🥇Il migliore della sua categoria: la storia della nascita dello standard di crittografia AES

Dal maggio 2020, in Russia sono iniziate le vendite ufficiali degli hard disk esterni WD My Book, che supportano la crittografia hardware AES con una chiave a 256 bit. A causa di limitazioni legislative, in precedenza tali dispositivi potevano essere acquistati solo in negozi di elettronica online all'estero o nel mercato 'grigio', ma ora chiunque desideri può procurarsi un'unità protetta con garanzia di 3 anni da Western Digital. In onore di questo evento significativo, abbiamo deciso di fare una piccola escursione nella storia e scoprire come è nato lo Standard di Crittografia Avanzata e quali sono i suoi punti di forza rispetto alle soluzioni concorrenti.

A lungo, lo standard ufficiale di crittografia simmetrica negli Stati Uniti è stato il DES (Data Encryption Standard — standard di crittografia dei dati), sviluppato da IBM e inserito nell'elenco degli standard federali di elaborazione delle informazioni nel 1977 (FIPS 46-3). Alla base dell'algoritmo ci sono le scoperte ottenute durante un progetto di ricerca con il nome in codice Lucifer. Quando il 15 maggio 1973, il National Bureau of Standards degli Stati Uniti ha annunciato un concorso per la creazione di uno standard di crittografia per le istituzioni governative, la corporation americana è entrata nella corsa crittografica con la terza versione di Lucifer, utilizzando una rete Feistel aggiornata. Tuttavia, insieme agli altri concorrenti, ha subito una sconfitta: nessuno degli algoritmi presentati al primo concorso soddisfaceva i severi requisiti formulati dagli esperti del NBS.

Ovviamente, in IBM non potevano rassegnarsi semplicemente alla sconfitta: quando il concorso è stato rilanciato il 27 agosto 1974, la corporation americana ha nuovamente presentato una candidatura, proponendo una versione migliorata di Lucifer. Questa volta non c'erano lamentele da parte della giuria: grazie a un attento lavoro di correzione, IBM ha eliminato con successo tutti i difetti, non lasciando spazio a critiche. Dopo aver ottenuto una vittoria convincente, Lucifer ha cambiato nome in DES ed è stato pubblicato nel registro federale il 17 marzo 1975.

Tuttavia, nel corso di simposi aperti organizzati nel 1976 per discutere il nuovo standard crittografico, il DES è stato oggetto di dure critiche da parte della comunità di esperti. La ragione di ciò sono state le modifiche apportate all'algoritmo dagli specialisti della NSA: in particolare, la lunghezza della chiave è stata ridotta a 56 bit (originariamente Lucifer supportava chiavi di 64 e 128 bit), e la logica di funzionamento dei blocchi di permutazione è stata modificata. Secondo i crittografi, i "miglioramenti" non avevano senso e l'unico obiettivo dell'Agenzia per la Sicurezza Nazionale nell'introdurre queste modifiche era ottenere la possibilità di visualizzare senza ostacoli documenti crittografati.

A causa delle accuse sopra elencate, è stata creata una commissione speciale presso il Senato degli Stati Uniti, il cui obiettivo era verificare la legittimità delle azioni della NSA. Nel 1978, al termine dell'indagine, è stata pubblicata una relazione che riportava quanto segue:

i rappresentanti della NSA hanno partecipato alla revisione del DES solo in modo indiretto, e il loro contributo riguardava esclusivamente la modifica del funzionamento dei blocchi di permutazione;
la versione finale del DES si è rivelata più resistente agli attacchi e all'analisi crittografica rispetto all'originale, quindi le modifiche apportate erano giustificate;
la lunghezza della chiave di 56 bit è più che sufficiente per la maggior parte delle applicazioni, poiché per violare tale cifra sarebbe necessario un supercomputer dal costo di almeno diverse decine di milioni di dollari, e poiché i comuni criminali e anche gli hacker professionisti non dispongono di risorse simili, non c'è motivo di preoccuparsi.

