O Google adiciona criptografia do lado do cliente ao Gmail e ao Agenda.  Você deveria se importar?  – Ars Technica
O Google adiciona criptografia do lado do cliente ao Gmail e ao Agenda.  Você deveria se importar?

Google

Na terça-feira, o Google lançou a criptografia do lado do cliente para um grupo limitado de usuários do Gmail e do Agenda para dar a eles mais controle sobre quem vê comunicações e agendas confidenciais.

A criptografia do lado do cliente é um termo geral para qualquer tipo de criptografia aplicada aos dados antes de serem enviados de um dispositivo de usuário para um servidor. Com a criptografia do lado do servidor, por outro lado, o dispositivo cliente envia os dados para um servidor central, que os criptografa com as chaves em sua posse enquanto são armazenados. Isso é o que o Google faz hoje. (Para ser claro, os dados são enviados criptografados por HTTPS, mas são descriptografados assim que o Google os recebe.)

A criptografia do lado do cliente do Google atinge um meio termo entre os dois. Os dados são criptografados no dispositivo cliente antes de serem enviados ao Google (via HTTPS). Os dados só podem ser descriptografados em um computador terminal com a mesma chave usada pelo remetente. Isso oferece uma vantagem incremental, pois os dados permanecem ilegíveis para usuários internos ou hackers mal-intencionados do Google que conseguem comprometer os servidores do Google.

Abreviado como CSE, a criptografia do lado do cliente já estava disponível para usuários do Google Drive, Documentos, Apresentações, Planilhas e Meet para Google Workspace, que a empresa vende para empresas. A partir de terça-feira, o Google está lançando para os clientes do Gmail e do Calendar Workspace.

“O Workspace criptografa dados já em repouso e em trânsito usando bibliotecas de criptografia de design seguro”, Ganesh Chilakapati, gerente de produto do grupo do Google para o Google Workspace, e Andy Wen, diretor de gerenciamento de produtos do Google Workspace Security, escreveu. “A criptografia do lado do cliente leva esse recurso de criptografia para o próximo nível, garantindo que os clientes tenham controle exclusivo de suas chaves de criptografia – e, portanto, controle total de todo o acesso aos seus dados.”

Provavelmente é um exagero dizer que o CSE do Google oferece aos clientes “controle exclusivo” de suas chaves de criptografia. Isso ocorre porque as chaves CSE podem ser gerenciadas por vários serviços de chave de criptografia de terceiros que funcionam com o Google. Tecnicamente, isso significa que esses provedores terão pelo menos algum controle sobre as chaves. O Google oferece aos usuários do CSE a capacidade de configurar seu próprio serralheiro com um Interface de programação do Google.

O CSE difere significativamente da criptografia de e-mail PGP (Pretty Good Privacy), popular entre as pessoas preocupadas com a segurança há uma década. Esse sistema oferecia uma verdadeira criptografia de ponta a ponta, pois o conteúdo só podia ser descriptografado com uma chave mantida pelo destinatário. A dificuldade de manter uma chave diferente para cada parte acabou se mostrando muito incômoda, especialmente em escala, então o uso de PGP praticamente desapareceu, sendo substituído por aplicativos de criptografia de ponta a ponta como o Signal.

Aqui está uma visão geral dos dados do espaço de trabalho que o CSE protege e não protege:

serviço Dados criptografados do lado do cliente dados que são não criptografado no lado do cliente
Google Drive
  • Arquivos criados com editores do Google Docs (documentos, planilhas, apresentações)
  • Arquivos carregados, como PDFs e arquivos do Microsoft Office
  • título do arquivo
  • Metadados do arquivo, como proprietário, criador e hora da última modificação
  • Rótulos de unidade (também chamados de metadados de unidade)
  • Conteúdo vinculado que reside fora do Documentos ou do Drive (por exemplo, um vídeo do YouTube vinculado a um Documento Google)
  • Configurações do usuário, por exemplo B. Estilos de cabeçalho do documento
gmail
  • Corpo do e-mail, incluindo imagens embutidas
  • Documentos anexadosObservação: Anexar arquivos do Drive criptografados do lado do cliente ainda não é compatível
  • Cabeçalho do e-mail, incluindo listas de assunto, data e hora e destinatários
Calendário do Google
  • Descrição do Evento
  • Arquivos do Drive anexados (se o CSE for Drive estiver ativado)
  • Transmissões de áudio e vídeo do Meet (se o CSE estiver ativado para o Meet)
Todo o conteúdo, exceto a descrição do evento, anexos e datas do encontro, por exemplo por exemplo.:

  • título do evento
  • Horários de início e término do evento
  • lista de entrada
  • Quartos reservados
  • Inscreva-se pelo número de telefone
  • link para reunião
Google Meet
  • fluxos de áudio
  • Transmissões de vídeo (incluindo compartilhamento de tela)
  • Todos os dados, exceto fluxos de áudio e vídeo

O meio-termo que o CSE foi projetado para adotar destina-se a organizações com requisitos de conformidade rígidos exigidos por lei ou contrato. O CSE oferece a esses clientes mais controle sobre os dados armazenados pelo Google, ao mesmo tempo em que facilita a descriptografia de usuários autorizados para compartilhamento e colaboração.

“Os usuários podem continuar a colaborar em outros aplicativos importantes no Google Workspace, enquanto as equipes de TI e segurança podem garantir que os dados confidenciais estejam em conformidade”, disse o Google em um post na terça-feira. “Como os clientes mantêm o controle das chaves de criptografia e do serviço de gerenciamento de identidade para acessar essas chaves, os dados confidenciais são indecifráveis ​​para o Google e outras entidades externas”.

No ano passado, o Google publicou Esse vídeo projetado para mostrar como é a experiência do usuário.

Solução para soberania digital com o Google Workspace.

O círculo azul com o escudo nas imagens a seguir indica que o conteúdo do documento, calendário ou bate-papo por vídeo está protegido por CSE:

Obviamente, o CSE só funciona se o software não tiver sido modificado. Caso seja modificado de forma maliciosa para armazenar chaves ou cópias de dados não criptografados, tudo é possível.

No geral, o CSE oferece uma melhoria incremental em relação às proteções atuais do Google. Pessoas e organizações com usos ou necessidades específicas podem achá-los úteis, mas as massas provavelmente não vão clamar por eles tão cedo.

By Carlos Jorge

"Proud coffee expert. Webaholic. Zombie guru. Introvert. Avid beer aficionado. Analyst. Total TV practitioner. Award-winning foodie. Student."

Deixe uma resposta

O seu endereço de email não será publicado. Campos obrigatórios marcados com *