Най-добър в класа: Историята на стандарта за криптиране AES

От май 2020 г. в Русия започнаха официалните продажби на външни твърди дискове WD My Book, които поддържат хардуерно криптиране AES с 256-битов ключ. Поради законови ограничения по-рано такива устройства можеха да бъдат закупени само в чуждестранни онлайн магазини за електроника или на „сивия“ пазар, но сега всеки може да придобие защитено устройство със собствена 3-годишна гаранция от Western Digital. В чест на това значимо събитие решихме да направим кратка екскурзия в историята и да разберем как се появи Advanced Encryption Standard и защо е толкова добър в сравнение с конкурентните решения.

Дълго време официалният стандарт за симетрично криптиране в САЩ беше DES (Data Encryption Standard), разработен от IBM и включен в списъка на Федералните стандарти за обработка на информация през 1977 г. (FIPS 46-3). Алгоритъмът се основава на разработки, получени по време на изследователски проект с кодово име Lucifer. Когато на 15 май 1973 г. Националното бюро по стандартизация на САЩ обявява конкурс за създаване на стандарт за криптиране за държавни агенции, американската корпорация влиза в криптографската надпревара с третата версия на Lucifer, която използва актуализирана мрежа Feistel. И заедно с други конкуренти се провали: нито един от алгоритмите, представени на първия конкурс, не отговаряше на строгите изисквания, формулирани от експертите на NBS.

Разбира се, IBM не може просто да приеме поражението: когато състезанието беше рестартирано на 27 август 1974 г., американската корпорация отново подаде заявление, представяйки подобрена версия на Lucifer. Този път журито нямаше нито едно оплакване: след като извърши компетентна работа по грешките, IBM успешно отстрани всички недостатъци, така че нямаше какво да се оплаче. След като спечели убедителна победа, Луцифер промени името си на DES и беше публикуван във Федералния регистър на 17 март 1975 г.

Въпреки това, по време на публични симпозиуми, организирани през 1976 г. за обсъждане на новия криптографски стандарт, DES беше силно критикуван от експертната общност. Причината за това бяха промените, направени в алгоритъма от специалисти на NSA: по-специално дължината на ключа беше намалена до 56 бита (първоначално Lucifer поддържаше работа с 64- и 128-битови ключове) и логиката на блоковете за пермутация беше променена . Според криптографите „подобренията“ са били безсмислени и единственото нещо, към което Агенцията за национална сигурност се е стремяла чрез въвеждането на модификациите, е да може свободно да преглежда криптирани документи.

Във връзка с тези обвинения беше създадена специална комисия към Сената на САЩ, чиято цел беше да провери валидността на действията на NSA. През 1978 г. е публикуван доклад след разследването, в който се посочва следното:

• Представителите на NSA участваха във финализирането на DES само индиректно и техният принос засягаше само промени в работата на блоковете за пермутация;
• окончателната версия на DES се оказа по-устойчива на хакване и криптографски анализ от оригинала, така че промените бяха оправдани;
• дължина на ключа от 56 бита е повече от достатъчна за по-голямата част от приложенията, тъй като разбиването на такъв шифър би изисквал суперкомпютър, струващ поне няколко десетки милиона долара, и тъй като обикновените нападатели и дори професионалните хакери нямат такива ресурси, няма от какво да се притесняваш.

Заключенията на комисията бяха частично потвърдени през 1990 г., когато израелските криптографи Ели Бихам и Ади Шамир, работещи върху концепцията за диференциален криптоанализ, проведоха голямо проучване на блокови алгоритми, включително DES. Учените заключават, че новият модел на пермутация е много по-устойчив на атаки от оригиналния, което означава, че NSA всъщност е помогнала за запушването на няколко дупки в алгоритъма.

Ади Шамир

В същото време ограничението на дължината на ключа се оказва проблем, при това много сериозен, което е убедително доказано през 1998 г. от обществената организация Electronic Frontier Foundation (EFF) като част от експеримента DES Challenge II, проведено под егидата на RSA Laboratory. Беше създаден специално за кракване на DES суперкомпютър с кодово име EFF DES Cracker, който беше създаден от Джон Гилмор, съосновател на EFF и директор на проекта DES Challenge, и Пол Кочер, основател на Cryptography Research.

