Kako funkcionira kriptografija i zaštita podataka

Što je kriptografija i zašto je ključna za vašu digitalnu sigurnost

Kriptografija je matematička znanost koja omogućava pretvaranje čitljivih podataka u šifrirani oblik koji mogu pročitati samo ovlaštene osobe. U digitalnom dobu, ona je temelj svake online transakcije, poruke ili pohrane osjetljivih informacija.

Kada unesete podatke kreditne kartice na web stranici, pošaljete WhatsApp poruku ili pristupite internetskom bankarstvu, kriptografija štiti te podatke od neovlaštenog pristupa. Prema podacima europske agencije za kibernetsku sigurnost ENISA, u EU-u je 2024. godine zabilježeno 3.205 incidenata vezanih uz kršenje sigurnosti podataka, s prosječnim troškom od 4,24 milijuna eura po incidentu.

U Hrvatskoj je situacija još uvijek zabrinjavajuća - izvještaj HAKOM-a iz 2024. pokazuje da čak 62% kršenja podataka uključuje neadekvatnu enkripciju. Problem nije u slabosti algoritama, već u lošem upravljanju ključevima i nepravilnoj implementaciji. Kako to točno funkcionira i što možete učiniti da zaštitite svoje podatke?

Kako kriptografija pretvara vaše podatke u nečitljiv kod

Moderna kriptografija koristi matematičke algoritme koji podatke pretvaraju pomoću ključa - niza brojeva koji služi kao "lozinka" za šifriranje i dešifriranje. Bez ispravnog ključa, šifrirani podaci su praktički beskorisni.

Postoje dva osnovna tipa kriptografije:

Simetrična enkripcija - jedan ključ za sve

Kod simetrične enkripcije, isti ključ se koristi za šifriranje i dešifriranje podataka. Najpoznatiji primjer je AES (Advanced Encryption Standard) koji koriste sve hrvatske banke - Zagrebačka banka, Erste i Raiffeisenbank - za zaštitu online bankarstva. AES-256, najjača verzija, koristi ključ od 256 bitova, što znači 2^256 mogućih kombinacija - broj toliko velik da bi najmoćnija računala trebala milijarde godina za probijanje.

Prednost simetrične enkripcije je brzina - AES s hardverskom akceleracijom (AES-NI) dodaje manje od 1% latencije. Prema mjerenjima HAKOM-a, prosječno povećanje latencije iznosi samo 0,3-0,8 milisekundi, što je neprimjetno za korisnike.

Problem? Ključ mora biti siguran. Ako napadač dobije pristup ključu, svi podaci su kompromitovani. Zato se simetrična enkripcija koristi za velike količine podataka, ali razmjena ključeva zahtijeva dodatnu zaštitu.

Asimetrična enkripcija - javni i privatni ključ

Asimetrična kriptografija rješava problem razmjene ključeva koristeći par ključeva: javni ključ (koji možete dijeliti) i privatni ključ (koji držite tajnim). Kada vam netko želi poslati šifriranu poruku, koristi vaš javni ključ za šifriranje. Samo vi, s privatnim ključem, možete je dešifrirati.

RSA (Rivest-Shamir-Adleman) i eliptičke krivulje (ECC) su najčešći asimetrični algoritmi. Hrvatska vlada u svom planu digitalne transformacije prelazi s RSA-2048 na RSA-4096 i ECC, nakon što je istraživanje portala Netokracija 2024. otkrilo da neki sustavi još koriste zastarjele standarde.

Asimetrična enkripcija je sporija od simetrične, pa se u praksi kombiniraju - asimetrična za razmjenu ključa, simetrična za šifriranje podataka. To je osnova HTTPS protokola koji koristi 94% hrvatskih web stranica.

Što kaže GDPR i hrvatski zakoni o zaštiti podataka

Opća uredba o zaštiti podataka (GDPR) od 25. svibnja 2018. obvezuje sve subjekte koji obrađuju osobne podatke građana EU-a - uključujući Hrvatsku - da implementiraju odgovarajuće tehničke mjere zaštite, uključujući enkripciju.

