Standardizace šifrovacích algoritmů od přelomu tisíciletí

Díky výrazné změně politické situace v devadesátých letech přestala být kryptografie doménou špiónů a vývoj technologií umožnil využití těchto přístupů v oblasti vědy a obchodu. Pro usnadnění tak bylo nutné zajistit odpovídající standardizaci. Tento článek se snaží o sumarizaci standardizačních aktivit.

Standardizační aktivity v oblasti kryptografie

V průběhu konce dvacátého a začátku jednadvacátého století se objevilo několik standardizačních soutěží, které mělo dopad na kryptografii a její implementaci. Ať se jedná o algoritmy DES (který vznikl podstatně dříve) a AES, hash funkce SHA-1, SHA-2, SHA-3, nebo v současnosti Post Quantum Cryptography či LightWeight Cryptography. Vše jsou reakce průmyslu a obchodu s cílem zajistit důvěrnost, neporušenost, důvěryhodnost a pravost komunikace.
V oblasti standardizace byly z dob studené války vedoucí dvě země, jednalo se o západní blok, představovaný USA a jeho spojenci, oproti nim pak stál východní blok a jeho satelity. Zpočátku se jednalo o algoritmy určené pro vojenskou komunikaci a státní tajemství. Po zklidnění mezinárodních vztahů došlo k využití těchto nástrojů v obchodě, průmyslu a službách. Bohužel, v současnosti značné množství organizací přehlíží lekce z této doby. Přesněji, důvěrnost nezajišťuje integritu ani autenticitu zprávy. Stejně tak se v oblasti IT zapomíná na Kerckhoffova pravidla. Jedno z nich už přes 150 let tvrdí: "Kryptografie musí být bezpečná a snadno použitelná, nesmí vyžadovat zvýšenou intelektuální zátěž".

USA

V oblasti kryptografie má standardizace ve Spojených státech dlouhou tradici. Příkladem je slavná "Duhová série" knih o bezpečnosti (rainbow series) ze kterých se následně vyvinuly Common Criteria. Velké množství těchto pravidel vzniklo v armádě a bylo během let zveřejněno např. institutem NIST, případně došlo k jejich standardizaci a začali se na federální úrovni označovat zkratkou FIPS.
Standardizační institut spolupracuje s NSA, která zajišťuje bezpečnost komunikací vládní organizace. Bohužel ne vždy je spolupráce s touto organizací vnímána kladně. V historii došlo k několika problémům, díky kterým je vztah k NSA přinejmenším ambivalentní (ECB mód, DES a 3DES, Dual EC_DRBG, Simon&Speck) a některé postupy lze označit termínem kleptografie. Na druhou stranu pro rozvoj bezpečnosti a kryptografie přes všechny uvedené neduhy NSA udělala obrovský kus práce.

DES (Digital Encryption Standard, USA)

Jedním z prvních standardů byl algoritmus DES (FIPS 146), který byl vyvinut ve společnosti IBM. Za vývojem tohoto algoritmu stál Horst Feistel, který vyvíjel původní algoritmus Lucifer již v průběhu druhé poloviny šedesátých let. Začátkem roku 1970 se rozhodlo o jeho publikaci a protože se přibližně v té době objevil požadavek na šifrovací standard, IBM a NSA navázaly úzkou spolupráci. Díky této spolupráci se algoritmus dále vyvíjel ale došlo i k výrazné vlastností algoritmu. Výsledkem byl algoritmus DES, který byl následně v roce 1977 standardizován. Později byl z důvodu přiliš krátkého klíče implementován ještě algoritmus 3DES. Ten využíval několika průchodů skrze algoritmus DES, pokaždé s jiným klíčem. Díky tomu došlo k jakémusi prodloužení klíčového materiálu buď formou tří šifrování a tří klíčů, nebo dvou klíčů a módu EDE (šifrování-dešifrování-šifrování). V roce 2004 byl algoritmus DES prohlášen za zastaralý, okolo roku 2017 byly obecně všechny 64b algoritmy označeny za překonané z důvodu útoku Sweet32. Od 1. ledna 2024 se nesmí ani DES ani 3DES již nadále používat.

