O melhor da classe: a história do padrão de criptografia AES

Desde maio de 2020, as vendas oficiais dos discos rígidos externos WD My Book com suporte para criptografia de hardware AES com chave de 256 bits começaram na Rússia. Devido a restrições legislativas, anteriormente esses dispositivos só podiam ser comprados em lojas de eletrônicos online estrangeiras ou no mercado "cinza", mas agora qualquer pessoa pode obter uma unidade protegida com uma garantia de marca de 3 anos da Western Digital. Em homenagem a esse evento significativo, decidimos fazer uma breve excursão pela história e descobrir como o Padrão de criptografia avançado surgiu e por que ele é tão bom em comparação com as soluções concorrentes.



Por muito tempo, o padrão oficial de criptografia simétrica nos Estados Unidos foi o DES (Data Encryption Standard), desenvolvido pela IBM e incluído na lista de Federal Information Processing Standards em 1977 (FIPS 46-3). O algoritmo é baseado em desenvolvimentos obtidos durante um projeto de pesquisa com o codinome Lúcifer. Quando, em 15 de maio de 1973, o US National Bureau of Standards anunciou um concurso para criar um padrão de criptografia para agências governamentais, a corporação americana entrou na corrida da criptografia com a terceira versão do Lúcifer, usando a rede Feistel atualizada. E junto com outros concorrentes, sofreu um fiasco: nenhum dos algoritmos apresentados para o primeiro concurso atendeu aos rígidos requisitos formulados pelos especialistas do NBS.





Claro, a IBM não poderia apenas aceitar a derrota: quando a competição foi reiniciada em 27 de agosto de 1974, a corporação americana reaplicou, apresentando uma versão aprimorada de Lúcifer. Desta vez, o júri não teve uma única reclamação: após um trabalho competente sobre os erros, a IBM eliminou com sucesso todas as deficiências, de modo que não havia o que reclamar. Tendo obtido uma vitória esmagadora, Lúcifer mudou seu nome para DES e foi publicado no Federal Register em 17 de março de 1975.



No entanto, durante simpósios abertos organizados em 1976 para discutir um novo padrão criptográfico, o DES foi fortemente criticado pela comunidade de especialistas. A razão para isso foram as mudanças feitas no algoritmo por especialistas da NSA: em particular, o comprimento da chave foi reduzido para 56 bits (inicialmente Lúcifer suportou trabalho com chaves de 64 e 128 bits), e a lógica dos blocos de permutação foi alterada. De acordo com os criptógrafos, "melhorias" não faziam sentido e a única coisa que a Agência de Segurança Nacional estava se esforçando, introduzindo modificações, era ser capaz de visualizar documentos criptografados livremente.



Em conexão com as acusações acima, uma comissão especial foi criada no Senado dos Estados Unidos, com o objetivo de verificar a validade das ações da NSA. Em 1978, um relatório foi publicado após a investigação, que relatou o seguinte:

• Os representantes da NSA participaram da finalização do DES apenas indiretamente, enquanto sua contribuição dizia respeito apenas às mudanças na operação dos blocos de permutação;
• a versão final do DES mostrou-se mais resistente a trincas e análises criptográficas do que a original, portanto as alterações foram justificadas;
• um comprimento de chave de 56 bits é mais do que suficiente para a grande maioria dos aplicativos, porque quebrar essa cifra exigirá um supercomputador no valor de pelo menos dezenas de milhões de dólares e, uma vez que invasores comuns e até mesmo hackers profissionais não têm esses recursos, não há nada com que se preocupar.

As conclusões da comissão foram parcialmente confirmadas em 1990, quando os criptógrafos israelenses Eli Biham e Adi Shamir, trabalhando no conceito de criptoanálise diferencial, conduziram um grande estudo de algoritmos de bloco, incluindo DES. Os cientistas concluíram que o novo modelo de permutação revelou-se muito mais resistente a ataques do que o original, o que significa que a NSA realmente ajudou a eliminar vários furos no algoritmo.





Adi Shamir



Ao mesmo tempo, a limitação do comprimento da chave acabou se revelando um problema muito sério, o que foi convincentemente comprovado pela Electronic Frontier Foundation (EFF) em 1998 como parte do experimento DES Challenge II conduzido sob os auspícios do RSA Laboratory. Um supercomputador, codinome EFF DES Cracker, foi construído especificamente para crackear DES, que foi desenvolvido por John Gilmore, co-fundador da EFF e líder do projeto DES Challenge, e Paul Kocher, fundador da Cryptography Research.





