Crittografia AES

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora

L'algoritmo di crittografia AES, noto anche come Advanced Encryption Standard, è un cifrario a blocchi simmetrico utilizzato dal governo degli Stati Uniti per proteggere le informazioni classificate. Nel 1997, il National Institute of Standards and Technology ( NIST ) commissionò lo sviluppo di un algoritmo di crittografia che sostituisse il Data Encryption Standard (DES) , diventato vulnerabile agli attacchi di forza bruta con l'aumento della potenza di calcolo. Fu indetto un concorso, i crittografi presentarono diverse proposte e il NIST alla fine proclamò AES vincitore e nuovo standard di crittografia nel 2001. AES vinse perché era un algoritmo di crittografia computazionalmente efficiente che migliorava enormemente la sicurezza e la velocità di crittografia rispetto a DES, 3DES e agli algoritmi concorrenti proposti.

AES è implementato in software e hardware in tutto il mondo per crittografare dati sensibili. Utilizza cifrari a blocchi con diverse lunghezze di chiave, il che garantisce maggiore robustezza e flessibilità, in linea con le previsioni di un aumento della potenza di calcolo secondo la legge di Moore.

• AES-128 utilizza una lunghezza di chiave di 128 bit
• AES-192 utilizza una lunghezza di chiave di 192 bit
• AES-256 utilizza una lunghezza di chiave di 256 bit

Ciascun algoritmo di cifratura crittografa e decrittografa i dati in blocchi di 128 bit utilizzando chiavi crittografiche rispettivamente di 128, 192 e 256 bit.

Sono previsti 10 round per le chiavi a 128 bit, 12 round per le chiavi a 192 bit e 14 round per le chiavi a 256 bit. Un round consiste in diverse fasi di elaborazione che includono la sostituzione, la trasposizione e la miscelazione del testo in chiaro di input per trasformarlo nel testo cifrato di output finale.

Cosa significa questo per una PMI?

La crittografia e la protezione tramite crittografia sono fondamentali per tutte le PMI e i fornitori di servizi gestiti (MSP) al fine di tutelare la riservatezza e l'integrità delle informazioni critiche e sensibili. La crittografia contribuisce inoltre a garantire la disponibilità dei dati, poiché i backup contenenti dati critici e sensibili devono essere protetti tramite crittografia.

Le PMI o i MSP possono essere soggetti a controlli legislativi come CMMC, HIPAA o PCI, che richiedono tutti specifiche forme di crittografia dei dati. Esempi di questi requisiti legislativi includono le cartelle cliniche individuali ai sensi dell'Health Insurance Portability and Accountability Act (HIPAA) , le informazioni PAN delle carte di credito ai sensi del Payment Card Industry Data Security Standard (PCI-DSS) , le informazioni non classificate controllate (CUI) ai sensi dei controlli legislativi CMMC e persino le informazioni personali non pubbliche (NPPI) ai sensi del Regolamento generale sulla protezione dei dati (GDPR) nell'UE o, negli Stati Uniti, del California Consumer Privacy Act.

Una strategia che le PMI possono adottare per soddisfare i requisiti di conformità del settore è quella di NON possedere tali dati, fin dall'inizio. Ad esempio, gli obblighi di conformità PCI possono spesso essere aggirati collaborando con un servizio di pagamento online che esegue l'autorizzazione al credito al di fuori del vostro controllo e fornisce semplicemente un codice di approvazione o autorizzazione. Tuttavia, nei casi in cui una PMI/MSP debba raccogliere e archiviare dati critici e sensibili, è necessario proteggerli tramite crittografia. Oggi, ciò significa utilizzare la crittografia Advanced Encryption Standard (AES), attualmente il metodo algoritmico più potente per produrre funzioni unidirezionali che proteggono i dati da compromissioni ed esposizioni.

Le PMI e gli MSP dovrebbero crittografare laptop e tablet con BitLocker di Microsoft o FileVault di Apple per proteggere i dati critici e sensibili in essi contenuti da qualsiasi compromissione. Questo limita il furto o lo smarrimento di un dispositivo a una perdita o a un costo finanziario, anziché a sanzioni finanziarie più elevate derivanti dalla violazione di dati critici o sensibili regolamentati (record HIPAA, PCI o CMMC).

