Kryptering i fintech: slik sikres finansielle data

Hver gang du betaler med kort, logger inn i nettbanken eller sender penger i en app, er det kryptering som gjør det trygt. Teknologien er usynlig for brukeren, men den er selve fundamentet i moderne finansteknologi. Nå står feltet foran den største omleggingen på flere tiår, drevet av utsiktene til kvantedatamaskiner. Her er en oversikt over hvordan kryptering faktisk fungerer i finans, og hva som er i ferd med å endre seg.

Kort om hva kryptering gjør

Kryptering gjør lesbare data om til noe uleselig for alle som ikke har riktig nøkkel. Fanger noen opp datatrafikken mellom mobilen din og banken, ser de bare tilfeldige tegn.

Det finnes to hovedtyper. Symmetrisk kryptering bruker samme nøkkel til å låse og låse opp – raskt, men begge parter må ha nøkkelen. Asymmetrisk kryptering bruker et nøkkelpar, der en offentlig nøkkel låser og en privat nøkkel låser opp. Det løser problemet med å utveksle nøkler over et usikkert nett, men er tregere.

I praksis kombineres de: asymmetrisk kryptering brukes til å etablere forbindelsen, og symmetrisk kryptering til å beskytte selve dataene.

[SETT INN ELEMENT HER: «sd-fintech-krypteringsmetoder»]

Det er verdt å rydde opp i dette, siden det gjentas ofte. Blokkjedeteknologi er ikke en krypteringsmetode.

En blokkjede bruker hashing for å knytte blokker sammen, og digitale signaturer for å bekrefte at en transaksjon er gyldig. Innholdet i en offentlig blokkjede er som regel ikke skjult i det hele tatt – tvert imot er åpenheten hele poenget. Teknologien gir integritet og sporbarhet, altså sikkerhet for at data ikke er endret, men den gjør dem ikke hemmelige. Vil du lese mer om hvordan dette oppsto, har vi en artikkel om historien om Bitcoin.

Kvantetrusselen og de nye standardene

Dette er den store endringen i feltet. Dagens asymmetriske kryptering, som RSA og ECC, hviler på matematiske problemer som er praktisk talt umulige for vanlige datamaskiner å løse. En tilstrekkelig kraftig kvantedatamaskin vil derimot kunne knekke dem.

Slike maskiner finnes ikke ennå. Likevel haster det, på grunn av et angrepsmønster som kalles «harvest now, decrypt later»: å samle inn kryptert data i dag og lagre den til man senere har utstyret som trengs for å låse den opp. For opplysninger som skal være hemmelige i mange år framover – kontoopplysninger, helsedata, forretningshemmeligheter – er trusselen dermed reell allerede nå.

Svaret er ikke kvantekryptografi, som krever spesialisert utstyr, men post-kvantekryptografi: nye algoritmer som kjører på helt vanlige maskiner og motstår angrep fra begge typer datamaskiner.

Krypteringsmetodene forklart

Metode	Hva den gjør	Brukes til
AES symmetrisk	Samme nøkkel krypterer og dekrypterer. Svært rask.	Kryptering av lagrede data og av selve datatrafikken
RSA og ECC asymmetrisk	Offentlig nøkkel krypterer, privat nøkkel dekrypterer. Tregere, men løser nøkkelutveksling.	Å opprette sikker forbindelse, og digitale signaturer
Hashing	Lager et unikt «fingeravtrykk» av data. Kan ikke reverseres – er ikke kryptering.	Passordlagring, integritetssjekk og blokkjeder
Homomorf kryptering	Lar deg regne på data uten å dekryptere dem først. Fortsatt tungt å bruke i praksis.	Analyse av sensitive data i skytjenester
Post-kvantekryptografi	Nye algoritmer som skal motstå angrep fra kvantedatamaskiner. Kjører på vanlig maskinvare.	Skal erstatte RSA og ECC i årene som kommer

Merk: blokkjede er ikke i seg selv en krypteringsmetode. Teknologien bygger på hashing og digitale signaturer, som er noe annet enn å skjule innholdet i data.

