Podstawy kryptografii dla każdego

Autor: Wiktor Niesiobędzki

CC-BY-SA 3.0

Cele prezentacji

Przedstawienie krótko historii kryptografii
Po co zabezpieczać komunikację?
Zaprezentowanie podstawowych narzędzi kryptograficznych do wykorzystania w Waszych programach
Pokazanie, jak je wkomponować w swoje programy
Łamanie szyfru

Historia kryptografii

Szyfr Cezara - jedna z pierwszych metod szyfrowania opierająca się na stałej tabeli podstawieniowej
Szyfr z kluczem jednorazowym - zaproponowany w 1917r. Wymaga klucza dłuższego niż wiadomość, klucza można użyć tylko raz
Enigma - złożenie wielu (4-8) tablic podstawieniowych, przesuwanych co literę
Ostatnie 40 lat to dynamiczny rozwój kryptografii (w tym również teorii kryptografii)

Po co kryptografia

Ma chronić przed pewnymi atakami, ale nie wszystkimi:
- Szantaż
- Przekupstwo
- Tortury
Zaatakowanie rzeczy jest łatwe (wskazują na to doniesienia Snowdena)
Komputer ani dane nie skarżą się na to, że są torturowane
Generalnie - ma na celu przekierowanie ataku z rzeczy (komputery, smartfony itp.), na człowieka, w nadziei, że instytucja uzna, że informacja nie jest aż tak istotna

Co daje kryptografia

Podstawowe funkcje to: szyfrowanie, zapewnienie integralności oraz identyfikacja
- Szyfrowanie - czyli zapobieganie odczytaniu wiadomości osobie postronnej
- Integralność - czyli zapobieganie modyfikacji wiadomości w sposób niezauważalny osobie postronnej
- Identyfikacja - czyli zapobieganie podszywaniu się
Dodatkowo też - poufność i integralność komunikacji, ale jednocześnie - anonimowość (w ograniczonym zakresie)

Podstawowe pojęcia

tekst jawny - dane, które chcemy chronić
szyfrogram, kryptogram - dane, które atakujący może zobaczyć (a nawet - modyfikować)
klucz szyfru - informacja służąca do zamiany tekstu jawnego w szyfrogram i vice versa
symetryczna kryptografia - taka dziedzina algorytmów szyfrujących, w których klucz do szyfrowania i odszyfrowania jest taki sam
asymetryczna kryptografia - taka dziedzina algorytmów szyfrujących, w których klucz do szyfrowania i odszyfrowania jest inny
idealne komponenty kryptografii nie istnieją, ale wystarcza nam nieodróżnialność danego komponentu od ideału przy prawdopodobieństwie rzędu 1 / 2¹²⁸

Funkcje hashujące

Funkcja H(x), która zamienia ciąg x dowolnej długości, w n-bitowy ciąg tak że:
- funkcja jest odporna na kolizje, czyli potrzeba ok. 2^n/2 czasu by znaleźć dwa ciągi z takim samym wynikiem
- funkcja jest jednostronna, czyli potrzeba ok. 2ⁿ czasu by znaleźć ciąg, który daje określony wynik
Nic więcej nie jest gwarantowane, w szczególności - mając H(x), atakujący może obliczyć H(y), dla określonych y

Funkcje hashujące

Hashowanie haseł jako metoda ochrony ich przed ich odtworzeniem nie jest rozwiązaniem - obecne procesory w kartach graficznych są w stanie liczyć ~miliarda H(x) na sekundę
Wykorzystanie funkcji hashującej do zapewnienia integralności - to też zły pomysł - chyba że macie bezpieczny kanał, którym możecie przekazać wartość funkcji hashującej
Jako funkcji hashujących używajcie: SHA-256
Nie używajcie: MD2, MD4, MD5, SHA-1, RIPEMD

Kod uwierzytelniający wiadomość

Funkcja MAC(k, x), która zamienia ciąg x dowolnej długości, w n-bitowy ciąg tak że:
- potrzeba 2ⁿ czasu by wygenerować parę {y, MAC(k, y)}, nawet znając pary {x, MAC(k, x)}
Działanie MAC opiera się o znany obu stronom (nadawca i odbiorca/weryfikator) sekretny klucz, który należy wcześniej wymienić bezpiecznym kanałem
Używajcie HMAC-SHA256