Le conclusioni della commissione sono state parzialmente confermate nel 1990, quando i crittografi israeliani Eli Biham e Adi Shamir, lavorando sul concetto di crittoanalisi differenziale, hanno condotto una vasta ricerca sugli algoritmi a blocchi, tra cui anche il DES. Gli scienziati hanno concluso che il nuovo modello di permutazioni si è rivelato molto più resistente agli attacchi rispetto all'originale, il che significa che la NSA ha effettivamente contribuito ad eliminare diverse vulnerabilità nell'algoritmo.

Adi Shamir

Allo stesso tempo, il limite sulla lunghezza della chiave si è rivelato un problema, e di fatto piuttosto serio, come dimostrò nel 1998 l'organizzazione pubblica Electronic Frontier Foundation (EFF) nell'ambito dell'esperimento DES Challenge II, condotto sotto l'egida del RSA Laboratory. Per forzare l'accesso a DES, fu costruito un supercomputer, soprannominato EFF DES Cracker, per il quale lavorarono John Gilmore, cofondatore dell'EFF e responsabile del progetto DES Challenge, e Paul Kocher, fondatore dell'azienda Cryptography Research.

Processore EFF DES Cracker

Il sistema sviluppato da loro è riuscito a trovare con successo la chiave per il campione crittografato utilizzando il metodo di forza bruta in sole 56 ore, ovvero meno di tre giorni. Per questo, il DES Cracker ha dovuto verificare circa un quarto di tutte le possibili combinazioni, il che significa che anche nelle condizioni più sfavorevoli, la decrittazione richiederebbe circa 224 ore, cioè non più di 10 giorni. Inoltre, il costo del supercomputer, tenendo conto delle spese sostenute per la sua progettazione, è stato di soli 250.000 dollari. Non è difficile capire che oggi, forzare un simile algoritmo è ancora più semplice e conveniente: non solo l'hardware è diventato molto più potente, ma anche grazie all'evoluzione delle tecnologie internet, un hacker non ha affatto bisogno di acquistare o affittare l'attrezzatura necessaria — è sufficiente creare un botnet di PC infettati da virus.

Questo esperimento ha dimostrato chiaramente quanto il DES fosse moralmente obsoleto. E dato che all'epoca l'algoritmo veniva utilizzato in circa il 50% delle soluzioni nel campo della crittografia dei dati (secondo la stima della stessa EFF), la questione della ricerca di alternative si è posta come mai prima d'ora.

Nuove sfide — nuovo concorso

A dire il vero, la ricerca di un sostituto per il Data Encryption Standard è iniziata praticamente contemporaneamente alla preparazione dell'EFF DES Cracker: nel 1997, l'Istituto nazionale degli standard e della tecnologia (NIST) degli Stati Uniti annunciò l'avvio di un concorso per algoritmi di crittografia, volto a identificare il nuovo "collo di bottiglia" della crittografia. E se in passato eventi simili venivano svolti esclusivamente "per i propri", tenendo conto delle esperienze negative di trent'anni fa, al NIST decisero di rendere il concorso completamente aperto: qualsiasi azienda e qualsiasi privato, indipendentemente dalla localizzazione o dalla nazionalità, potevano partecipare.

Questo approccio si rivelò efficace sin dalla fase di selezione dei candidati: tra gli autori che presentarono domanda per partecipare al concorso per l'Advanced Encryption Standard, c'erano crittologi di fama mondiale (come Ross Anderson, Eli Biham, Lars Knudsen), piccole aziende IT specializzate in cybersicurezza (Counterpane), grandi corporation (Deutsche Telekom, Germania), istituzioni educative (Università Cattolica di Leuven, Belgio), oltre a startup e piccole imprese di cui pochi avevano sentito parlare al di fuori dei loro paesi (come Tecnologia Apropriada Internacional dalla Costa Rica).