For finansbransjen betyr dette en storstilt utskifting av algoritmer i alt fra betalingsterminaler til nettbank – et arbeid som tar år, og som mange allerede er i gang med.

Homomorf kryptering

En annen utvikling verdt å nevne er homomorf kryptering, som lar deg utføre beregninger på krypterte data uten å dekryptere dem først.

Potensialet er stort: en bank kunne analysere kundedata i en skytjeneste uten at skyleverandøren noen gang ser innholdet. I praksis er metoden fortsatt tung og treg, og brukes i begrensede sammenhenger. Men den peker mot en interessant retning der personvern og databehandling ikke lenger står i motsetning til hverandre.

De fire teknologiene som former fintech

Kryptering står ikke alene. Bransjen omtaler gjerne fire teknologier som til sammen driver utviklingen:

• Kunstig intelligens brukes til å oppdage svindel i sanntid, vurdere kredittrisiko og drifte kundeservice.
• Blokkjede gir sporbare og etterprøvbare transaksjonsregistre.
• Skytjenester gir skalerbarhet, men flytter samtidig ansvaret for datasikkerhet inn i nye ledd.
• Stordata gir grunnlag for risikostyring og tilpassede tjenester.

Fellesnevneren er at alle fire øker mengden sensitive data i omløp – og dermed hvor mye som avhenger av at krypteringen holder.

Hva gjelder i Norge?

Norske finansforetak er underlagt strenge krav til IKT-sikkerhet, med Finanstilsynet som tilsynsmyndighet. I tillegg kommer personvernregelverket, der Datatilsynet fører tilsyn, og felles europeiske krav til digital motstandsdyktighet i finanssektoren.

For deg som kunde er det viktigste i praksis noe annet: sterk kundeautentisering. Det er derfor du må bekrefte innlogging og betalinger med BankID eller tilsvarende. Kryptering beskytter dataene i transitt, men det er autentiseringen som hindrer at noen andre bruker kontoen din. Vi går gjennom det praktiske i artiklene om betalingstjenester som PayPal og sikkerhet på mobilen.

Denne artikkelen er generell teknologisk informasjon og ikke sikkerhetsfaglig eller juridisk rådgivning.

Kilder

• NIST – de tre første ferdigstilte standardene for post-kvantekryptografi
• Nasjonal sikkerhetsmyndighet – grunnprinsipper for IKT-sikkerhet
• Finanstilsynet – regulering og IKT-sikkerhet i finanssektoren

Ofte stilte spørsmål (FAQ)

Hva er forskjellen på AES og RSA?
AES er symmetrisk og bruker samme nøkkel begge veier – raskt, og brukes til selve dataene. RSA er asymmetrisk med et nøkkelpar, og brukes til å opprette sikker forbindelse og til digitale signaturer.

Er blokkjede en form for kryptering?
Nei. Blokkjede bygger på hashing og digitale signaturer, som sikrer at data ikke er endret. Innholdet i en offentlig blokkjede er som regel åpent, ikke skjult.

Hva er post-kvantekryptografi?
Nye krypteringsalgoritmer som skal motstå angrep fra kvantedatamaskiner, men som kjører på vanlig maskinvare. NIST ferdigstilte de tre første standardene i august 2024.

Kan kvantedatamaskiner knekke dagens kryptering?
Ikke i dag – slike maskiner finnes ennå ikke. Men data som samles inn nå, kan låses opp senere, og derfor har overgangen til nye algoritmer allerede startet.

Hva er homomorf kryptering?
En metode som lar deg regne på krypterte data uten å dekryptere dem først. Lovende for analyse av sensitive data i skyen, men fortsatt tungt å bruke i praksis.

Hvem fører tilsyn med sikkerheten i norske finansforetak?
Finanstilsynet fører tilsyn med finansforetakene, mens Datatilsynet fører tilsyn med behandling av personopplysninger.