Tento voln² serißl jsme v minulΘm Φφsle zahßjili zßkladnφmi pojmy. V tomto dφlu si ukß₧eme mo₧nΘ zp∙soby vyu₧itφ proudov²ch a blokov²ch Üifer (tzv. mody jejich Φinnosti), ·lohu inicializaΦnφho vektoru, metodu "solenφ" a dalÜφ techniky. Uvidφme takΘ, co Üifrovßnφ p°inßÜφ pro bezpeΦφ informaΦnφch systΘm∙, a zamyslφme se nad ·lohou Üifrovacφch klφΦ∙.
ProudovΘ Üifry
ZaΦneme s proudov²mi Üiframi. Vφme, ₧e zpracovßvajφ otev°en² text bit po bitu nebo bajt po bajtu s odpovφdajφcφm proudem tzv. hesla (running key, key stream), a to v∞tÜinou operacφ XOR. Heslo je v tomto p°φpad∞ n∞co jinΘho ne₧ p°ihlaÜovacφ heslo. Je to ve skuteΦnosti klφΦov² materißl, kter² je sßm o sob∞ p°φmo Üifrovacφm klφΦem (Vernamova Üifra) nebo je z Üifrovacφho klφΦe odvozovßn (obecnΘ proudovΘ Üifry).
Vernamova Üifra
Mezi nejznßm∞jÜφ proudovΘ Üifry pat°φ Vernamova Üifra. JmΘno dostala po svΘm vynßlezci, zam∞stnanci AT&T, kter² s nφ p°iÜel u₧ v roce 1917. Ka₧d² bit otev°enΘho textu se Üifruje odpovφdajφcφm bitem hesla pomocφ operace XOR. Heslo existuje ve dvou exemplß°φch a dopravuje se na ob∞ strany komunikaΦnφho kanßlu. Naz²vß se zde jednorßzovΘ (one-time pad) û a hned uvidφme proΦ. Aby toti₧ Üifrovßnφ bylo bezpeΦnΘ, musφ mφt heslo nßsledujφcφ vlastnosti:
je stejn∞ dlouhΘ jako otev°en² text;
smφ se pou₧φt k Üifrovßnφ jen jednoho otev°enΘho textu (odtud nßzev "jednorßzovΘ");
vÜechny bity hesla musφ b²t nezßvislΘ nßhodnΘ veliΦiny se stejnou pravd∞podobnostφ v²skytu nuly a jedniΦky: p(0) = p(1) = 1/2.
Jsou-li uvedenΘ podmφnky spln∞ny, je tento Üifrovacφ algoritmus z informaΦn∞-teoretickΘho hlediska absolutn∞ bezpeΦn². Z hlediska terminologie je v tomto p°φpad∞ Üifrovacφm klφΦem celΘ jednorßzovΘ heslo.
V modernφch poΦφtaΦov²ch systΘmech je ovÜem Vernam∙v systΘm naprosto nevyu₧iteln², nebo¥ nelze organizaΦn∞ splnit druhou a t°etφ podmφnku. Pro svoji bezpeΦnost se Vernamova Üifra kdysi pou₧φvala k Üifrovßnφ diplomatick²ch spoj∙, kur²°i ale museli do zahraniΦφ vozit kufry d∞rn²ch pßsek s jednorßzov²m heslem, co₧ si v modernφch poΦφtaΦov²ch systΘmech bohu₧el dovolit nem∙₧eme...
Modernφ proudovΘ Üifry
Je tu ale jinß cesta. Namφsto distribuce velkΘho objemu hesla na ob∞ komunikujφcφ strany m∙₧eme vyu₧φt Üifrovacφ postupy, kterΘ generujφ libovoln∞ dlouhΘ heslo urΦit²m algoritmem, p°iΦem₧ pro svΘ nastavenφ vyu₧φvajφ relativn∞ krßtk² Üifrovacφ klφΦ (nap°. 80 nebo 128 bit∙). Tajn²m prvkem systΘmu pak nenφ celΘ heslo, ale jen Üifrovacφ klφΦ.