Kod uwierzytelniający wiadomość

Pamiętajcie, by zapewnić, że dwie wiadomości o różnej treści, nie dawały takiego samego wejścia do funkcji MAC
Uważajcie na ataki kanałem postronnym (side channel attack), poprzez czas, czy kod błędu - żądanie powinno zajmować dokładnie tyle samo czasu, niezależnie od tego, w którym miejscu wiadomość została zmodyfikowana, czy który bajt MAC się nie zgadza

Kod uwierzytelniający wiadomość

Idealne, gdy potrzebujecie przekazać coś przez osobę niezaufaną i mieć pewność, że w trakcie nie nastąpiła modyfikacja danych:
- Podpisywanie przekazywanie do przeglądarki URL, który zawiera np. potwierdzenie płatności (przekierowanie od pośrednika płatności do sklepu internetowego)
- Wysyłanie tokenu do resetu hasła
- Podpisywanie wywołań API, realizowanych przez stronę trzecią

Szyfry blokowe

Do szyfrowania symetrycznego najczęściej wykorzystuje się szyfry blokowe
Szyfr blokowy operuje na blokach danych (np. 16 bajtów)
Funkcja szyfrująca - E(k, x) ma spełniać warunek, że znając {x, E(k, x)}, zgadnięcie {x', E(k, x')} jest zadaniem o złożoności 2ⁿ, gdzie n, to długość bloku w bitach
Do szyfrowania używajcie AES-256, Nie używajcie: blowfish, DES, 3DES
Nie używajcie szyfru blokowego sauté, zawsze używajcie go w odpowiednim trybie

Tryby szyfrów blokowych

Tryb szyfrowania mówi o tym, jak stosować szyfr blokowy dla strumieni danych
Jego zadaniem jest zapewnienie, by dopasować strumień danych do długości bloku (padding), oraz zapewnić, by taki sam ciąg danych, nie został zaszyfrowany do takiego samego szyfrogramu
Niektóre tryby wymagają podania IV (Initialization Vector) lub "nounce" - jest to jeden z gwarantów bezpieczeństwa szyfrogramu, nie może być stały, natomiast nie jest wymagane, by pozostał tajny

Tryby szyfrów blokowych

Korzystając z szyfru blokowego, korzystajcie z trybu CTR (Counter Mode), pozwala na odszyfrowanie fragmentami, zrównoleglanie działania itp.
Korzystajcie z HMAC-SHA256, by zapewnić integralność szyfrogramu
Zawsze weryfikujcie integralność danych, nim spróbujecie je zdeszyfrować, ochroni to przed wyciekiem informacji kanałem postronnym

Szyfrowanie vs zapewnienie integralności

Do wyboru:
- Encrypt-then-MAC (EtM) - szyfrujemy tekst jawny, wyliczamy MAC z szyfrogramu, przekazujemy szyfrogram + MAC (tak działa np. IPSEC)
- Encrypt-and-MAC (E&M) - wyliczamy MAC z tekstu jawnego, szyfrujemy tekst jawny, przekazujemy szyfrogram + MAC (tak działa SSH)
- MAC-then-Encrypt (MtE) - wyliczamy MAC z tekstu jawnego, szyfrujemy tekst jawny oraz MAC, przekazujemy szyfrogram (tak działa SSL/TLS)
EtM pozwala na odrzucenie "podrobionych" wiadomości i nie wprowadzanie ich do biblioteki deszyfrującej. Dzięki temu zmniejsza się możliwości wycieku informacji kanałami postronnymi

Asymetryczne zapewnienie integralności

Wykorzystuje dwa klucze - jeden do podpisu (szyfrowanie), drugi do weryfikacji (rozszyfrowanie). Klucz weryfikacyjny pozwala zweryfikować, czy wiadomość została podpisana poprzez powiązany z kluczem weryfikacyjnym klucz do podpisu
Asymetryczne zapewnienie integralności jest uznawane za złamane, gdy za pomocą klucza weryfikacyjnego można podpisać dowolną wiadomość, nawet jeśli atakujący ma możliwość uzyskania podpisu dowolnie wybranej wiadomości (różnej od tej, którą atakuje)

