DES:n opetukset: mitä opimme

DES:n 56-bittinen avain suunniteltiin vuoden 1977 laskentatehoa silmällä pitäen. Suunnittelijat odottivat sen olevan turvallinen vähintään 10–15 vuoden ajan. Vuoteen 1997 mennessä, 20 vuotta myöhemmin, se voitiin murtaa kuukausissa ja vuoteen 1999 mennessä tunneissa.

Opetus on, että kryptografisissa avainpituuksissa on otettava huomioon tuleva laskentatehon kehitys. NIST suosittelee nykyään, että järjestelmien turvamarginaali on vähintään 112 bittiä, jotta ne säilyvät turvallisina vuoteen 2030 asti, ja vähintään 128 bittiä pitkäaikaista turvallisuutta varten.

Auguste Kerckhoffs totesi vuonna 1883, että salausmenetelmän pitäisi olla turvallinen, vaikka kaikki muu järjestelmää koskeva tieto avainta lukuun ottamatta olisi julkista. DES oli ensimmäinen valtion standardoima salausmenetelmä, joka suunniteltiin nimenomaisesti tämän periaatteen mukaisesti.

DES:n täydellisen määrittelyn julkaiseminen antoi kryptografiyhteisölle mahdollisuuden analysoida sitä heikkouksien varalta 20 vuoden ajan. Salausmenetelmä kesti julkisen tarkastelun paremmin kuin vaihtoehdot, jotka perustuivat algoritmin salaamiseen.

Kun DES julkaistiin ensimmäisen kerran, NSA piti S-boxien suunnittelukriteerit salaisina. Tämä ruokki salaliittoteorioita takaovista. Kriteerit paljastettiin 1990-luvulla, jolloin kävi ilmi, että S-boxit oli suunniteltu erityisesti kestämään differentiaalikryptanalyysiä.

Tästä avoimuudesta saatu opetus johti siihen, että nykyaikaisissa salauskilpailuissa edellytetään suunnitteluperustelujen täydellistä julkaisemista. AES-ehdokkaiden täydelliset suunnittelukriteerit ja turvallisuusperustelut julkaistiin, mikä mahdollisti perusteellisen julkisen analyysin.

NSA:n osallistuminen DES:n avainpituuden lyhentämiseen 128 bitistä 56 bittiin ja S-boxien muokkaamiseen synnytti pitkäaikaista institutionaalista epäluottamusta valtion osallistumista kohtaan kryptografisten standardien laatimisessa.

Epäluottamusta lisäsi Dual_EC_DRBG:tä koskenut takaoviskandaali (2013), jossa NSA:n todettiin heikentäneen tarkoituksellisesti NIST:n satunnaislukugeneraattoristandardia. DES-kokemus vakiinnutti terveen epäluulon valtion tekemiä salausalgoritmeihin kohdistuvia muutoksia kohtaan.

Yksi DES:n opetuksista on algoritmien vaihdettavuuden tärkeys: järjestelmät pitäisi suunnitella niin, että salausalgoritmit voidaan helposti vaihtaa niiden vanhentuessa. Kiinteästi DES:ään koodatut järjestelmät edellyttivät kalliita täydellisiä vaihtoja.

Nykyaikaiset kryptografiset protokollat, kuten TLS, neuvottelevat algoritmivalinnoista jokaisen yhteyden alussa, jolloin molemmat osapuolet voivat sopia vahvimmista yhteisesti tuetuista algoritmeista. Näin uusia algoritmeja voidaan ottaa käyttöön rikkomatta taaksepäinyhteensopivuutta.

NIST oppi DES-kokemuksesta, että suljettu valtionhallinnon prosessi synnyttää epäluottamusta ja saattaa tuottaa heikkoja algoritmeja. AES-kilpailu (1997–2001) oli täysin avoin: mikä tahansa organisaatio eri puolilta maailmaa saattoi ehdottaa algoritmia.

Yhdysvalloista, Euroopasta ja muualta tulleet ryhmät ehdottivat yhteensä 15 algoritmia. Viittä finalistia analysoitiin julkisesti kolmen vuoden ajan. Belgialaisten kryptografien kehittämä Rijndael voitti teknisten ansioidensa perusteella. Avoin prosessi synnytti laajan luottamuksen AES:ää kohtaan.