Процесор EFF DES Cracker

Системата, която разработиха, успя да намери успешно ключа към криптирана проба, използвайки груба сила само за 56 часа, тоест за по-малко от три дни. За да направи това, DES Cracker трябваше да провери около една четвърт от всички възможни комбинации, което означава, че дори при най-неблагоприятни обстоятелства хакването би отнело около 224 часа, тоест не повече от 10 дни. В същото време цената на суперкомпютъра, като се вземат предвид средствата, изразходвани за неговия дизайн, беше само 250 хиляди долара. Не е трудно да се досетите, че днес е още по-лесно и по-евтино да се разбие такъв код: не само хардуерът стана много по-мощен, но и благодарение на развитието на интернет технологиите, хакерът не трябва да купува или наема необходимо оборудване - напълно достатъчно е да създадете ботнет от компютри, заразени с вирус.

Този експеримент ясно показа колко остарял е DES. И тъй като по това време алгоритъмът се използва в почти 50% от решенията в областта на криптирането на данни (според същата оценка на EFF), въпросът за намирането на алтернатива стана по-актуален от всякога.

Нови предизвикателства - нова конкуренция

За да бъдем честни, трябва да се каже, че търсенето на заместител на стандарта за криптиране на данни започна почти едновременно с подготовката на EFF DES Cracker: Националният институт за стандарти и технологии на САЩ (NIST) през 1997 г. обяви стартирането на състезание за алгоритъм за криптиране, предназначено да идентифицира нов „златен стандарт“ за криптовалута. И ако в старите времена подобно събитие се провеждаше изключително „за нашите хора“, тогава, имайки предвид неуспешния опит от преди 30 години, NIST реши да направи състезанието напълно отворено: всяка компания и всеки индивид може да вземе участие то, независимо от местоположението или гражданството.

Този подход се оправда дори на етапа на подбор на кандидати: сред авторите, които кандидатстваха за участие в състезанието Advanced Encryption Standard, бяха световноизвестни криптолози (Рос Андерсън, Ели Бихам, Ларс Кнудсен) и малки ИТ компании, специализирани в киберсигурността (Counterpane ) , и големи корпорации (German Deutsche Telekom), и образователни институции (KU Leuven, Белгия), както и стартиращи фирми и малки фирми, за които малцина са чували извън техните страни (например Tecnologia Apropriada Internacional от Коста Рика).

Интересното е, че този път NIST одобри само две основни изисквания за участващите алгоритми:

• блокът от данни трябва да има фиксиран размер от 128 бита;
• алгоритъмът трябва да поддържа поне три размера на ключа: 128, 192 и 256 бита.

Постигането на такъв резултат беше сравнително лесно, но, както се казва, дяволът е в детайлите: имаше много повече второстепенни изисквания и беше много по-трудно да ги изпълним. Междувременно на тяхна база рецензентите на NIST избраха състезателите. Ето критериите, на които трябваше да отговарят кандидатите за победа:

1. способност да устои на всякакви криптоаналитични атаки, известни по време на състезанието, включително атаки през канали на трети страни;
2. отсъствието на слаби и еквивалентни ключове за криптиране (еквивалентни означава тези ключове, които, въпреки че имат значителни разлики един от друг, водят до идентични шифри);
3. скоростта на криптиране е стабилна и приблизително еднаква на всички текущи платформи (от 8 до 64 бита);
4. оптимизация за многопроцесорни системи, поддръжка на паралелизиране на операциите;
5. минимални изисквания за количеството RAM;
6. няма ограничения за използване в стандартни сценарии (като основа за конструиране на хеш функции, PRNG и др.);
7. Структурата на алгоритъма трябва да бъде разумна и лесна за разбиране.

Последната точка може да изглежда странна, но ако се замислите, има смисъл, защото добре структуриран алгоритъм е много по-лесен за анализ и също така е много по-трудно да скриете „отметка“ в него с помощта на които програмист може да получи неограничен достъп до криптирани данни.

