У рамках серії інтерв’ю GoCrypto Майк Єрмолаєв поспілкувався з Аршадом Нуром, технічним директором StrongKey. Маючи понад 34 роки досвіду в інформаційних технологіях, останні 23 роки Аршад присвятив вирішенню проблем захисту даних за допомогою прикладної криптографії. Він розробив і побудував інфраструктури відкритих ключів (PKI) – зміцнення захисту в банківській справі, обороні, телекомунікаціях, фармацевтиці, біотехнологіях та електронній комерції – галузях, які особливо потребують надійної автентифікації та шифрування. Примітно, що Нур є автором першої симетричної системи керування ключами з відкритим вихідним кодом і зробив внесок у численні стандарти безпеки.
Під час інтерв’ю Нур поділився думками про глобальні системи цифрової ідентифікації, наголошуючи на необхідності побудови цілісної глобальної системи цифрової ідентифікації разом із визнанням того, що лише міжнародно схвалені протоколи безпеки можуть захистити наше все більш цифрове життя. Він також говорив про токенізацію суспільства та підтримав ідею роздрібної цифрової валюти Центрального банку США (CBDC), тему, про яку він останнім часом досить відкрито. Ця розмова є продовженням серії інтерв’ю, створених на базі GoMining, і пропонує вам ідеї провідних експертів у сфері криптовалюти та безпеки даних.
Піонерський внесок Noor у цифрову ідентифікацію та захист даних
Інновації Noor включають StrongKey Sign-On (SKSO), веб-додаток для надійної автентифікації користувачів без сторонніх служб SSO, і StrongKey FIDO Server (SKFS), корпоративне рішення з відкритим вихідним кодом, сертифіковане FIDO, для керування обліковими даними FIDO разом із PKI2FIDO , веб-додаток, що забезпечує простішу та надійнішу автентифікацію для компаній і державних установ. До того як приєднатися до StrongKey, Нур працював у галузевих гігантах, таких як Sun Microsystems, Citibank і BASF Corporation, закріпивши свою репутацію досвідченого архітектора ІТ-рішень і глобального розробника PKI. Його вражаючий послужний список і спеціальні знання зробили його провідним авторитетом із захисту даних і цифрової ідентичності, пропонуючи чітке уявлення про трансформаційний потенціал цих систем.
Джерело: Iiot-world.com
Глобальні стандарти цифрової ідентифікації потребують гармонізації
Говорячи про глобальну систему ідентичності, Нур окреслив її перспективну структуру, наголошуючи на існуванні кількох екосистем ідентичності, які обслуговують різноманітні потреби. Він пояснив,
«Безсумнівно, буде багато острівців ідентифікаційних екосистем, які задовольнять різноманітні потреби. Наразі існують стандарти, які дозволяють обмінюватися ідентифікаційними атрибутами – з атестацією – щоб вони могли бути надійними через кордони – прикладом є паспорти».
Він зазначив, що комерційне використання атрибутів цифрової ідентифікації потребуватиме надійної структури, узгодженої країнами.
«Після створення такої структури — і надійної основи для підтримки цієї структури — різні екосистеми можуть створювати схеми для забезпечення транскордонного використання»,
– додав Аршад Нур.
Він також розглянув переваги та проблеми, пов’язані з глобальною системою цифрової ідентифікації, підкресливши потенціал для зростання транскордонної електронної комерції та конкуренції. Нур зазначив,
«Перевага системи для глобального обміну ідентифікаційними даними полягає в тому, що вона збільшить транскордонну електронну комерцію; водночас вона також збільшить конкуренцію за продукти та послуги, виграють усі, крім неконкурентоспроможних».
Однак він наголосив на необхідності узгодженого контролю безпеки та конфіденційності для забезпечення надійності системи, подібної до гармонізації, яка спостерігається у світовій торгівлі.