È interessante notare che questa volta il NIST approvò solo due requisiti principali per gli algoritmi partecipanti:

il blocco di dati deve avere una dimensione fissa di 128 bit;
l'algoritmo deve supportare almeno tre dimensioni delle chiavi: 128, 192 e 256 bit.

Ottenere tale risultato fu relativamente semplice, ma, come si suol dire, il diavolo si nasconde nei dettagli: ci furono molte più esigenze secondarie, e soddisfarle risultò molto più difficile. Nel frattempo, fu proprio su questa base che i revisori del NIST condussero la selezione dei concorrenti. Ecco quali criteri dovevano rispettare i candidati per vincere:

capacità di resistere a qualsiasi attacco crittanalitico noto al momento del concorso, comprese le attacchi tramite canali laterali;
assenza di chiavi di crittografia deboli ed equivalenti (per equivalenti si intendono chiavi che, pur presentando differenze significative tra loro, portano a cifrature identiche);
la velocità di crittografia è stabile e praticamente identica su tutte le piattaforme attuali (da 8 a 64 bit);
ottimizzazione per sistemi multiprocessore, supporto per il parallelismo delle operazioni;
requisiti minimi per la quantità di memoria RAM;
assenza di limitazioni per l'uso in scenari standard (come base per la creazione di funzioni hash, RNG, ecc.);
la struttura dell'algoritmo deve essere giustificata e semplice da comprendere.

L'ultimo punto può sembrare strano, ma se ci riflettiamo, non è privo di senso, poiché un algoritmo ben strutturato è molto più facile da analizzare; inoltre, è molto più difficile nascondere un 'backdoor' al suo interno, attraverso cui il programmatore potrebbe ottenere accesso illimitato ai dati crittografati.

Il periodo di presentazione delle domande per il concorso Advanced Encryption Standard è durato un anno e mezzo. In totale, hanno partecipato 15 algoritmi:

CAST-256, sviluppato dalla società canadese Entrust Technologies sulla base di CAST-128, creato da Carlisle Adams e Stafford Tavares;
Crypton, creato dal crittografo Che Hong Lim della società sudcoreana Future Systems, attiva nel campo della sicurezza informatica;
DEAL, il cui concetto è stato inizialmente proposto dal matematico danese Lars Knudsen, le cui idee sono state successivamente sviluppate da Richard Outerbridge, che ha anche presentato la domanda di partecipazione al concorso;
DFC, progetto congiunto dell'École Normale Supérieure di Parigi, del Centro Nazionale per la Ricerca Scientifica della Francia (CNRS) e della compagnia di telecomunicazioni France Telecom;
E2, sviluppato sotto l'egida della più grande compagnia di telecomunicazioni del Giappone Nippon Telegraph and Telephone;
FROG, frutto della società costaricana Tecnologia Apropriada Internacional;
HPC, concepito dal crittografo e matematico statunitense Richard Schrepel dell'Università dell'Arizona;
LOKI97, creato dai crittografi australiani Laurence Brown e Jennifer Seberry;
Magenta, sviluppato da Michael Jacobson e Klaus Huber per la compagnia di telecomunicazioni tedesca Deutsche Telekom AG;
MARS di IBM, alla cui creazione ha partecipato Don Coppersmith, uno dei creatori di Lucifer;
RC6, scritto da Ron Rivest, Matt Robshaw e Ray Sidney appositamente per il concorso AES;
Rijndael, creato da Vincent Rijmen e Joan Daemen dell'Università Cattolica di Lovanio;
SAFER+, sviluppato dalla società californiana Cylink in collaborazione con l'Accademia Nazionale delle Scienze della Repubblica di Armenia;
Serpent, creato da Ross Anderson, Eli Biham e Lars Knudsen;
Twofish, sviluppato dal gruppo di ricerca di Bruce Schneier sulla base dell'algoritmo crittografico Blowfish, proposto da Bruce nel 1993.