Година и половина продължи приемът на заявления за конкурса Advanced Encryption Standard. В него участваха общо 15 алгоритма:

1. CAST-256, разработен от канадската компания Entrust Technologies на базата на CAST-128, създаден от Карлайл Адамс и Стафорд Таварес;
2. Crypton, създаден от криптолога Chae Hoon Lim от южнокорейската компания за киберсигурност Future Systems;
3. DEAL, чиято концепция първоначално е предложена от датския математик Ларс Кнудсен, а по-късно идеите му са доразвити от кандидатствалия за участие в състезанието Ричард Оутърбридж;
4. DFC, съвместен проект на Парижкото училище по образование, Френския национален център за научни изследвания (CNRS) и телекомуникационната корпорация France Telecom;
5. E2, разработен под егидата на най-голямата японска телекомуникационна компания Nippon Telegraph and Telephone;
6. FROG, рожба на костариканската компания Tecnologia Apropriada Internacional;
7. HPC, изобретен от американския криптолог и математик Ричард Шрепел от университета в Аризона;
8. LOKI97, създаден от австралийските криптографи Лорънс Браун и Дженифър Себъри;
9. Magenta, разработен от Michael Jacobson и Klaus Huber за немската телекомуникационна компания Deutsche Telekom AG;
10. MARS от IBM, в създаването на който участва Дон Копърсмит, един от авторите на Луцифер;
11. RC6, написан от Рон Ривест, Мат Робшоу и Рей Сидни специално за състезанието на AES;
12. Rijndael, създаден от Винсент Реймен и Йохан Дамен от Католическия университет в Льовен;
13. SAFER+, разработен от калифорнийската корпорация Cylink съвместно с Националната академия на науките на Република Армения;
14. Serpent, създаден от Рос Андерсън, Ели Бийхам и Ларс Кнудсен;
15. Twofish, разработен от изследователската група на Брус Шнайер въз основа на криптографския алгоритъм Blowfish, предложен от Брус през 1993 г.

Въз основа на резултатите от първия кръг бяха определени 5 финалисти, включително Serpent, Twofish, MARS, RC6 и Rijndael. Членовете на журито откриха недостатъци в почти всеки от изброените алгоритми, с изключение на един. Кой беше победителят? Нека малко разширим интригата и първо да разгледаме основните предимства и недостатъци на всяко от изброените решения.

MARS

В случая с „бога на войната“ експертите отбелязаха идентичността на процедурата за криптиране и декриптиране на данни, но тук предимствата му бяха ограничени. Алгоритъмът на IBM беше изненадващо енергоемък, което го правеше неподходящ за работа в среди с ограничени ресурси. Имаше и проблеми с успоредяването на изчисленията. За да работи ефективно, MARS изискваше хардуерна поддръжка за 32-битово умножение и ротация с променливи битове, което отново наложи ограничения върху списъка с поддържани платформи.

Освен това MARS се оказа доста уязвим на времеви и мощни атаки, имаше проблеми с разширяването на ключовете в движение, а прекомерната му сложност затрудни анализирането на архитектурата и създаде допълнителни проблеми на етапа на практическо внедряване. Накратко, на фона на останалите финалисти MARS изглеждаше истински аутсайдер.

RC6

Алгоритъмът наследи някои от трансформациите от своя предшественик RC5, който беше обстойно проучен по-рано, което в комбинация с проста и визуална структура го направи напълно прозрачен за експертите и елиминира наличието на „отметки“. В допълнение, RC6 демонстрира рекордни скорости на обработка на данни на 32-битови платформи, а процедурите за криптиране и декриптиране бяха изпълнени абсолютно идентично.

Алгоритъмът обаче имаше същите проблеми като гореспоменатия MARS: имаше уязвимост към странични канални атаки, зависимост на производителността от поддръжка за 32-битови операции, както и проблеми с паралелни изчисления, разширяване на ключове и изисквания към хардуерните ресурси . В това отношение той по никакъв начин не беше подходящ за ролята на победител.

Две рибки

Twofish се оказа доста бърз и добре оптимизиран за работа на устройства с ниска мощност, свърши отлична работа с разширяването на ключовете и предложи няколко опции за внедряване, което направи възможно финото му адаптиране към конкретни задачи. В същото време „двете риби“ се оказаха уязвими за атаки по странични канали (по-специално по отношение на времето и консумацията на енергия), не бяха особено приятелски настроени към многопроцесорните системи и бяха прекалено сложни, които между другото , също повлия на скоростта на разширяване на ключовете.

