Blog

Témata:

2. 11. 2024

Kryptografie

Bezpečnostní ekvivalent a délka klíčů

Při používání kryptografie se často používají různé délky klíčového materiálu, přesto se tvrdí, že mají stejnou odolnost. Nepočítáme náhodou dohromady jablka a hrušky?

Proč je důležitý bezpečnostní ekvivalent? Je délka klíčů správné hodnocení?

Ochrana pomocí kryptografie je založena na šifrování a pro šifrování je vždy potřeba nějaký klíčový materiál. Přesto, u symetrických šifer je klíč velice krátký a u asymetrických šifer klíč velice dlouhý, mimo to se liší algoritmus od algoritmu. Má tedy smysl s délkou klíče vůbec pracovat? A podle čeho se zjistí bezpečnost algoritmu? Pro začátek, než budeme pokračovat, je nutné se rychle zastavit u pojmu klíč, protože pod ním si každý rozumí něco jiného.

Heslo a klíč

Velice zjednodušeně lze říct, že heslo je vstup od uživatele, ale klíč je generovaný systémem. Zpravidla na základě uživatelského vstupu. Bohužel, heslo jako uživatelský vstup, je často předvídatelné a není dost náhodné. Proto mají rozumné protramy metody, jak z hesla vydestilovat dostatečně náhodný a nepředvídatelný klíčový materiál. Těmto funkcí se říká funkce pro derivací klíčů (KDF). Pokud ji váš software nepoužívá nebo nezná, zbystřete a raději si nechte vrátit peníze. V tomto článku se budeme zaobírat klíčovým materiálem a jeho vlastnostmi, heslo jako takové nás až tak moc nezajímá.

Klíčový materiál pro asymetrické šifry

Největší rozdíly v délce klíčů mají asymetrické šifry. Asymetrické, protože je klíč použit asymetricky. Například privátní klíč je určen pro podepsání dokumentu a veřejný klíč (který je od privátního odvozen) dovoluje všem jeho držitelům ověřit pravdivost podpisu. Ale jak to, že stejnou bezpečnost mají například algoritmus RSA s klíčem o velikosti 3072b a algoritmus ECDSA s klíčem o velikosti 256b? Asi je na místě otázka, zda v tom není nějaká zrada. Ale doopravdy není. Bezpečnost lze porovnávat vcelku jednoduše, pomocí tzv. bezpečnostního ekvivalentu. A podle uvedeného ekvivalentu je vše v pořádku. Délka klíčů se naopak používá jako doporučení, aby nedošlo k omylům. Zvláště, pokud někdo bezpečnostní ekvivalent nezná. Takže, jak je to možné tento ekvivalent spočítat?

Co je bezpečnostní ekvivalent

Pokud mám nějakou úlohu, mohu vcelku přesně vyjádřit její složitost. Zda budu potřebovat tisíc, milión, miliardu operací nebo více. Protože se bavíme o světě počítačů, mohu složitost vyjádřit jako mocninu, např. 2^20, 2^64, 2^128. Tedy kolik operací potřebuji k úspěšnému řešení problému. A tady je právě ten důležitý údaj. Bezpečnostní ekvivalent 128b znamená, že potřebuji 2^128 operací. A číslo 2^128 je možné vyjádřit jako 128b číslo. Tedy není vhodné počítat s délkou klíče, ale se složitostí. A složitost není nic jiného, než náročnost řešení problému. Zároveň takové vyjádření složitosti je možné použít jako univerzální překlad schopnosti ochrany symetrických a asymetrických algoritmů, hashí a za jistých podmínek i hesel. Pravdou je, že v případě hesel se jedná už o extrémní výklad bezpečnostního ekvivalentu.

