🥇Il migliore della sua categoria: la storia dell'introduzione dello standard di crittografia AES

A partire da maggio 2020, in Russia sono iniziati le vendite ufficiali dei dischi esterni WD My Book, che supportano la crittografia hardware AES con una chiave a 256 bit. A causa di restrizioni legislative, in precedenza era possibile acquistare tali dispositivi solo in negozi di elettronica online all'estero o sul mercato grigio, ma ora chiunque può ottenere un'unità protetta con la garanzia ufficiale di 3 anni di Western Digital. In onore di questo evento significativo, abbiamo deciso di fare una breve retrospettiva e comprendere come è nato lo Standard di Crittografia Avanzata e quali vantaggi presenta rispetto alle soluzioni concorrenti.

A lungo, lo standard ufficiale di crittografia simmetrica negli Stati Uniti è stato il DES (Data Encryption Standard - standard di crittografia dei dati), sviluppato da IBM e inserito nell'elenco degli standard federali di elaborazione delle informazioni nel 1977 (FIPS 46-3). L'algoritmo si basa su ricerche effettuate durante un progetto di ricerca chiamato Lucifer. Quando il 15 maggio 1973 il National Bureau of Standards degli Stati Uniti annunciò un concorso per la creazione di uno standard di crittografia per le istituzioni governative, una corporation americana entrò nella corsa crittografica con la terza versione di Lucifer, utilizzando una rete Feistel aggiornata. E insieme agli altri concorrenti, subì un fallimento: nessuno degli algoritmi presentati al primo concorso soddisfava i rigorosi requisiti formulati dagli esperti del NBS.

Naturalmente, IBM non poteva semplicemente rassegnarsi alla sconfitta: quando il concorso fu ripristinato il 27 agosto 1974, la corporazione americana presentò nuovamente una candidatura, offrendo una versione migliorata di Lucifer. Questa volta la giuria non ebbe alcuna lamentela: dopo aver lavorato correttamente sugli errori, IBM eliminò con successo tutte le carenze, così non c'era nulla da obiettare. Dopo aver ottenuto una vittoria convincente, Lucifer cambiò nome in DES e già il 17 marzo 1975 fu registrato nel Registro Federale.

Tuttavia, durante i simposi aperti organizzati nel 1976 per discutere il nuovo standard crittografico, il DES ha ricevuto aspre critiche dalla comunità di esperti. La causa è stata la modifica apportata all'algoritmo da parte degli specialisti della NSA: in particolare, la lunghezza della chiave è stata ridotta a 56 bit (inizialmente Lucifer supportava chiavi di 64 e 128 bit), e la logica di funzionamento dei blocchi di permutazione è stata anche cambiata. Secondo i crittografi, i "miglioramenti" non avevano senso e l'unico obiettivo dell'Agenzia per la sicurezza nazionale, introducendo le modifiche, era quello di poter visualizzare senza ostacoli i documenti crittografati.

A causa delle accuse sopra citate, è stata creata una commissione speciale presso il Senato degli Stati Uniti, il cui scopo era verificare la legittimità delle azioni della NSA. Nel 1978, al termine dell'indagine, è stata pubblicata una relazione che riportava quanto segue:

i rappresentanti della NSA hanno partecipato alla revisione del DES solo in modo indiretto, e il loro contributo riguardava solo la modifica del funzionamento dei blocchi di permutazione;
la versione finale del DES si è rivelata più resistente a attacchi e analisi crittografica rispetto all'originale, quindi le modifiche apportate erano giustificate;
una lunghezza della chiave di 56 bit è più che sufficiente per la stragrande maggioranza delle applicazioni, poiché per rompere un tale cifrario sarebbe necessario un supercomputer dal costo di almeno diverse decine di milioni di dollari, e poiché i normali malintenzionati e persino i cracker professionisti non dispongono di tali risorse, non c'è nulla di cui preoccuparsi.

