Специалисты МТИ разработали теоретическую основу системы обмена текстовыми сообщениями с надежными математическими гарантиями анонимности участников коммуникаций. Ее назвали Vuvuzela, как шумные дудки футбольных болельщиков. Пользователи системы оставляют друг другу сообщения в «тайниках» — по определенному адресу в памяти определенного сервера в Интернете.

Ученые описывают принцип действия Vuvuzela на упрощенном примере, когда в системе всего три пользователя — Алиса, Боб и Чарли, и первые два хотят обменяться сообщениями. Чтобы наблюдатель не мог понять, что Алиса и Боб общаются, все трое регулярно отправляют сообщения, информативные либо нет, на сервер. Чтобы взломавший его оппонент не знал, по каким адресам обращаются различные пользователи, используется не один сервер, а три, а каждое сообщение трижды шифруется.

Первый сервер снимает верхний уровень шифра и передает сообщения второму, предварительно случайным образом изменив их порядок следования. Второй сервер снимает следующий уровень шифра и снова меняет порядок следования. Только третий сервер может «увидеть», по каким адресам отправлено каждое сообщение. Но даже если его взломали и злоумышленник подсмотрел, в каком порядке сообщения прибывали на первый сервер, он не может установить соответствие между отправителем и конечным адресом. Однако он мог бы понять, что два пользователя, чьи сообщения попали на первый сервер за определенный период времени, общаются друг с другом. Чтобы не позволить этого, разработчики добавляют «шум»: чтобы запутать потенциального взломщика, первый сервер при передаче полученных сообщений также генерирует серию фиктивных с зашифрованными адресами назначения, затем второй делает то же.

По словам авторов, статистические гарантии анонимности сохраняются даже если взломали два из трех серверов; если хотя бы один не скомпрометирован, система работает.

Комментируя свою работу, исследователи отмечают, что к примеру Tor применяют с опорой на предположение, что не существует «глобального оппонента, способного контролировать все каналы связи в мире, однако в наши дни на справедливость таких предположений рассчитывать уже не стоит».

Выступая перед юридическим комитетом Сената США, директор Федерального бюро расследований Джеймс Коми вновь заявил, что ИТ-компаниям следовало бы обеспечивать правоохранительным органам возможность доступа к содержанию зашифрованных переговоров и сообщений. Для этого им придется изменить используемые методы шифрования, отметил он. Сейчас многие производители начали выпускать телефоны и приложения, шифрующие данные так, что расшифровать их может только получатель. В результате компания, выпустившая телефон, или оператор связи не может выполнить судебный приказ о предоставлении доступа к информации. При этом директор ФБР подчеркнул, что компании не просят встраивать в продукты «черные ходы».

Некоторые производители, добавил он, обеспечивают такую возможность. Директор сообщил, что провел с руководством ИТ-компаний немало встреч, посвященных проблеме шифрования данных.

Джеймс Коми привел в пример попытку массового расстрела участников конкурса карикатур на пророка Мухаммеда в Гарланде в мае этого года. Один из преступников до этого обменялся с зарубежным террористом 109 сообщениями, но в ФБР до сих пор не знают, о чем в них говорилось, потому что сообщения были зашифрованы. Директор не уточнил, знали ли в ФБР об обмене сообщениями до теракта и могли ли эти сведения предотвратить теракт.

По мнению исследователей, при наличии серьезных вычислительных ресурсов, которыми обладают, к примеру, Агентство национальной безопасности США, равно как и спецслужбы ряда крупных государств, скомпрометировать широко используемые ныне группы обмена ключами Диффи-Хеллмана, уже вполне возможно. Поэтому бизнесу пора переходить к чему-то более надежному, например к шифрованию на эллиптических кривых.

«В долгосрочной перспективе от шифрования с 1024-разрядным ключом рекомендуется отходить, причем тех, кто не делает этого, уже сейчас подстерегают определенные риски», – отметила старший преподаватель Университета Пенсильвании Надя Хенингер, автор труда Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice.

Надежность протокола Диффи-Хеллмана базировалась на том, что расчеты, позволяющие раскрыть секреты обмена ключами, отнимают слишком много времени даже на самых быстрых компьютерах.

Однако теперь Хенингер и ее коллеги продемонстрировали: уже при нынешнем развитии компьютерных технологий расшифровать информацию, передаваемую с использованием различных криптографических протоколов и алгоритма Диффи-Хеллмана, вполне возможно. А по мере дальнейшего удешевления вычислительной техники все больше организаций получают доступ к необходимым для этого ресурсам.

Анализируя документы, опубликованные Эдвардом Сноуденом, исследователи пришли к выводу, что АНБ уже удавалось взламывать протокол Диффи-Хеллмана с 1024-разрядным ключом и получать доступ «в довольно значительных масштабах» к информации, передаваемой по каналам IPSec. То же самое вполне в состоянии проделать и правительства технически развитых стран.

Старший преподаватель Университета Мичигана Дж. Алекс Халдерман настоятельно рекомендует переходить к шифрованию на эллиптических кривых.

