Tyto dva bezpečnostní koncepty mohou znít podobně, ale jsou zcela odlišné.
Přestože koncepty nulové důvěry a nulových znalostí jsou kritickými součástmi dnešních trendů kybernetické bezpečnosti, nejsou totéž.
Znějí poněkud podobně a mají společný účel, ale nulová znalost jde o krok dále než nulová důvěra ve vytvoření bezpečnostního systému, který dokáže čelit neustále se vyvíjejícím kybernetickým hrozbám.
Ve skutečnosti lze důkaz s nulovými znalostmi použít k proměně myšlenek modelu bezpečnosti s nulovou důvěrou ve skutečnost. Než však budeme pokračovat, ujasněme si, co tyto dva pojmy jsou.
Co je nulová důvěra?
Stručně řečeno, ústřední myšlenkou konceptu nulové důvěry je „nevěř nikomu, prověřuj každého“. V rámci nulové důvěry tedy neexistuje žádná důvěra mezi sítí a jejími uživateli, sítí a jejími hardwarovými a softwarovými komponentami ani mezi organizací a jejími uživateli.
S předpokladem, že každý a všechno je hrozbou, dokud se neprokáže opak, bezpečnost nulové důvěryhodnosti vždy před povolením přístupu k aplikacím a datům za nimi žádá o určitý druh ověření. Všichni uživatelé v rámci nulové důvěryhodnosti musí být nejprve ověřeni, autorizováni a projít hodnocením stavu zabezpečení.
Nulová důvěra také umožňuje správcům IT zajistit úplný přehled o všech uživatelích, zařízeních a systémech. To nejen zajišťuje soulad s předpisy, ale také pomáhá vyhnout se kybernetickým útokům způsobeným kompromitovanými přihlašovacími údaji uživatele a zmírňuje úniky dat. Takže je jich víc než pár důvody pro přijetí modelu zabezpečení s nulovou důvěrou.
Co jsou nulové znalosti?
Koncept nulových znalostí se snaží přijít na to, jak může někdo prokázat, že má něco důvěrného, například citlivou informaci, aniž by cokoli z toho odhalil. V kontextu šifrování s nulovými znalostmi, zabezpečení s nulovými znalostmi zajišťuje, že data uživatele jsou šifrována předtím, než uživatel komunikuje s poskytovatelem služeb. Data lze také dešifrovat pomocí jedinečného klíče, který poskytovatel nezná – tento klíč má pouze uživatel.
Díky šifrování s nulovými znalostmi tedy nikdo kromě uživatele nemůže přistupovat ke svým datům v jejich nešifrované podobě. V ideálním případě by nikdo kromě uživatele neměl mít přístup k datům v zašifrované podobě, ale země v rámci Aliance pěti očí, devíti očí a 14 očí řekl by jinak.
V kybernetické bezpečnosti lze nulové znalosti považovat za součást modelu nulové důvěry, jak to umožňuje akce, jako je autentizace, které mají být provedeny bez odhalení jakýchkoli citlivých informací o uživatelů.
Nulová důvěra vs. Zero-Knowledge: Podobnosti a rozdíly
Pokud je sloganem konceptu nulové důvěry „nikomu nedůvěřuj“, slogan nulové znalosti je „nevíme nic“. I když tyto dva koncepty mají společný účel – tedy posílení bezpečnosti dat a kybernetické bezpečnosti celkově – nefungují stejným způsobem.
V kybernetické bezpečnosti lze nulové znalosti považovat za součást modelu nulové důvěry, jak to umožňuje akce, jako je autentizace, které mají být provedeny bez odhalení jakýchkoli citlivých informací o uživatelů.
Model nulových znalostí lze využít k ochraně soukromí dat, protože poskytovatel služeb o něm má „nulové znalosti“. Ve většině případů se tato data skládají z hesel, přihlašovacích údajů a dalších citlivých informací. Mnoho typů dvoufaktorové autentizace (2FA) a vícefaktorové autentizace (MFA) využívá nulové znalosti model, což znamená, že nebudete muset sdílet tajemství ani poskytovat žádné citlivé informace k ověření identita.
2FA i MFA jsou kritickými součástmi rámce nulové důvěry, který je dále podporován šifrováním a segregací dat. Poskytovatel služeb, který využívá bezpečnostní rámce s nulovou znalostí a nulovou důvěrou, si může být jistý svými systémy jsou chráněny před vnitřními i vnějšími hrozbami a že v případě dat nebudou ohrožena žádná citlivá data porušení.
Nulová důvěra vs. Nulové znalosti: Co je pro kybernetickou bezpečnost důležitější?
Neexistuje žádný důvod, proč by si odborníci na kybernetickou bezpečnost měli vybírat mezi bezpečnostními koncepty s nulovou důvěrou a nulovými znalostmi. Poté, co jsme zjistili, jak tyto dva fungují v kybernetické bezpečnosti, můžeme vidět nulové znalosti jako kritickou součást bezpečnostního modelu s nulovou důvěrou.
Měli bychom také poznamenat, že i když se implementace konceptu nulové důvěry může zdát teoreticky jednoduchá, v praxi se to snadněji řekne, než udělá.