Bezpečnostní ekvivalent pro algoritmus RSA

Algoritmus RSA v současnosti (2024) stále ještě slouží pro účely digitálního podpisu a domluvy na klíčích. Jeho bezpečnost zajišťuje problém obtížnosti faktorizace velkých čísel. V překladu to znamená způsob, jak najít dvě prvočísla, jejichž vzájemným násobením toto velké číslo vznikne. V současnosti je neúčinnější metodou na klasických počítačích tzv. obecné číselné síto (GNFS - General Number Field Sieve), na kvantových počítačích pak Shorrův algoritmus (založený na QFT - Quantum Fourier Transformation). V případě GNFS je pak naše schopnost útočit na tento algoritmus značně omezená. Další nevýhodou RSA algoritmu je jeho subexponenciální složitost. V překladu to znamená, že jeho odolnost proti útokům roste pomaleji, než velikost klíče. Díky tomu se můžeme snadno narazit na technická omezení např. u oblíbených protokolů SSL/TLS, SSH, IPSec a dalších. Pro představu těchto závislosti je možné uvést tabulku pro převod na bezpečnostní ekvivalent a zpět, která vypadá následujícím způsobem. Vysvětlení dopadů kvantových počítačů na asymetrické algoritmy bude v jiném článku.

Šířka RSA klíče	512	768	1024	2048	3072	4096	8192	16384	32768	65536
Bezpečnostní ekvivalent	64	77	87	117	139	157	209	326	365	481

Bezpečnostní ekvivalent	64	80	112	128	168	192	224	256	384	512
Šířka RSA klíče	514	851	1855	2540	4857	6710	9763	13550	37100	76608

Bezpečnostní ekvivalent pro algoritmy: Diffie-Hellman, ElGamal, Schnorrův podpis a DSA

Tyto algoritmy využívají pro ochranu problém diskrétního logaritmu v tělese. V tomto případě se pod číselným tělesem míní aditivní (tedy jednotlivá čísla se pokaždé zvětší o určité číslo, zpravidla o číslo 1 nebo 2, výsledkem je zbytek po dělení prvočíslem) nebo multiplikativní (jednotlivá čísla se vynásobí určitým číslem a výsledkem je zbytek po dělení prvočíslem) grupa. Zjednodušeně, je jednoduché v takovém tělese umocnit nějaká čísla, ale prakticky nemožné uvedená čísla odmocňovat. Pro představu, pokud budeme používat modulární násobení (tedy vynásobíme dvě čísla, násobek vydělíme zvoleným prvočíslem, výsledkem je zbytek), můžeme snadno napsat 5*8 mod 13 = 1. V tento případě je náročné, ale stále možné, najít kterým číslem se násobilo číslo 5. Ale i když budeme mít 5^8 mod 13, situace je podstatně horší. Nejsme schopní zjistit, zda se jednalo o 8, 10, 92 ... nebo to snad bylo jiné číslo? Každopádně, jedná se vlastně stále o učivo základní školy. Pro odvození složitosti je zde možné použít tzv. Pollardův algoritmus, který na klasických počítačích dovoluje útočit na tuto konstrukci, na kvantových se opět jedná o modifikovaný Shorův algoritmus (využívá QFT - Quantum Fourier Transformation). Zajímavostí je, že přestože je složitost útoku na uvedené algoritmy výrazně vyšší, je klíč obdobné velikosti jako u RSA. To je ale dáno konstrukcí klíče. Ten obsahuje jak definici tělesa, tak generátor (tedy z jakého bodu se začíná s výpočtem), tak veřejný klíč. Protože jsou uvedené informace docela velké, vzniká podobná situace s velikostí výsledných klíčů jako u RSA. Proto se pro zjednodušení uvádí velikost klíče odpovídající předchozí tabulce. V realitě je ale důležitá hlavně šířka tajného klíče. Vysvětlení dopadů kvantových počítačů na asymetrické algoritmy bude v jiném článku.