SHA (SHA0, SHA 1, Secure Hash Algorithm, USA)

V tomto případě se nejednalo o soutěž, algoritmus SHA (SHA-0 / FIPS 180) byl navržen v letech 1992 organizací NSA a v roce 1993 standardizován. Vzhledem k nalezeným zranitelnostem došlo k modifikacím uvedeného algoritmu a v roce 1994 organizace NSA navrhla jeho nástupce SHA1 (FIPS 180-1 a později i FIPS 180-2). Ten byl o rok později standardizován. V obou případech byla použita architektura Merkle–Damgård. Algoritmus má omezení délky vstupu a hash neobsahuje informaci o této délce, proto je možné zaútočit pomocí prodlužování hashovaného textu.

AES (Advanced Encryption Standard, USA)

Na základě výrazného komunitního rozvoje a kritiky kryptografických algoritmů poskytovaných NSA došlo poprvé k veřejné soutěži o nový standard nazvaný AES (FIPS 197). Co bylo příčinou tohoto zadání je patrně na dlouhou diskusi, každopádně se jednalo o vynikající tah. Došlo k soupeření kryptologů téměř z celého světa, soutěž byla prakticky zdarma, standard byl propagován už samotnou soutěží. Zároveň se účinně eliminovalo podezření na případná zadní vrátka, protože je velice náročné takové věci podsunout do existujících algoritmů. Zároveň se jednalo o první americkou standardizační soutěž, kterou kdy vyhrál neameričan (Joan Daemen a Vincent Rijmen). Organizace NIST vydala v roce 2017 ekonomickou analýzu dopadů a možný ekonomický dopad algoritmu se odhaduje okolo 250 triliónů USD. Seznam soutěžících je v této tabulce:

SHA-2 (Secure Hash Algorithm, USA)

Opět se nejednalo o soutěž, algoritmus SHA2 byl navržen v letech 1999-2001 organizací NSA a v roce 2002 standardizován. V té době ještě nebyly výsledky soutěže algoritmu AES a probíhaly stále snahy vyhodnotit dopad a bezpečnost, proto byl patrně zvolen klasický postup. Stejně jako v případě SHA-1 se i v tomto případě jednalo o architekturu Merkle–Damgård. Návrh rozvíjel původní konstrukci SHA-1, rozšířil délku výstupu ze 160b na 256/384/512b, snažil se vypořádat s chybami původního návrhu a byl publikován pod názvem SHA2 (FIPS 180-2). Bohužel zde zůstala omezení maximální velikosti vstupu, nebo chybějící vliv délky vstupního textu na výstupní hash.

SHA-3 (Secure Hash Algorithm, USA)

Na základě úspěchu soutěže AES a hledání nové konstrukce hash funkce byla vypsána soutěž o nový hashovací standard. Existující veze SHA1/SHA2 měly některá omezení, na které bylo v komunitě poukazováno. Z uvedených důvodů byla opět vypsána mezinárodní soutěž, probíhající od roku 2009 do roku 2012. V roce 2014 došlo k uveřejnění nového standardu. Výsledkem byla hash funkce postavená na nové architektuře, označované jako Sponge function.
Jak si představit tuto "houbovou" funkci? Základem je vstupní paměť. Ta obsahuje část, označovanou jako zásobník, do druhé se vkládají vstupující texty. Nad vstupní pamětí se provádějí XOF (eXpendable Output Function) operace, které kombinují obsah paměti. Pokud si to představíme na modelu klasické mycí houby a nádoby s vodou, vždy když houbu namočíme do vody, naplníme ji vodou - vstupním textem. Její stlačení provede XOF a zahodí část dat, část vždy zůstane uvnitř. Poté, co houbou přeneseme všechnu vodu (data) z nádoby, můžeme ji pořádně vyždímat a to nám poskytně výstupní hash.
Výhercem této soutěže se tak stal algoritmus KECCAK, nadále označovaný jako SHA-3 (FIPS 202). Mimo této architektury došlo k tvorbě dalších zajímavých přístupů, jednou z nich byla konstrukce HAIFA, používaná např. v algoritmu Blake/Blake2/Blake3. Dále, jednalo se o druhou soutěž, kterou vyhrál neamerický tým. Shodou okolností se jednalo o stejný tým výherců jako u soutěže AES.