Asymetryczne zapewnienie integralności

Używajcie RSASSA-PSS, 2048-bitowych kluczy, publicznego wykładnika 65537 oraz SHA256
Nie używajcie: tego samego klucza do zapewnienie integralności i szyfrowania, DSA, podpisów z wykorzystaniem krzywych eliptycznych

Asymetryczne szyfrowanie

Wykorzystuje dwa klucze - jeden do szyfrowania (klucz publiczny), drugi do rozszyfrowania (klucz prywatny) - odwrotnie niż w przypadku integralności!
Zwykle asymetryczna kryptografia jest kosztowna obliczeniowo i ma ograniczenia na długość wiadomości

Asymetryczne szyfrowanie

Używajcie RSAES-OAEP, 2048-bitowych kluczy, publicznego wykładnika 65537, SHA256 oraz MFG1-SHA256
Generujcie losowy klucz do szyfrowania blokowego, zaszyfrujcie nim wiadomość, przekażcie wiadomość a klucz do jej rozszyfrowania zaszyfrujcie za pomocą szyfrowania asymetrycznego (tak m.in. działa SSL/TLS)

Hasła

Hasła, frazy (takie, które ma pamiętać człowiek) są często wykorzystywane do identyfikacji, a czasem do szyfrowania i zapewnienia integralności
Unikajcie haseł, gdzie się da
Używajcie Key Derivation Function, by zamienić hasło w klucz najwcześniej jak się da
Używajcie funkcji scrypt, PBKDF2 lub bcrypt do zamiany hasła w klucz

Hasła

KDF są to funkcje, które na bazie wprowadzonego wejścia, generują często szerszy klucz. Są zaprojektowane tak, by nie dało się ich łatwo zrównoleglić, ani wykonywać ich masowych obliczeń, nawet z wykorzystaniem dedykowanych układów
KDF wymaga podania "soli", która uniemożliwia wygenerowanie "tęczowych tablic" (tj. wartości funkcji KDF dla wszystkich możliwych wejść). Każde hasło powinno mieć inną wartość soli. Wartość soli wymaga takiej samej ochrony, jak ochrona klucza wygenerowanego z hasła
Nie używajcie szyfrowania lub hashowania haseł, bo te funkcje są zaprojektowane tak, by dawało się je wykonywać szybko, co ułatwia ataki brute-force

Forward-Secrecy

Forward-Secrecy to zapewnienie, by komunikacja pozostała niejawna, nawet gdy klucz prywatny do szyfrowania asymetrycznego zostanie skompromitowany
Zamiast szyfrować klucz za pomocą asymetrycznego szyfrowania, można wykorzystać schemat Diffieg-Hellmana lub Krzywe Eliptyczne, które pozwalają ustalić klucz, nie ujawniając go postronnej osobie

Forward-Secrecy

Istotne w przypadku takich dziur jak Heartbleed lub nacisków organizacji rządowych na udostępnienie prywatnego klucza RSA (np. case Lavabit.com)
W przypadku gdy agencja zapisała ruch zaszyfrowany, a następnie wymusiła udostępnienie klucza prywatnego, nadal nie może rozszyfrować treści. Tak samo, atakujący, który pozyskał klucz prywatny za pomocą dziury typu Heartbleed, nie jest w stanie rozszyfrować zapisanej wymiany danych, chyba że dla każdej sesji, spróbuje pozyskać klucz sesji (dużo trudniejsze, niż pozyskanie tylko klucza prywatnego)

Off The Record

Popularna ostatnio metoda zapewniania poufności komunikacji
Klucz szyfrowania rozmowy jest ustalany poprzez schemat Diffiego-Hellmana, więc każda kolejna rozmowa jest szyfrowana innym kluczem (i złamanie klucza dla jednej rozmowy nie ujawnia innych rozmów)
Z każdą przekazaną wiadomością, przekazywane są dane niezbędne, do sfabrykowania poprzednio wymienionej wiadomości w rozmowie - dzięki temu, jeżeli ktoś złamie szyfr, który został ustalony dla danej rozmowy, ma też wszystkie dane, które umożliwiają mu sfałszowanie wszystkich poprzednich wiadomości