змия

Алгоритъмът имаше проста и разбираема структура, която значително опрости неговия одит, не беше особено взискателен към мощността на хардуерната платформа, имаше поддръжка за разширяване на ключове в движение и беше относително лесен за модифициране, което го отличаваше от опоненти. Въпреки това Serpent по принцип беше най-бавният от финалистите, освен това процедурите за криптиране и декриптиране на информация в него бяха коренно различни и изискваха фундаментално различни подходи за изпълнение.

Риндъл

Rijndael се оказа изключително близък до идеала: алгоритъмът напълно отговаряше на изискванията на NIST, но не по-нисък, а по отношение на съвкупността от характеристики, значително превъзхождаше своите конкуренти. Reindal имаше само две слабости: уязвимост към атаки за потребление на енергия при процедурата за разширяване на ключове, което е много специфичен сценарий, и определени проблеми с разширяването на ключове в движение (този механизъм работеше без ограничения само за двама конкуренти - Serpent и Twofish) . В допълнение, според експерти, Reindal има малко по-нисък марж на криптографска сила от Serpent, Twofish и MARS, което обаче е повече от компенсирано от устойчивостта му на огромното мнозинство видове атаки от странични канали и широк обхват на вариантите за изпълнение.

Категория

змия

Две рибки

MARS

RC6

Риндъл

Криптографска сила

+

+

+

+

+

Резерв за криптографска сила

++

++

++

+

+

Скорост на криптиране, когато е внедрено в софтуера

-

±

±

+

+

Скорост на разширяване на ключа, когато е внедрен в софтуер

±

-

±

±

+

Смарт карти с голям капацитет

+

+

-

±

++

Смарт карти с ограничени ресурси

±

+

-

±

++

Хардуерно внедряване (FPGA)

+

+

-

±

+

Хардуерно внедряване (специализиран чип)

+

±

-

-

+

Защита срещу време за изпълнение и мощност атаки

+

±

-

-

+

Защита срещу атаки за консумация на енергия върху процедурата за разширяване на ключа

±

±

±

±

-

Защита срещу атаки с консумация на енергия при внедрявания на смарт карти

±

+

-

±

+

Възможност за разширяване на ключа в движение

+

+

±

±

±

Наличие на опции за внедряване (без загуба на съвместимост)

+

+

±

±

+

Възможност за паралелно изчисление

±

±

±

±

+

По отношение на съвкупността от характеристики Reindal беше главата и раменете над своите конкуренти, така че резултатът от окончателното гласуване се оказа доста логичен: алгоритъмът спечели убедителна победа, като получи 86 гласа за и само 10 против. Serpent зае достойното второ място с 59 гласа, докато Twofish беше на трето място: 31 членове на журито се застъпиха за него. След тях се наредиха RC6 с 23 гласа, а MARS естествено се озоваха на последно място, като получиха само 13 гласа "за" и 83 "против".

На 2 октомври 2000 г. Rijndael беше обявен за победител в състезанието AES, като традиционно промени името си на Advanced Encryption Standard, с което е известен в момента. Процедурата по стандартизация продължи около година: на 26 ноември 2001 г. AES беше включен в списъка на федералните стандарти за обработка на информация, получавайки индекса FIPS 197. Новият алгоритъм беше високо оценен и от NSA, а от юни 2003 г. САЩ Агенцията за национална сигурност дори призна, че AES с 256-битово ключово криптиране е достатъчно силно, за да гарантира сигурността на строго секретни документи.

Външните дискове на WD My Book поддържат хардуерно криптиране AES-256

Благодарение на комбинацията от висока надеждност и производителност, Advanced Encryption Standard бързо спечели световно признание, превръщайки се в един от най-популярните алгоритми за симетрично криптиране в света и включен в много криптографски библиотеки (OpenSSL, GnuTLS, Crypto API на Linux и др.). AES вече се използва широко в корпоративни и потребителски приложения и се поддържа в голямо разнообразие от устройства. По-специално, хардуерното криптиране AES-256 се използва в фамилията външни устройства My Book на Western Digital, за да се гарантира защитата на съхранените данни. Нека разгледаме по-отблизо тези устройства.