U Hrvatskoj nadzor provodi Agencija za zaštitu osobnih podataka (AZOP), a kazne mogu biti drakonske:

• Do 10 milijuna eura ili 2% godišnjeg globalnog prometa za manje ozbiljna kršenja
• Do 20 milijuna eura ili 4% godišnjeg globalnog prometa za ozbiljna kršenja (npr. neovlašteno otkrivanje osobnih podataka)

Zakon o kibernetskoj sigurnosti - obveze za kritičnu infrastrukturu

Zakon o kibernetskoj sigurnosti, donesen 2018. i ažuriran 2023., obvezuje operatore kritične infrastrukture (energetika, zdravstvo, promet) i pružatelje digitalnih usluga da:

1. Implementiraju enkripciju za osjetljive podatke
2. Prijave sigurnosne incidente HAKOM-u u roku od 72 sata
3. Provode redovite sigurnosne revizije
4. Dokumentiraju politike upravljanja ključevima

Prema izvještaju CARNet-a iz 2024., samo 34% malih i srednjih poduzeća u Hrvatskoj ima implementiranu enkripciju za osjetljive podatke, dok je kod velikih poduzeća taj postotak 87%. CARNet zagovara subvencionirane alate za mala poduzeća kako bi se smanjio taj jaz.

NIS2 direktiva - nove obveze od listopada 2024.

Hrvatska je u listopadu 2024. u potpunosti implementirala NIS2 direktivu, koja proširuje obveze kibernetske sigurnosti na više sektora - vodoopskrbu, gospodarenje otpadom i digitalne platforme. Procjenjeni troškovi usklađivanja za hrvatska mala i srednja poduzeća kreću se između 5.000 i 50.000 eura jednokratno.

HAKOM koordinira provedbu s EU agencijama i vodi registar operatora kritične infrastrukture. Sve informacije dostupne su na službenoj stranici HAKOM-a.

Koliko košta implementacija kriptografije u Hrvatskoj

Cijena sigurnosti varira ovisno o veličini organizacije i razini zaštite, ali postoje rješenja za svaki budžet - od besplatnih SSL certifikata do enterprise rješenja vrijednih desetaka tisuća eura.

Za građane, osnovne mjere zaštite mogu biti besplatne ili vrlo pristupačne. Let's Encrypt nudi besplatne SSL certifikate, Signal i ProtonMail nude besplatnu end-to-end enkripciju za poruke i e-mail, a kvalitetni VPN servisi (NordVPN, ExpressVPN, ProtonVPN) koštaju između 3 i 12 eura mjesečno.

Kako kriptografija štiti vaše svakodnevne aktivnosti

Kriptografija nije samo za banke i vlade - ona štiti svaku vašu online aktivnost, često bez da to i primijetite.

Online bankarstvo i plaćanje karticama

Kada se prijavite na online bankarstvo Zagrebačke banke, Erste ili Raiffeisenbank, vaša veza je zaštićena TLS 1.3 protokolom (najnovija verzija Transport Layer Security) i AES-256 enkripcijom. To znači da čak i da netko presretne vaše podatke na mreži, vidjet će samo nečitljiv niz znakova.

HAKOM nadzire sve financijske institucije i zahtijeva redovite sigurnosne revizije. Prema njihovim smjernicama, banke moraju koristiti minimalno 2048-bitnu RSA enkripciju, iako većina već prelazi na 4096-bitnu.

Messaging aplikacije - tko može pročitati vaše poruke?

Ne sve aplikacije za razmjenu poruka pružaju istu razinu sigurnosti:

• WhatsApp i Signal: End-to-end enkripcija standardno (Signal Protocol) - čak ni WhatsApp ne može pročitati vaše poruke
• Viber: Opcijska end-to-end enkripcija - morate je ručno aktivirati u postavkama
• Telegram: Enkripcija samo u "tajnim chatovima" - standardni chatovi nisu end-to-end enkriptirani
• SMS: Potpuno nezaštićen - operater i bilo tko s pristupom mreži može čitati poruke

Prema istraživanju CARNet-a, 62% hrvatskih korisnika interneta koristi aplikacije s end-to-end enkripcijom, ali mnogi ne razumiju razliku između različitih razina zaštite.