Le conclusioni della commissione sono state parzialmente confermate nel 1990, quando i crittografi israeliani Eli Biham e Adi Shamir, lavorando sul concetto di analisi crittografica differenziale, hanno condotto una vasta ricerca sugli algoritmi a blocchi, tra cui il DES. Gli scienziati hanno concluso che il nuovo modello di permutazioni si è rivelato molto più resistente agli attacchi rispetto all'originale, il che significa che la NSA ha effettivamente aiutato a eliminare diverse vulnerabilità nell'algoritmo.

Adi Shamir

Nel frattempo, il limite sulla lunghezza della chiave si rivelò un problema, e per di più piuttosto serio, come dimostrò in modo convincente nel 1998 l'organizzazione no-profit Electronic Frontier Foundation (EFF) nel contesto dell'esperimento DES Challenge II, condotto sotto l'egida del RSA Laboratory. Per violare DES fu costruito un supercomputer, soprannominato EFF DES Cracker, su cui lavorarono John Gilmore, cofondatore dell'EFF e leader del progetto DES Challenge, e Paul Kocher, fondatore dell'azienda Cryptography Research.

Processore EFF DES Cracker

Il sistema sviluppato è riuscito a trovare con successo la chiave per il campione crittografato attraverso un attacco a forza bruta in sole 56 ore, ovvero meno di tre giorni. Per fare ciò, il DES Cracker ha dovuto controllare circa un quarto di tutte le possibili combinazioni, il che significa che anche nelle condizioni più avverse, il tempo necessario per decrittare sarebbe di circa 224 ore, ovvero non più di 10 giorni. Inoltre, il costo del supercomputer, tenendo conto delle spese per il suo sviluppo, è stato di soli 250.000 dollari. Non è difficile immaginare che oggi violare tale crittografia sia ancora più facile e meno costoso: non solo l'hardware è diventato molto più potente, ma grazie allo sviluppo delle tecnologie internet, l'hacker non ha nemmeno bisogno di acquistare o affittare l'attrezzatura necessaria — è sufficiente creare un botnet di PC infettati da virus.

Questo esperimento ha dimostrato chiaramente quanto sia moralmente obsoleto il DES. Dato che all'epoca l'algoritmo veniva utilizzato nel 50% delle soluzioni nel campo della crittografia dei dati (secondo quanto stimato dalla stessa EFF), la necessità di trovare un'alternativa è diventata più urgente che mai.

Nuove sfide - nuovo concorso

A dire il vero, va detto che la ricerca di un sostituto per il Data Encryption Standard è iniziata praticamente contemporaneamente alla preparazione dell'EFF DES Cracker: nel 1997, il National Institute of Standards and Technology (NIST) degli Stati Uniti ha annunciato il lancio di un concorso per algoritmi di crittografia, destinato a identificare il nuovo "gold standard" della sicurezza informatica. E se in passato eventi simili si erano svolti esclusivamente per "i propri", tenendo conto delle lezioni apprese da esperienze sfortunate di trent'anni fa, il NIST ha deciso di rendere il concorso completamente aperto: potevano partecipare aziende e privati da qualsiasi luogo e cittadinanza.

Questo approccio si è rivelato efficace già nella fase di selezione dei candidati: tra gli autori che hanno presentato domanda per partecipare al concorso Advanced Encryption Standard, c'erano noti crittografi a livello mondiale (Ross Anderson, Eli Biham, Lars Knudsen), piccole aziende IT specializzate nella sicurezza informatica (Counterpane), grandi corporazioni (la tedesca Deutsche Telekom), istituzioni educative (l'Università Cattolica di Leuven, Belgio), oltre a startup e piccole imprese poco conosciute al di fuori dei loro paesi (ad esempio, Tecnologia Apropriada Internacional dal Costa Rica).