InicializaΦnφ vektor
Pokud se klφΦ nezm∞nφ, algoritmus generuje, je-li restartovßn p°i Üifrovßnφ novΘho otev°enΘho textu, stßle totΘ₧ heslo. To je ovÜem ne₧ßdoucφ, proto₧e toto tzv. dvojφ pou₧itφ hesla by mohlo vΘst k rozluÜt∞nφ obou otev°en²ch text∙. Aby se k Üifrovßnφ nemusel pou₧φvat poka₧dΘ nov² Üifrovacφ klφΦ, zavßdφ se tzv. inicializaΦnφ vektor (IV). Je to ve°ejnß hodnota, kterß se v∞tÜinou p°edßvß p°ed Üifrovan²mi daty v otev°enΘ podob∞. Pomocφ IV, kter² se generuje v∞tÜinou nßhodn∞, se pak Üifrovacφ algoritmus p°i Üifrovßnφ nov²ch dat nastavφ i p°i stejnΘm klφΦi v₧dy do novΘ v²chozφ pozice a vygeneruje pot°ebn² objem novΘho hesla. Odpadß tak nutnost m∞nit Üifrovacφ klφΦ a m∞nφ se jen IV.
Solenφ
Koncept inicializaΦnφho vektoru byl pozd∞ji obohacen o myÜlenku tzv. solenφ. SpoΦφvß v tom, ₧e IV se sice uvede v otev°enΘm tvaru p°ed vlastnφmi Üifrovan²mi daty, ale pro posφlenφ bezpeΦnosti se jako skuteΦn² IV pou₧ije hodnota IVSALT= f (IV, K), kde K je Üifrovacφ klφΦ a f je vhodnß haÜovacφ funkce (pojem haÜovacφ funkce viz infotipy). Cφl∙ tohoto opat°enφ je vφce, hlavnφm z nich je vÜak skr²t skuteΦn∞ pou₧it² IVSALT.
Z proudov²ch Üifer jsme u₧ v Chipu psali o A5 nebo RC4 (viz infotipy). U A5, kterß se pou₧φvß pro Üifrovßnφ v komunikaci telefonu GSM s bßzovou stanicφ sφt∞, je inicializaΦnφ hodnota tvo°ena (ve°ejn²m) Φφslem p°enßÜenΘho datovΘho rßmce. Naproti tomu Üifra RC4 techniku IV ani solenφ nepou₧φvß, a proto na ka₧dΘ spojenφ generuje Üifrovacφ klφΦ znovu (nßhodn∞). Komunikujφcφmu prot∞jÜku ho potom musφ p°edat jin²m bezpeΦn²m zp∙sobem (v∞tÜinou prost°ednictvφm asymetrickΘ Üifry).
BlokovΘ Üifry v proudovΘm modu
BlokovΘ Üifry se dajφ pou₧φt nejen v modu ECB (Electronic Code Book), se kter²m jsme se seznßmili minule, ale i dalÜφmi zp∙soby. U modu ECB se najednou zpracoval jeden blok (nap°. 64 bit∙) otev°enΘho textu. DalÜφmi, tentokrßte proudov²mi mody jsou OFB (Output Feedback) a CFB (Cipher Feedback), viz obr. 2. P°i nich m∙₧e blokov² algoritmus Üifrovat proud dat (nezarovnan² na bloky) stejn∞ jako proudovß Üifra.
I zde se pou₧φvß inicializaΦnφ vektor IV, kter² nastavφ blokovou Üifru v₧dy do jinΘ poΦßteΦnφ pozice. Z tΘto pozice se vygeneruje prvnφ blok hesla (prßv∞ zaÜifrovßnφm IV). Vytvo°enΘ heslo se pou₧ije klasicky jako u proudovΘ Üifry û XOR na otev°en² text. KlφΦovou myÜlenkou zde je, ₧e prßv∞ vznikl² blok hesla nebo ÜifrovΘho textu je nßhodn², a dß se proto vyu₧φt jako nov² vstup do blokovΘ Üifry. ZaÜifrovßnφm tohoto vstupu se vygeneruje dalÜφ blok hesla, kter² se "xoruje" na druh² blok otev°enΘho textu, atd. U poslednφho (eventußln∞ ne·plnΘho) bloku otev°enΘho textu se z p°ipravenΘho plnΘho bloku hesla pou₧ije jen tolik bit∙, kolik je pot°eba. Tφmto jednoduch²m zp∙sobem jsme tedy blokovou Üifru zm∞nili na Üifru proudovou. Podobn∞ jako u proudov²ch Üifer i zde se m∙₧e vyu₧φt metoda solenφ IV.
