Tokenização vs. Encriptação

Definição de encriptação

A encriptação é o processo de utilização de um algoritmo para transformar informações de texto simples numa forma não legível denominada texto cifrado. É necessário um algoritmo e uma chave de encriptação para desencriptar a informação e devolvê-la ao seu formato original de texto simples. Atualmente, a encriptação SSL é normalmente utilizada para proteger as informações quando estas são transmitidas na Internet. Utilizando as capacidades de encriptação incorporadas nos sistemas operativos ou ferramentas de encriptação de terceiros, milhões de pessoas encriptam dados nos seus computadores para se protegerem contra a perda acidental de dados sensíveis no caso de o seu computador ser roubado. Além disso, a encriptação pode ser utilizada para impedir a vigilância governamental e o roubo de dados empresariais sensíveis.

"A encriptação funciona. Os sistemas de criptografia fortes corretamente implementados são uma das poucas coisas em que pode confiar." - Edward Snowden

Na encriptação de chave assimétrica (também designada por encriptação de chave pública), são utilizadas duas chaves diferentes para os processos de encriptação e desencriptação. A chave pública pode ser distribuída livremente, uma vez que só é utilizada para bloquear os dados e nunca para os desbloquear. Por exemplo, um comerciante pode utilizar uma chave pública para encriptar dados de pagamento antes de enviar uma transação para ser autorizada por uma empresa de processamento de pagamentos. Esta última empresa precisaria de ter a chave privada para desencriptar os dados do cartão e processar o pagamento. A encriptação de chave assimétrica é também utilizada para validar a identidade na Internet através de certificados SSL.

Independentemente do tipo de chave utilizado, os utilizadores de encriptação praticam normalmente a rotação regular de chaves para reduzir a probabilidade de uma chave comprometida ser utilizada para desencriptar todos os dados sensíveis. A rotação de chaves limita a quantidade de dados que são encriptados utilizando uma única chave. No caso de uma chave de encriptação ser comprometida, apenas os dados encriptados com essa chave estariam vulneráveis.

Até agora, um dos inconvenientes da encriptação de dados nas aplicações é que a encriptação quebra a funcionalidade da aplicação, como a ordenação e a pesquisa. Uma vez que o texto cifrado está num formato diferente dos dados originais, a encriptação pode também quebrar a validação de campo se uma aplicação exigir formatos específicos dentro de campos como números de cartões de pagamento ou endereços de correio eletrónico. Os novos esquemas de encriptação que preservam a ordem, o formato e a pesquisa estão a facilitar às organizações a proteção das suas informações sem sacrificar a funcionalidade do utilizador final em aplicações críticas para a empresa. No entanto, existe normalmente um compromisso entre a funcionalidade da aplicação e a força da encriptação.

Definição de Tokenização

A tokenização é o processo de transformar uma parte significativa dos dados, como um número de conta, numa cadeia aleatória de caracteres denominada token, que não tem qualquer valor significativo se for violada. Os tokens servem de referência aos dados originais, mas não podem ser utilizados para adivinhar esses valores. Isto porque, ao contrário da encriptação, a tokenização não utiliza um processo matemático para transformar a informação sensível no token. Não existe uma chave ou algoritmo que possa ser utilizado para obter os dados originais de um token. Em vez disso, a tokenização utiliza uma base de dados, designada por cofre de token, que armazena a relação entre o valor sensível e o token. Os dados reais no cofre são então protegidos, muitas vezes através de encriptação.

O valor do token pode ser utilizado em várias aplicações como um substituto para os dados reais. Se os dados reais precisarem de ser recuperados - por exemplo, no caso do processamento de um pagamento recorrente com cartão de crédito - o token é enviado para o cofre e o índice é utilizado para ir buscar o valor real para utilização no processo de autorização. Para o utilizador final, esta operação é executada sem problemas pelo browser ou pela aplicação quase instantaneamente. É provável que nem sequer saiba que os dados estão armazenados na nuvem num formato diferente.

A vantagem dos tokens é que não existe qualquer relação matemática com os dados reais que representam. Se forem violados, não têm qualquer significado. Nenhuma chave os pode reverter para os valores dos dados reais. Também pode ter em consideração a conceção de um token para o tornar mais útil. Por exemplo, os últimos quatro dígitos de um número de cartão de pagamento podem ser preservados no token para que o número tokenizado (ou uma parte dele) possa ser impresso no recibo do cliente para que ele possa ver uma referência ao número real do seu cartão de crédito. Os caracteres impressos podem ser todos asteriscos mais os últimos quatro dígitos. Neste caso, o comerciante tem apenas um token, não um número de cartão real, por motivos de segurança.

Casos de utilização de encriptação e tokenização

O caso de utilização mais comum da tokenização é a proteção dos dados dos cartões de pagamento para que os comerciantes possam reduzir as suas obrigações ao abrigo do PCI DSS. A encriptação também pode ser utilizada para proteger os dados da conta, mas como os dados ainda estão presentes, embora em formato de texto cifrado, a organização tem de garantir que toda a infraestrutura tecnológica utilizada para armazenar e transmitir estes dados está totalmente em conformidade com os requisitos do PCI DSS.

Cada vez mais, os tokens estão a ser utilizados para proteger outros tipos de informação sensível ou pessoalmente identificável, incluindo números de segurança social, números de telefone, endereços de correio eletrónico, números de conta, etc. Os sistemas backend de muitas organizações dependem dos números da Segurança Social, números de passaporte e números de carta de condução como identificadores únicos. Uma vez que este identificador único está integrado nestes sistemas, é muito difícil removê-lo. E estes identificadores também são utilizados para aceder a informações para faturação, estado da encomenda e serviço ao cliente. A tokenização está agora a ser utilizada para proteger estes dados, de modo a manter a funcionalidade dos sistemas de backend sem expor as PII aos atacantes.

Embora a encriptação possa ser utilizada para proteger campos estruturados, como os que contêm dados de cartões de pagamento e informações pessoais, também pode ser utilizada para proteger dados não estruturados sob a forma de passagens textuais longas, como parágrafos ou mesmo documentos inteiros. A encriptação é também a forma ideal de proteger os dados trocados com terceiros e de proteger os dados e validar a identidade em linha, uma vez que a outra parte apenas necessita de uma pequena chave de encriptação. O SSL ou Secure Sockets Layer, a base da partilha segura de dados na Internet atualmente, baseia-se na encriptação para criar um túnel seguro entre o utilizador final e o sítio Web. A encriptação de chave assimétrica é também um componente importante dos certificados SSL utilizados para validar a identidade.

A criptografia e a tokenização são usadas regularmente hoje em dia para proteger os dados armazenados em serviços ou aplicativos de nuvem. Dependendo do caso de uso, uma organização pode usar criptografia, tokenização ou uma combinação de ambos para proteger diferentes tipos de dados e atender a diferentes requisitos regulamentares. O Skyhigh Cloud Access Security Broker (CASB), por exemplo, utiliza um processo unidirecional irreversível para tokenizar as informações de identificação do utilizador no local e ofuscar a identidade da empresa.

À medida que mais dados são transferidos para a nuvem, a criptografia e a tokenização estão sendo usadas para proteger os dados armazenados em serviços de nuvem. Mais concretamente, se uma agência governamental intimar os dados armazenados na nuvem, o fornecedor de serviços só pode entregar informações encriptadas ou tokenizadas, sem forma de desbloquear os dados reais. O mesmo acontece quando um cibercriminoso obtém acesso aos dados armazenados num serviço de nuvem.