Folk ønsker sikker kommunikation, ikke brugbar kryptografi

Sikkerheds- og privatlivsekspert Micah Lee beskrev for nylig, hvordan han hjalp med at oprette kryptografisk beskyttet kommunikation mellem whistlebloweren Edward Snowden og journalisterne Glenn Greenwald og Laura Poitras, som ville dele, hvad han havde lært om NSA’s overvågningsprogrammer med verden. Lees fortælling om, hvordan de tre kæmpede for at mestre teknologien, var en presserende påmindelse om et problem, der har generet mig i et stykke tid og har konsekvenser for alle, der ønsker at sikre privatlivets fred for personlige eller professionelle anliggender.

Den kryptografiske software, vi har i dag, hæmmer dem, der forsøger at bruge den, med Rube Goldberg-maskinens kompleksitet og akademiske sprog, der er dateret som et par Jordache-jeans. Snowden, Poitras og Greenwalds kampe med det problem kunne tænkes at have forpurret Snowdens forsøg på at kommunikere sikkert og efterladt verden i mørket om amerikansk overvågningspraksis og deres indvirkning på vores sikkerhed og privatliv.

Hvorfor er krypteringssoftware så uhyggeligt at bruge? Fordi der ikke er noget, der hedder brugbar kryptografi, på trods af væksten i populariteten af ​​buzzwordet anvendelig krypto blandt eksperter i de seneste år. Usability og crypto er faktisk to separate discipliner. Den ene handler om at lave ting, som folk interagerer med; den anden handler om teknisk VVS, der, selvom den er afgørende, ikke bør være synlig for slutbrugeren. Medmindre vi finder den rigtige balance, vil forbrugerne aldrig drage fordel af krypto.

Det cypherpunk drøm – hvor krypto er allestedsnærværende og alle taler kode som et andet sprog – nåede aldrig til virkelighed, fordi vi kryptografer forvekslede vores mål med vores forbrugeres mål. Johnny kan ikke kryptere, fordi Johnny aldrig ville kryptere. Ingen ønsker virkelig kryptografi i sig selv. Det, de ønsker, er at kommunikere, hvordan og med hvem, de behager, men sikkert.

Kryptografer og sikkerheds- og privatlivsfællesskabet kan ikke løse dette problem selv. Virkelig kryptografi handler ikke kun om kryptografi. Det handler lige så meget om produktdesign og opbygning af oplevelser, der virker til brugeren - kræver ikke arbejde fra brugeren. Det er et tværfagligt problem, der ikke kun kræver kryptografer, men også brugeroplevelsesdesignere og -udviklere.

Tilsvarende problemer er mere eller mindre blevet løst inden for andre områder af computing. E-mail-krypteringssystemet PGP debuterede i 1991, samme år som Linux og World Wide Web. De sidste to har udviklet sig til at blive centrale for mange tjenester og produkter med hundredvis af millioner af ikke-ekspertbrugere. Men når du prøver at bruge PGP eller dets open source-fætter, GPG, vil du på mange måder finde dig selv fast i 1991 - som Snowden og hans kontakter opdagede.

En måde, vi kan begynde at løse dette problem på, er ved at tilpasse et almindeligt værktøj i sikkerhedskredse, sikkerhedsrevisionen, hvor en applikations sårbarhed over for angreb undersøges gennem en række tekniske processer. For nylig har kampagnefolk rejst penge til at finansiere sikkerhedsrevisioner af kritiske værktøjer som f.eks harddisk krypteringssoftware TrueCrypt . Jeg foreslår, at vi bruger den samme model til at finansiere brugeroplevelsesrevisioner af sikker kommunikationssoftware og udsætter vores værktøjer for den slags brugertest, der finpudser blockbuster-apps fra førende forbrugervirksomheder.

Vi er også nødt til at ændre, hvordan vi taler med brugere om kryptografiske koncepter og sikkerhed, og at etablere steder for tværfaglig forskning i, hvordan man kan skabe venlige brugeroplevelser understøttet af sikkerheds- og privatlivsteknologier.

Lige nu er tingene dårlige, men inkonsekvent lovende. Det Åbn WhisperSystems-projektet har lavet mobilapps til krypteret beskeder og opkald, der ligner normale apps til tale og tekst, og for nylig annoncerede det, at det er hjælper WhatsApp med at kryptere dets brugeres beskeder. Vi har nye organisationer som Simpelthen sikker , som har til formål at fremme udviklingen af ​​brugbar sikkerheds- og privatlivssoftware (og ledes af en produktdesigner, ikke en kryptograf).

Der er dog ikke mange af disse exceptionelle produkter eller organisationer. Vi er stadig alt for nye til dette til vores eget bedste - eller for de mange mennesker, der har brug for måder at forblive sikre på. Og vores forsøg lykkes ikke altid. Jo hurtigere vi finder måder at levere en god brugeroplevelse og sikkerhed sammen, jo større indflydelse kan de værktøjer, vi laver, have. For lad os se det i øjnene, masserne kommer ikke til at ofre en god oplevelse for en dårlig, der inkluderer kryptering.

Justin Troutman er en uafhængig kryptograf, der skaber en workshopserie, CRUX, dedikeret til at fremme samarbejde mellem eksperter inden for kryptografi og brugeroplevelsesdesign.

skjule