È interessante notare che questa volta il NIST ha approvato solo due requisiti principali per gli algoritmi partecipanti:

il blocco dei dati deve avere una dimensione fissa di 128 bit;
l'algoritmo deve supportare almeno tre dimensioni delle chiavi: 128, 192 e 256 bit.

Raggiungere questo risultato è stato relativamente semplice, ma, come si suol dire, il diavolo è nei dettagli: i requisiti secondari si sono rivelati numerosi e soddisfarli è stato molto più complesso. Nel frattempo, è proprio sulla base di questi requisiti che i recensori del NIST hanno effettuato la selezione dei concorrenti. Ecco quali criteri dovevano soddisfare i candidati per vincere:

capacità di resistere a qualsiasi attacco crittanalitico noto al momento della competizione, inclusi gli attacchi tramite canali laterali;
assenza di chiavi di crittografia deboli ed equivalenti (per chiavi equivalenti si intendono quelle chiavi che, pur presentando differenze significative, producono cifrature identiche);
la velocità di crittografia è stabile e sostanzialmente la stessa su tutte le piattaforme attuali (da 8 a 64 bit);
ottimizzazione per sistemi multiprocessore, supporto per il parallelismo delle operazioni;
requisiti minimi di memoria RAM;
assenza di limitazioni per l'uso in scenari standard (come base per la costruzione di funzioni hash, RNG, ecc.);
la struttura dell'algoritmo deve essere giustificata e semplice da comprendere.

L'ultimo punto può sembrare strano, tuttavia, se ci si riflette, ha senso, poiché un algoritmo ben strutturato è molto più facile da analizzare, e inoltre è molto più difficile nascondere una "backdoor" che permetta allo sviluppatore di accedere in modo illimitato ai dati crittografati.

La raccolta delle candidature per il concorso Advanced Encryption Standard è durata un anno e mezzo. In totale, vi hanno partecipato 15 algoritmi:

CAST-256, sviluppato dalla canadese Entrust Technologies sulla base di CAST-128, creato da Carlisle Adams e Stafford Tavares;
Crypton, realizzato dal crittografo Cheong Hoon Lim della sudcoreana Future Systems, attiva nel campo della cybersicurezza;
DEAL, il cui concetto fu inizialmente proposto dal matematico danese Lars Knudsen, successivamente sviluppato da Richard Outerbridge, che presentò la domanda di partecipazione al concorso;
DFC, progetto congiunto dell'École Normale Supérieure di Parigi, del Centro Nazionale delle Ricerche Scientifiche della Francia (CNRS) e della compagnia di telecomunicazioni France Telecom;
E2, sviluppato sotto l'egida della principale compagnia di telecomunicazioni giapponese Nippon Telegraph and Telephone;
FROG, creato dalla costaricana Tecnologia Apropriada Internacional;
HPC, concepito dal crittografo e matematico americano Richard Schroeppel dell'Università dell'Arizona;
LOKI97, sviluppato dai crittografi australiani Lawrence Brown e Jennifer Seberry;
Magenta, sviluppato da Michael Jacobson e Klaus Huber per la compagnia tedesca delle telecomunicazioni Deutsche Telekom AG;
MARS di IBM, a cui ha contribuito Don Coppersmith, uno degli autori di Lucifer;
RC6, scritto da Ron Rivest, Matt Robshaw e Ray Sidney specificamente per il concorso AES;
Rijndael, creato da Vincent Rijmen e Joan Daemen della Katholieke Universiteit Leuven;
SAFER+, sviluppato dalla californiana Cylink in collaborazione con l'Accademia Nazionale delle Scienze della Repubblica Armena;
Serpent, creato da Ross Anderson, Eli Biham e Lars Knudsen;
Twofish, sviluppato dal team di ricerca di Bruce Schneier basandosi sull'algoritmo crittografico Blowfish, proposto da Bruce nel 1993.

