Google menambahkan enkripsi sisi klien ke Gmail dan Kalender. Haruskah Anda peduli? – Ars Technica

Pada hari Selasa, Google membuat enkripsi sisi klien tersedia untuk grup terbatas pengguna Gmail dan Kalender dalam langkah yang dirancang untuk memberi mereka kontrol lebih besar atas siapa yang melihat komunikasi dan jadwal yang sensitif.

Enkripsi sisi klien adalah istilah umum untuk semua jenis enkripsi yang diterapkan pada data sebelum dikirim dari perangkat pengguna ke server. Sebaliknya, dengan enkripsi sisi server, perangkat klien mengirimkan data ke server pusat, yang kemudian menggunakan kunci yang dimilikinya untuk mengenkripsinya saat disimpan. Inilah yang dilakukan Google hari ini. (Supaya jelas, data dikirim dienkripsi melalui HTTPS, tetapi didekripsi setelah Google menerimanya.)

Enkripsi sisi klien Google menempati jalan tengah di antara keduanya. Data dienkripsi pada perangkat klien sebelum dikirim (melalui HTTPS) ke Google. Data hanya dapat didekripsi pada perangkat endpoint dengan kunci yang sama yang digunakan oleh pengirim. Ini memberikan manfaat tambahan karena data akan tetap tidak dapat dibaca baik oleh Google Insider atau peretas jahat yang berhasil menyusup ke server Google.

Singkatnya CSE, enkripsi sisi klien sudah tersedia untuk pengguna Google Drive, Dokumen, Slide, Spreadsheet, dan Meet Google Workspace, yang dijual perusahaan ke bisnis. Mulai Selasa, Google akan meluncurkannya ke pelanggan Gmail dan Calendar Workspace.

“Workspace sudah mengenkripsi data saat istirahat dan dalam transit menggunakan pustaka kriptografi yang aman sesuai desain,” Ganesh Chillakapati, Manajer Produk Google Group untuk Google Workspace, dan Andy Wynne, Manajer Manajemen Produk untuk Google Workspace Security, buku. “Enkripsi sisi klien dengan kemampuan enkripsi ini membawa kemampuan enkripsi ini ke tingkat selanjutnya dengan memastikan bahwa pelanggan memiliki kendali tunggal atas kunci enkripsi mereka — dan dengan demikian kendali penuh atas semua akses ke data mereka.”

Mungkin berlebihan untuk mengatakan bahwa Google CSE memberi pelanggan “kontrol tunggal” atas kunci enkripsi mereka. Ini karena kunci CSE dapat dikelola oleh beberapa layanan kunci enkripsi pihak ketiga yang bermitra dengan Google. Secara teknis, ini berarti bahwa penyedia ini setidaknya memiliki kendali atas sakelar. Google memberi pengguna CSE opsi untuk menyiapkan layanan utama mereka dengan a API Google.

CSE sangat berbeda dengan enkripsi email PGP (privasi sangat baik) yang populer di kalangan orang yang sadar akan keamanan satu dekade lalu. Sistem ini menyediakan enkripsi end-to-end yang sebenarnya dimana isinya hanya dapat didekripsi dengan kunci yang dimiliki penerima. Kesulitan mengelola kunci yang berbeda untuk setiap ujung akhirnya terbukti terlalu rumit, terutama dalam skala besar, sehingga penggunaan PGP sebagian besar telah hilang dan digantikan oleh aplikasi enkripsi ujung ke ujung seperti Signal.

Berikut ini ikhtisar data ruang kerja yang tidak dilindungi CSE dan tidak dilindungi:

Tujuan CSE adalah untuk menempati organisasi yang memiliki persyaratan kepatuhan ketat yang dipaksakan oleh undang-undang atau kewajiban kontraktual. CSE memberi pelanggan ini lebih banyak kontrol atas data yang disimpan Google sekaligus mempermudah pengguna yang berwenang untuk mendekripsi untuk berbagi dan berkolaborasi.

“Pengguna dapat terus berkolaborasi di seluruh aplikasi inti lainnya di Google Workspace, sementara tim TI dan keamanan dapat memastikan data sensitif tetap mematuhi peraturan,” kata postingan Google pada hari Selasa. “Karena pelanggan memegang kendali atas kunci enkripsi dan layanan manajemen identitas mengakses kunci tersebut, data sensitif tidak dapat didekripsi ke Google dan entitas luar lainnya.”

Google diterbitkan tahun lalu video ini Dirancang untuk menunjukkan apa itu pengalaman pengguna.

Lingkaran biru dengan pelindung pada gambar berikut menunjukkan bahwa konten dalam dokumen, kalender, atau obrolan video dilindungi oleh CSE:

Tentu saja, CSE hanya berfungsi jika perangkat lunaknya belum diubah. Jika itu diubah dengan jahat untuk menyimpan kunci atau menyalin data yang tidak terenkripsi, semua taruhan dibatalkan.

Secara keseluruhan, Custom Search Engine memberikan peningkatan bertahap atas perlindungan yang tersedia dari Google saat ini. Orang dan organisasi dengan penggunaan atau persyaratan khusus mungkin menganggapnya berguna, tetapi kemungkinan besar mereka tidak akan diminta oleh massa dalam waktu dekat.