Een nieuw systeem genaamd Mylar moet een einde maken aan de datalekken die ontstaan doordat servers worden gehackt, inlichtingendiensten er toegang toe krijgen of systeembeheerders hun nieuwsgierigheid niet kunnen bedwingen. En dat allemaal zonder dat eindgebruikers er iets van merken.

Mylar is bedacht door onderzoekers van het Massachusetts Institute of Technology (MIT) en werknemers van de Meteor Development Group, een softwarebedrijf. Het systeem zorgt ervoor dat de vertrouwelijkheid van de gegevens gewaarborgd blijft, zelfs als aanvallers volledige toegang tot de server hebben. Mylar bereikt dit door de gevoelige gegevens versleuteld op de server te bewaren en de gegevens alleen in de browser van de gebruiker te ontsleutelen.

Uitdagingen

De onderzoekers moesten verschillende uitdagingen oplossen om het systeem werkend te krijgen. Hoewel de documenten versleuteld zijn, maakt Mylar het toch mogelijk om de versleutelde data op sleutelwoorden te doorzoeken. Ook kunnen gebruikers sleutels en versleutelde data op een veilige manier met anderen uitwisselen, zelfs als er op de server een actieve aanvaller aanwezig is.

Als laatste zorgt Mylar ervoor dat de applicatiecode die de client in zijn browser draait authentiek is, zelfs als de server door een aanvaller is overgenomen. Voor deze laatste maatregel moeten gebruikers wel een extra browseruitbreiding installeren. Wil een website zijn bezoekers alleen tegen passieve aanvallen beschermen, dan hoeven gebruikers niet te doen.

Prototype

Om de theorie te bewijzen werd er een prototype van Mylar ontwikkeld, dat bovenop het Meteor framework draait. Dit is een framework voor het ontwikkelen van webdiensten. Voor het overzetten van zes bestaande applicaties moesten gemiddeld slechts 36 regels code worden aangepast. Ook de impact op de prestaties zou erg meevallen. De doorvoer nam met 17% af en bij het versturen van een bericht in een chatapplicatie ontstond er een vertraging van 50 milliseconden. De onderzoekers zullen Mylar tijdens het NSDI USENIX Symposium volgende maand in Seattle presenteren.