Nagy népszerűségnek örvendenek ma a különböző felhőalapú fájlmegosztó- és tároló szolgáltatások. A Dropbox, Google Drive, Microsoft Skydrive használata mindennapi munkafolyamatunk részévé vált, általuk a korábbinál sokkal könnyebb szinkronban tartani, bárhonnan elérhetővé tenni és megosztani adatainkat. Nagyvállalati környezetben azonban a biztonsági megoldások hiányosságai miatt egyelőre még nehezebben terjednek el ezek a szolgáltatások, hiszen abban a szektorban senki sem szeretné, ha a tárhelyszolgáltató belenézhetne a szervereiken tárolt adatokba, vagy a tárhely feltörése után valaki hozzáférhessen a fájlokhoz. Mivel a nagy cégek IT szakemberei, vezetői egyelőre nem bíznak a kiskereskedelmi felhős tárolási rendszerekben, nagyon sok munkahelyen tiltják is ezek használatát, és inkább valami saját rendszert fejlesztenek erre a célra, vagy távolról is, mondjuk VPN kapcsolaton keresztül elérhető megosztott hálózati meghajtókat használnak.
Biztonságos trezor
A Tresorit válasza erre az, hogy már a kliens oldalán titkosítja a „trezorba” helyezett anyagokat. Csak olyan kipróbált, az iparág által univerzálisan biztonságosnak elfogadott kriptográfiai algoritmusokat használnak, amelyeket a most elérhető hardverek számítási kapacitásával belátható időn belül nem lehetne feltörni. A kulcs sosem hagyja el a felhasználó gépét, a trezorban lévő adatokhoz maga a szolgáltató sem férhet hozzá semmilyen módon. Ebből következik a megoldás talán legnagyobb hátulütője is: ha a titkosításhoz használt kulcs valahogy megsemmisül, a felhőben tárolt adatainknak is búcsút mondhatunk.
A biztonságos adattárolás mellett a Tresorit másik célja a lehető legegyszerűbb felhasználói élmény biztosítása. A kliensoldali titkosítási megoldások nem éppen felhasználóbarát működésükről ismertek, és ez főleg a Tresorit által megcélzott nagyvállalati szférában okozhat gondot. Hiába az adott esetben jól működő és megfelelő biztonságot nyújtó szoftver, ha az átlag, alaposabb IT ismereteket nélkülöző munkavállaló túl körülményesnek ítéli meg a használatát, elkezd kiskaput keresni, hogy a látszólag ugyanazt a folyamatot (azaz a fájlmegosztást) gyorsabban tudja elvégezni. Persze tudjuk, hogy ezen alternatív megoldások használatát IT és adatvédelmi vállalati politikák hada tiltja, és megszegésük komoly következményekkel járhat a munkavállalóra nézve, mégis mindenki tisztában van az emberi természet azon oldalával, mely mindig a könnyebben járható utat keresi. Ezért aztán a Tresoritnál annyira komolyan veszik az egyszerű és gyors használhatóságot, hogy a 20 fős csapat közel negyede dolgozik a UX (felhasználói élmény) területen.
A lényeg tehát a hatékony titkosítási technológia összekapcsolása az egyszerű használattal. A hozzá kapcsolt tárhelyszolgáltatás csak egy szükséges lépés a mai piaci viszonyok között, a cég elmondása szerint ha adatainkat már a gépen titkosítanánk, és utána töltenénk fel például a Dropboxba, az is biztonságos lenne. A PGP (Pretty Good Privacy) például megfelelne a célnak, ha az egyszeri felhasználó is tudná használni mindenféle komolyabb előképzettség nélkül, de jelenleg nem ez a helyzet. Terveik szerint a későbbiekben az alkalmazás több másik tárhelyszolgáltatóval is képes lesz együttműködni, és nagyvállalatoknak lehetősége lehet például saját szerverek használatára is. A mostani felhőkapacitást a Microsoft biztosítja az Azure-ral, egyelőre ingyenesen, mert a Tresorit elnyerte a BizSpark Plus ösztöndíjat.
A Tresorit mintegy 2 éves fejlesztés eredménye, a technikai megoldások jó része a Budapesti Műszaki Egyetem nemzetközileg is elismert CrySys biztonságtechnikai laboratóriumában született. A fiatal alapítók tavaly egy komolyabb, 380 millió forintos kockázati tőkebefektetést kaptak, a legnagyobb befektető az Euroventures volt.
Nyilvános bétateszt
A Tresorit szolgáltatása jelenleg ingyen kipróbálható, csak a klienst kell letölteni az oldalukról és egy gyors regisztrációt követően máris lesz 5 GB tárhelyünk, ahol kedvünkre hozhatunk létre trezorokat és tölthetünk fel titkosított adatokat. A most kezdődött nyilvános bétateszt alatt a rendszer működését, stabilitását tesztelik, a nagyvállalati szolgáltatások egyelőre még fejlesztés alatt vannak, és nem elérhetők. A későbbiekben azonban komoly rendszergazdai felületet kapnak a vállalati IT szakemberek, és – mivel a munka folyamán létrehozott adatok, dokumentumok a munkáltató tulajdonát képezik – lehetőség lesz az egyes munkavállalói trezorok kinyitására is. Ez úgy fog működni, mint például egyes harcászati eszközöknél a jóváhagyási procedúra – a trezor tulajdonosán felül még két erre kijelölt személy megkaphatja egy kulcspár egy-egy darabját, és csak a kettő együttes használatával lesz nyitható a fiók.
A kliensben nagyon egyszerűen lehet hozzáférési jogosultságokat osztani külső felhasználók számára, jelenleg három kategória van a tulajdonosin kívül: olvasó, szerkesztő és menedzser.
Egyelőre csak Windows-os kliens érhető el, de már dolgoznak az OS X, Linux, Android, iOS és WP verziókon is.
A vérdíj
A Tresorit csapata annyira bízik a technológiában, hogy 10 000 dolláros ajánlott fel annak, aki először tudja kiszedni egy általuk titkosított trezorból az ott tárolt adatokat. Ehhez még a szervert sem kell feltörni, ahhoz teljes hozzáférést biztosítanak. A verseny április 15-én indul, az első eredményeket az Ethical Hacking konferencián hozzák nyilvánosságra, május 9-én.
„Úgy gondoljuk, egy olyan rendszert sikerült létrehoznunk, hogy mi, mint szolgáltatók sem férnénk hozzá a tárolt adatokhoz, bárhogy is próbálnánk” – nyilatkozta Lám István, a Tresorit ügyvezetője. „Ezt bizonyítani akarjuk, és nem csak nehezen érthető technológiai leírásokkal – ezért a verseny külön szerverén a hackerek a szimulált felhasználók adatait ugyanolyan formában tekinthetik meg, mint maguk a Tresorit rendszergazdái.”
Persze a saját gépünket továbbra is védeni kell, hiszen az azon tárolt adatokat a Tresorit nem titkosítja (erre az operációs rendszerek beépített megoldásai, pl. BitLocker tökéletesen alkalmasak), valamint a felhőben tárolt titkosított adatok kulcsa is azon van. Ez azonban már a felhasználók és/vagy a vállalati rendszergazdák dolga.
