В рамках серии интервью GoCrypto Майк Ермолаев поговорил с Аршадом Нуром, техническим директором StrongKey. Имея более чем 34-летний опыт работы в сфере информационных технологий, Аршад последние 23 года посвятил решению проблем защиты данных с использованием прикладной криптографии. Он спроектировал и построил инфраструктуру открытых ключей (PKI), укрепляющую защиту в банковской, оборонной, телекоммуникационной, фармацевтической, биотехнологической и электронной коммерции – отраслях, которые особенно нуждаются в надежной аутентификации и шифровании. Примечательно, что Нур является автором первой симметричной системы управления ключами с открытым исходным кодом и внес вклад в разработку многочисленных стандартов безопасности. 

В ходе интервью Нур поделился своими мыслями о глобальных системах цифровой идентификации, подчеркнув безотлагательность создания целостной глобальной системы цифровой идентификации, а также признав, что только международно-санкционированные протоколы безопасности могут защитить нашу все более цифровую жизнь. Он также рассказал о токенизации общества и поддержал идею розничной цифровой валюты Центрального банка США (CBDC), тему, о которой он довольно откровенно высказывался в последнее время. Этот разговор является продолжением серии интервью, организованной GoMining, в которой вы поделитесь мнениями ведущих экспертов в области криптовалют и безопасности данных.

Новаторский вклад Нура в цифровую идентификацию и защиту данных

Инновации Нура включают StrongKey Sign-On (SKSO), веб-приложение для строгой аутентификации пользователей без сторонних служб SSO, и StrongKey FIDO Server (SKFS), корпоративное решение с открытым исходным кодом, сертифицированное FIDO для управления учетными данными FIDO, а также PKI2FIDO. , веб-приложение, обеспечивающее более простую и надежную аутентификацию для компаний и государственных учреждений. До прихода в StrongKey Нур работал в таких отраслевых гигантах, как Sun Microsystems, Citibank и BASF Corporation, закрепив за собой репутацию опытного архитектора ИТ-решений и глобального создателя PKI. Его впечатляющий послужной список и специальные знания делают его авторитетным специалистом в области защиты данных и цифровой идентификации, предлагая четкое представление о преобразовательном потенциале этих систем.

Источник: Iiot-world.com

Глобальные стандарты цифровой идентификации нуждаются в гармонизации

Говоря о глобальной системе идентификации, Нур обрисовал ее перспективную структуру, подчеркнув существование множества экосистем идентификации, обслуживающих разнообразные потребности. Он объяснил,

«Несомненно, будет много островков экосистемы идентификации для удовлетворения различных потребностей. В настоящее время существуют стандарты, позволяющие обмениваться атрибутами идентификации – с аттестацией – чтобы они могли быть заслуживающими доверия через границы – примером могут служить паспорта». 

Он отметил, что коммерческое использование атрибутов цифровой идентичности потребует надежной структуры, согласованной странами.

«Как только такая структура – ​​и надежная основа для ее поддержки – будет создана, различные экосистемы могут создавать схемы для обеспечения трансграничного использования»,

Аршад Нур добавил. 

Он также остановился на преимуществах и проблемах, связанных с глобальной системой цифровой идентификации, подчеркнув потенциал роста трансграничной электронной коммерции и конкуренции. Нур отметил:

«Преимущество системы обмена идентификационными данными в глобальном масштабе заключается в том, что она увеличит трансграничную электронную коммерцию; хотя она также усилит конкуренцию за продукты и услуги, от этого выиграют все, кроме тех, кто неконкурентоспособен». 

Однако он подчеркнул необходимость гармонизированного контроля безопасности и конфиденциальности для обеспечения надежности системы, аналогичной гармонизации, наблюдаемой в глобальной торговле.

