Шифрование/криптография и политика

И.Н.> Уран, а правильно ли я понимаю, что аппаратный шифратор еще и тем выгоднее по надежности, что он, скорее всего, бездиалоговый. Типа кинул монетку - получил результат.

Ну да. Там максимально принцип черного ящика можно реализовать, к чему криптографы и безопасники и стремятся.

И.Н.> Софтовый, связанный с ОС, может оказаться уязвимым для руткита, так?

Много для чего он уязвим. Например к троянам живущим в ОС и перехватывающим ключи шифрования или еще как атакующим функцию шифрования. Поэтому сейчас такое распространения получили функциональные ключевые носители или смарткарты, которые имеются, например, в современных банковских пластиковых карточках и которые по сути представляют собой пусть и совсем маленькие, но вполне полноценные аппаратные шифраторы. Внутрь них софту банкоматов и прочих считывающих устройств ходу нет. Ключи генерируются внутри смарт-карты и в ней же и остаются. Функции выдачи ключа наружу в таких ключевых носителях нет принципиально. Взаимодействующее устройство просто подает на вход смарт карты цифровой блок и команды с описанием какое криптографическое преобразование необходимо сделать, и в ответ получает результат криптографического преобразования. Таким образом секретные ключи полностью изолируются от потенциально уязвимой к программным атакам среды. Сама смарт-карта как правило имеет программу записанную на неперепрограммируемом ПЗУ, так что никаких возможностей для изменения программы ее работы нет.

Ладно, раз ответа от Jerard так и не последовало, то отвечу на свой вопрос. Аппаратный шифратор - это специально созданное под задачу шифрования электронное устройство. Програмный шифратор - это программа написанная под универсальное вычислительное устройство.

Так что аппаратный шифратор тоже может иметь и процессор и свою программу, теоретически даже перепрограммируемую.

Ну и по скорости вовсе не обязательно аппаратный шифратор будет быстрее программного. Чаще всего решения о выборе между программным и аппаратным шифраторами принимают из соображений не скорости шифрования, а требуемого уровня защиты конфиденциальной информации

U235> Чаще всего решения о выборе между программным и аппаратным шифраторами принимают из соображений не скорости шифрования

Уран, а в практике шифрования вообще бывает потребность в шифровании больших объемов? Насколько я знаю тему (т.е. почти никак, но так, популярно-немножко), в большинстве случаев, потребностей в большом объеме шифруемой информации нет - наибольшая потребность в сокрытии именно коротких (относительно) сообщений.

И.Н.> Уран, а в практике шифрования вообще бывает потребность в шифровании больших объемов?

Шифрование потока данных же.

И.Н.> Уран, а в практике шифрования вообще бывает потребность в шифровании больших объемов?

Ну сейчас и трафик в компьютерных сетях шифруют, если надо, например, связать две офисных сетки через недоверенный канал передачи данных, и даже жесткие диски целиком или частично. Так что и объемы могут быть большими, и требуемые скорости шифрования потока данных.

U235>> Чаще всего решения о выборе между программным и аппаратным шифраторами принимают из соображений не скорости шифрования
И.Н.> Уран, а в практике шифрования вообще бывает потребность в шифровании больших объемов?
Большие объемы серьезной информации обычно находятся в печатном виде и не передаются по техническим средствам. Имеются даже ограничения по объему передаваемой информации.
И.Н.>Насколько я знаю тему (т.е. почти никак, но так, популярно-немножко), в большинстве случаев, потребностей в большом объеме шифруемой информации нет - наибольшая потребность в сокрытии именно коротких (относительно) сообщений.
Некоторые боевые сигналы управления вообще могут передаваться в открытом виде и без всякого шифрования - вы все равно не будете знать алгоритм последующих действий, которые за ним последуют, до определенного момента, пока это не вскроют другими способами, но время уже будет упущено.

ccsr> Большие объемы серьезной информации обычно находятся в печатном виде и не передаются по техническим средствам.

Ерунду не несите. Во всяких Boeing'ах и Lockheed'ах всё проектирование и сопутствующий документооборот полностью электронные. Вплоть до совместных рабочих сессий инженеров с разных побережий США в виртуальных средах 3D-моделирования (очки\шлемы\перчатки прилагаются). Никаких бумаг и прочих чертежей у нормальных людей уже 20+ лет нет как класса. И всё это регулярно передаётся по сети и, естественно, всегда шифруется.

ccsr> Имеются даже ограничения по объему передаваемой информации.