Podle toho, zda zp∞tnou vazbu vedeme z v²stupu (hesla), nebo ze zaÜifrovanΘho textu, p°φsluÜn² re₧im se oznaΦuje jako modus zp∞tnΘ vazby z v²stupu (OFB), nebo modus zp∞tnΘ vazby ze zaÜifrovanΘho textu (CFB). Tyto postupy vznikly pro pot°ebu Üifrovßnφ proudu k-bitov²ch znak∙ (v∞tÜinou Üesti- nebo sedmibitov²ch); odtud u₧ nebylo daleko k nßpadu z celΘho 64bitovΘho bloku generovanΘho hesla vyu₧φt v modu OFB k Üifrovßnφ jen k bit∙. On∞ch k bit∙ hesla se pak vede zprava do vstupnφho registru blokovΘ Üifry a posouvß p∙vodnφ obsah o k bit∙ doleva.
Pozd∞ji se zjistilo, ₧e pokud nenφ k rovno plnΘ dΘlce bloku, vznikajφ ne₧ßdoucφ krßtkΘ cykly ve struktu°e produkovanΘho hesla (mφsto oΦekßvan²ch pr∙m∞rn²ch cca 2n-1 blok∙ je to cca 2n/2 blok∙ pro n-bitovΘ blokovΘ Üifry). Tento postup nenφ proto pro k < n tak bezpeΦn², pro k = n je ale vÜe v po°ßdku. Poznamenejme, ₧e nap°φklad Microsoft ve svΘm kryptografickΘm jßdru CSP (Cryptographic Service Provider) u tohoto modu pou₧φvß hodnotu k = 8, a to dokonce bez ohledu na to, ₧e u₧ivatel po₧aduje k = n a tuto hodnotu i °ßdn∞ nastavφ.
Nejpou₧φvan∞jÜφ je CBC
ZajφmavΘ je, ₧e blokovß Üifra se jako takovß, tj. v modu ECB (viz minul² dφl), pou₧φvß jen velmi z°φdka. ProΦ? JednoduÜe proto, ₧e stejnΘ bloky otev°enΘho textu majφ stejn² obraz. Pokud tedy zaÜifrujeme n∞jak² soubor, ihned vidφme, kde pod zaÜifrovan²m textem le₧φ stejnΘ bloky otev°enΘho textu û to o otev°enΘm textu "vyza°uje" urΦitou informaci, co₧ m∙₧e b²t ne₧ßdoucφ (na druhΘ stran∞ v °ad∞ aplikacφ to nevadφ). Aby se tomu p°edeÜlo, vznikl modus °et∞zenφ zaÜifrovanΘho textu û CBC (Cipher Block Chaining) a stal se takΘ nejpou₧φvan∞jÜφm modem blokov²ch Üifer. Jeho schΘma vidφte na obrßzku 3.
P°edstavme si, ₧e Üifrujeme poka₧dΘ naprosto stejn² otev°en² text, t°eba jeden megabajt sam²ch nul. InicializaΦnφ vektor b²vß generovßn nßhodn∞, a tak prvnφ blok, kter² jde do Üifrovßnφ, je roven prßv∞ IV. Jeho obraz je v₧dy jin² prßv∞ z d∙vodu nßhodnosti. V²sledn² û op∞t nßhodn² a poka₧dΘ jin² û zaÜifrovan² text znßhod≥uje dalÜφ nulov² blok otev°enΘho textu, kter² takΘ produkuje nßhodn² a poka₧dΘ jin² druh² blok ÜifrovΘho textu atd. Jak vidφme, i soubor sam²ch nul bude p°i ka₧dΘm Üifrovßnφ v modu CBC dßvat zcela jin² (nßhodn²) Üifrov² obraz.