Серията твърди дискове за настолен компютър WD My Book включва шест модела с различен капацитет: 4, 6, 8, 10, 12 и 14 терабайта, което ви позволява да изберете устройството, което най-добре отговаря на вашите нужди. По подразбиране външните твърди дискове използват файловата система exFAT, която гарантира съвместимост с широк набор от операционни системи, включително Microsoft Windows 7, 8, 8.1 и 10, както и Apple macOS версия 10.13 (High Sierra) и по-нови. Потребителите на Linux OS имат възможност да монтират твърд диск с помощта на драйвера exfat-nofuse.

My Book се свързва с вашия компютър с помощта на високоскоростен USB 3.0 интерфейс, който е обратно съвместим с USB 2.0. От една страна, това ви позволява да прехвърляте файлове с възможно най-висока скорост, тъй като честотната лента на USB SuperSpeed ​​е 5 Gbps (т.е. 640 MB / s), което е повече от достатъчно. В същото време функцията за обратна съвместимост гарантира поддръжка за почти всяко устройство, пуснато през последните 10 години.

Въпреки че My Book не изисква инсталация на допълнителен софтуер благодарение на технологията Plug and Play, която автоматично открива и конфигурира периферни устройства, ние все пак препоръчваме да използвате собствения софтуерен пакет WD Discovery, който се доставя с всяко устройство.

Комплектът включва следните приложения:

WD Drive Utilities

Програмата ви позволява да получите актуална информация за текущото състояние на устройството въз основа на SMART данни и да проверите твърдия диск за лоши сектори. Освен това с помощта на Drive Utilities можете бързо да унищожите всички данни, записани във вашата My Book: в този случай файловете не само ще бъдат изтрити, но и напълно презаписани няколко пъти, така че вече няма да е възможно за да ги възстановите след приключване на процедурата.

WD архивиране

С помощта на тази помощна програма можете да конфигурирате архивиране според определен график. Струва си да се каже, че WD Backup поддържа работа с Google Drive и Dropbox, като същевременно ви позволява да изберете всякакви възможни комбинации източник-дестинация, когато създавате резервно копие. По този начин можете да настроите автоматично прехвърляне на данни от My Book в облака или да импортирате необходимите файлове и папки от изброените услуги както на външен твърд диск, така и на локална машина. Освен това има възможност за синхронизиране с вашия Facebook акаунт, което ви позволява автоматично да създавате резервни копия на снимки и видеоклипове от вашия профил.

WD Сигурност

С помощта на тази помощна програма можете да ограничите достъпа до устройството с парола и да управлявате криптирането на данни. Всичко, което е необходимо за това, е да посочите парола (максималната й дължина може да достигне 25 знака), след което цялата информация на диска ще бъде криптирана и само тези, които знаят паролата, ще имат достъп до записаните файлове. За допълнително удобство WD Security ви позволява да създадете списък с доверени устройства, които при свързване автоматично ще отключат My Book.

Подчертаваме, че WD Security предоставя само удобен визуален интерфейс за управление на криптографската защита, докато криптирането на данните се извършва от самото външно устройство на хардуерно ниво. Този подход осигурява редица важни предимства, а именно:

• хардуерен генератор на произволни числа, а не PRNG, е отговорен за създаването на криптиращи ключове, което помага да се постигне висока степен на ентропия и да се увеличи тяхната криптографска сила;
• по време на процедурата за криптиране и декриптиране, криптографските ключове не се изтеглят в RAM на компютъра, нито се създават временни копия на обработените файлове в скрити папки на системния диск, което спомага за минимизиране на вероятността от тяхното прихващане;
• скоростта на обработка на файловете не зависи по никакъв начин от производителността на клиентското устройство;
• След активиране на защитата, криптирането на файлове ще се извърши автоматично, „в движение“, без да се изискват допълнителни действия от страна на потребителя.

Всичко по-горе гарантира сигурността на данните и ви позволява почти напълно да премахнете възможността за кражба на поверителна информация. Като се имат предвид допълнителните възможности на устройството, това прави My Book едно от най-добре защитените устройства за съхранение, налични на руския пазар.

Източник: www.habr.com