Off The Record

To że ma możliwość sfałszowania tych wiadomości jest traktowane jako argument za tym, że nie ma dowodów, że wiadomość została wygenerowana przez Was
Ale atakujący, który ma adresy IP maszyn biorących w takiej komunikacji, zapis szyfrogramów oraz tekstu jawnego, ma niezaprzeczalne informacje, potwierdzające kto prowadził komunikacje

Konfiguracja SSL/TLS

SSL jest beznadziejnie skomplikowaną biblioteką, niedoinwestowaną przez społeczność, kluczową dla bezpieczeństwa i wygodny cel ataku dla agend rządowych
Jednak jest to często jedyna dostępna opcja (i na razie nie widać lepszego kandydata) i mimo wszystko, dużo bezpieczniejsza, niż "domowa" kryptografia
Jeżeli możecie, wykorzystujcie swoje kanały dystrybucji, do dystrybucji certyfikatu serwera (zamiast polegać na CA)

Konfiguracja SSL/TLS

Pamiętajcie o Forward-Secrecy
Korzystajcie z dostępnych weryfikatorów konfiguracji (np. https://www.ssllabs.com/ssltest/), przy okazji sprawdzą też oprogramowanie pod kątem popularnych podatności
Korzystajcie z certyfikatów klienta SSL, tam gdzie macie możliwość - są lepsze niż hasła

Konfiguracja SSL/TLS

Korzystajcie z zaleceń wyżej, np.:

SSLCipherSuite 
        ECDHE-RSA-AES256-SHA:
        ECDH-RSA-AES256-SHA:
        DHE-RSA-AES256-SHA:
        ECDHE-RSA-AES256-GCM-SHA384:
        ECDHE-RSA-AES256-SHA384:
        DHE-RSA-AES256-GCM-SHA384:
        DHE-RSA-AES256-SHA256:
        ECDH-RSA-AES256-GCM-SHA384:
        ECDH-RSA-AES256-SHA384

Biblioteki

Najpopularniejsze - OpenSSL, ale też wbudowane w Java JDK
NaCl - podstawowe konstrukcje kryptograficzne, zaimplementowane m.in. przez Daniela J. Bernstein'a (djb) - w odpowiedzi na skomplikowanie kodu OpenSSL
libsodium - fork NaCl, z przystępniejszą dokumentacją

Ćwiczenie - łamanie szyfru

W arkuszu LibreOffice Calc (http://github.com/prezentacja-2015-kryptografia/zadanie szyfrowe.ods) znajdziecie 10 szyfrogramów
Do zaszyfrowania wiadomości użyto Szyfru z kluczem jednorazowym (przy czym wykorzystano ten sam klucz 10 razy)
Szyfrowanie wykorzystuje operacje XOR do zaszyfrowania (n-ty bajt tekstu jawnego jest XOR-owany n-tym bajtem klucza)
Zadanie - rozszyfrowanie tekstów

Ćwiczenie - łamanie szyfru

Podpowiedzi:
- szyfrogram_1 XOR szyfrogram_2 = ?
- dowolny znak XOR ' ' = ?

Podstawy kryptografii dla każdego

Podstawy kryptografii dla każdego

Cele prezentacji

Historia kryptografii

Po co kryptografia

Co daje kryptografia

Podstawowe pojęcia

Funkcje hashujące

Funkcje hashujące

Kod uwierzytelniający wiadomość

Kod uwierzytelniający wiadomość

Kod uwierzytelniający wiadomość

Szyfry blokowe

Tryby szyfrów blokowych

Tryby szyfrów blokowych

Szyfrowanie vs zapewnienie integralności

Asymetryczne zapewnienie integralności

Asymetryczne zapewnienie integralności

Asymetryczne szyfrowanie

Asymetryczne szyfrowanie

Hasła

Hasła

Forward-Secrecy

Forward-Secrecy

Off The Record

Off The Record

Konfiguracja SSL/TLS

Konfiguracja SSL/TLS

Konfiguracja SSL/TLS

Biblioteki

Ćwiczenie - łamanie szyfru

Ćwiczenie - łamanie szyfru

Pytania?

Literatura