E-mail - najslabija karika

Standardni e-mail protokol (SMTP) ne nudi enkripciju sadržaja - poruka putuje internetom u čitljivom obliku. Čak i kad koristite HTTPS za pristup Gmailu ili Outlooku, poruka je šifrirana samo između vas i poslužitelja, ali ne i tijekom prijenosa između poslužitelja.

Rješenja:

• ProtonMail (Švicarska, besplatno do 500 MB): End-to-end enkripcija, nema pristupa sadržaju
• Tutanota (Njemačka, besplatno do 1 GB): Automatska enkripcija svih poruka
• PGP (Pretty Good Privacy): Otvoreni standard za enkripciju e-maila, ali zahtijeva tehničko znanje

Cijena premium verzija kreće se od 4 do 12 eura mjesečno, što je minimalna investicija za zaštitu poslovne komunikacije.

Javni Wi-Fi - najveća prijetnja u kafićima i zračnim lukama

Javne bežične mreže u kafićima, hotelima i na javnim prostorima u Zagrebu, Splitu ili Rijeci predstavljaju visok sigurnosni rizik. Napadač na istoj mreži može presresti nezaštićeni promet i ukrasti lozinke, podatke o karticama ili pristupiti vašim računima.

Obavezno koristite VPN (Virtual Private Network) na javnim mrežama. VPN stvara enkriptirani tunel između vašeg uređaja i VPN poslužitelja, čineći sve podatke nevidljivima za napadače na lokalnoj mreži.

Korištenje VPN-a je potpuno legalno u Hrvatskoj - nema zakonskih ograničenja. Međutim, korištenje VPN-a za zaobilaženje geografskih ograničenja (npr. gledanje Netflix sadržaja iz drugih regija) krši uvjete korištenja tih usluga, ali nije kazneno djelo.

Upravljanje ključevima - 70% sigurnosti ovisi o tome

Najjači algoritam na svijetu beskoristan je ako se ključevi čuvaju u običnoj tekstualnoj datoteci ili dijele nesigurnim kanalima. Prema izvještaju HAKOM-a, loše upravljanje ključevima uzrok je većine kršenja podataka u Hrvatskoj.

Osnovni principi sigurnog upravljanja ključevima

1. Nikad ne čuvajte ključeve uz šifrirane podatke - kao da zakljujete sef i ključ ostavite na vratima
2. Koristite Hardware Security Module (HSM) ili cloud key management - AWS KMS, Azure Key Vault ili Google Cloud KMS
3. Rotirajte ključeve minimalno jednom godišnje - HAKOM preporučuje kvartalno za kritične sustave
4. Implementirajte kontrolu pristupa - samo ovlaštene osobe mogu pristupiti ključevima
5. Dokumentirajte sve procese - GDPR zahtijeva evidenciju tko je, kada i zašto pristupio ključevima

Hrvatskim tvrtkama dostupni su međunarodni cloud servisi za upravljanje ključevima, ali domaćih pružatelja praktički nema. AWS KMS i Azure Key Vault imaju podatkovne centre u EU-u (Frankfurt, Amsterdam), što osigurava usklađenost s GDPR-om.

Što se događa kad ključ bude kompromitiran?

Ako sumnjate da je privatni ključ otkriven, morate:

1. Odmah opozvati stari ključ
2. Generirati novi par ključeva
3. Ponovno šifrirati sve podatke s novim ključem
4. Prijaviti incident HAKOM-u (ako ste operator kritične infrastrukture)
5. Obavijestiti korisnike ako su osobni podaci kompromitovani (GDPR obveza u roku 72 sata)

Troškovi ovise o opsegu - za mala poduzeća nekoliko tisuća eura, za velike organizacije stotine tisuća eura.

Kvantna prijetnja - hoće li kvantna računala slomiti sve šifre?

Kvantna računala teoretski mogu slomiti trenutne asimetrične algoritme (RSA, ECC), ali to nije prijetnja sutra - realistična vremenska procjena je 10-15 godina.