LWC (LightWeight Cryptography, USA)

Soutěž v oblasti lehké kryptografie pokrývala specifické požadavky na šifrovací algoritmy, určené pro systémy s omezenými zdroji. Pod tímto termínem se skrývá nízký výkon nebo malé schopnosti procesoru, malá paměť, nedostatečné vstupy náhodnosti nebo chybějící kryptoakcelerátory. Může se jednat o internet věcí, průmyslové systémy, platební či přístupové karty atd. I tato zařízení potřebují zajistit akceptovatelným způsobem ochranu komunikace, ale dostupné zdroje na standardní algoritmy nemusí stačit. Z uvedeného důvodu došlo v roce 2018 k vypsání této soutěže a v roce 2023 došlo k zveřejnění výherců. V současnosti je uveřejněn draft pro nový standard. Výhercem této soutěže se stal algoritmus ASCON (NIST SP 800-232), který poskytuje odpovídající ochranu i pro zařízení s takto omezenými schopnostmi. Zajímavostí je, že tento algoritmus byl zároveň výhercem evropské soutěže CAESAR (viz. dále)

PQC (Post Quantum Cryptography, USA)

Od roku 2017 běží soutěž o nové standardy pro kryptografii odolnou kvantovým počítačům. Tato soutěž se v roce 2022 rozšířila o větev označovanou jako Additional Digital Signature Scheme, V současnosti jsou k dispozici první kryptografická schémata ML-KEM (FIPS 203), ML-DSA (FIPS 204) a SHL-DSA (FIPS 205). Ve fázi návrhu je standard FN-DSA (FIPS 206). Přestože jak z hlavní tak z vedlejší větve standardizace máme velké množství algoritmů pro digitální podpis, bohužel prozatím je k dispozici pouze jediný algoritmus pro domluvu na klíčích. Hledání alternativ v této oblasti je v současnosti jedním z důležitých cílů standardizačních institucí. Více o algoritmech, které jsou součástí uvedených výběrů v samostatném článku.

Evropa

NESSIE a eSTREAM byly dvě po sobě následující soutěže, které měly z hlediska kryptografie zajímavou souvislost. Důvod je jednoduchý, soutěž eSTREAM je přímým následníkem NESSIE. Důvodem bylo selhání všech soutěžících proudových šifer v soutěži NESSIE. Mimo uvedené dvě soutěže pod patronátem ECRYPT se v Evropě pořádaly dvě další, jednalo se o komunitní soutěže PHC a soutěž CAESAR.

NESSIE (New European Schemes for Signatures, Integrity, and Encryption, Evropa)

Projekt NESSIE byl vyhlášen v roce 2000 a uzavřen v roce 2003. Inspiroval se soutěží AES a zaměřoval se na hledání nových šifrovacích algoritmů pro Evropu. V případě proudových algoritmů ale narazil na značný problém nedostatečné úrovně vývoje. Prakticky všechny proudové šifry byly v průběhu soutěže vyloučeny a na základě získaných znalostí byl následně o rok později odstartován projekt eSTREAM. Díky tomuto projektu tak došlo k výraznému pokroku na poli proudových šifer. Projekt NESSIE zároveň akceptoval v průběhu soutěže nově zvolený algoritmus AES (výsledek soutěže v USA) pro použití v Evropě, stejně jako nově zvolený algoritmus CAMELLIA (výsledek Japonské soutěže CRYPTREC).

eSTREAM (ECRYPT Stream Cipher Project)

Následníkem soutěže NESSIE byl eSTREAM. Ten zahájil svoji činnosti 2004 a výsledky byly vyhlášeny již v roce 2008. Zaměřila se čistě na vývoj a volby v oblasti proudových algoritmů. Jedním z výsledků této soutěže byla i v současnosti velmi populární rodina algoritmů SALSA (Salsa/12, Salsa20, ChaCha/12 a ChaCha/20). Na jejím základě následně vznikla i skupina hash algoritmů Blake (architektura HAIFA).