Processador EFF DES Cracker



O sistema desenvolvido por eles foi capaz de encontrar a chave para uma amostra criptografada por um método simples de força bruta em apenas 56 horas, ou seja, em menos de três dias. Para fazer isso, o DES Cracker precisava verificar cerca de um quarto de todas as combinações possíveis, o que significa que mesmo nas circunstâncias mais desfavoráveis, levará cerca de 224 horas para quebrar, ou seja, não mais do que 10 dias. Ao mesmo tempo, o custo do supercomputador, levando em consideração os recursos gastos em seu projeto, foi de apenas 250 mil dólares. É fácil adivinhar que hoje é ainda mais fácil e barato decifrar tal cifra: não só o hardware se tornou muito mais poderoso, mas também graças ao desenvolvimento das tecnologias da Internet, um hacker não precisa comprar ou alugar o equipamento necessário - basta criar um botnet a partir de PCs infectados com um vírus.



Este experimento demonstrou claramente como o DES é obsoleto. E como naquela época o algoritmo era utilizado em quase 50% das soluções na área de criptografia de dados (segundo a mesma EFF), a questão de encontrar uma alternativa tornou-se mais aguda do que nunca.

Novos desafios - nova competição

Para ser justo, deve-se dizer que a busca por um substituto para o Data Encryption Standard começou quase simultaneamente com a preparação do EFF DES Cracker: o Instituto Nacional de Padrões e Tecnologia (NIST) dos Estados Unidos anunciou em 1997 o lançamento de uma competição para algoritmos de criptografia projetados para identificar um novo "padrão ouro" para cripto segurança. E se antigamente um evento semelhante acontecia exclusivamente "para nós", então, tendo em mente a má experiência de 30 anos atrás, o NIST decidiu abrir o concurso: qualquer empresa e qualquer pessoa podiam participar, independentemente da localização ou cidadania.



Essa abordagem valeu a pena mesmo na fase de seleção dos candidatos: entre os autores que se inscreveram para participar do concurso Advanced Encryption Standard estavam criptologistas mundialmente famosos (Ross Anderson, Eli Biham, Lars Knudsen) e pequenas empresas de TI especializadas em segurança cibernética (Counterpane ) e grandes corporações (Deutsche Telekom da Alemanha) e instituições educacionais (Universidade Católica de Leuven, Bélgica), bem como start-ups e pequenas empresas das quais poucas pessoas ouviram falar fora de seus países (por exemplo, Tecnologia Apropriada Internacional da Costa Rica).



Curiosamente, desta vez o NIST aprovou apenas dois requisitos básicos para algoritmos participantes:

• o bloco de dados deve ter um tamanho fixo de 128 bits;
• o algoritmo deve suportar pelo menos três tamanhos de chave: 128, 192 e 256 bits.

Foi relativamente fácil conseguir esse resultado, mas, como dizem, o diabo está nos detalhes: havia muito mais requisitos secundários e era muito mais difícil atendê-los. Enquanto isso, foi com base neles que os revisores do NIST selecionaram os concorrentes. Aqui estão os critérios para os competidores vencerem:

1. a capacidade de resistir a quaisquer ataques criptanalíticos conhecidos no momento da competição, incluindo ataques através de canais laterais;
2. a ausência de chaves de criptografia fracas e equivalentes (equivalente significa aquelas chaves que, embora tenham diferenças significativas entre si, levam a cifras idênticas);
3. a velocidade de criptografia é estável e aproximadamente a mesma em todas as plataformas atuais (de 8 a 64 bits);
4. otimização para sistemas multiprocessadores, suporte para paralelização de operações;
5. requisitos mínimos para a quantidade de RAM;
6. sem restrições para uso em cenários padrão (como base para criar funções hash, PRNGs, etc.);
7. a estrutura do algoritmo deve ser robusta e fácil de entender.

O último ponto pode parecer estranho, mas se você pensar bem, faz sentido, porque um algoritmo bem estruturado é muito mais fácil de analisar, além disso, é muito mais difícil esconder um "marcador" nele, com o qual um desenvolvedor poderia obter acesso ilimitado aos dados criptografados.



A convocação de inscrições para a competição Advanced Encryption Standard durou um ano e meio. No total, 15 algoritmos participaram dele:

1. CAST-256, desenvolvido pela empresa canadense Entrust Technologies, baseado no CAST-128 criado por Carlisle Adams e Stafford Tavares;
2. Crypton, Future Systems, ;
3. DEAL, , , ;
4. DFC, , (CNRS) France Telecom;
5. E2, Nippon Telegraph and Telephone;
6. FROG, - Tecnologia Apropriada Internacional;
7. HPC, ;
8. LOKI97, ;
9. Magenta, Deutsche Telekom AG;
10. MARS IBM, — Lucifer;
11. RC6, , AES;
12. Rijndael, ;
13. SAFER+, Cylink ;
14. Serpent, , ;
15. Twofish, Blowfish, 1993 .

