Sterkere kryptering er nødvendig Datatilsynet har vurdert den anbefalte krypteringsstyrken på nytt.

Når sensitive personopplysninger overføres over eksterne datanett krever Datatilsynet at informasjonen beskyttes gjennom bruk av kryptering. I denne forbindelsen har vi også satt et kvantitativt "krav" (i form av sterk anbefaling) til krypteringsstyrken. Det har til nå blitt regnet som tilstrekkelig med DES-algoritme og 56 bits nøkkelrom. Denne anbefalingen ble satt ut fra tilgjengelig utstyr for den aktuelle målgruppen, samt hvilken krypteringsstyrke som ble regnet som tilstrekkelig.

Utviklingen går raskt, og Datatilsynet har nå sett det nødvendig å vurdere kravet på nytt. Maskinkraften i dagens utstyr er nå så sterk at det er mulig i løpet av forholdsvis kort tid å bryte et kryptogram som er kryptert med DES56 ved hjelp av "brute force"-metoden. I tillegg er utstyr som kan gi mye sterkere kryptering nå er gjort enklere tilgjengelig, blant annet som følge av lettelser i eksportrestriksjoner fra USA.

Datatilsynet går derfor ut med ny anbefaling, nemlig bruk av krypteringsstyrke tilsvarende "DES128" (112 bits effektiv nøkkel).

Hva med tidligere løsninger som er i bruk?
En problemstilling er hvorvidt dette kan/bør gis tilbakevirkende kraft. I henhold til personopplysningslovens § 13 skal den behandlingsansvarlige "gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet". § 2-4 i forskriften til loven sier at ny risikovurdering skal gjennomføres ved endringer som har betydning for sikkerheten.

Det forholdet at maskinkraften er blitt så sterk at et kryptogram som er kryptert med DES56 (eller tilsvarende) kan knekkes innen rimelig tid, må sies å være en endring som har betydning for sikkerheten. Strengt tatt vil dette derfor kunne få innvirkning på de tiltak en virksomhet har gjort for å sikre konfidensialitet.

På den annen side er det klart at denne utviklingen har skjedd og skjer gradvis, slik at det er vanskelig å sette et skarpt tidsskille for når en gitt krypteringsstyrke ikke kan brukes lenger. Ikke desto mindre vil kryptering med DES56 (eller tilsvarende) etter hvert bli så svak at det ikke kan anses som tilfredsstillende tiltak.

Bør vurdere oppgradering
Mange virksomheter bør vurdere å oppgradere sine systemer slik at krypteringsstyrken gjenspeiler det som kan anses for tilstrekkelig. Foreløpig vil Datatilsynet ved alle nye henvendelser gi anbefaling slik det er beskrevet over. På et senere tidspunkt vil vi vurdere å påpeke overfor virksomheter at den krypteringsstyrken som er valgt ikke er tilstrekkelig dersom de ikke har oppgradert.

----------------------------------------------------------------
© 2001 Datatilsynet. Ettertrykk er tillatt etter tydelig kildeangivelse.