Soubor klíče	2048	3072	3584	4096	5120	6144	8192	9216	13550	16384	32768
Privátní klíč	224	256	288	320	352	384	416	448	480	512	544
Bezpečnostní ekvivalent	112	128	144	160	176	192	208	224	240	256	272

Bezpečnostní ekvivalent	56	64	80	112	128	168	192	224	256	384	512
Privátní klíč	112	128	160	224	256	336	384	448	512	768	1024
Soubor klíče	2048	3072	3584	4096	5120	6144	8192	9216	13550	16384	32768

Poznámka: Kvůli dalším údajům, které jsou součástí klíče, výsledná velikost souboru klíče přibližně odpovídá velikosti klíčů u RSA a uvažuje se proto o odolnosti podobným způsobem.

Bezpečnostní ekvivalent pro algoritmy založené na eliptických křivkách: ECDH, ECDSA, EdDSA

Algoritmy postavené nad eliptickými křivkami využívají podobný princip jako algoritmy Diffie-Hellman, ElGamal, Schnorrův podpis a DSA. Na rozdíl od nich ale nepoužívají obecná tělesa, ale tělesa nad eliptickými křivkami. Ty přidávají další vrstvu složitosti. Vlastně jedná se opět o učivo základní školy, jenom to zmiňované těleso vzniká nad rovnicí, obvykle kvadratickou. V tomto případě se tedy jedná o multiplikativní grupu. Ostatní části postupu jsou stejné, tedy opět se používá dělení se zbytkem, jakýsi "omezovač velikosti" grupy. Z hlediska složitosti útoku je zde opět možné použít na digitálním počítači Pollardův algoritmus, na kvantovém počítači modifikovaný Shorův algoritmus (využívá dvě QFT - Quantum Fourier Transformation). Vysvětlení dopadů kvantových počítačů na asymetrické algoritmy bude v jiném článku. Závislost na bezpečnosti je zde složitější, proto je uvedeno jenom zjednodušené vysvětlení. Soubor klíče je v tuto chvíli odpovídající velikosti k bitové šířce klíče, proto je tedy soubor klíče výrazně menší.

Šířka klíče	224	256	288	320	352	384	416	448	480	512	544
Bezpečnostní ekvivalent	112	128	144	160	176	192	208	224	240	256	272

Bezpečnostní ekvivalent	56	64	80	112	128	168	192	224	256	384	512
Šířka klíče	112	128	160	224	256	336	384	448	512	768	1024

Bezpečnostní ekvivalent symetrických šifrovacích algoritmů

U symetrických šifrovacích algoritmů se používá jako bezpečnostní ekvivalent bitová šířka klíče. Přesto se objevují nové útoky a každá z těchto metod může přinést oslabení existující odolnosti. Příkladem takového oslabení je algoritmus RC-4, který přestože může mít 128b klíč, je zlomitelný v řádu vteřin. A příkladů je více.

Bezpečnostní ekvivalent hash funkcí

U hash funkcí vychází bezpečnostní ekvivalent s narozeninového paradoxu, tedy z pravděpodobnosti výskytu dvou stejných textů s podobným výstupem. Zjednodušeně lze proto tvrdit, že bezpečnostní ekvivalent je zhruba polovina šířky výstupu hash funkce, tj. délka/2. Pro kvantové počítače se jedná o podobnou hodnotu, který by měla být délka/3

Hash funkce	SHA-256	SHA-384	SHA-512	SHA-512/256	SHA3-256	SHA3-384	SHA3-512	SHAKE128	SHAKE256
Bezpečnostní ekvivalent	128	192	256	128	256	192	256	64	128
Kvantový bezpečnostní ekvivalent	85	128	170	85	85	128	170	42	85