AES-kilpailussa sovellettiin suoraan DES:stä saatuja oppeja: suuret avainvaihtoehdot (128, 192 ja 256 bittiä), syntymäpäivähyökkäyksiä koskeviin huoliin vastaava 128 bitin lohkokoko, täydelliset julkiset suunnittelukriteerit ja vuosia kestänyt avoin kryptanalyysi.

AES on kestänyt yli 20 vuotta julkista kryptanalyysiä ilman käytännöllisiä hyökkäyksiä. Parhaat tunnetut AES-hyökkäykset ovat vain hieman tehokkaampia kuin brute force -hyökkäys, mikä vahvistaa, että avoin kilpailuprosessi tuotti vahvan salausalgoritmin.

Miljoonia DES:n laitteistototeutuksia on käytössä pankkiautomaateissa, maksupäätteissä, satelliittidekoodereissa ja teollisuuden ohjausjärjestelmissä. Laitteiston vaihtaminen on paljon kalliimpaa ja hitaampaa kuin ohjelmiston päivittäminen.

Opetus on, että laitteistopohjaiset kryptografiset toteutukset on suunniteltava alusta alkaen siten, että algoritmit voidaan vaihtaa. Nykyaikaiset HSM:t ja älykorttisirut on suunniteltu tukemaan useita algoritmeja, ja niitä voidaan päivittää laiteohjelmistolla uusien standardien lisäämiseksi.

DES:n jälkeen NIST:n standardointiprosessista tuli avoimempi ja osallistavampi. Julkisia kommentointijaksoja pidennettiin, algoritmien täydelliset suunnitelmat julkaistiin ennen standardointia ja kansainvälistä osallistumista kannustettiin aktiivisesti.

NIST:n postkvanttikryptografian standardointiprosessissa (2016–2024) sovellettiin kaikkia näitä oppeja: avoin kansainvälinen kilpailu, useita julkisen kryptanalyysin kierroksia, läpinäkyvät valintakriteerit ja useiden algoritmien samanaikainen standardointi monimuotoisuuden takaamiseksi.

Nykyaikainen kryptografia on ratkaissut avaimen pituuteen liittyvän ongelman: AES-256 tarjoaa niin suuren turvamarginaalin, että brute force -hyökkäykset ovat mahdottomia ennakoitavissa olevassa tulevaisuudessa. Jäljellä oleva haaste on avainten hallinta.

Avainten luominen (aidosti satunnaisesti), säilyttäminen (luvattomalta käytöltä suojattuna), jakelu (turvallisesti oikeille osapuolille), kierto (avainten vaihtaminen palvelua häiritsemättä) ja mitätöinti (vaarantuneiden avainten mitätöinti) ovat ratkaisemattomia ongelmia, jotka aiheuttavat useimmat käytännön kryptografiset epäonnistumiset.

Postkvanttikryptografian siirtymä (PQC) on nykyaikainen vastine siirtymälle DES:stä AES:ään. Kvanttitietokoneet uhkaavat RSA:ta ja ECC:tä samalla tavalla kuin laitteistojen eksponentiaalinen kehitys uhkasi DES:ää.

NIST viimeisteli ensimmäiset PQC-standardinsa vuonna 2024: CRYSTALS-Kyber (nykyinen ML-KEM) avainten kapselointiin ja CRYSTALS-Dilithium (nykyinen ML-DSA) allekirjoituksiin. DES:stä saadut opit, kuten avoin kilpailu ja algoritmien vaihdettavuus, sovellettiin suoraan PQC:n standardointiprosessiin.

DES opetti meille, että avainpituuksissa on otettava huomioon Mooren laki, julkinen tarkastelu tekee salausalgoritmeista vahvempia, S-boxien suunnittelukriteerit pitäisi julkaista ja valtion osallistuminen standardointiin edellyttää läpinäkyvyyttä.

Algoritmien vaihdettavuus, avoimet kilpailut (AES, PQC) ja algoritmien vaihtamiseen suunniteltu laitteisto ovat kaikki suoria vastauksia DES:n perinnölle. Nykyaikaisen kryptografian vaikein ongelma ei ole avaimen pituus vaan avainten hallinta.