Alla fine del primo turno sono stati determinati 5 finalisti, tra cui Serpent, Twofish, MARS, RC6 e Rijndael. I membri della giuria hanno riscontrato difetti in praticamente tutti gli algoritmi elencati, tranne uno. Chi è stato il vincitore? Prolunghiamo un po' l'intrigo e iniziamo a considerare i principali pregi e difetti di ciascuna delle soluzioni menzionate.

MARS

Nel caso del «dio della guerra», gli esperti hanno notato l'identità della procedura di crittografia e decifratura dei dati, ma questa era l'unica sua vantaggio. L'algoritmo IBM si è rivelato sorprendentemente assetato di risorse, rendendolo inadeguato per lavorare in condizioni di risorse limitate. Sono stati anche riscontrati problemi nella parallelizzazione dei calcoli. Per funzionare efficacemente, MARS aveva bisogno di supporto hardware per moltiplicazioni a 32 bit e rotazioni su un numero variabile di bit, il che imponeva ulteriori limitazioni sulla gamma delle piattaforme supportate.

MARS si è anche dimostrato piuttosto vulnerabile ad attacchi basati sul tempo e sul consumo energetico, presentava problemi di espansione delle chiavi «al volo», e la sua eccessiva complessità rendeva difficile l'analisi dell'architettura e creava ulteriori problemi nella fase di implementazione pratica. In breve, rispetto agli altri finalisti, MARS appariva come un vero e proprio perdente.

RC6

L'algoritmo ha ereditato alcune trasformazioni dal suo predecessore, RC5, precedentemente studiato in modo approfondito, il che, insieme a una struttura semplice e chiara, lo rendeva completamente trasparente per gli esperti e escludeva la presenza di «backdoor». Inoltre, RC6 ha mostrato velocità di elaborazione record sui sistemi a 32 bit, e le procedure di crittografia e decifratura erano state implementate in modo assolutamente identico.

Tuttavia, l'algoritmo aveva gli stessi problemi del già citato MARS: vulnerabilità ad attacchi tramite canali secondari, dipendenza delle prestazioni dal supporto delle operazioni a 32 bit, oltre a problemi con calcoli paralleli, espansione delle chiavi e un'elevata richiesta di risorse hardware. Di conseguenza, non era assolutamente adatto per il ruolo di vincitore.

Twofish

Twofish si è dimostrato piuttosto veloce e ben ottimizzato per il funzionamento su dispositivi a bassa potenza, gestendo egregiamente l'espansione delle chiavi e prevedendo diverse varianti di implementazione, il che consentiva un adattamento fine alle esigenze specifiche. Allo stesso tempo, "due pesci" si sono rivelati vulnerabili ad attacchi attraverso canali laterali (in particolare, in base al tempo e alla potenza consumata), non si sono comportati bene con i sistemi multiprocessore e presentavano una complessità eccessiva, che, tra l'altro, ha influito anche sulla velocità di espansione della chiave.

Serpent

L'algoritmo aveva una struttura semplice e chiara, il che semplificava notevolmente il suo audit, non era particolarmente esigente riguardo alla potenza della piattaforma hardware, supportava l'espansione delle chiavi "al volo" e si prestava relativamente facilmente a modifiche, distinguendosi così dai suoi concorrenti. Tuttavia, Serpent era fondamentalmente il più lento tra i finalisti; inoltre, le procedure di crittografia e decrittazione delle informazioni in esso si differenziavano radicalmente e richiedevano approcci sostanzialmente diversi per la loro implementazione.

Rijndael

Rijndael si è rivelato straordinariamente vicino all'ideale: l'algoritmo soddisfaceva pienamente i requisiti del NIST, senza tuttavia essere inferiore, e per complesso di caratteristiche superava chiaramente i concorrenti. I punti deboli di Rijndael erano solo due: vulnerabilità agli attacchi basati sul consumo energetico durante il procedimento di espansione della chiave, che rappresenta uno scenario piuttosto specifico, e alcuni problemi con l'espansione della chiave "al volo" (questo meccanismo funzionava senza limitazioni solo per due concorrenti — Serpent e Twofish). Inoltre, secondo le valutazioni degli esperti, Rijndael presentava una leggera inferiorità in termini di riserva di crittografia rispetto a Serpent, Twofish e MARS, sebbene ciò fosse ampiamente compensato dalla sua resistenza alla gran parte delle varianti di attacchi attraverso canali laterali e da un ampio ventaglio di opzioni di implementazione.