Poznámka: Vysvětlení narozeninového paradoxu

Matematici jsou zvláštní lidé, schopní bavit se na oslavách počítáním pravděpodobnosti. Například, kolik lidí by mohlo mít narozeniny stejný den, proto narozeninový paradox. Ale matematik nehledá konkrétní příklad, kdy někdo bude mít narozeniny stejný den jako oslavenec, hledá obecný případ. To znamená, že kdokoliv na oslavě může mít narozeniny stejný den jako někdo jiný. Překvapivě je pro pravděpodobnost 50% potřeba pouhých 23 lidí. Uvedné lze spočítat pomocí následujícího postupu.
Pravděpodobnost = (1 − variace (365, účastníků) / variace s opakováním (365, účastníků))

Závěr

Ať už se jedná o jakoukoliv kryptografii, je vhodné nasazovat přibližně stejný bezpečnostní ekvivalent. V jíném případě nejslabší algoritmus může ohrozit zabezpečení silněji chráněných, tj. algoritmů s vyšším bezpečnostním ekvivalentem. Co se týká silnějších algoritmů, ty na druhou stranu zbytečně pálí strojový čas na úlohy, které jsou zbytečně náročné. V takovém okamžiku se z výpočetní techniky může stát pouze předražený přímotop. V současnosti je odpovídající bezpečnostní ekvivalent 128b, ale kvůli rizikům představovaným kvantovými počítači dochází k výrazným změnám, pro symetrické algoritmy se začíná uvažovat nad požadavkem šířky klíčů 192b až 256b. Klasické asymetrické algoritmy již nestačí a řeší se jejich nahrazení.

Příloha:

Seznam problémů klasické asymetrické kryptografie a jejich vysvětlení, převzato z prof. Bill Buchannan stránek ASECURITY [1].

Problém faktorizace	(FACTORING) Najdi dvě prvočísla větší než 1, jejichž vynásobením vznikne číslo N.
RSA Problem	(RSAP) Jedná se o problém "zpětného" chodu RSA.
Problém kvadratického zbytku	(QRP - Quadratic Residuosity problem) Pokud jsou k dispozici dvě čísla, rozhodni, zda je číslo kvadratickým zbytkem po odmocnění čísla v tělese modulo n.
Problém druhé odmocniny	(SQROOT - Square Roots modulo N) Pokud je k dispozici zbytek po umocnění čisla v tělese, urči, o jaké číslo se původně jednalo.
Problém diskrétního logaritmu	(DLP - Discrete Logarithm problem) Je k dispozici číslo, pro které je nutné najít mocnitel takovým způsobem, aby bylo možné získat určitý zbytek.
Obecný problém diskrétního logaritmu	(GDLP - General Discrete Logarithm problem) Je k dispozici číslo, pro které je nutné najít mocnitel takovým způsobem, aby bylo možné získat určité číslo.
Diffie Hellman problem	(DHP - Diffie Hellman problem) - Pokud jsou k dispozici dvě mocniny čísel v tělese, najdi v tomto tělese součit těchto mocnin.
Obecný Diffie Hellman problem	(GDHP - General Diffie Hellman problem) - Pokud jsou dispozici zbytky po mocnění v tělese, najdi modulární součin těchto mocnin.
Problém sumy částí	(SUBSET-SUM - Subset Sum problem) Pokud mám sadu čísel a nějaký součet, urči zda je součet částí součástí celkového součtu.

Reference:

After 60 Years, Another Busy Beaver Problem Solved
Zdroj: https://medium.com/
Cryptographic Key Lenght Recommendation
Zdroj: https://www.keylength.com/

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.

1. Úvodní ustanovení

1.1. Tyto všeobecné obchodní podmínky jsou, není-li ve smlouvě písemně dohodnuto jinak, nedílnou součástí všech smluv týkajících školení, pořádaných nebo poskytovaných školitelem, Jan Dušátko, IČ 434 797 66, DIČ 7208253041, se sídlem Pod Harfou 938/58, Praha 9, zapsané u Úřadu městské části Praha 9 (dále jen „školitel“).
1.2. Smluvními stranami ve všeobecných obchodních podmínkách jsou míněni školitel a objednatel, kdy objednatel může být zároveň zprostředkovatelem smluvního vztahu.
1.3. Záležitosti, které nejsou upravené těmito obchodními podmínkami, se řeší podle Občanského zákoníků, tj. zákon č. 89/2012 Sb.