DalÜφ v²hodou je vlastnost "samosynchronizace". P°i ztrßt∞ n∞jakΘho bloku zaÜifrovanΘho textu deÜifrovacφ proces "nezabloudφ", ale vzpamatuje se a u₧ druh² nßsledujφcφ blok zaÜifrovanΘho textu zaΦne odÜifrovßvat sprßvn∞ (promyslete si zp∙sob odÜifrovßnφ). Pokud si vzpomenete na nßÜ serißl UtajenΘ komunikace (viz infotipy), za zßklad myÜlenky °et∞zenφ zaÜifrovanΘho textu m∙₧eme pova₧ovat Vigenerovu Üifru z roku 1585; jeho vynßlez se sice naz²vß autoklφΦ a funguje na blocφch malΘ dΘlky, ale smysl je velmi podobn² modu CBC.
Poznamenejme jeÜt∞, ₧e vÜechny Φty°i uvedenΘ mody Φinnosti blokov²ch Üifer jsou standardizovßny a naleznete je v mezinßrodnφch normßch ISO 8372 a ISO/IEC 10116.
DostateΦn∞ dlouh² klφΦ!
Jak znßmo, i kvalitnφ Üifra m∙₧e b²t znehodnocena, pokud se u nφ volφ krßtk² klφΦ (v∞tÜina Üifer umo₧≥uje variabilnφ dΘlku klφΦe). K dΘlce klφΦe existujφ r∙znΘ studie, kterΘ berou v ·vahu r∙znΘ technologie i r∙znΘ odhady technologickΘho v²voje (nap°φklad Moore∙v zßkon). Vφme takΘ, ₧e nap°. 56bitovou DES je mo₧nΘ luÜtit "hrubou silou" (brute-force attack), tedy vyzkouÜet vÜechny mo₧nΘ kombinace klφΦ∙. Tuto prßci umφ ud∞lat DES-cracker, o n∞m₧ jsme u₧ v Chipu takΘ psali (viz infotipy).
P°ipojen² diagram (obr. 4) û kter² si ned∞lß nßrok na jakoukoliv progn≤zu! û dob°e ilustruje vztah dΘlky klφΦe a praktick²ch mo₧nostφ vyluÜt∞nφ Üifry. Ukazuje toti₧, kolik by teoreticky stßl DES-cracker, pokud by klφΦ k DES m∞l jinou dΘlku (osa x). Je dobrΘ si p°itom uv∞domit, ₧e zßkladnφ jednotka DES-crackeru umφ vyzkouÜet jeden klφΦ za jeden hodinov² cyklus, z Φeho₧ vypl²vß, ₧e technologicky na n∞m lze zlepÜovat jen taktovacφ kmitoΦet.
Cena pou₧itΘho hardwaru v roce 1998, k n∞mu₧ se graf vztahuje, byla 130 tisφc dolar∙ a stroj garantoval sv²m v²konem vyzkouÜenφ vÜech 256 klφΦ∙ za dev∞t dnφ (pamatujme ale na Moor∙v zßkon!). Pokud zv²Üφme dΘlku klφΦe o jedin² bit, musφme u₧ koupit dva DES-crackery, jin²mi slovy cena se zdvojnßsobφ. Za uv∞°itelnΘho p°edpokladu, ₧e nikdo nebude chtφt do luÜt∞nφ investovat vφce ne₧ 10 miliard dolar∙, dochßzφme k d∙v∞ryhodnΘ dΘlce klφΦe cca 80 bit∙ (a to i tehdy, dop°ejeme-li luÜticφmu stroji na hledßnφ klφΦe nep°etr₧it∞ p∞t let). Poznamenejme dßle, ₧e NSA u svΘho algoritmu Skipjack takΘ zvolila dΘlku klφΦe 80 bit∙ û p°iΦem₧ v komerΦnφm sv∞t∞ jsou za bezpeΦnΘ pova₧ovßny dΘlky klφΦ∙ 128 bit∙ a v²Üe. Nov∞ p°ipravovan² standard AES jde jeÜt∞ dßle a mandatorn∞ podporuje dΘlky klφΦ∙ 128, 192 a 256 bit∙.
