Sunucu Tarafı Şifreleme ile İstemci Tarafı Şifreleme: Belirleyici Fark

Hemen hemen her transkripsiyon hizmeti “şifreleme” ile reklam yapar. Ancak her şifreleme aynı derecede iyi korumaz. Belirleyici fark algoritmada değildir - anahtarın kimde olduğundadır.

Bu makale, sunucu tarafı ile istemci tarafı şifreleme arasındaki farkı ve bunun ses dosyalarınız için neden temel bir fark yarattığını açıklar.

“Encryption at rest” gerçekte ne anlama gelir

“Encryption at rest” şu anlama gelir: Veriler şifreli olarak saklanır. İşin püf noktası: Anahtar sağlayıcıdadır. Veritabanı erişimi olan her çalışan, her bulut yöneticisi ve sunucuyu ele geçiren her saldırgan verilerin şifresini çözebilir.

Çoğu bulut hizmeti, veriler diske yazıldığında bunları şifreler. Bu, fiziksel disklerin çalınmasına karşı korur - profesyonel veri merkezlerinde nadiren gerçekleşen bir senaryo. Ancak şunlara karşı koruma sağlamaz:

• Uygulamaya yönelik saldırılar: Uygulamaya sızan biri, şifre çözme işlevine de erişir.
• İçeriden erişim: Sağlayıcının yöneticileri verileri istediği zaman okuyabilir.
• Resmi talepler: Sağlayıcı verilerin şifresini çözüp teslim edebilir.
• Yapay zekâ eğitimi: Sağlayıcı verilerinizi modellerini iyileştirmek için kullanabilir.

Kısacası: Sunucu tarafı şifreleme diski korur, verilerinizi değil.

İstemci tarafı şifrelemenin farkı

İstemci tarafı şifrelemede ses dosyanız, sunucuya ulaşmadan önce tarayıcıda şifrelenir. Sunucu yalnızca şifrelenmiş veri blokları saklar - anahtarı saklamaz. Parolanız olmadan saklanan veriler okunamaz.

Ayrıntılı akış:

• 1. Anahtar üretme: Her dosya için tarayıcıda kendi 256-bit anahtarı oluşturulur (File Encryption Key).
• 2. Yerel şifreleme: Ses dosyası doğrudan tarayıcıda AES-256-GCM ile şifrelenir. Sunucu yalnızca şifrelenmiş baytlar alır.
• 3. Anahtarı güvenceye alma: Dosya anahtarı, kişisel ana anahtarınızla şifrelenir ve böylece sunucuda saklanır. Parolanız olmadan kimse ona erişemez.

Sonuç: Sunucuda yalnızca şifrelenmiş veriler bulunur. Anahtarınız olmadan kimse bunların şifresini çözemez ve sağlayıcı anahtarı saklamaz.

Doğrudan karşılaştırma

Aşağıdaki tablo farkı bir bakışta gösterir:

• Kim şifreliyor? Sunucu tarafı şifreleme: sağlayıcı. İstemci tarafı şifreleme: tarayıcınız.
• Anahtarın kilidini kim açabilir? Sunucu tarafı şifreleme: sağlayıcı. İstemci tarafı şifreleme: yalnızca siz, parolanızla.
• Sağlayıcı saklanan verileri parolanız olmadan okuyabilir mi? Sunucu tarafı şifreleme: evet. İstemci tarafı şifreleme: hayır.
• Veri sızıntısında koruma? Sunucu tarafı şifreleme: sınırlı (anahtar çoğu zaman birlikte ele geçirilir). İstemci tarafı şifreleme: yüksek, çünkü veriler parolanız olmadan okunamaz (anahtar sunucuda yalnızca şifreli olarak bulunur).
• Resmi makamlara teslim? Sunucu tarafı şifreleme: sağlayıcı şifreyi çözebilir. İstemci tarafı şifreleme: sağlayıcı yalnızca şifrelenmiş veri blokları saklar, anahtar saklamaz.
• GDPR Md. 34(3)(a)? Sunucu tarafı şifreleme: veri sızıntısında bildirim yükümlülüğü. İstemci tarafı şifreleme: veriler parola olmadan okunamadığından ilgili kişilere bildirim genellikle gerekmez (GDPR Md. 34(3)(a)).

Sunucuda nelerin saklandığı

İstemci tarafı şifrelemede sunucuda kalıcı olarak yalnızca şifrelenmiş veriler bulunur. Transkripsiyon şifreli olarak saklanır; sağlayıcı bunun anahtarını saklamaz. Özgün ses dosyaları işlemeden sonra otomatik olarak silinir - sunucuda yalnızca şifrelenmiş bir oynatma sürümü kalır.

Sonuç: Saklanan transkriptler ve ses dosyaları parolanız olmadan okunamaz ve bunların anahtarını biz saklamayız.

Bir hizmetin hangi şifrelemeyi kullandığını nasıl anlarsınız

Bir transkripsiyon hizmeti “Verileriniz şifrelidir” diyorsa, doğrudan şunları sorun:

• “Şifre çözme anahtarı kimde?”- Sağlayıcıdaysa, bu sunucu tarafı şifrelemedir.
• “Çalışanlarınız transkriptlerimi okuyabilir mi?” - Sunucu tarafı şifreleme kullanan dürüst sağlayıcılarda yanıt şudur: teorik olarak evet.
• “Bir veri sızıntısında ne olur?”- Sağlayıcı GDPR Md. 34 uyarınca bildirim yükümlülüklerinden söz ediyorsa, bu şifresi çözülebilir verilere işaret eder.
• “Şifrelemeyi kendim doğrulayabilir miyim?” - İstemci tarafı şifrelemede, tarayıcının ağ sekmesinden yalnızca şifrelenmiş baytların yüklendiğini kontrol edebilirsiniz.

Sunucu tarafı şifreleme ne zaman yeterlidir?

Sunucu tarafı şifreleme baştan kötü değildir. Kritik olmayan içerikler için - örneğin halka açık bir podcast’in transkripsiyonu - yeterli olabilir. Ancak şunlar için:

• Tıbbi diktelar ve hasta görüşmeleri
• Hukuk bürolarındaki müvekkil görüşmeleri
• Yönetim kurulu toplantıları ve strateji görüşmeleri
• Gizli kaynaklarla yapılan gazetecilik röportajları
• İK görüşmeleri ve çalışan değerlendirmeleri
• Mahkeme duruşmaları ve tanık ifadeleri

… istemci tarafı şifreleme, gerçek koruma sunan tek mimaridir. Çünkü burada söz konusu olan, bir sağlayıcının verilerinizi kötüye kullanıp kullanmayacağı değildir - saklanan verileri parolanız olmadan okuyamayacak olmasıdır.

Sonuç

“Şifreli”, “korumalı” ile aynı şey değildir. Belirleyici fark, anahtarı kimin denetlediğindedir. Sunucu tarafı şifreleme diskleri korur. İstemci tarafı şifreleme verilerinizi korur: Saklanan veriler parolanız olmadan kimse tarafından okunamaz. Gizli ses kayıtlarıyla çalışan herkes bu farkı bilmelidir.