Dopo il primo turno, sono stati selezionati 5 finalisti, tra cui Serpent, Twofish, MARS, RC6 e Rijndael. I membri della giuria hanno trovato difetti in quasi tutti gli algoritmi elencati, tranne uno. Chi sarà il vincitore? Prolunghiamo un po' l'intreccio e iniziamo esaminando i principali vantaggi e svantaggi di ciascuna delle soluzioni menzionate.

MARS

Nel caso di "dio della guerra", gli esperti hanno notato l'identità della procedura di crittografia e decrittografia dei dati, ma i suoi vantaggi si sono limitati a questo. L'algoritmo IBM si è rivelato sorprendentemente assetato di risorse, rendendolo poco adatto per lavorare in condizioni di risorse limitate. Sono stati osservati problemi anche con il parallelismo nei calcoli. Per funzionare in modo efficace, MARS aveva bisogno di supporto hardware per la moltiplicazione a 32 bit e la rotazione su un numero variabile di bit, il che imponeva nuovamente dei limiti alle piattaforme supportate.

MARS si è anche dimostrato piuttosto vulnerabile ad attacchi per tempo e consumo energetico, aveva problemi con l'espansione delle chiavi "on-the-fly", e la sua eccessiva complessità rendeva difficile l'analisi dell'architettura, creando ulteriori problemi nella fase di implementazione pratica. In breve, rispetto agli altri finalisti, MARS appariva come un autentico outsider.

RC6

L'algoritmo ha ereditato parte delle trasformazioni dal suo predecessore, RC5, già attentamente esaminato in precedenza, il che, insieme a una struttura semplice e chiara, lo rendeva completamente trasparente per gli esperti, escludendo la presenza di "backdoor". Inoltre, RC6 ha dimostrato velocità di elaborazione record su piattaforme a 32 bit, e le procedure di crittografia e decifratura sono state implementate in modo identico.

Tuttavia, l'algoritmo presentava gli stessi problemi del MARS sopra menzionato: vulnerabilità agli attacchi attraverso canali laterali, dipendenza delle prestazioni dal supporto delle operazioni a 32 bit, oltre a problemi con i calcoli paralleli, l'espansione delle chiavi e la richiesta di risorse hardware. Di conseguenza, non era adatto per il ruolo di vincitore.

Twofish

Twofish si è rivelato piuttosto veloce e ben ottimizzato per funzionare su dispositivi a bassa potenza, gestendo bene l'espansione delle chiavi e prevedendo diverse opzioni di implementazione, il che permetteva di adattarlo finemente a compiti specifici. Allo stesso tempo, "due pesci" si sono dimostrati vulnerabili ad attacchi da canali esterni (in particolare, per quanto riguarda il tempo e il consumo energetico), non erano particolarmente amici dei sistemi multi-processore e si distinguevano per un'eccessiva complessità, che, peraltro, ha inciso anche sulla velocità di espansione della chiave.

Serpent

L'algoritmo aveva una struttura semplice e chiara, il che ha notevolmente semplificato il suo auditing, aveva poche esigenze in termini di potenza della piattaforma hardware, supportava l'espansione delle chiavi "in tempo reale" e si prestava relativamente facilmente a modifiche, differenziandosi in modo vantaggioso dai suoi avversari. Nonostante ciò, Serpent era in linea di principio il più lento tra i finalisti, e le procedure di crittografia e decrittografia delle informazioni differivano radicalmente e richiedevano approcci di implementazione fondamentalmente diversi.

Rijndael

Rijndael si è rivelato estremamente vicino all'ideale: l'algoritmo soddisfaceva pienamente i requisiti NIST, senza però cedere, anzi superando notevolmente i concorrenti in termini complessivi. Le vulnerabilità di Rijndael erano solo due: la predisposizione ad attacchi basati sul consumo energetico durante la fase di espansione della chiave, che rappresenta uno scenario piuttosto specifico, e alcuni problemi con l'espansione della chiave "on-the-fly" (questo meccanismo funzionava senza limitazioni solo con due concorrenti: Serpent e Twofish). Inoltre, secondo le stime degli esperti, Rijndael aveva una resistenza alla crittografia leggermente inferiore rispetto a Serpent, Twofish e MARS, che però era ampiamente compensata dalla sua solidità contro la maggior parte delle varianti di attacchi laterali e da un ampio spettro di possibilità di implementazione.