Američki NIST (National Institute of Standards and Technology) objavio je u kolovozu 2024. finalizirane standarde za post-kvantnu kriptografiju - algoritme otporne na kvantne napade. Algoritmi uključuju CRYSTALS-Kyber (za razmjenu ključeva) i CRYSTALS-Dilithium (za digitalne potpise).

Što to znači za Hrvatsku?

Prema istraživanju Bug.hr-a, samo 23% hrvatskih organizacija svjesno je potrebe za post-kvantnom kriptografijom, a samo 12% ima plan migracije. Hrvatska vlada u planu digitalne transformacije predviđa postupan prijelaz između 2025. i 2030., s ukupnim procijenjenim troškovima između 50 i 200 milijuna eura za javni sektor.

HAKOM preporučuje da organizacije počnu s planiranjem do 2026., jer će migracija biti složen i dugotrajan proces. RSA-2048 smatrat će se sigurnim do oko 2030., ali RSA-4096 i eliptičke krivulje pružaju dodatni sigurnosni prostor.

"Harvest now, decrypt later" napadi

Istraga Netokracije iz 2024. otkrila je zabrinutost oko "harvest now, decrypt later" napada - napadači prikupljaju šifrirane podatke danas s nadom da će ih kvantna računala moći dešifrirati za 10-15 godina. To je posebno problematično za dugoročno osjetljive podatke poput medicinskih zapisa, državnih tajni ili intelektualnog vlasništva.

Rješenje: Prijelaz na post-kvantne algoritme što prije, čak i ako kvantna prijetnja nije neposredna.

Sedam najvećih zabluda o kriptografiji

Kriptografija je puna mitova i pogrešnih shvaćanja koja mogu dovesti do lažnog osjećaja sigurnosti. Evo najčešćih zabluda koje mogu biti opasne.

Zabluda 1: Duža lozinka = bolja sigurnost

Realnost: Nasumičnost i jedinstvenost važniji su od duljine. Lozinka "KucaPlavaVrata2024" s 18 znakova lošija je od "xK9#mQ2$pL7@" s 12 znakova jer je prva predvidljiva, a druga potpuno nasumična. Prema CARNet studiji, 73% hrvatskih korisnika još uvijek koristi isključivo lozinke bez višefaktorske autentifikacije (MFA). HAKOM je učinio MFA obveznim za kritičnu infrastrukturu.

Zabluda 2: Enkripcija vas čini anonimnim

Realnost: Enkripcija štiti sadržaj, ne metapodatke. Čak i potpuno šifrirana poruka otkriva pošiljatelja, primatelja, vrijeme slanja i veličinu poruke. GDPR zahtijeva zaštitu i metapodataka jer oni mogu otkriti osjetljive informacije. Prema analizi Bug.hr-a, kriminalci se često hvataju kroz analizu metapodataka, ne sadržaja komunikacije.

Zabluda 3: "Vojna" enkripcija je nesalomiva

Realnost: "Vojna razina" je marketinški izraz bez standardne definicije. AES-256, koji koristi američka vojska, može biti kompromitiran lošim upravljanjem ključevima. Hrvatski slučaj iz 2023. pokazao je da su šifrirani vladini podaci bili kompromitovani zbog slabog čuvanja ključeva, ne zbog slabosti algoritma. Lekcija: Snaga algoritma = 30% sigurnosti, implementacija = 70%.

Zabluda 4: Besplatni VPN-ovi su sigurni

Realnost: Besplatni VPN-ovi često monetiziraju korisničke podatke. Istraživanje je pokazalo da 68% besplatnih VPN aplikacija zahtijeva pretjerane dozvole (lokacija, kontakti, SMS). Korištenje VPN-a je legalno u Hrvatskoj, ali korištenje za zaobilaženje geografskih ograničenja (npr. Netflix) krši uvjete korištenja. Preporuka: Platite 3-12 eura mjesečno za renomirani VPN (ExpressVPN, NordVPN, ProtonVPN).