2. Vznik smlouvy přihlášením ke kurzu

2.1. Přihláškou se rozumí jednostranný úkon objednatele adresovaný školiteli prostřednictvím datové schránky s identifikací euxesuf, e-mailu na adresu register@cryptosession.cz nebo register@cryptosession.info, internetových stránek cryptosession.cz, cryptosession.info nebo kontaktním telefonem +420 602 427 840.
2.2. Odesláním přihlášky objednatel souhlasí s těmito všeobecnými podmínkami a prohlašuje, že se s nimi seznámil.
2.3. Přihláška se považuje za přijatou momentem potvrzení (stadnardně do 2 pracovních dní) školitelem nebo zprostředkovatelem. Toto potvrzení je zasláno do datové schránky nebo na kontaktní e-mail.
2.4. Standardní doba pro přihlášení je nejpozději 14 pracovních dní před konáním vzdělávací akce, pokud není uvedeno jinak. V případě fyzické nepodnikající osoby musí být objednávka alespoň 28 pracovních dní před konáním vzdělávací akce.
2.5. Na jednu přihláškou lze přihlásit i více než jednoho účastníka.
2.6. Pokud je více než 10 účastníků od jednoho objednatele, je možné se domluvit na školení v místě sídla zprostředkovatele nebo objednatele.
2.7. Přihlášky jsou přijímány a zpracovávány v pořadí, v jakém došly poskytovateli. Poskytovatel neprodleně informuje objednatele o všech skutečnostech. Těmi se míní naplnění kapacity, příliš nízký počet účastníků, nebo jiný závažný důvod, jako je nemoc lektora nebo zásah vyšší moci. Objednateli bude v tomto případě nabídnut nový termín, případně účast na jiné vzdělávací akci. V případě, že objednatel nebude s přesunutím či účastí na jiné nabídnuté vzdělávací akci souhlasit, poskytovatel mu vrátí účastnický poplatek. Nedostatečný účastníků je oznámen objednateli alespoň 14 dní před začátkem plánovaného termínu.
2.8. Smlouva mezi poskytovatelem a objednatelem vzniká odesláním potvrzení poskytovatelem objednateli.
2.9. Smlouvu lze změnit nebo zrušit pouze za splnění zákonných předpokladů a pouze písemně.

3. Zánik smlouvy zrušením přihlášky

3.1. Přihláška může být objednatelem zrušena pomocí e-mailu, nebo pomocí datové schránky.
3.2. Zákazník má právo stornovat svoji přihlášku na kurz 14 dní před konáním kurzu bez jakýchkoliv poplatků. Pokud se jedná o kratší dobu, dochází k následné změně. V intervalu 7-13 dní je účtován administrativní poplatek 10%, storno účasti v kratším intervalu než 7 dní pak poplatek 25%. V případě storna přihlášky nebo objednávky ze strany zákazníka je nabízena možnost účasti zákazníka v náhradním termínu bez dalšího poplatku. Právo na zrušení přihlášky zaniká realizací objednaného školení.
3.3. Při zrušení přihlášky školitelem náleží objednateli plná náhrada za neuskutečněnou akci.
3.4. Objednatel má právo žádat náhradní termín nebo náhradní školení. V takovém případě bude objednatel informován o všech otevřených kurzech. Náhradní termín si nelze vymáhat ani vynucovat, závisí na aktuální dostupnosti kurzu. Pokud má náhradní školení nižší cenu, objednatel doplatí rozdíl. Pokud má náhradní školení nižší cenu, školitel vrátí rozdíl cen školení objednateli.