Вы путаете тёплое с мягким. Есть ограничения на объём потоковых данных шифруемых конкретным симметричным ключом. Когда этот объём выработан, то просто генерится новый ключ.

И.Н.> Уран, а в практике шифрования вообще бывает потребность в шифровании больших объемов?

Google откройте. И посмотрите на строку адреса.

В нормальных облачных сервисах вообще тотальное шифрование. И внутрисетевой локальный трафик, и вся запись на диски, и т.д., и т.п.

У любого серьёзного enterprise'а внутрисетевой локальный трафик сейчас тоже шифруется целиком и полностью.

с.т.> вообще существует целый бизнес (рынок) по обнаружению Zero-day уязвимостей в софте и соотвественно их продаже заинтересованным,

Ага. Как показала недавняя история с Heartbleeding, достаточно всего лишь внимательно изучать коммиты в OpenSSL

U235> Например по RSA даже Майкрософт прошибло и они выпустили обновление блокирующее работу криптопровайдеров в среде Windows с ключами RSA слабее 1024 бит.



RSA это несимметричный алгоритм. Чтобы быть эквивалентным по стойкости симметричным его ключи должны быть длиннее минимум на порядок. Так что даже 512-битный RSA-ключ это очень смешно.

U235> В то же время реально осуществимой с нынешними вычислительными мощностями атаки на ГОСТ 28147-89 не появилось до сих пор.

Угу-угу. Так Вам NSA всё и рассказало

ГОСТ - проблемный алгоритм. Отсутствие открытого анализа\критерия слабых ключей и S-блоков это очень серьёзно.

Nikita> RSA это несимметричный алгоритм. Чтобы быть эквивалентным по стойкости симметричным его ключи должны быть длиннее минимум на порядок. Так что даже 512-битный RSA-ключ это очень смешно.

Я про это и говорю. У разных шифров - разная трудоемкость прямой атаки на ключ, и поэтому запросто может быть ситуация что шифр с более коротким ключом будет более надежным, чем шифр с более длинным. И не обязательно это касается пар симметричный/несимметричный алгоритм. Например у несимметричного ГОСТа 94го года года ключ 1024 бита. а у несимметричного ГОСТа 2001 года ключ 512 бит. И последний шифр при такой длине ключа более стойкий.

Nikita> Угу-угу. Так Вам NSA всё и рассказало

ФСБ тоже не все рассказывает, и что? Сделаем вывод что они AES читают?

Nikita> ГОСТ - проблемный алгоритм. Отсутствие открытого анализа\критерия слабых ключей и S-блоков это очень серьёзно.

В AES тоже есть таблицы замен и тоже, что удивительно, волшебного алгоритма оценки слабости ключа у него нет, равно как и нет доказательства стойкости назначенных NSA таблиц замен. Оба алгоритма открыты, так что гражданские криптоаналитики могут резвиться как их душе угодно. И пока что реальных серьезных уязвимостей ГОСТ 28147-89 они не накопали. Не нравятся блоки замены назначенные ФСБ - сгенерируй свои или возьми проанализированные независимыми криптоаналитиками.

U235> Оказывается в распоряжении ФСБ есть исходные коды Windows 7, Windows Server 2008 R2, Office 2010, SQL Server 2008 R2 и Exchange Server 2010,

Всегда забавляли рассуждения дилетантов о "сырках" и их сертификации в ФСБ.

Вы вообще представляете себе объём исходных кодов всего вышеперечисленного ? А какое количество изменений каждый день туда вносится знаете ? Вы понимаете сколько времени длится одна-единственная сборка Windows и каких ресурсов она требует ? Вы в курсе какое количество специальных инструментов - компиляторов, линкеров, кодогенераторов, пре- и постпроцессров - при этом используется ? Со своими "сырками" ? А как Вы собрались устанавливать соответствие бинарника из дистрибутива исходному коду ?

Вся эта сертификация ФСБ - обычный попил. Реально можно проверить только самые простые вещи. Архитектуру криптографических API, например. Что ключи лишний раз никуда не копируются, в открытом виде не хранятся, по использовании затираются и т.п.

Но это ничего не гарантирует. Например, закладка может находиться в компиляторе, и инжектить нужный код прямо в бинарники. Причём совершенно левые. И что Вы с этим будете делать ?

U235> а так же алгоритмы Skype

Skype использует RSA и AES. Ничего своего в этом месте у него нет.

Nikita> Всегда забавляли рассуждения дилетантов о "сырках" и их сертификации в ФСБ.