De acordo com o resultado da primeira rodada, foram apurados 5 finalistas, entre os quais Serpent, Twofish, MARS, RC6 e Rijndael. O júri encontrou falhas em quase todos os algoritmos listados, exceto um. Quem foi o vencedor? Vamos estender um pouco a intriga e primeiro considerar as principais vantagens e desvantagens de cada uma das soluções listadas.

MARS

No caso do "deus da guerra", os especialistas notaram a identidade dos procedimentos de criptografia e descriptografia, mas isso se limitou às suas vantagens. O algoritmo da IBM revelou-se surpreendentemente voraz, o que o tornou inadequado para operação em ambientes com recursos limitados. Também houve problemas com paralelização de cálculos. Para funcionar com eficácia, o MARS precisava de suporte de hardware para multiplicação e rotação de 32 bits por um número variável de bits, o que novamente impunha restrições à lista de plataformas suportadas.



O MARS também se mostrou bastante vulnerável a ataques no tempo e no consumo de energia, teve problemas com a expansão de chave em tempo real e sua complexidade excessiva dificultou a análise da arquitetura e criou problemas adicionais no estágio de implementação prática. Resumindo, no contexto de outros finalistas, MARS parecia um verdadeiro estranho.

RC6

O algoritmo herdou algumas das transformações de seu antecessor, RC5, que havia sido exaustivamente pesquisado anteriormente, o que, combinado com uma estrutura simples e intuitiva, o tornava completamente transparente para os especialistas e excluía a presença de "marcadores". Além disso, o RC6 demonstrou velocidades de processamento de registro em plataformas de 32 bits, e os procedimentos de criptografia e descriptografia eram absolutamente idênticos nele.



No entanto, o algoritmo teve os mesmos problemas que o MARS mencionado acima: há uma vulnerabilidade a ataques de canal lateral e dependência de desempenho no suporte para operações de 32 bits, bem como problemas com cálculos paralelos, expansão de chave e alta demanda de recursos de hardware. Nesse aspecto, ele não era de forma alguma adequado para o papel de vencedor.

Dois peixes

Twofish revelou-se bastante ágil e otimizado para trabalhar em dispositivos de baixo consumo de energia, lidou bem com as teclas de expansão e sugeriu várias opções de implementação, o que tornou possível ajustá-lo para tarefas específicas. Ao mesmo tempo, os "dois peixes" provaram ser vulneráveis ​​a ataques via canais laterais (em particular, em termos de tempo e consumo de energia), não eram particularmente amigáveis ​​com sistemas multiprocessadores e eram extremamente complexos, o que, aliás, afetou a velocidade de expansão principal.

Serpente

O algoritmo tinha uma estrutura simples e compreensível, o que simplificava muito sua auditoria, não exigia muito do poder da plataforma de hardware, tinha suporte para expansão de chaves "em tempo real" e era relativamente fácil de modificar, o que diferia favoravelmente de seus adversários. Apesar disso, Serpent foi, em princípio, o mais lento dos finalistas, além disso, os procedimentos para criptografar e descriptografar informações nele eram radicalmente diferentes e exigiam abordagens fundamentalmente diferentes para implementação.

Rijndael

O Rijndael revelou-se extremamente próximo do ideal: o algoritmo atendeu totalmente aos requisitos do NIST, embora não fosse inferior, e em termos da totalidade das características, era visivelmente superior aos seus concorrentes. Reindal tinha apenas dois pontos fracos: vulnerabilidade a ataques de consumo de energia no procedimento de expansão de chave, que é um cenário muito específico, e certos problemas com expansão de chave em tempo real (este mecanismo funcionou sem restrições apenas para dois competidores - Serpente e Twofish). Além disso, de acordo com especialistas, Reindal tinha uma força criptográfica ligeiramente inferior do que Serpent, Twofish e MARS, que, no entanto, foi mais do que compensada pela resistência à grande maioria dos tipos de ataques de canal lateral e uma ampla gama de opções de implementação.



Em termos da totalidade das características, Reindahl estava cabeça e ombros à frente dos concorrentes, então o resultado da votação final foi bastante lógico: o algoritmo obteve uma vitória esmagadora, recebendo 86 votos a favor e apenas 10 contra. Serpent ficou em segundo lugar com 59 votos, enquanto Twofish ficou em terceiro com 31 membros do júri. Eles foram seguidos pelo RC6, com 23 votos, e o MARS naturalmente ficou com a última linha, recebendo apenas 13 votos a favor e 83 contra.