Zabluda 5: Enkripcija značajno usporava internet

Realnost: Moderna enkripcija s hardverskom akceleracijom (AES-NI) dodaje manje od 1% latencije. HTTPS stranice učitavaju se istom brzinom kao HTTP. HAKOM zahtijeva enkripciju za osjetljivi promet i nije zabilježen nikakav negativan utjecaj na brzinu. Prosječno povećanje latencije: 0,3-0,8 ms (neosjetno za korisnike).

Zabluda 6: Stražnja vrata u enkripciji potrebna su za policiju

Realnost: Stražnja vrata slabe sigurnost za sve. Agencije za provedbu zakona EU-a (CEPOL) protive se stražnjim vratima jer stvaraju ranjivosti koje kriminalci mogu iskoristiti. Hrvatska vlada podržava jaku enkripciju i nema planova za zakonodavstvo o stražnjim vratima. Stručni konsenzus: Stražnja vrata su veća prijetnja nego pomoć.

Zabluda 7: Blockchain automatski znači sigurnost

Realnost: Mnogi blockchain projekti koriste zastarjelu kriptografiju. HAKOM razvija smjernice za blockchain (očekuju se 2025.), ali trenutno regulatorna jasnoća je ograničena. Hrvatska usvajanje blockchaina je ograničeno na fintech startupe. Rizik: Implementacija je važnija od same tehnologije.

Praktični koraci za zaštitu vaših podataka danas

Ne morate biti stručnjak za kibernetsku sigurnost da biste značajno poboljšali zaštitu svojih podataka. Evo konkretnih koraka koje možete poduzeti odmah.

Za građane

1. Aktivirajte višefaktorsku autentifikaciju (MFA) na svim računima - Google, Facebook, internetsko bankarstvo. Koristi SMS, autentifikacijske aplikacije (Google Authenticator, Authy) ili hardverske ključeve (YubiKey).
2. Koristite upravitelj lozinki - 1Password, Bitwarden, LastPass. Besplatne verzije su dovoljne za većinu korisnika.
3. Šifrirajte osjetljive datoteke - Windows BitLocker, macOS FileVault ili VeraCrypt (besplatno, open source).
4. Provjeri HTTPS - Nikad ne unosite osjetljive podatke na stranice bez HTTPS (zelena brava u pregledniku).
5. Instalirajte VPN za javne mreže - NordVPN, ExpressVPN ili ProtonVPN (3-12 EUR/mjesec).

Za mala i srednja poduzeća

1. Provedite sigurnosnu reviziju - Angažirajte cybersecurity konzultanta (150-250 EUR/sat) za procjenu rizika.
2. Klasificirajte podatke - Osobni podaci (GDPR obveza), poslovne tajne (preporučena enkripcija), javni podaci (opcijska enkripcija).
3. Implementirajte politiku rotacije ključeva - Minimalno godišnje, kvartalno za kritične sustave.
4. Obučite zaposlenike - HAKOM preporučuje minimum 2 sata godišnje obuke o kibernetskoj sigurnosti.
5. Pripremite plan odgovora na incidente - GDPR i Zakon o kibernetskoj sigurnosti zahtijevaju prijavu HAKOM-u u roku 72 sata.

Za operatore kritične infrastrukture

1. Uskladite se s NIS2 direktivom - Rok: listopad 2024. (već na snazi).
2. Implementirajte HSM za upravljanje ključevima - Trošak: 2.000-15.000 EUR jednokratno.
3. Planirajte migraciju na post-kvantnu kriptografiju - HAKOM preporučuje početak do 2026.
4. Provodite redovite penetracijske testove - Minimalno jednom godišnje.
5. Dokumentirajte sve sigurnosne politike - GDPR i HAKOM zahtijevaju detaljnu dokumentaciju.

Gdje potražiti pomoć i dodatne resurse

Hrvatska ima nekoliko ključnih institucija i resursa za pomoć u implementaciji kriptografije i zaštite podataka.

Za mala i srednja poduzeća, EU Digital Europe Programme nudi financiranje za projekte kibernetske sigurnosti - Hrvatska ima alokaciju od 127 milijuna eura za period 2021-2027. CARNet koordinira prijave za istraživačke institucije.