«Щонайменше те, що потрібно для участі в такій структурі, — це глобальна базова лінія для контролю безпеки та конфіденційності. Немає сенсу мати такий стандарт, як GDPR, у ЄС, тоді як у США немає еквівалентного регулювання. Десятки країн по всьому світу встановили свої унікальні версії правил безпеки та конфіденційності; подібно до того, як глобальна торгівля вимагає узгодження правил торгівлі та логістики, безпека даних і конфіденційність повинні бути аналогічно гармонізовані в усьому світі. Це означає, що група, відповідальна за гармонізацію, повинна мати представництво від кожної нації – з рівними правами голосу – для забезпечення довгострокового успіху. Хоча це займе час – і, ймовірно, буде безладним на початку – це можна змусити працювати».
Проблеми в автентифікації без пароля
Нур пролив світло на численні проблеми впровадження автентифікації без пароля, наголошуючи на кількох критичних бар’єрах: корпоративна та державна інерція, складність інтеграції, групове мислення в прийнятті рішень, інвестиції в невдалі технологічні проекти, які перетворюють ІТ на «раковину», втрачене можливості з цифровими сертифікатами X.509, і нинішній акцент на взаємодії з користувачем (UX) над безпекою.
Корпоративна та урядова інерція
За словами Нура, автентифікація без пароля стикається з серйозними проблемами через бездіяльність компаній і уряду. Він зауважив,
«Схеми автентифікації для розподілених систем і недоліків паролів були винайдені з 80-х років. На жаль, оскільки великі установи інвестують у кожну нову «блискучу дрібничку», яка з’являється, складність інтеграції зростає експоненціально».
Нур пояснив, що інвестиції в невдалі технологічні проекти перетворили ІТ на «раковину», що змушує ІТ-керівників робити ставку на проекти, які вони не завжди розуміють, що призводить до «стадного менталітету».
Він уточнив,
«80% ринку не зроблять жодного кроку, доки не побачать, як живуть перші користувачі та не буде підтверджена рентабельність інвестицій. Але з урахуванням складності, яка існує в поточному середовищі, виміряти таку рентабельність інвестицій дуже важко. Це призводить до інерції».
Втрачені можливості та другий шанс із FIDO
Він також згадав про втрачену можливість наприкінці 90-х і на початку 2000-х запровадити автентифікацію без пароля за допомогою цифрових сертифікатів X.509, зазначивши,
«Промисловість убила «гуску, яка знесла золоті яйця», завищивши ціни та не надаючи PKI».
За словами Нура, у FIDO є другий шанс, але деякі великі технологічні компанії зосереджуються на досвіді користувача (UX), а не на навчанні споживачів щодо потреб безпеки та адаптації поведінки. Він заявив,
«Тепер у світу є другий шанс із FIDO; але деякі з найбільших компаній у технологічній індустрії знову втрачають його, вирішуючи зосередитися на досвіді користувача (UX), а не на навчанні споживачів щодо необхідності безпеки, і, отже, адаптація в поведінці».
Перехід на автентифікацію без пароля є важливим, але деталі реалізації мають значення
Обговорюючи майбутнє PKI та автентифікації без пароля, Нур сказав:
«PKI, FIDO та автентифікація без пароля аналогічні – це просто різні стилі «сорочок», викроєних з однієї «тканини».
Він підкреслив, що порівняно з тим, що передувало криптографії з відкритим ключем, немає альтернативи, стверджуючи,
«Світ повинен перейти на автентифікацію без пароля, щоб полегшити трясовину витоку даних, у якій ми зараз потопаємо. Однак деталі реалізації мають значення. Наскільки вогнепальну зброю можна використовувати для захисту від мародерів, так само можна застрелитися з того ж знаряддя. ."
Необхідна раціональна оцінка для блокчейну проти традиційних технологій
Як зазначив Нур, хоча технологія блокчейн може технічно полегшити бізнес-операції, розподілені бази даних і транзакції з цифровим підписом можуть досягти тієї ж мети.
«Майже все, що можна реалізувати за допомогою блокчейну, можна було реалізувати за допомогою традиційних баз даних із використанням криптографії з відкритим ключем наприкінці 90-х – ринок не міг прийняти таку можливість через рецесію після «доткомов» та іпотеки, пов’язаної з нерухомістю. -знищення забезпечених цінних паперів»,
— пояснив він.