«Как минимум, для участия в такой системе необходима глобальная основа для контроля безопасности и конфиденциальности. Нет смысла иметь такой стандарт, как GDPR, в ЕС, пока в США нет аналогичного регулирования. Десятки стран по всему миру установили свои уникальные версии правил безопасности и конфиденциальности; Точно так же, как глобальная торговля требует гармонизации правил, регулирующих торговлю и логистику, безопасность и конфиденциальность данных должны быть аналогичным образом гармонизированы во всем мире. Это означает, что группа, ответственная за гармонизацию, должна иметь представителей всех стран – с равными правами голоса – для обеспечения долгосрочного успеха. Хотя это займет время и, скорее всего, поначалу будет неприятным, все же можно заставить работать».

Проблемы беспарольной аутентификации

Нур пролила свет на многочисленные проблемы при внедрении аутентификации без пароля, подчеркнув несколько критических препятствий: корпоративная и государственная инерция, сложность интеграции, групповое мышление при принятии решений, инвестиции в неудачные технологические проекты, превращающие ИТ в «воронку», упущенные возможности. возможности с цифровыми сертификатами X.509 и нынешний акцент на пользовательском опыте (UX), а не на безопасности.

Корпоративная и государственная инерция

По словам Нура, беспарольная аутентификация сталкивается с серьезными проблемами из-за бездействия корпораций и правительств. Он заметил:

«Схемы аутентификации для доступа к распределенным системам и слабости паролей были изобретены с 80-х годов. К сожалению, по мере того, как крупные учреждения инвестируют в каждую новую «блестящую безделушку», которая появляется, сложность интеграции растет в геометрической прогрессии». 

Нур объяснил, что инвестиции в неудачные технологические проекты превратили ИТ в «воронку», заставляя ИТ-руководителей ставить свою карьеру на проекты, которые они не всегда понимают, что приводит к «стадному менталитету».

Он уточнил:

«80% рынка не сделают шаг вперед, пока не увидят, как поживают первые пользователи и не будет доказана рентабельность инвестиций. Но учитывая сложность, существующую в нынешних условиях, измерить такую ​​рентабельность инвестиций очень сложно. Это приводит к инерции». 

Упущенные возможности и второй шанс с FIDO

Он также поразмышлял об упущенной в конце 90-х и начале 2000-х годов возможности внедрить аутентификацию без пароля с помощью цифровых сертификатов X.509, отметив: 

«Промышленность убила «курицу, несущую золотые яйца», завысив цены и недопоставив PKI».

По словам Нура, у FIDO есть второй шанс, но некоторые крупные технологические компании слишком сосредотачиваются на пользовательском опыте (UX), а не на обучении потребителей потребностям безопасности и адаптации поведения. Он постановил,

«Теперь у мира есть второй шанс с FIDO; но в очередной раз некоторые крупнейшие компании в технологической отрасли снова упускают его, предпочитая сосредоточиться на пользовательском опыте (UX), а не на обучении потребителей необходимости безопасности. и, следовательно, адаптация в поведении».

Переход на беспарольную аутентификацию необходим, но детали реализации имеют значение

Обсуждая будущее PKI и аутентификации без пароля, Нур сказал:

«PKI, FIDO и аутентификация без пароля аналогичны — это просто разные стили «рубашек», сшитых из одной и той же «ткани». 

Он подчеркнул, что по сравнению с тем, что предшествовало криптографии с открытым ключом, альтернативы нет, заявив:

«Мир должен перейти на аутентификацию без пароля, чтобы облегчить трясину утечек данных, в которой мы утопаем в настоящее время. Однако детали реализации имеют значение. Подобно тому, как огнестрельное оружие можно использовать для защиты от мародеров, в равной степени можно застрелиться из того же инструмента. ."

Необходима рациональная оценка блокчейна по сравнению с традиционными технологиями

Как отметил Нур, хотя технология блокчейна может технически облегчить бизнес-операции, распределенные базы данных и транзакции с цифровой подписью могут достичь той же цели. 

«Почти все, что можно реализовать с помощью блокчейна, можно было реализовать с помощью традиционных баз данных, использующих криптографию с открытым ключом, в конце 90-х годов – рынок не мог принять такую ​​возможность из-за рецессии, последовавшей за «дот-комами» и ипотекой, связанной с недвижимостью. обвалы ценных бумаг»,

он объяснил. 

