prawo do otwarcia archiwum, a kto prawo do jego bezpowrotnego zniszczenia?
Bo choć kryptografia może skutecznie chronić informacje przed nieuprawnionym dostępem, to odpowiedzialność za los tych informacji zawsze pozostaje w rękach ludzi.
Komentarze
Pokaż komentarze (2)