Categoria

Serpent

Twofish

MARS

RC6

Rijndael

Resistenza crittografica

Riserva di resistenza crittografica

Velocità di crittografia in implementazione software

—

Velocità di espansione della chiave in implementazione software

—

Smart card con elevata potenza di risorse

—

Smart card con risorse limitate

—

Implementazione hardware (FPGA)

—

Implementazione hardware (in circuito integrato specializzato)

—

Protezione contro attacchi basati sul tempo di esecuzione e sul consumo di energia

—

Protezione contro gli attacchi basati sul consumo di potenza durante la procedura di estensione della chiave

—

Protezione contro gli attacchi basati sul consumo di potenza nelle implementazioni su smart card

—

Possibilità di estendere la chiave "al volo"

Disponibilità di varianti di implementazione (senza perdita di compatibilità)

Possibilità di calcoli paralleli

Nel complesso, le caratteristiche di Rijndael lo hanno reso nettamente superiore ai concorrenti, tanto che il risultato del voto finale è stato del tutto prevedibile: l'algoritmo ha ottenuto una vittoria convincente, con 86 voti favorevoli e solo 10 contrari. Serpent ha occupato un onorevole secondo posto con 59 voti, mentre Twofish si è posizionato al terzo posto: per lui si sono espressi 31 giurati. Seguiva RC6, che ha guadagnato 23 voti, mentre MARS si è trovato giustamente all'ultimo posto, con soli 13 voti favorevoli e 83 contrari.

Il 2 ottobre 2000, Rijndael è stato annunciato vincitore del concorso AES, cambiando per tradizione il nome in Advanced Encryption Standard, con cui è conosciuto oggi. Il processo di standardizzazione è durato circa un anno: il 26 novembre 2001, l'AES è stato inserito nell'elenco degli standard federali per l'elaborazione delle informazioni, ricevendo l'indice FIPS 197. Il nuovo algoritmo è stato apprezzato anche dalla NSA, e da giugno 2003 l'Agenzia per la sicurezza nazionale degli Stati Uniti ha persino riconosciuto AES con una chiave di crittografia a 256 bit come sufficientemente robusto per garantire la sicurezza dei documenti di categoria "top secret".

Unità esterne WD My Book con supporto per la crittografia hardware AES-256

Grazie a una combinazione di alta affidabilità e prestazioni, l'Advanced Encryption Standard ha rapidamente guadagnato riconoscimento mondiale, diventando uno degli algoritmi di crittografia simmetrica più popolari al mondo e facendo parte di molte librerie crittografiche (OpenSSL, GnuTLS, Crypto API di Linux, ecc.). Attualmente, l'AES è ampiamente utilizzato in applicazioni a livello aziendale e utente, e il suo supporto è implementato in una moltitudine di dispositivi diversi. In particolare, la crittografia hardware AES-256 è utilizzata nelle unità esterne Western Digital della serie My Book per garantire la protezione dei dati memorizzati. Scopriamo più da vicino questi dispositivi.

La linea di hard disk esterni WD My Book comprende sei modelli con diverse capacità: 4, 6, 8, 10, 12 e 14 terabyte, consentendo di scegliere un dispositivo adatto alle vostre esigenze. Per impostazione predefinita, gli HDD esterni utilizzano il file system exFAT, che garantisce la compatibilità con un'ampia gamma di sistemi operativi, tra cui Microsoft Windows 7, 8, 8.1 e 10, così come Apple macOS versione 10.13 (High Sierra) e superiori. Gli utenti di Linux possono montare l'unità utilizzando il driver exfat-nofuse.