Categoria

Serpent

Twofish

MARS

RC6

Rijndael

Resistenza crittografica

Margine di resistenza crittografica

Velocità di crittografia in implementazione software

—

Velocità di espansione della chiave in implementazione software

—

Smart card con elevate risorse

—

Smart card con risorse limitate

—

Implementazione hardware (FPGA)

—

Implementazione hardware (circuito integrato specializzato)

—

Protezione contro attacchi basati sul tempo di esecuzione e sul consumo di potenza

—

Protezione contro attacchi di consumo di potenza durante la procedura di espansione della chiave

—

Protezione contro attacchi di consumo di potenza nelle implementazioni su smart card

—

Possibilità di espandere la chiave 'a caldo'

Disponibilità di varianti di implementazione (senza perdite di compatibilità)

Possibilità di calcoli paralleli

Sulla base delle caratteristiche complessive, Rijndael ha superato i concorrenti, quindi il risultato della votazione finale è stato del tutto prevedibile: l'algoritmo ha ottenuto una vittoria convincente, ricevendo 86 voti favorevoli e solo 10 contrari. Serpent ha occupato un onorevole secondo posto con 59 voti, mentre Twofish si è piazzato al terzo posto con 31 sostenitori. A seguire c'era RC6, che ha conquistato 23 voti, mentre MARS è risultato ultimo, ricevendo solo 13 voti favorevoli e 83 contrari.

Il 2 ottobre 2000, Rijndael è stato dichiarato vincitore del concorso AES, cambiando tradizionalmente nome in Advanced Encryption Standard, con cui è conosciuto oggi. La procedura di standardizzazione è durata circa un anno: il 26 novembre 2001, AES è stato inserito nell'elenco degli Standard Federali di Elaborazione delle Informazioni, ricevendo l'indice FIPS 197. Il nuovo algoritmo è stato altamente apprezzato anche dalla NSA, e da giugno 2003 l'Agenzia Nazionale per la Sicurezza degli Stati Uniti ha persino riconosciuto che AES con una chiave di crittografia a 256 bit è abbastanza sicuro per garantire la sicurezza dei documenti di categoria “top secret”.

Dischi esterni WD My Book con supporto per crittografia hardware AES-256

Grazie alla combinazione di alta affidabilità e prestazioni, l'Advanced Encryption Standard ha rapidamente guadagnato riconoscimento mondiale, diventando uno degli algoritmi di crittografia simmetrica più popolari al mondo e facente parte di numerose librerie crittografiche (OpenSSL, GnuTLS, Crypto API di Linux, ecc.). Oggi, AES è ampiamente utilizzato sia nelle applicazioni aziendali che in quelle di consumo, ed è supportato in una vasta gamma di dispositivi. In particolare, la crittografia hardware AES-256 è utilizzata negli hard disk esterni Western Digital della famiglia My Book per garantire la protezione dei dati salvati. Scopriamo meglio questi dispositivi.

La gamma di dischi rigidi esterni WD My Book comprende sei modelli di varie capacità: 4, 6, 8, 10, 12 e 14 terabyte, permettendo di scegliere un dispositivo adatto alle proprie esigenze. Di default, gli HDD esterni utilizzano il file system exFAT, che garantisce compatibilità con una vasta gamma di sistemi operativi, inclusi Microsoft Windows 7, 8, 8.1 e 10, oltre a Apple macOS versione 10.13 (High Sierra) e successive. Gli utenti di sistemi operativi Linux possono montare il disco rigido utilizzando il driver exfat-nofuse.

