bestandsversleuteling

Bestandsversleuteling is een cryptografische techniek die de inhoud van individuele bestanden beschermt tegen ongeautoriseerde inzage. Hierbij worden bestanden versleuteld met een sleutel, zodat alleen personen of processen met de juiste sleutel ze kunnen ontsleutelen. In tegenstelling tot volledig-schijfversleuteling (FDE), die de hele opslagafdekking biedt, biedt bestandsversleuteling granulair begrip: specifieke bestanden of mappen kunnen worden beveiligd terwijl andere niet versleuteld blijven.

Technisch gezien gebruiken veel systemen symmetrische algoritmes zoals AES of ChaCha20-Poly1305. Een veelgebruikte aanpak is envelope encryption: elk bestand krijgt een file key die voor dat bestand geldt; deze key wordt zelf versleuteld met een master key die beheerd wordt in een sleutelbeheerder of hardware beveiligingsmodule. Bij openen wordt de file key gedecrypt, waarna de inhoud van het bestand ontsleuteld wordt.

De belangrijkste voordelen zijn gerichte bescherming van gevoelige gegevens, betere deling en samenwerking via gedeelde opslag of cloud back-ups, en vaak minder overhead dan bij volledige schijfversleuteling wanneer slechts een subset gevoelig is. Nadelen zijn onder meer de complexiteit van sleutelbeheer, mogelijke blootstelling via metadata en extra rekentijd bij het ontsleutelen van bestanden.

Implementaties variëren per platform. Windows Encrypting File System biedt per-bestand encryptie, Linux kent eCryptfs en fscrypt, en macOS maakt doorgaans gebruik van FDE maar kan ook op bestandsniveau bescherming bieden via aanvullende tooling. Cloudopslag kan client-side of server-side versleuteling toepassen.

Beveiligings- en governanceoverwegingen omvatten tijdig sleutelbeheer, sleutelrotatie, back-ups van sleutels en revocatie. In regelgeving rondom gegevensbescherming wordt versleuteling van opgeslagen data vaak aanbevolen of vereist.