А меня всегда забавляли рассуждения дилетантов ничего не понимающих в компьютерной безопасности и технологии написания кода. Для написания кода используется один-два комплексных продукта, не больше. Там все, вплоть до комментариев в коде, строго стандартизовано, иначе производитель сам запутается. Так что ваши пугалки мимо кассы.

Анализ исходников проводится не только вручную, но и с использованием специализированного софта. Далее просто компилируют проанализированные исходники, причем может быть даже своими компиляторами, и используют эту сборку, заблокировав функцию обновления системы

U235> В AES тоже есть таблицы замен

Так вот для S-блоков AES есть и критерии, и анализ. Там всё чётко и ясно. AES вообще алгебраически крайне простой алгоритм. Это даже пугает.

U235> и тоже, что удивительно, волшебного алгоритма оценки слабости ключа у него нет,

Ещё смешней. В том и дело, что у AES нет слабых ключей. Там специальный механизм прикручен для обеспечения этого момента.

U235> равно как и нет доказательства стойкости назначенных NSA таблиц замен.

Неправду пишете.

U235> Оба алгоритма открыты, так что гражданские криптоаналитики могут резвиться как их душе угодно.

История с дифференциальным криптоанализом показывает, что гражданские криптоаналитики такие криптоаналитики

U235> Не нравятся блоки замены назначенные ФСБ

Ещё смешней. S-блоки от ФСБ секретны. Они боятся их показывать. Что и заставляет предполагать уязвимости. Насколько я помню, есть только один открытый комплект. Из примеров к одному из родственных стандартов. И им шифруют

U235> А меня всегда забавляли рассуждения дилетантов ничего не понимающих в компьютерной безопасности и технологии написания кода.

Вы так уверенно говорите, что создаётся впечатление, будто Вы написали десятки мегабайт кода для enterprise'ов с миллионами пользователей. А вот я написал

U235> Для написания кода используется один-два комплексных продукта, не больше. Там все, вплоть до комментариев в коде, строго стандартизовано, иначе производитель сам запутается.

Ещё смешней. Вы, видимо, не в курсе, но я в своё время работал на Microsoft. Так что о Ваших представлениях о вкусе омаров идите рассказывайте своей бабушке

U235> Анализ исходников проводится не только вручную, но и с использованием специализированного софта.

Ещё смешней. У статических анализаторов C\C++ доля ложных срабатываний в "выхлопе" процентов эдак 90.

U235> Далее просто компилируют проанализированные исходники,

Я Вам про то и говорю, что для того чтобы собрать Windows из исходников нужна вся система сборки Microsoft. Это Вам не Linux

U235> причем может быть даже своими компиляторами,

Ещё смешней. Другой компилятор построит и другой бинарник. И чем это Вам поможет ? Как Вы собрались их сравнивать ?

Nikita> Так вот для S-блоков AES есть и критерии, и анализ. Там всё чётко и ясно.

"Там" это где? В каком конкретно документе NSA обосновывает стойкость назначенных ей S-блоков? Простые статистические тесты - это ни о чем. В реальности на S-блоки AES есть ровно то же, что и на ГОСТ: исследования независимых криптоаналитиков.

Nikita> Ещё смешней. В том и дело, что у AES нет слабых ключей. Там специальный механизм прикручен для обеспечения этого момента.

Процедура расширения ключа не гарантирует отстутствие слабых ключей. Скорее затрудняет их умышленное нахождение. Но слабый ключ на выходе процедуры расширения вполне может получиться из вроде бы приличного ключа и фиг ты угадаешь, из какого. Поэтому наши криптоаналитики к подобной процедуре относятся прохладно.

Nikita> Неправду пишете.

Это ты не в теме.

Nikita> История с дифференциальным криптоанализом показывает, что гражданские криптоаналитики такие криптоаналитики

Разные есть. Есть серьезные спецы, а есть профессора Выбегаллы. Общий итог их работы на сегодня - ГОСТ 28147-89 - очень стойкий при правильном использовании шифр.

Nikita> Ещё смешней. S-блоки от ФСБ секретны.

Сейчас вообще обхохочешься: вот здесь можно найти эти "секретные" блоки, которые ФСБ одобрила для использования в приложениях Центрального Банка РФ и в одной из самых распространенных в РФ шифровальных программ. Да, собственно, во многих программах эти таблицы отдельным файлом лежат и их несложно оттуда выдернуть. Стандарт не требует секретности узлов замены и в секрете их держат разве что в воспаленном воображении не слишком знакомых с реальным положением дел в криптографии лиц.

