Объяснение криптографических закладок

Криптография, безусловно, является одним из самых важных предметов в информационную эпоху. Каждый раз, когда вы входите куда-либо, существует алгоритм, который проверяет ваш пароль по сравнению с хэшированным значением, определяющим, можете ли вы аутентифицироваться в своей учетной записи или нет. Именно так мы держим хакеров на расстоянии. Итак, что происходит, когда алгоритм, который должен вас защищать, имеет закладку, позволяющую некоторым людям получить неограниченный доступ к вашим учетным записям и личным записям?

19 мая 2015 года Apple и Google призвали президента США Барака Обаму пересмотреть решение о том, чтобы заставить компании частного сектора включать закладки в свои криптографические алгоритмы. Я намерен объяснить, как это влияет на нас как на потребителей технологий и на финансовые показатели корпораций, предоставляющих нам эти технологии.

Немного истории: Dual_EC_DRBG

Вы могли бы простить себя, если термин «Dual_EC_DRBG» звучит для вас как архаичная чепуха, но это, возможно, термин, связанный с одним из самых больших скандалов в истории шифрования. Наша история начинается в начале 2000-х годов, когда криптография на основе эллиптических кривых начала внедряться в компьютерные системы. До этого момента генерация случайного числа была сложной задачей из-за ее врожденной предсказуемости. Дело в том, что люди могут эффективно генерировать случайные числа, так как мы все мыслим по-разному. Можете ли вы угадать, какое число между 1 и 100 000 я думаю прямо сейчас? У вас есть 1:100 000 шансов угадать правильно, если вы просто будете догадываться случайным образом. С компьютерами дела обстоят иначе. Они совершенно ужасны в этом, так как обычно полагаются на другие фиксированные значения для достижения своих «выводов». Поскольку они не могут «думать», нам приходится синтезировать процесс для них. Криптография на основе эллиптических кривых делает процесс генерации случайных чисел намного менее предсказуемым, чем традиционные методы.

Вернёмся к истории. Агентство национальной безопасности (NSA) предложило модуль под названием Dual_EC_DBRG в качестве возможности для генерации этих чисел. Он не прошел.

Но это еще не всё. В 2004 году NSA заключила сделку на 10 миллионов долларов с создателями криптосистемы RSA (людьми, которые в то время имели наибольшую долю на рынке криптографии), чтобы сделать их модуль по умолчанию для RSA. Мы не знаем, включила ли NSA закладку, но Dual_EC_DRBG точно имел одну. Тот факт, что NSA так настаивала на включении этого модуля в криптографию RSA, не улучшает ситуацию с предполагаемым знанием заранее.

Переносимся в 2015 год, и теперь у вас есть правительство США, а также другие правительства по всему миру, выступающие с просьбой к частным компаниям включить закладки в свои алгоритмы шифрования.

Почему закладки плохи для всех остальных

Вы, возможно, уже догадываетесь, почему закладки являются плохими. Это очевидно, не так ли? Дело в том, что есть и другие невидимые последствия введения закладок в шифрование, помимо вторжения в частную жизнь со стороны государственных органов.

Во-первых, если хакер обнаружит закладку (что именно и произошло в случае с Dual_EC_DBRG, упомянутом ранее), вы можете почти гарантировать, что любой сможет использовать её, чтобы заглянуть в то, что вам очень дорого.

Вторая причина, по которой закладки ужасны, лучше всего может быть выражена в виде вопроса: Зная, что не только правительство, но любой Джон Доу может заглянуть в ваши личные данные, вы когда-нибудь откроете учетную запись где-либо снова? Люди доверяют технологиям прямо сейчас, потому что у них есть доверие к ним. Уберите доверие, и вы увидите очень мало клиентов на корпоративном рынке. Да, потребители могут продолжать пользоваться шифрованными и подключенными технологиями, но бизнесы будут массово отказываться от них. Многие из наших любимых производителей сильно зависят от своих баз клиентов в бизнесе.

Таким образом, эта идея вредна не только для потребителей, но и для финансовых показателей компаний, которые предоставляют нам то, что мы любим. Вот почему такие гиганты, как Apple и Google, так обеспокоены этой политикой.

Что вы думаете, что нам следует делать? Реально ли вообще какое-нибудь законодательство по этому поводу? Скажите нам в комментариях!