ProΦ Üifrovat
Podφvejme se nynφ na Üifrovßnφ z aplikaΦnφho hlediska. Co nßm m∙₧e p°inΘst za v²hody? Jak znßmo, mezi zßkladnφ po₧adavky na bezpeΦnost ka₧dΘho informaΦnφho systΘmu û a na internetu Φi v podnikov²ch intranetech tφm spφÜe û pat°φ d∙v∞rnost, integrita a dostupnost. KryptografickΘ metody mohou pomoci p°i zajiÜt∞nφ vÜech t∞chto po₧adavk∙.
D∙v∞rnost: Ulo₧enß data mohou b²t neoprßvn∞n∞ prohlφ₧ena, Φtena nebo ukradena, p°enßÜenß data mohou b²t odposlouchßna. ZaÜifrovanß data vÜak mohou smyslupln∞ vyu₧φt jen ti, kdo₧ majφ Üifrovacφ klφΦ. èifrovßnφ tak zajiÜ¥uje funkci d∙v∞rnosti dat.
Integrita: Prost°ednictvφm kryptografick²ch technik, jako jsou kryptografickΘ zabezpeΦovacφ k≤dy, haÜovacφ funkce, digitßlnφ podpisy apod., lze umo₧nit detekci neoprßvn∞nΘ modifikace dat.
Dostupnost: Dostupnost je t°etφm hlavnφm po₧adavkem na bezpeΦn² informaΦnφ systΘm. Nelze ji sice zcela zajistit kryptografick²mi prost°edky, ale hodn∞ lze pro to ud∞lat °φzen²m p°φstupem. Dob°e navr₧en² °φzen² p°φstup (u₧ivatel∙ k informacφm) m∙₧e zamezit p°φstupu k dat∙m vÜem ·toΦnφk∙m i nepovolan²m osobßm. V °φzenΘm p°φstupu hraje kryptografie zßsadnφ roli, proto₧e umφ zajistit kvalitnφ autentizaci, a proto si o n∞m povφme vφce.
╪φzen² p°φstup a Üifrovacφ klφΦe
V b∞₧nΘm ₧ivot∞ mßme klφΦe od t∞ch objekt∙, kam mßme mφt prßvo p°φstupu. Jak to ale ud∞lat u dat? V p°φpad∞, ₧e jsou Üifrovanß, m∙₧eme b∞₧nΘ klφΦe nahradit t∞mi Üifrovacφmi. Ka₧d² u₧ivatel pak m∙₧e dostat ty Üifrovacφ klφΦe, kterΘ chrßnφ data, s nimi₧ mß prßvo pracovat. Podle typu Üifrovßnφ mohou Üifrovacφ klφΦe slou₧it pro p°φstup k zaÜifrovan²m soubor∙m, disk∙m, u₧ivatelsk²m nebo bankovnφm kont∙m apod. Kdy₧ klφΦe nemßme, data jsou nßm nedostupnß. èifrovßnφ tak m∙₧e prost°ednictvφm Üifrovacφch klφΦ∙ elegantn∞ zajistit funkci °φzenΘho p°φstupu.
U zaÜifrovan²ch dat m∙₧eme dßle vyu₧φt tyto u₧iteΦnΘ vlastnosti:
Ochranu velk²ch objem∙ dat lze transformovat na ochranu Üifrovacφch klφΦ∙ (tedy mal²ch objem∙ dat). Nap°φklad desφtky gigabajt∙ dat na serveru mohou b²t Üifrovßny prost°ednictvφm 128bitovΘho Üifrovacφho klφΦe.
èifrovacφ klφΦe lze ulo₧it do fyzick²ch p°edm∞t∙. Fyzick²mi p°edm∞ty mohou b²t ΦipovΘ karty, r∙znΘ tzv. tokeny, p°φdavn² bezpeΦnostnφ HW apod.