La connessione di My Book al computer avviene tramite un'interfaccia USB 3.0 ad alta velocità, retrocompatibile con USB 2.0. Da un lato, questo consente di trasferire i file alla massima velocità possibile, poiché la larghezza di banda USB SuperSpeed è di 5 Gbps (ovvero 640 MB/s), che risulta più che sufficiente. Allo stesso tempo, la funzione di retrocompatibilità garantisce il supporto per praticamente tutti i dispositivi rilasciati negli ultimi 10 anni.

Sebbene My Book non richieda l'installazione di software aggiuntivo grazie alla tecnologia di rilevamento e configurazione automatica delle periferiche Plug and Play, raccomandiamo di utilizzare il software proprietario WD Discovery, fornito con ogni dispositivo.

Il pacchetto include le seguenti applicazioni:

WD Drive Utilities

Il programma fornisce informazioni aggiornate sullo stato attuale dell'unità basate sui dati S.M.A.R.T. e consente di controllare il disco rigido per eventuali settori danneggiati. Inoltre, con Drive Utilities è possibile eliminare rapidamente tutti i dati memorizzati sul tuo My Book: in questo caso, i file non saranno semplicemente cancellati, ma verranno sovrascritti completamente più volte, rendendoli irrecuperabili al termine della procedura.

WD Backup

Utilizzando questo strumento, puoi configurare il backup secondo un programma stabilito. È importante notare che WD Backup supporta l'integrazione con Google Drive e Dropbox, consentendo di scegliere, durante la creazione del backup, qualsiasi combinazione di "fonte-obiettivo". In questo modo, puoi impostare il trasferimento automatico dei dati da My Book al cloud oppure importare i file e le cartelle desiderate dai servizi elencati sia su un disco esterno che sulla tua macchina locale. Inoltre, è prevista la funzionalità di sincronizzazione con l'account di Facebook, che ti permette di creare automaticamente copie di sicurezza delle fotografie e dei video dal tuo profilo.

WD Security

Con questo strumento è possibile bloccare l'accesso all'unità con una password e gestire la crittografia dei dati. Tutto ciò che serve è specificare una password (la lunghezza massima può arrivare a 25 caratteri), dopodiché tutte le informazioni sul disco verranno crittografate e solo chi conosce la frase di accesso potrà accedere ai file salvati. Per maggiore comodità, WD Security consente di creare un elenco di dispositivi affidabili, che, una volta collegati, sbloccheranno automaticamente My Book.

Sottolineiamo che WD Security fornisce solo un'interfaccia visiva conveniente per gestire la sicurezza crittografica, mentre la crittografia dei dati viene effettuata dall'unità esterna a livello hardware. Questo approccio offre una serie di importanti vantaggi, in particolare:

la creazione delle chiavi di crittografia è responsabilità di un generatore hardware di numeri casuali, non di un generatore pseudo-casuale, il che aiuta a garantire un'alta entropia e a migliorare la loro resistenza crittografica;
Durante il processo di crittografia e decifratura, le chiavi crittografiche non vengono scaricate nella memoria RAM del computer e non vengono create copie temporanee dei file elaborati in cartelle nascoste del disco di sistema, il che contribuisce a ridurre al minimo la possibilità di intercettazione;
La velocità di elaborazione dei file non dipende dalle prestazioni del dispositivo cliente;
Dopo l'attivazione della protezione, la crittografia dei file avverrà automaticamente, 'al volo', senza richiedere ulteriori azioni da parte dell'utente.

Tutto ciò garantisce la sicurezza dei dati e consente di ridurre praticamente a zero il rischio di furto di informazioni riservate. Considerando le funzionalità aggiuntive del dispositivo di archiviazione, My Book è uno dei migliori sistemi di archiviazione sicuri disponibili nel mercato russo.

Fonte: habr.com