PHC (Password Hashing Competition, Evropa)

Pro účely ověřování hesel se původně používala oddělená databáze s údaji v otevřené formě, následně se začal používat algoritmus DES pro symetrické šifrování. V té době zároveň vznikl crypt interface, jeho první použití je datováno do roku 1974. Použití hash funkcí pro jednosměrné ověřování byla záležitost osmdesátých let a devadesátých let. Jejich jednosměrnost byla výhodou oproti symetrickým šifrám. Bohužel s jejich použitím se zároveň objevily i útoky, které směřovaly jak na hash funce, tak na způsob jejich užití. Zpočátku se jednalo o využití pro hash funkcí pro tvorbu duhových tabulek (Rainbow table). V takovém případě dojde k předpočítání a díky tomu tak k výměně výpočetního času za diskový prostor, tím se výrazně urychlí útok. Naštěstí je využití duhových tabulek omezeno na úzké rozmezí možných vstupů a je možné se mu relativně snadno bránit použitím soli (parametr, generovaný pro každé jednotlivé heslo samostatně). Bohužel, hash funkce nejsou dokonalé a bylo potřeba přijít s dalšími metodami ochrany, které posunou útočníka mimo oblast rentability útoku. Prvním krokem byly složené hash funkce (HMAC), následně PBKDF2 nad hash funkcemi a nakonec se začala hledat speciální třída pomalých hash funkcí.
Speciální třída pomalých hash funkcí je schopná se bránit tvorbě duhových tabulek a má zvýšené nároky na paměť a procesor. Díky tomu se zvyšují náklady na útok za hranici, kterou útočník akceptuje. V roce 2013 došlo k vyhlášení soutěže PHC, která byla uzavřena o dva roky později. Cílem bylo zajistit standardizaci, nakonec ze spolupráce s autoritami sešlo. Přesto byl nalezen a obecně akceptován výherce, další byly algoritmy byly označeny za extrémně slibné. Celý přehled je v následujícím seznamu:

CAESAR (Competition for Authenticated Encryption: Security, Applicability, and Robustness, Evropa)

V roce 2012 byla oznámena a o rok později otevřena soutěž o nové algoritmy schopné zajistit autentizované šifrování. Vývoj v té oblasti ukázal na některé slabiny spojené s AE (Autenticated Encryption) a AEAD (Authenticated Encryption with Associated Data). To znamená šifrování, u kterého je možné prokázat nejenom důvěrnost, ale i autenticitu, tedy kdo tato data šifroval. Uvedená soutěž byla ukončena v roce 2019, ale její výsledky nedošly naplnění ve formě standardu. Soutež samotná je obtížně čitelná. Přesto výherce této soutěže zároveň vyhrál i soutěž NIST LWC. Seznam projektu CAESAR je uveden zde:

Japonsko

Japonsko má vlastní strukturu standardizace. Pro výběr využívá komisi CRYPTREC, která přihlíží i ke standardům dalších zemí.

CRYPTREC (Cryptography Research and Evaluation Committees, Japonsko)

Jedná se o je japonskou komisi, která prováděla vyhodnocování mechanismů poprvé v roce 2003. Uvedená aktivita se se opakovala i v letech 2013 a 2023 (zdá se, že vždy po 10 letech). Výsledky hodnocení jednotlivých šifrových algoritmů jsou publikovány a vytváří závazná pravidla pro japonský trh. Algoritmus Camellia (jeden z výherců) je navíc mezinárodně akceptován a částečně akcelerovatelný pomocí AES-NI instrukcí. Celý seznam je zde:

Jižní Korea

Standardizace v Jižní Korei se vydala jinou cestou. Tato země se snaží propagovat svoje technologie pomocí produktů vyráběných na jejím trhu, zároveň podporuje obecně přijaté standardy. Z uvedeného důvodu produkty jejich firem podporují i národní algoritmy ARIA (spolupráce bezpečnostních složek a akademického prostředí) a SEED (bezpečnostní složky). Oba uvedené algoritmy jsou součástí např. SSL/TLS. Mimo uvedených algoritmů v tuto chvíli běží standardizace KpQC pro kryptografii odolnou kvantovým počítačům, která je vedená předními světovými odborníky.

KpqC competition (Korea Post Quantum Cryptography competition, Jižní Korea)

Jedná se o probíhající soutěž s cílem vybrat odpovídající algoritmy pro kryptografii odolnou kvantovým počítačům. Více o algoritmech, které jsou součástí uvedených výběrů v článku

Rusko

Ruská federace ještě z dob Svazu Sovětských Socialistických Republik udržuje standardy GOST (государственный стандарт / gosudarstvennyi standard). Jedná se o sadu standardů původně odpovídajícím požadavkům Sovětského svazu a do jisté míry i členů skupiny RVHP, v současnosti spíše Euroasijském výboru pro standardizaci (EASC - Euro-Asian Council for Standardization, Metrology and Certification), který působí v rámci Společenství nezávislých států (CIS - Commonwealth of Independent States) a EAEU (Euro-Asian Economic Union). V tuto chvíli zde existují standardy, ale není mi nic známo o soutěžích v této oblasti. I zde jsou akceptované algoritmy jako je AES a další. Zajímavostí v této oblasti je algoritmus Magma, který je vrstevníkem algoritmu DES.

Indie

Indie má v plánu vcelku rozsáhlý program věnující se kryptografii, ale bohužel jsem nebyl schopen najít žádné informace týkající se konkrétních soutěží, pokud probíhají. Roadmapa je k nahlédnutí zde.

Čína

Algoritmy rodiny ShāngMì byly navrženy a vyvinuty v centru pro zajištění bezpečné komunikace na Čínské akademií věd (CAS – Chinese Academy of Science, Data Assurance & Communication Security Center) a Kryptografickým testovacím centrem (Commercial Cryptography Testing Center, National Cryptography Administration). Cílem bylo navrhnout odpovídající metody ochrany zabezpečení komunikace s autentizace pro sítě využívající SSL/TLS a WiFi sítě, kde obavou byla možná zadní vrátka v existujících technologiích. Alespoň část těchto algoritmů byla přibližně v letech 2006 odtajněna a v roce 2016 se staly národními standardy.
Do uvedeného seznamu jsem přidal dva algoritmy, které zde nepatří. Jedná se o algoritmy ZUC, používaný v sítích 3G/4G/5G a standardizovaný 3GPP, dále pak algoritmus SSFF3. Rodina ShāngMì spolu s těmito algoritmy je tak v tuto chvíli používaná v širokém rozsahu aplikací, od WiFi, TLS, přes přístupové karty, komunikace s GPS Beidou, mobilní sítě a možná i v dalších, speciálních aplikacích.

V lednu 2020 došlo k publikaci čínských standardů věnujících se kryptografii odolné kvantovým počítačům. Zároveň byly publikovány i nové symetrické algoritmy. Uvedený materiál popisuje jak symetrické, tak kvantovým počítačům odolné algoritmy. Více o algoritmech odolných kvantovým počítačům, které jsou součástí uvedeného výběru je možné najít v článku.

Čína se snaží projevit svoji nezávislost i v této oblasti. V nedávné době jsem narazil na informaci, že Rusko by mělo mít zájem na tomto vývoji spolupracovat, ale informací je málo a pro mne jsou obtížně čitelné. Více informací o soutěži lze najít na:
CACR cryptography standardization

Výherci: uBlock, Ballet, FESH, ANT, TANGRAM, RAINDROP, NBC, FBC, SMBA, SPRING

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.