Nikita> Ещё смешней. Вы, видимо, не в курсе, но я в своё время работал на Microsoft. Так что о Ваших представлениях о вкусе омаров идите рассказывайте своей бабушке

Ну я тогда с Биллом Гейтсом пиво пил. И что? Ерунду говоришь. Никто не делает продукт, тем более сложный множеством различных средств разработки - так никогда рабочего продукта не получится, так как замучают проблемы совместимости.

Nikita> Ещё смешней. У статических анализаторов C\C++ доля ложных срабатываний в "выхлопе" процентов эдак 90.

На то и люди, чтоб потом выделить эти 10 процентов верных срабатываний. Ну и софт используемый для анализа уязвимостей найчно исследовательскими учреждениями ФСБ ты вряд ли видел, чтоб судить о его характеристиках.

Nikita> Я Вам про то и говорю, что для того чтобы собрать Windows из исходников нужна вся система сборки Microsoft.

Так она вся доступна на открытом рынке.

Nikita> Ещё смешней. Другой компилятор построит и другой бинарник. И чем это Вам поможет ? Как Вы собрались их сравнивать ?

Зачем сравнивать? Проверил исходный код, скомпилировал своим или проверенным компилятором - и работай на том, что получилось.

Дистрибутив строится из исходных кодов, а не проверяется на соответствие им.

Nikita> Когда этот объём выработан, то просто генерится новый ключ.

Просто используются сеансовые ключи, генерируемые случайным образом в начале каждой сессии шифрования и передаваемые в заголовке сообщения в зашифрованном основным постоянным ключом виде. Таким образом эксплуатант избавляется от частой беготни по смене ключей шифрования: на устанавливаемых эксплуатантом ключах шифруется только очень небольшое число совершенно случайного текста, а основной массив информации шифруется на сеансовых ключах, которые автоматически меняются и передаются вместе с текстом если достигнут лимит шифрования на одном ключе. Например в КриптоПро CSP этот лимит составляет 4Мбит. Так же данная конструкция с передачей сеансовых ключей позволяет использовать для шифрования больших объемов информации ключи несимметричных криптосистем. Сами по себе RSA и им подобные шифры не подходят для шифрования больших объемов информации, т.к. во-первых слишком медлительны, а во-вторых уязвимы к атаке с подсовыванием на вход специально подобранного открытого текста. Но если сам траффик шифровать симметричным алгоритмом, а сеансовые ключи шифровать несимметричным алгоритмом и передавать вместе с текстом, то для пользователя это будет выглядеть как шифрование массива данных на несимметричных алгоритмах.

ccsr>> Большие объемы серьезной информации обычно находятся в печатном виде и не передаются по техническим средствам.
Nikita> Ерунду не несите. Во всяких Boeing'ах и Lockheed'ах всё проектирование и сопутствующий документооборот полностью электронные. Вплоть до совместных рабочих сессий инженеров с разных побережий США в виртуальных средах 3D-моделирования (очки\шлемы\перчатки прилагаются). Никаких бумаг и прочих чертежей у нормальных людей уже 20+ лет нет как класса. И всё это регулярно передаётся по сети и, естественно, всегда шифруется.
Ерунду не несите - режимы секретности в военном ведомстве значительно выше чем у каких-то инженеров, работающих в гражданских корпорациях. Так что про инженеров в другом месте расскажите, если не знаете что такое режим секретности в разных ведомствах.
ccsr>> Имеются даже ограничения по объему передаваемой информации.
Nikita> Вы путаете тёплое с мягким. Есть ограничения на объём потоковых данных шифруемых конкретным симметричным ключом. Когда этот объём выработан, то просто генерится новый ключ.
Не морочьте людям голову - многостраничный совсекретный приказ никто по техническим средствам передавать не разрешит, лишь выписки да и то в части касающейся. Да и систему пакетов в вооруженных силах никто не отменял, но вы похоже об этом представления не имеете, не говоря уж о сигналах боевого управления в системе оповещения.

ccsr> режимы секретности в военном ведомстве значительно выше чем у каких-то инженеров, работающих в гражданских корпорациях.

