14. 11. 2014
Pavel Dudák pro Lupa.cz: Cryptelo: Některá data je lepší ztratit než aby je získala konkurence
Lupa.cz, 14.11.2014 0:00:00
Zabezpečení cloudových úložišť se stává čím dál tím větším tématem. Vydělat na něm chce i pražský startup Cryptelo.
Cloudová uložiště jsou momentálně v hledáčku hackerů víc než kdy jindy. K přihlašovacím údajům uživatelů se přitom útočníci mohou dostat i bez průniku do dané služby. Po iCloudu a Gmailu s tím má zkušenost i Dropbox – na pirátských fórech se nedávno objevila přihlašovací data k šesti milionům účtů, zřejmě získaná z jiných služeb.
A problémů bude přibývat. Podle posledního průzkumu brněnské Safeticy totiž vedení tuzemských firem směruje své systémy do cloudů. „Přes osmdesát procent oslovených manažerů a IT šéfů se shoduje na tom, že bezpečnost bude hlavním faktorem pro IT oddělení jejich společností v průběhu příštích tří let,” tvrdí šéf firmy Jakub Mahdal s tím, že se dá očekávat souboj Linuxu hlavně s Applem, který dnes se dostává do nových firem snadněji než dříve. A spojení s IBM cestu nakousnutého jablka do korporátních systémů ještě víc umete.
Zástupci některých oborů k datům v cloudu zůstávají skeptičtí. „Veřejná úložiště a cloudy vnímáme jako riziková. I z hlediska povinnosti zachovávání mlčenlivosti o informacích našich klientů nám to vzhledem k aktuálnímu výkladu judikatury přijde bezpečnější.“ říká Pavel Dudák z advokátní kanceláře Vilímková Dudák & Partners.
Korporace ale na určitých úrovních s cloudovými úložišti běžně pracují. A zaměstnanci někdy řeší problém s omezenými e-mailovými schránkami třeba pomocí služeb typu Ulož.to, kde se pak dají nalézt třeba i korporátní smlouvy. To potvrzuje i Tomáš Havran, který se svou službou Datactive prohledává veřejná úložiště a hledá firemní data. „Nejčastěji nacházíme smlouvy, seznamy klientů i s kontakty, ale třeba nedávno jsme našli i kompletní zdravotní karty pacientů z jedné kanadské nemocnice. Důvodem bývá často jen nepozornost, ale i objevuje se i pomsta bývalých zaměstnanců,” tvrdí Havran.
Firemní data v cloudu
„V minulosti jsme řešili podobný případ a přistoupili jsme k restriktivním opatřením. Veřejná úložiště už nejsou povolena,” popisuje své zkušenosti Markéta Kuklová z Vodafonu.
Striktní jsou i v České spořitelně. „Pro sdílení souborů používáme řešení Google Drive. Ostatní úložiště nejsou povolena. Máme samozřejmě nastavena vnitřní pravidla a security policy, která řeší klasifikaci dat a nakládání s nimi,” tvrdí Tereza Endrštová z České spořitelny. Banka nedávno přešla kompletně na řešení od Googlu. „Máme díky tomu dostatečnou kapacitu – kapacita na Google mail / drive je pro každého uživatele 30 gigabytů,” dodává Endrštová.
V Alze využívají pro sdílení velkých souborů síťových disků a Sharepoint. „Pro některé projekty ale používáme i Dropbox,” dodává mluvčí firmy Šárka Jakoubková.
Na vlastní servery spoléhá i brněnský Webnode. „Máme několik serverů pro interní účely. Na část z nich tedy ukládáme velké soubory. V omezené míře používáme Google Drive, ale jen jako nástroj pro sdílení malých dokumentů, převážně tabulek,” dodává šéf tuzemské pobočky Petr Bláha.
Šifry jsou nejjistější
Cloud otevírá cestu novým firmám a novým službám, které dokáží zašifrovat i těm nejcitlivějším datům, která se musí ve firmě sdílet. „Dropbox a podobné služby stačí jen do chvíle, kdy potřebujete sdílet opravdová tajemství. Některá data jsou natolik citlivá, že o ně radši přijdete, než aby se dostala do nepovolaných rukou,” tvrdí zakladatel libeňského startupu Cryptelo Martin Baroš. Jeho patnáctičlenný tým po čtyřech letech vývoje dokončuje finální testování vlastní služby, která právě zabezpečení dat v cloudu řeší.