«В начале 10-х годов блокчейн захватил воображение некоторых людей в технологической отрасли. Хотя бизнес-процессы, охватывающие компании, технически могут быть реализованы с помощью блокчейна, их можно аналогичным образом реализовать с помощью распределенных баз данных и транзакций с цифровой подписью».

— добавил Нур. 

Однако, по его словам, шумиха и спекулятивные инвестиции вокруг Биткойна затмили практическое и техническое применение технологии блокчейна, что привело к лихорадочному, а иногда и иррациональному внедрению блокчейна без достаточного учета его фактической ценности и реализации.

Он постановил,

«Как только эта лихорадка утихнет, появятся блокчейн-решения с разумной рентабельностью инвестиций для решения некоторых проблем».

Обсуждая конкретные приложения или инновации, которые наиболее перспективны для использования этих технологий для решения текущих и будущих проблем в области защиты данных и управления идентификацией, Нур подчеркнул, что бизнес-процессы, требующие рабочих процессов с участием нескольких сторон, являются естественной проблемой, которую необходимо решить с помощью распределенных систем и общедоступных технологий. ключевая криптография.

Он заключил:

«Независимо от того, следует ли использовать блокчейн или традиционную, но проверенную технологию, это деталь реализации, которую необходимо анализировать, как и любые другие корпоративные финансовые инвестиции».

ФРС должна автоматизировать процентные ставки для более плавного развития экономики

Аршад Нур предполагал, что финансовые рынки со временем станут более эффективными и принесут пользу потребителям во всем мире с введением розничной CBDC в США. Он признал,

«На ранних этапах реализации будут некоторые препятствия; но когда эти неровности утихнут (при сохранении целостности потребителей), система станет продуктивной».

Нур также предвидел, что Федеральная резервная система сместит акцент с текущего процесса установления процентных ставок. Он предложил создать систему автоматического и прозрачного расчета темпов инфляции на периодической основе.

Он постановил,

«Я предполагаю, что Федеральная резервная система решит отвлечься от текущего процесса установления процентных ставок и просто будет платить 2% сверх текущего уровня инфляции в любой конкретный день. Эффективность, полученная от этой стратегии, будет аналогична эффективности автомобилей, переходящих от Вкладчики всегда будут вознаграждены разумной нормой прибыли, в то время как тратители будут нести то, что им придется за свою расточительность, зная, что индивидуальные решения о покупке больше не должны зависеть от небольшой группы руководителей центральных банков, встречающихся несколько раз в год. В следующем году это позволит экономике достичь «более плавного движения», поскольку ставки автоматически изменятся в соответствии с темпами инфляции, преобладающими на рынке». 

Нур предоставил Федеральной резервной системе подробные комментарии по вопросам кибербезопасности, связанные с CBDC, которые доступны на их веб-сайте. Он сказал,

 «Хотя розничные транзакции CBDC будут прозрачными по своей природе, с соответствующими методами шифрования и псевдонимизации, поддерживаемыми новой и прозрачной нормативной базой для расшифровки таких транзакций, законопослушные граждане могут быть уверены, что их личные транзакции будут защищены и останутся конфиденциальными с помощью соответствующих технологий. и правила».

Однако он предупредил, что гнусная деятельность вряд ли исчезнет из Интернета:

«Это заложено в человеческой природе, где возможен арбитраж экономических условий и результатов. Общество должно ответить на вопрос: сколько денег оно готово потратить на сохранение конфиденциальности личности?»

 Он пришел к выводу, что в эпоху до появления компьютеров и Интернета защита конфиденциальной информации была относительно недорогой, требуя лишь номинальных сумм на замки/ключи и простых процедур. В эпоху цифровых технологий стоимость будет значительной. Нур подчеркнул:

«Хотя технологии с открытым исходным кодом могут радикально снизить затраты, создание, функционирование и обеспечение соблюдения нормативной базы для сохранения конфиденциальности – и мер безопасности, которые это повлечет за собой – потребуют значительных обязательств в долгосрочной перспективе».

 

Отказ от ответственности: данная статья предназначена только для информационных целей. Он не предлагается и не предназначен для использования в качестве юридических, налоговых, инвестиционных, финансовых или других рекомендаций.