4. Cena a platební podmínky

4.1. Odesláním přihlášky objednatel akceptuje smluvní cenu (dále jen účastnický poplatek) uvedenou u daného kurzu.
4.2. V případě více účastníků přihlášených jednou přihláškou je možná sleva.
4.3. Účastnický poplatek musí být uhrazen na bankovní účet společnosti vedený u Komerční banky č. 78-7768770207/0100. Při platbě je nutné uvést variabilní symbol, který je uveden na faktuře, odeslané objednateli školitelem.
4.4. Účastnický poplatek zahrnuje náklady poskytovatele včetně školicích materiálů. Poskytovatel je plátce DPH.
4.5. Účastnický poplatek je objednatel povinen uhradit do 14 pracovních dní od přijetí faktury, pokud nebylo samostatnou smlouvou uvedeno jinak.
4.6. Pokud se přihlášená osoba neúčastní školení a nedošlo k jiné domluvě, je její neúčast považována za storno příhlášku v intervalu kratším než 7 dní, tj. školiteli náleží odměna ve výši 25% z ceny kurzu. Přeplatek je vrácen do 14 dní na platební účet odesílatele, ze kterého byly prostředky odeslány. Platba na jiné číslo účtu není možná.
4.7. Nejdéle do 5 pracovních dní od začátku školení bude školitelem vystavena faktura, která bude dle dohody odeslána e-mailem nebo datovou schránkou.

5. Podmínky školení

5.1. Školitel je povinnen informovat objednatele 14 dní dopředu o místě a času školení, včetně termínu zahájení a ukončení denního programu.
5.2. Pokud objednatel není studentem kurzu, je povinnen zajistit distribuci těchto informací koncovým účastníkům. Za nesplnění těchto podmínek školitel nenese odpovědnost.
5.2. Standardně školení probíhá v čase od 9:00 do 17:00 na předem určeném místě.
5.3. Školitel může být dle aktuálních podmínek k dispozici od 8:00 do 9:00 a následně od 17:00 do 18:00 pro dotazy účastníků.
5.4. Na konci školení je koncovým uživatelům předán certifikát o absolovování.
5.5. Na konci školení koncoví uživatelé vyhodnocují přístup lektora a mají se vyjádřit k ohodnocení jeho prezentace, způsobu přednesení a ohodnotit významn poskytnutých informací.

6. Reklamace

6.1. Pokud je účastník hrubě nespokojen s průběhem kurzu, je školitel o této informaci vyrozuměn.
6.2. Důvody nespokojenosti jsou ten samý den zapsány do protokolu ve dvou kopiích. Jedna je předána objednateli a jednu má školitel.
6.3. Vyjádření k reklamaci bude podáno e-mailem do dvou týdnů. Následně do jednoho týdne bude domluven způsob řešení.
6.4. Nespokojenost zákazníka může být důvodem k rozvázání další spolupráce, nebo finanční kompenzaci až do výše ceny školení po odečtení nákladů.

7. Autorská práva k poskytnutým materiálům

7.1. Školicí materiály poskytnuté školitelem v rámci konání školení splňují znaky autorského díla dle zákona č. 121/2000 Sb.
7.2. Žádný ze školicích materiálů ani jeho část nesmí být bez předchozího písemného souhlasu školitele jakýmkoli způsobem dále zpracovávána, rozmnožována, rozšiřována nebo využívána k dalším prezentacím nebo školením.

8. Zodpovědnost

8.1. Školitel nepřebírá odpovědnost za nedostatky ve službách kterékoliv třetí strany, kterou využívá při školeních.
8.2. Školitel nepřebírá odpovědnost za zranění, škody a ztráty, vzniklé účastníkům vzdělávacích akcí, nebo které byly účastníky způsobeny. Takové náklady, způsobené uvedenými okolnostmi, ponese výhradně účastník vzdělávací akce.

9. Platnost podmínek

9.1 Tyto všeobecné obchodní podmínky jsou platné a účinné od 1. října 2024.