«Компаниям, которые опасаются стать объектом атаки групп, обладающих соответствующими финансовыми средствами и технологиями, следует как минимум отказаться при шифровании по алгоритму Диффи-Хеллмана от 1024-разрядного ключа и предпочесть 2048-разрядный, – указал он. – А еще лучше – перейти к шифрованию на эллиптических кривых, условий для взлома которого в обозримом будущем, скорее всего, не появится. Дальнейшее увеличение количества разрядов ключа при использовании протокола Диффи-Хеллмана в конечном итоге удастся преодолеть даже при использовании не слишком дорогостоящих вычислительных ресурсов. Для предприятий проблема заключается в том, что слабое шифрование применяется в корпоративных сетях повсеместно. При этом уязвимости скрываются в глубине протоколов, используемых устройствами и системами. Вы можете отказаться от 1024-разрядного ключа, но тогда возникнут проблемы совместимости. Протоколы, приложения и устройства могут оказаться не готовыми к переходу на 2048-разрядные ключи. Таким образом, речь сегодня идет о достаточно долгосрочном проекте, но следует учитывать, что он находится в списке основных приоритетов индустрии ИТ».

При создании ключа шифрования, обеспечивающего безопасную пересылку информации, стороны сначала обмениваются ключевыми данными на основе больших простых чисел.

С помощью сложных математических операций над большим простым числом информация, передаваемая по протоколу Диффи-Хеллмана, в конечном итоге будет расшифрована, а ключи раскрыты, но до недавнего времени на подбор 1024-разрядного ключа уходило слишком много времени. «Чтобы эффективно взломать алгоритм Диффи-Хеллмана, нужны серьезные предварительные расчеты, – отмечают исследователи. – Вполне возможно, что сегодня на государственном уровне соответствующие вычислительные ресурсы уже имеются».

Поскольку некоторые простые числа Диффи-Хеллмана используются весьма широко, соединения с большим количеством устройств при надлежащем выборе группы простых чисел для предварительного анализа становятся уязвимыми. Проведенный анализ показал, что атакующий, выполнивший предварительную обработку десяти 1024-разрядных групп, способен в пассивном режиме декодировать трафик примерно 66% виртуальных частных сетей, использующих протокол IKE, 26% серверов SSH, 16% серверов SMTP и 24% популярных сайтов, подключение к которым осуществляется по протоколу HTTPS.

В документе конкретизированы предупреждения, еще несколько лет назад высказывавшиеся Национальным институтом стандартов и технологий США (NIST). «Ранее об этом нас уже предупреждали, – указал Хенингер. – NIST рекомендовал отказаться от 1024-разрядных ключей к 2010 году, а на дворе уже 2015-й».

Для совершения подобного перехода предприятию необходимо:

• оценить сложность отказа от использования 1024-разрядных ключей;
• прекратить создание приложений и устройств, использующих 1024-разрядные ключи;
• отказаться от унаследованных технологий с 1024-разрядными ключами, которые не обеспечивают необходимой безопасности;
• перестроить конфигурации своих систем, добившись надежного шифрования.

На недавнем Симпозиуме IEEE по основам компьютерной науки специалисты Массачусетского технологического института представили доклад, в котором они показывают, что задача неотличимой обфускации (indistinguishability obfuscation, IO), прежде считавшаяся самостоятельной, является вариантом задачи функционального шифрования, способов решения которой на сегодня гораздо больше.

Идея IO была предложена несколько лет назад как более слабый вариант универсального обфускатора, превращающего код в «черный ящик»: из текста пропущенной через такой обфускатор программы выяснить о ней нельзя абсолютно ничего. К IO требования менее строгие: если обработать им две разные программы, решающие одну и ту же задачу, то по результатам невозможно установить, какой из них относится к каждой из версий исходного кода. Доказано, что IO это и есть лучший из возможных обфускаторов: допустим, существует более совершенный обфускатор; если пропущенную через него программу обработать с помощью IO вместе с оригинальной, то нельзя будет определить, какой из двух результатов получен из оригинала, а значит, IO как минимум не хуже скрыл ее секреты, чем «совершенный» обфускатор.

С помощью IO можно реализовать любую из существующих криптографических схем, объясняют ученые: например, схему шифрования с открытым ключом можно воспроизвести, если написать программу, реализующую какой-либо криптографический алгоритм, запутать ее с помощью обфускации и распространять в свободном доступе — кто угодно сможет зашифровать с ее помощью данные, а возможность расшифровки будет только у автора. Можно также создавать и новые схемы шифрования.

Лишь немногие исследователи занимались разработкой схем IO, и они в основном строились на сложных малоосвоенных математических концепциях, в частности, на полилинейных отображениях. Одна из таких схем, предложенная несколько лет назад, простейшую программу раздувала до огромных размеров. Хотя ряд попыток взломать ее провалился, сами авторы вероятность взлома не исключают.

В свою очередь исследования в области функционального шифрования ведутся в последние годы очень активно, порождая методы, с помощью которых можно выполнять операции над зашифрованными данными без их раскодирования. КПД таких методов растет, и то, что один из наиболее эффективных эквивалентен неразличимой обфускации, как раз и показали в МТИ.