Dla NSA to był kryptograficzny przełom, który pozwolił odszyfrować większość połączeń VPN

Międzynarodowa grupa matematyków opublikowaław maju tego roku artykuł pt. Imperfect Forward Secrecy: HowDiffie-Hellman Fails in Practice, z którego wynika, że algorytmwymiany kluczy Diffiego-Hellmana, pozwalający stronom komunikacji nauzgodnienie bezpiecznego klucza sesji i dalsze szyfrowanie za jegopomocą, obarczony jest poważnymi wadami. Atak, któremu nadanonazwę Logjam, pozwalał na osłabienie szyfrowania do poziomuzgodnego z amerykańskimi licencjami eksportowymi. Słaby, conajwyżej 512-bitowy klucz, łatwo padał ofiarą superkomputerów.

Jak wiadomo, w algorytmie stosowanym do zabezpieczenia m.in.HTTPS, IPsec (VPN), czy SSH chodzi o wyznaczenie przez obie stronyrozmowy sekretnej wartości, której podsłuchujący nie mógłbypoznać. Zaczyna się od dwóch liczb pierwszych, p i q,następnie jedna strona generuje sobie losową liczbę a (którątrzyma w tajemnicy), a druga generuje liczbę b.Z liczb tych powstaje współdzielony klucz szyfrujący, za pomocązabezpieczona zostaje komunikacja.

Matematycy odkryli jednak, żechoć bardzo trudno wyliczyć klucz szyfrujący nie znając ai b, to jednak problemten dzieli się na dwie części – bardzo trudne są obliczenia dladowolnych a i bprzy tych samych pi q, zaś bardzo łatwedla kolejnych a i bprzy tych samych p iq. Tymczasemzdecydowana większość serwerów korzystających z protokołu IPSeckorzysta z tych samych 1024-bitowych par pi q. Dzięki temunapastnik, który dysponowałby pracującymi całe miesiące a możei lata superkomputerami niezbędnymi do rozwiązania trudnegoproblemu, by złamać daną parę pi q, mógłby późniejszybko rozpracować każdą wymianę kluczy, wykorzystującą teliczby pierwsze. Z przystępnym opisem tego ataku można zapoznaćsię na slajdach,przygotowanych przez autorów odkrycia. Zreasumujmy to tak:

Złamanie jednej 1024-bitowejliczby pierwszej pozwoliłoby NSA pasywnie deszyfrować komunikacjęprzez 2/3 połączeń VPN i 1/4 połączeń SSH globalnie. Złamaniedrugiej 1024-bitowej liczby pierwszej pozwoliłoby na pasywnynasłuch połączeń niemal 20% najpopularniejszych na świeciewitryn korzystających z HTTPS.

O odkryciu było głośno w maju,czemu więc zrobiło się głośno ponownie? Otóż dokument zostałzaprezentowany ponownie, na konferencji ACM Computer andCommunications Security. Tym razem towarzyszyło mu przedstawienie, jak to wszystko miałoby działać w ramach wartej setki milionów dolarów infrastruktury. Na podstawie artykułu o słabości algorytmu Diffiego-Hellmana interesującą analizę działalności NSA przygotował Nicholas Weaver, ekspert od bezpieczeństwa z Berkeley, znany m.in.jako twórca sieciowego debuggera Netalyzr.Jego słowa przywołuje sam Bruce Schneier, tak więc warto się nadnimi pochylić.

Przede wszystkim Weaver jest przekonany, że publikacja artykułumusiała bardzo zdenerwować ludzi w NSA. Najpewniej stosowaliwłaśnie tę sztuczkę, korzystając z unikatowych dla siebiemożliwości wywiadowczych – ale nawet jeśli jej nie znali, to tymgorzej, mogą teraz być wściekli, że utracili taką okazję doodszyfrowania takiej ilości ruchu sieciowego. Jednak bazując natym, jak NSA podgląda ten ruch, wszystko wskazuje na to, żesłabości Diffiego-Hellmana w ramach kryptoanalizy na wielką skalębyły analitykom agencji dobrze znane i wykorzystywane przedewszystkim w atakach na protokół IPsec.

Informatyk wyjaśnia, że aby odszyfrować IPsec, NSA w wielumiejscach Sieci nasłuchuje powitań handshake z wymianą kluczy(IKE), ustanawiających szyfrowane połączenie. Przechwyconepowitania trafiają do wyroczni – czarnej skrzynki, którejzadaniem jest zwrócić prywatne klucze. Jednocześnie punkt nasłuchurozpoczyna gromadzenie ruchu sieciowego, czekając na odpowiedźwyroczni. Teraz opcje są dwie, albo uda się wydobyć klucze, albowyrocznia się poddaje. W pierwszym wypadku klucze zwracane są dopunktu nasłuchu, który deszyfruje komunikację niemal na bieżąco.

Czemu akurat taki system miałby sugerować, że wyroczniawykorzystuje opisany we wspomnianym artykule atak? Gdyby nie przełomw kryptoanalizie, taki nasłuch byłby wielką przesadą. Byłobyznacznie łatwiej przekierować deszyfrowalne połączenia docentralnego systemu, jeśli wyrocznia mogłaby po prostu jeodszyfrować. Ułatwiałoby to też zachowanie poufności takichoperacji. Tymczasem hurtowe deszyfrowanie w punktach podsłuchowych,wykorzystujących sprzętową akcelerację by nadążyć za dużąliczbą szyfrowanych strumieni połączeń po IPsec ma oznaczać, żewyrocznia właśnie robi tylko to – oblicza klucze już wyłącznierozwiązując „proste” zadanie. Trudne zostało rozwiązanewcześniej.

Zarazem, jak zauważa Weaver, IPsec jest jedynym znaczącymprotokołem kryptograficznym, który wykorzystuje standardowoalgorytm Diffiego-Hellmana w podatnej na atak formie, z 1024-bitowymiliczbami pierwszymi. NSA z kolei jest zaś praktycznie jedyną siłą,dysponującą superkomputerową mocą do takich ataków, przynajmniejna dzisiaj. Oczywiście nie oznacza to, że tak samo będzie jutroczy za dziesięć lat, kiedy to np. etiopskie służby mogą miećdość mocy obliczeniowej, by robić to, co NSA robi dziś. Z tegoteż powodu, na własne potrzeby, amerykańska agencja korzystawyłącznie ze sprzętu i oprogramowania zgodnego z zatwierdzonymprzez Narodowy Instytut Standardów i Techniki (NIST) pakietemalgorytmów kryptograficznych, tzw. Suite B. Zgodnie z jegowytycznymi, w algorytmie Diffiego-Hellmana wykorzystuje się klucze3072-bitowe.

Gorzej wygląda sytuacja prywatnych osób i firm. W wieluwypadkach działanie podatnych VPN-ów zależy od zbudowanego całelata temu sprzętu, którego łatwo się nie zaktualizuje. Oznaczato, że już niebawem, gdy moc obliczeniowa trochę potanieje,szyfrowane połączenia IPsec padną łupem wywiadów icyberprzestępców z całego świata.