«На початку 10-х років блокчейн захопив уяву деяких людей у технологічній індустрії. Хоча бізнес-процеси, що охоплюють компанії, можуть бути реалізовані технічно за допомогою блокчейну, вони також можуть бути реалізовані за допомогою розподілених баз даних і транзакцій із цифровим підписом»,
– додав Нур.
Однак, за його словами, ажіотаж і спекулятивні інвестиції навколо біткойна затьмарили практичне і технічне застосування технології блокчейну, що призвело до гарячкового, а часом і нераціонального впровадження блокчейну без належного розгляду його фактичної цінності та впровадження.
Він заявив,
«Як тільки ця лихоманка вщухне, для вирішення деяких проблем з’являться блокчейн-рішення з прийнятною рентабельністю інвестицій».
Обговорюючи конкретні додатки чи інновації, які є найбільш перспективними для використання цих технологій для вирішення поточних і майбутніх проблем із захистом даних і керування ідентифікацією, Нур підкреслив, що бізнес-процеси, які вимагають робочих процесів із залученням кількох сторін, є природною проблемою, яку потрібно вирішити за допомогою розподілених систем і публічних систем. ключ криптографії.
Він зробив висновок,
«Чи слід використовувати блокчейн чи традиційну – але перевірену – технологію – це деталь реалізації, яку потрібно проаналізувати, як і будь-які інші корпоративні фінансові інвестиції».
ФРС має автоматизувати процентні ставки для більш плавної економічної їзди
Аршад Нур передбачив, що фінансові ринки з часом стануть більш ефективними та принесуть користь споживачам у всьому світі завдяки впровадженню роздрібної CBDC у США. Він визнав,
«На ранніх етапах у реалізації будуть певні труднощі; але коли ці нерівності врегульовуються (при цьому споживачі залишаються цілими), система стане продуктивною».
Нур також передбачив, що Федеральна резервна система змінить фокус зі свого поточного процесу встановлення процентних ставок. Він запропонував створити систему автоматичного і прозорого періодичного розрахунку рівня інфляції.
Він заявив,
«Я уявляю, що Федеральна резервна система вирішить зосередитися на своєму поточному процесі встановлення процентних ставок і просто сплачуватиме 2% понад будь-який поточний рівень інфляції в будь-який день. Ефективність, отримана від цієї стратегії, буде подібна до ефективності автомобілів, що виходять з Заощаджувачі завжди будуть винагороджені розумною нормою прибутку, тоді як марнотратники будуть нести те, що вони повинні за свою марнотратність, знаючи, що індивідуальні рішення про купівлю більше не повинні залежати від невеликої групи керівників центральних банків року, це дозволить економіці досягти «більш плавної їзди», оскільки ставки автоматично змінюються відповідно до рівня інфляції, що панує на ринку».
Нур надав Федеральному резерву докладні коментарі щодо проблем кібербезпеки, пов’язаних із CBDC, доступні на їхньому веб-сайті. Він сказав:
«Хоча роздрібні транзакції CBDC будуть прозорими за своєю природою, з відповідними методами шифрування та псевдонімізації, підтримуваними новою та прозорою нормативною базою для розшифровки таких транзакцій, законослухняні громадяни можуть бути впевнені, що їхні особисті транзакції будуть захищені та зберігаються конфіденційними за допомогою відповідної технології і правила».
Однак він попередив, що негідна діяльність навряд чи зникне з Інтернету:
«Це властиво людській природі, де можливий арбітраж в економічних умовах і результатах. Питання, на яке суспільство має відповісти: скільки грошей воно готове витрачати на збереження конфіденційності особи?»
Він дійшов висновку, що в епоху до комп’ютерів/до Інтернету захист конфіденційної інформації був відносно недорогим, вимагаючи лише номінальних сум для замків/ключів і простих процедур. У цифрову епоху вартість буде значною. Нур підкреслив,
«Хоча технології з відкритим вихідним кодом можуть значно скоротити витрати, створення, функціонування та забезпечення дотримання нормативної бази для збереження конфіденційності та засобів контролю безпеки, які це спричинить, вимагатимуть значних зобов’язань у довгостроковій перспективі».
Відмова від відповідальності: ця стаття надається лише для інформаційних цілей. Він не пропонується та не призначений для використання як юридичні, податкові, інвестиційні, фінансові чи інші поради.