Prost°ednictvφm r∙zn²ch typ∙ Üifrovacφch klφΦ∙ m∙₧e b²t °φzenφ p°φstupu k dat∙m transformovßno na °φzenφ p°φstupu k t∞mto klφΦ∙m. Nap°φklad mohou vzniknout klφΦe, jejich₧ nßzvy vyjad°ujφ jejich ·Φel: klφΦ organizace (vÜeobecn² klφΦ pro komunikaci uvnit° organizace), klφΦe skupin, odd∞lenφ, klφΦe na projekty apod. (V °ad∞ existujφcφch systΘm∙ to u₧ tak takΘ funguje. Osobn∞ nap°φklad v dennφ praxi pou₧φvßm klφΦ odd∞lenφ, klφΦ pro komunikaci s centrßlou a klφΦe aktußlnφch projekt∙.)
èifrovacφ klφΦe mohou b²t bezpeΦn∞ ulo₧eny ve fyzick²ch p°edm∞tech a °φzenφ p°φstupu m∙₧e b²t realizovßno distribucφ t∞chto p°edm∞t∙. KlφΦe si Φlov∞k nemusφ pamatovat û pro v∞tÜinu zam∞stnanc∙ ve velk²ch podnikov²ch systΘmech je v²hodnΘ pro ·schovu klφΦ∙ pou₧φvat fyzick² p°edm∞t a zam∞stnanci si pak pamatujφ jen p°φstupovΘ heslo nebo PIN k n∞mu. P°φkladem m∙₧e b²t distribuce Φipov²ch karet Φi token∙ s asymetrick²mi nebo symetrick²mi klφΦi. TakovΘ systΘmy jsou b∞₧n∞ realizovßny pro Üifrovßnφ elektronickΘ poÜty a digitßlnφ podpis v rozsßhl²ch organizacφch. (ZnßmΘ jsou i tokeny generujφcφ Φasov∞ zßvislou autentizaΦnφ informaci na malΘm displeji, kterΘ se pou₧φvajφ pro p°φstup u₧ivatel∙ do rozsßhl²ch sφtφ.)
P°i distribuci Üifrovacφch p°edm∞t∙ nemusφ u₧ivatelΘ znßt hodnoty Üifrovacφch klφΦ∙, kterΘ jsou v nich ulo₧eny (n∞kdy je to dokonce ne₧ßdoucφ). PostaΦφ, pokud majφ prßvo p°edm∞ty s klφΦi pou₧φvat. Je to jedineΦnß bezpeΦnostnφ vlastnost, v²hodnß pro zam∞stnance i pro zam∞stnavatele, pro u₧ivatele i vydavatele t∞chto token∙ (vlastnφk∙ dat). Tento p°φstup pou₧φvß nap°φklad Expandia banka pro p°φstup klient∙ k jejich ·Φt∙m p°es internet. Jednß se o token (Active Card), kter² obsahuje Üifrovacφ klφΦ pro autentizaci klienta a jeho p°φkaz∙, p°iΦem₧ klient si volφ pouze p°φstupov² PIN k tomuto tokenu, nikoli obsa₧en² Üifrovacφ klφΦ. Na podobnΘm principu pracujφ i tokeny jin²ch firem pro p°φstup zam∞stnanc∙ k podnikov²m informaΦnφm systΘm∙m nebo pro p°φstup klient∙ k internetov²m slu₧bßm. A v podstat∞ tak pracujφ i bankovnφ karty (s magnetick²m prou₧kem nebo Φipem), nebo¥ jejich vlastnφk nemß ani pon∞tφ o tom, jak² klφΦ je spojen s jeho identitou, systΘm vÜak takov² klφΦ vyu₧φvß pro ochranu nebo autentizaci jφm zadan²ch operacφ.
Zßv∞r
Kryptografie pat°φ mezi nej·Φinn∞jÜφ metody ochrany dat. Pro p°φpady, kdy dojde k odcizenφ nosiΦe dat nebo odposlechu p°enßÜen²ch dat, nenφ ani jinß ochrana mo₧nß. Dnes jsme se seznßmili s principy pou₧φvan²mi u proudov²ch a blokov²ch Üifer a s n∞kter²mi implementaΦnφmi aspekty Üifrovßnφ; zaruΦen∞ vÜak bude o Φem povφdat i p°φÜt∞...