„Před pár lety jsem přišel o taková data a s tím i o docela dost peněz. A nemohl jsem pak najít službu, která by mi vyhovovala,” vysvětluje důvody pro rozjezd startupu. Sám Baroš sbíral zkušenosti především v korporátním IT a před odchodem „do svého” se podílel ještě na internetovém bankovnictví Air Bank.
Nejjistější cestou, jak zabezpečit firemní data, je kryptografie. „Prostě ty klíče buď máte nebo nemáte. Nemusíte se spoléhat na nějaké správce nebo na fyzické zabezpečení. Věděli jsme, že to ale neumíme postavit na koleně a hledali jsme experta. Toho jsme našli v podobě uznávané kapacity Vlastimila Klímy. Kupodivu se mu to zalíbilo a během hodinky se stal členem našeho týmu,” dodává Baroš s tím, že Klíma je jedním z předních kryptologů, který pracoval i na tajných bezpečnostních projektech minulého režimu.
„Vyvinuli jsme kryptografické řešení, který splňuje podmínky NSA pro práci s utajovanými materiály na úrovni top secret,” vysvětluje Baroš s tím, že navíc nepoužívá žádné externí služby. Princip šifrovaného úložiště je jednoduchý. Na serveru se drží jenom zašifrovaná data, klíč se generuje na mobilním telefonu nebo jiném vybraném zařízení. „Funguje to tak, že u počítače vytvoříte jeden tunel pro přihlášení a jeden tunel pro přenos dat. Takže z jednoho fyzického zařízení přenesete klíče, z druhého data a rozšifrují se až na tom jednom počítači,” tvrdí.
Podle Baroše je šance nalezení klíče, tedy prolomení šifry, téměř nulová. „Šance najít správný klíč je menší, než že naleznete konkrétní atom v galaxii,” tvrdí a dodává, že se uživatelé Cryptela nemusí bát ani návštěvy tajných služeb. „Můžeme jim dát naše kódy, ale nemáme klíče k datům. Ty má jen klient. Mohou si odnést server, ale to jim bude také k ničemu. Budou mít totiž jen zašifrovaná data. A my ještě k tomu šifrujeme každý soubor unikátním klíčem, takže by to měli hodně těžké,” vysvětluje.
Stavíme globální službu
I vzhledem k ceně deseti tisíc eur ročně cílí Cryptelo hlavně na korporace, advokátní kanceláře, vládní instituce nebo armádu. Tam totiž jde o bezpečnost především. „Bezpečnost sdílených dokumentů jsme důkladně řešili vždycky, letos jsme získali certifikaci na ISO 27000, čímž jsme se dostali ještě na úplně jiný level. Veřejná cloudová úložiště naše vnitřní bezpečnostně informační politiky vylučují. Pro klienty máme proto vyvinut speciální informační systém s naším vlastním zabezpečeným úložištěm. Klient se připojí do zabezpečené zóny na našich vlastních serverech, které máme plně pod kontrolou,“ tvrdí Pavel Hejl z advokátní kanceláře Bird & Bird.
Právě to probíhá v Cryptelu během aktuálního pětiměsíčního testovacího provozu. „Postupně sbíráme certifikace, které potřebujeme pro spolupráci se státní správou. Řešíme třeba prověrky německé tajné služby. To se nedá objednat, DSI totiž úkoluje vláda, a tak je to docela zdlouhavý proces,” dodává Baroš.
Klienty už mají na Palmovce rozjednané a pokud se to podaří dotáhnout, dostanou se do černých čísel už během příštího roku. Ostrý start v Česku a ostatních zemích střední Evropy chystají na únor. Pak by měla následovat expanze do zbytku Evropy. „Na globální kampaň budeme potřebovat peníze, takže zvažujeme na konec příštího roku druhé kolo investování,” vysvětluje s tím, že na letošním londýnském TechCrunch Disruptu už se objevili první investoři, kteří projevili případný zájem o vstup do firmy. Zatím v žilách firmy ale koluje jen desetimilionová „andělská” investice.