La connessione di My Book al computer avviene tramite un'interfaccia USB 3.0 ad alta velocità, retrocompatibile con USB 2.0. Da un lato, questo consente di trasferire file alla massima velocità possibile, poiché la larghezza di banda di USB SuperSpeed è di 5 Gbit/s (cioè 640 MB/s), risultando più che sufficiente. Allo stesso tempo, la funzione di retrocompatibilità supporta praticamente qualsiasi dispositivo prodotto negli ultimi 10 anni.

Sebbene My Book non richieda l'installazione di software aggiuntivo grazie alla tecnologia di rilevamento e configurazione automatica dei dispositivi Plug and Play, consigliamo comunque di utilizzare il pacchetto software WD Discovery, fornito con ogni dispositivo.

Il pacchetto comprende le seguenti applicazioni:

WD Drive Utilities

Il programma consente di ottenere informazioni aggiornate sullo stato attuale dell'unità basate sui dati S.M.A.R.T. e di controllare il disco rigido per eventuali settori danneggiati. Inoltre, con Drive Utilities è possibile eliminare rapidamente tutti i dati memorizzati sul vostro My Book: i file saranno non solo cancellati, ma anche completamente sovrascritti più volte, in modo che non sarà possibile recuperarli al termine della procedura.

WD Backup

Utilizzando questo strumento, è possibile configurare un backup secondo un piano prestabilito. Vale la pena sottolineare che WD Backup supporta l'integrazione con Google Drive e Dropbox, consentendo di scegliere qualsiasi combinazione possibile di «origine-destinazione» durante la creazione del backup. In questo modo, è possibile impostare il trasferimento automatico dei dati da My Book al cloud o importare i file e le cartelle desiderate dai servizi menzionati sia su un disco esterno che su una macchina locale. Inoltre, è prevista la possibilità di sincronizzazione con l'account di Facebook, che consente di creare automaticamente copie di sicurezza delle foto e dei video dal tuo profilo.

WD Security

Proprio grazie a questo strumento è possibile limitare l'accesso all'unità tramite una password e gestire la crittografia dei dati. Tutto ciò di cui hai bisogno è specificare una password (la lunghezza massima può arrivare fino a 25 caratteri), dopodiché tutte le informazioni sul disco saranno crittografate, e solo chi conosce la frase chiave potrà accedere ai file salvati. Per maggiore comodità, WD Security consente di creare un elenco di dispositivi fidati, con cui My Book si sbloccherà automaticamente quando vengono collegati.

Sottolineiamo che WD Security offre semplicemente un'interfaccia visiva conveniente per gestire la protezione crittografica, mentre la crittografia dei dati è effettuata dallo stesso dispositivo di archiviazione a livello hardware. Questo approccio garantisce una serie di importanti vantaggi, tra cui:

la creazione delle chiavi di crittografia è gestita da un generatore hardware di numeri casuali, e non da un generatore di numeri pseudo-casuali, il che aiuta a ottenere un alto grado di entropia e aumenta la loro resistenza crittografica;
durante il processo di crittografia e decrittografia, le chiavi crittografiche non vengono caricate nella memoria RAM del computer, né vengono create copie temporanee dei file elaborati in cartelle nascoste sul disco di sistema, il che aiuta a ridurre al minimo la possibilità di intercettazione;
la velocità di elaborazione dei file non dipende dalle prestazioni del dispositivo client;
dopo l'attivazione della protezione, la crittografia dei file avverrà automaticamente, «al volo», senza necessitare azioni aggiuntive da parte dell'utente.

Tutto quanto sopra garantisce la sicurezza dei dati e permette di escludere praticamente del tutto la probabilità di furto di informazioni riservate. Tenendo conto delle ulteriori possibilità dell'unità di archiviazione, My Book diventa uno dei migliori sistemi di storage protetti disponibili nel mercato russo.

Fonte: habr.com