Come per le chiavi fisiche, la gestione logica delle chiavi è importante. Assicuratevi di conservare le chiavi di decifratura in un luogo sicuro, non sul dispositivo per il quale la chiave decifra i dati. Assicuratevi di proteggere l'uso della chiave con una password complessa, lunga e univoca, memorizzata in un gestore di password che sia a sua volta protetto con controlli password simili e autenticazione a due fattori. Oltre alla crittografia e alla gestione delle chiavi, le aziende possono adottare le seguenti misure per proteggersi ulteriormente dalle compromissioni.

Ulteriori raccomandazioni sulla sicurezza informatica

I suggerimenti che seguono vi aiuteranno a proteggere voi e la vostra azienda dalle diverse minacce che potreste incontrare quotidianamente. Tutti i vantaggi elencati di seguito sono ottenibili avvalendosi dei servizi vCISO di CyberHoot.

1. Gestisci i dipendenti con policy e procedure. Sono necessari almeno una policy sulle password, una policy di utilizzo accettabile, una policy sulla gestione delle informazioni e un programma di sicurezza delle informazioni (WISP) scritto.
2. Formare i dipendenti su come individuare ed evitare attacchi di phishingAdotta un sistema di gestione dell'apprendimento come CyberHoot per insegnare ai dipendenti le competenze di cui hanno bisogno per essere più sicuri, produttivi e protetti.
3. Testare i dipendenti con attacchi di phishing per fare pratica. I test di phishing di CyberHoot consentono alle aziende di testare i dipendenti con attacchi di phishing credibili e di sottoporre coloro che non superano il test a un corso di formazione sul phishing correttivo.
4. Distribuire tecnologie di sicurezza informatica critiche, tra cui autenticazione a due fattori su tutti gli account critici. Abilita il filtro antispam, convalida i backup, implementa la protezione DNS, antiviruse anti-malware su tutti i tuoi endpoint.
5. Nell'era moderna del lavoro da casa, assicurati di gestire i dispositivi personali che si connettono alla tua rete convalidandone la sicurezza (applicazione di patch, antivirus, protezioni DNS, ecc.) o vietandone completamente l'uso.
6. Se non avete effettuato una valutazione del rischio da una terza parte negli ultimi due anni, dovreste farlo ora. Definire un framework di gestione del rischio nella vostra organizzazione è fondamentale per affrontare i rischi più gravi con il tempo e il denaro limitati a disposizione.
7. Acquista un'assicurazione informatica per proteggerti in caso di guasto catastrofico. L'assicurazione informatica non è diversa dalle assicurazioni auto, incendio, alluvione o vita. È al tuo fianco quando ne hai più bisogno.

Tutte queste raccomandazioni sono integrate nel prodotto CyberHoot o nei servizi vCISO di CyberHoot. Con CyberHoot puoi gestire, formare, valutare e testare i tuoi dipendenti. Visita CyberHoot.com e iscriviti oggi stesso ai nostri servizi. Inoltre, continua ad aggiornarti iscrivendoti alle nostre newsletter mensili sulla sicurezza informatica per rimanere sempre al passo con le ultime novità in materia.

Per saperne di più sull'Advanced Encryption Standard (AES), guarda questo breve video di 2 minuti:

Fonti: 

Techopedia

TechTarget

Letture aggiuntive:

Fibre di seta utilizzate per generare chiavi sicure “indistruttibili”

Termini correlati:

crittografia

Full Disk Encryption (FDE)

CyberHoot offre anche altre risorse a tua disposizione. Di seguito trovi i link a tutte le nostre risorse, sentiti libero di consultarle quando vuoi: 

• Blog
• Cybrary (Biblioteca informatica)
• Infografica
• Newsletter
• Comunicati stampa
• Video didattici (HowTo) – molto utile per i nostri SuperUser!

Nota: se desideri iscriverti alla nostra newsletter, visita uno qualsiasi dei link qui sopra (ad eccezione delle infografiche), inserisci il tuo indirizzo email sul lato destro della pagina e clicca su " Inviami newsletter".