Вы, видимо, не в курсе, но сии "гражданские корпорации" разрабатывают почти всю военную технику и военное ПО США. Включая всякие Black Project'ы, про которые и через 50 лет никто ничего не говорит.

ccsr> Так что про инженеров в другом месте расскажите

Да-да. В СССР 1960-го года такого не было. Мы знаем.

ccsr> Не морочьте людям голову - многостраничный совсекретный приказ никто по техническим средствам передавать не разрешит

В СССР 1960-го года - охотно верю. Но на дворе уже 2014-й. И мы про США.

ccsr>> режимы секретности в военном ведомстве значительно выше чем у каких-то инженеров, работающих в гражданских корпорациях.
Nikita> Вы, видимо, не в курсе, но сии "гражданские корпорации" разрабатывают почти всю военную технику и военное ПО США. Включая всякие Black Project'ы, про которые и через 50 лет никто ничего не говорит.
Вы еще расскажите как гражданские инженеры планы первых операций для разных вариантов начала войны разрабатывают - чтобы все посмеялись над вашей самоуверенностью.
ccsr>> Так что про инженеров в другом месте расскажите
Nikita> Да-да. В СССР 1960-го года такого не было. Мы знаем.
Да ничего вы не знаете - например кто конкретно (предприятие или НИИ) в СССР до появления Майкрософта занимался шифровальной техникой и для кого, и почему американцы до сих пор ничего серьезного вскрыть не могут, имея современный парк вычислительной техники и зачастую имея полный текст шифровки.
ccsr>> Не морочьте людям голову - многостраничный совсекретный приказ никто по техническим средствам передавать не разрешит
Nikita> В СССР 1960-го года - охотно верю. Но на дворе уже 2014-й. И мы про США.
Да и позже всегда помимо технических средств разрабатывались организационные меропоприятия, позволяющие избегать утечек.
Что же касается США, то видимо вам до сих пор кажется, что только они продвинутые в этом вопросе, а это не так. По крайней мере об их успехах в деле дешифрования советских шифротелеграмм даже времен второй мировой мы пока не слышали. Так что можете верить в рекламу Майкрософт - их шифрование для банков подойдет, а вот для военных вряд ли. По крайней мере для российских...

ccsr> Вы еще расскажите как гражданские инженеры планы первых операций для разных вариантов начала войны разрабатывают

Ну что поделать, если разрабатывают. Только, конечно, не "инженер" называются их профессии и должности. И не в Boeing они работают. А во всяких организациях с названиями в духе American Policy Institute

ccsr> Да ничего вы не знаете - например кто конкретно

Уважаемый, Вы, видимо, не в курсе, но я выпускник ММФ НГУ. И товарищи из ИКСИ с нами всегда дружили

ccsr> и почему американцы до сих пор ничего серьезного вскрыть не могут, имея современный парк вычислительной техники и зачастую имея полный текст шифровки.

Ещё смешней. Вы собрались вскрывать одноразовый блокнот вычислительной техникой ?

U235> Аппаратный шифратор - это специально созданное под задачу шифрования электронное устройство.

>Програмный шифратор - это программа написанная под универсальное вычислительное устройство.

Пример реализации на языке Си

Общий вид алгоритма шифрования, использующего сеть Фейстеля:

/* функция преобразования подблока по ключу (зависит от конкретного алгоритма)
subblock - преобразуемый подблок
key - ключ
возвращаяемое значение - преобразованный блок*/
int f(int subblock, int key);

/*Шифрование открытого текста
left - левый входной подблок
right - правый входной подблок

• key - массив ключей (по ключу на раунд)

rounds - количество раундов*/
void crypt(int *left, int *right, int rounds, int *key)
{
int i, temp;
for(i = 0; i {
temp = *right ^ f(*left, key[i]);
*right = *left;
*left = temp;
}
}

/*Расшифрование текста
left - левый зашифрованный подблок
right - правый зашифрованный подблок*/
void decrypt(int *left, int *right, int rounds, int *key)
{
int i, temp;
for(i = rounds - 1; i >= 0; i--)
{
temp = *left ^ f(*right, key[i]);
*left = *right;
*right = temp;
}

 

Просвещайся.
U235> Так что аппаратный шифратор тоже может иметь и процессор и свою программу, теоретически даже перепрограммируемую.

Nikita> Ерунду не несите.
Нет. Реально грифованная инфа "С" и "СС" передается очень ограниченно, и по заранее составленному плану. В пределах сотен килобайт, обычно. И чаще всего по уже зашифрованному VPN каналу. Шифровка по шифровке. Публикация инфы подвергавшейся шифрованию запрещена.

U235> . Програмный шифратор - это программа написанная под универсальное вычислительное устройство.
Пардон, эта часть бред. Программный не обязан быть:
1. написан для универсального;
2. написан быть строго последовательно;
3. быть привязан вообще к архитектуре какой-либо — может быть и для SISD, и для SIMD, и для MISD, и для MIMD; может быть выражен вообще для нетрадиционой смешаной — тут часто дело компилятора; да хоть на VHDL может быть написан.

Нв или, если вспомнить любовь au к разным программируемым матрицам...