Em 2 de outubro de 2000, Rijndael foi anunciado o vencedor da competição AES, tradicionalmente mudando seu nome para Advanced Encryption Standard, pelo qual é conhecido hoje. O procedimento de padronização durou cerca de um ano: em 26 de novembro de 2001, o AES foi incluído na lista de Federal Information Processing Standards, recebendo o índice FIPS 197. O novo algoritmo foi muito apreciado pela NSA e, desde junho de 2003, a US National Security Agency até mesmo reconheceu o AES com uma chave de 256 bits a criptografia é forte o suficiente para garantir a segurança de documentos ultrassecretos.

Discos rígidos externos WD My Book com criptografia de hardware AES-256

Graças à sua combinação de alta confiabilidade e desempenho, o Advanced Encryption Standard rapidamente ganhou reconhecimento mundial, tornando-se um dos algoritmos de criptografia simétrica mais populares do mundo e fazendo parte de muitas bibliotecas criptográficas (OpenSSL, GnuTLS, Linux's Crypto API, etc.). O AES agora é amplamente usado em aplicativos corporativos e de consumidor e é compatível com uma ampla variedade de dispositivos. Em particular, é a criptografia AES-256 de hardware que é usada nas unidades externas Western Digital da família My Book para garantir a proteção dos dados armazenados. Vamos dar uma olhada mais de perto nesses dispositivos.





A linha WD My Book de discos rígidos de desktop está disponível em seis capacidades de 4, 6, 8, 10, 12 e 14 terabytes, para que você possa escolher aquele que melhor se adapta às suas necessidades. Por padrão, os HDDs externos usam o sistema de arquivos exFAT, que garante compatibilidade com uma ampla variedade de sistemas operacionais, incluindo Microsoft Windows 7, 8, 8.1 e 10, bem como Apple macOS versão 10.13 (High Sierra) e superior. Os usuários do Linux podem montar um disco rígido usando o driver exfat-nofuse.



O My Book se conecta ao seu computador usando High Speed ​​USB 3.0, que é compatível com versões anteriores de USB 2.0. Por um lado, isso permite transferir arquivos na velocidade mais alta possível, porque a largura de banda do USB SuperSpeed ​​é de 5 Gb / s (ou seja, 640 MB / s), o que acaba sendo mais do que suficiente. Ao mesmo tempo, o recurso de compatibilidade com versões anteriores oferece suporte para quase todos os dispositivos lançados nos últimos 10 anos.





Embora o My Book não exija a instalação de software adicional devido à sua tecnologia plug and play para detectar e configurar automaticamente os dispositivos periféricos, ainda recomendamos o uso do pacote de software proprietário WD Discovery incluído em cada dispositivo.





O conjunto inclui os seguintes aplicativos:

WD Drive Utilities

O programa permite que você obtenha informações atualizadas sobre o estado atual da unidade com base nos dados SMART e verifique se há setores defeituosos no disco rígido. Além disso, o Drive Utilities pode apagar rapidamente todos os dados armazenados em seu My Book, não apenas excluindo arquivos, mas também substituindo-os completamente várias vezes, de forma que não possam ser recuperados após a conclusão do procedimento.

WD Backup

Usando este utilitário, você pode configurar backups agendados. Deve-se dizer que o WD Backup suporta o trabalho com Google Drive e Dropbox, enquanto permite que você selecione quaisquer combinações possíveis de origem-destino ao criar um backup. Assim, você pode configurar a transferência automática de dados do My Book para a nuvem ou importar os arquivos e pastas necessários dos serviços listados para um disco rígido externo e uma máquina local. Além disso, você pode sincronizar com sua conta do Facebook, o que permite fazer backup automático de fotos e vídeos de seu perfil.

Segurança WD

É com esse utilitário que você pode restringir o acesso à unidade com uma senha e gerenciar a criptografia de dados. Para isso, basta especificar uma senha (seu comprimento máximo pode ser de até 25 caracteres), após a qual todas as informações do disco serão criptografadas, e somente quem conhece a senha poderá acessar os arquivos salvos. Para maior comodidade, o WD Security permite que você crie uma lista de dispositivos confiáveis ​​que desbloquearão automaticamente seu My Book quando conectado.



Enfatizamos que o WD Security fornece apenas uma interface visual conveniente para gerenciar a proteção criptográfica, enquanto a criptografia de dados é realizada pela própria unidade externa no nível do hardware. Essa abordagem fornece uma série de benefícios importantes, a saber:

• , , ;
• , , ;
• ;
• , « », .

Tudo isso garante a segurança dos dados e permite que você elimine quase completamente a possibilidade de roubo de informações confidenciais. Levando em consideração os recursos adicionais da unidade, isso torna o My Book um dos melhores dispositivos de armazenamento seguro disponíveis no mercado russo.