Scambio di chiavi e crittografia ibrida

La crittografia simmetrica richiede che entrambe le parti condividano la stessa chiave segreta prima di poter comunicare in modo sicuro. Ma come si può condividere quella chiave in modo sicuro quando non si dispone già di un canale sicuro? Questo problema della distribuzione delle chiavi è stato considerato irrisolvibile fino al 1976, quando Whitfield Diffie e Martin Hellman pubblicarono un articolo rivoluzionario. La loro soluzione, lo scambio di chiavi Diffie-Hellman, consente a due parti di stabilire una chiave segreta condivisa su un canale non sicuro senza trasmettere mai la chiave stessa, anche sotto lo sguardo di eventuali intercettatori.

Diffie-Hellman (DH) usa un ingegnoso espediente matematico basato sul problema del logaritmo discreto. Le due parti concordano su due valori pubblici (un numero primo grande p e un generatore g). Ciascuna parte genera un numero casuale privato, calcola un valore pubblico a partire da esso e scambia i valori pubblici. Ciascuna parte può quindi calcolare lo stesso segreto condiviso usando il proprio numero privato e il valore pubblico dell'altra parte; un intercettatore che vede solo i valori pubblici, invece, non può calcolare il segreto condiviso senza risolvere il problema del logaritmo discreto, computazionalmente impraticabile per numeri grandi.

Elliptic Curve Diffie-Hellman (ECDH) è la variante moderna e più efficiente dello scambio di chiavi Diffie-Hellman. Usa la matematica delle curve ellittiche invece dell'elevamento a potenza modulare, ottenendo lo stesso livello di sicurezza con parametri molto più piccoli. Una chiave ECDH da 256 bit offre una sicurezza equivalente a quella di una chiave DH da 3072 bit. ECDHE (la «E» sta per Ephemeral) genera una nuova coppia di chiavi per ogni sessione, garantendo la perfetta segretezza in avanti. TLS 1.3 impone ECDHE per lo scambio delle chiavi, rendendolo il principale meccanismo di scambio delle chiavi nella sicurezza web moderna.

La Perfect Forward Secrecy (PFS) garantisce che le chiavi di sessione non vengano compromesse nemmeno se la chiave privata a lungo termine del server viene rubata in un secondo momento. La PFS si ottiene usando coppie di chiavi effimere per lo scambio delle chiavi di ogni sessione: la chiave di sessione deriva da una coppia di chiavi temporanea che viene eliminata al termine della sessione. Senza PFS (usando lo scambio di chiavi RSA), un attaccante che registra oggi il traffico cifrato e in seguito ruba la chiave privata può decifrare retroattivamente tutto il traffico passato. Con la PFS, le sessioni passate rimangono sicure anche dopo la compromissione della chiave.

La crittografia ibrida combina la crittografia asimmetrica e simmetrica per ottenere sia i vantaggi nella gestione delle chiavi della crittografia asimmetrica, sia le prestazioni della crittografia simmetrica. Il processo consiste nel: (1) generare una chiave di sessione simmetrica casuale, (2) cifrare i dati principali con questa chiave simmetrica (operazione rapida), (3) cifrare la chiave simmetrica con la chiave pubblica del destinatario (per trasmettere la chiave in modo sicuro), (4) inviare sia i dati cifrati sia la chiave cifrata. Il destinatario decifra la chiave simmetrica con la propria chiave privata, quindi decifra i dati con la chiave simmetrica recuperata.

Il handshake TLS è l'implementazione reale più comune della crittografia ibrida. In TLS 1.3: (1) il client invia le suite di cifratura supportate e la condivisione della chiave (il valore pubblico ECDHE). (2) Il server risponde con la propria condivisione della chiave, il certificato (contenente la propria chiave pubblica) e una firma. (3) Entrambe le parti calcolano lo stesso segreto condiviso tramite ECDH. (4) Tutto il traffico successivo viene cifrato con una chiave simmetrica derivata dal segreto condiviso (AES-256-GCM). L'intero processo stabilisce un canale cifrato con un solo viaggio di andata e ritorno, senza trasmettere mai direttamente la chiave simmetrica.

La crittografia moderna usa i Meccanismi di incapsulamento delle chiavi (KEM) come approccio più formale e sicuro allo scambio di chiavi rispetto alla cifratura diretta di una chiave di sessione tramite crittografia asimmetrica. Un KEM consente a una parte di generare una chiave simmetrica e di "incapsularla" usando la chiave pubblica del destinatario, in modo che solo il destinatario possa decapsularla (recuperarla). Lo standard post-quantistico di NIST, CRYSTALS-Kyber, è un KEM basato su problemi reticolari anziché sulla fattorizzazione di interi o sulle curve ellittiche, rendendolo resistente agli attacchi dei computer quantistici.

Fino a TLS 1.3, lo scambio di chiavi RSA era comune: il client generava un segreto pre-master, lo cifrava con la chiave pubblica RSA del server e lo inviava al server. Il problema è che questo meccanismo non offre segretezza in avanti. Se la chiave privata del server viene compromessa in seguito, tutte le sessioni passate cifrate in questo modo possono essere decifrate. TLS 1.3 elimina completamente lo scambio di chiavi RSA (consente solo ECDHE), proprio per garantire la segretezza in avanti in tutte le connessioni. Per questo disabilitare TLS 1.0 e 1.2 (che consentono ancora RSA statico) e imporre TLS 1.3 rappresenta un miglioramento della sicurezza.

Il segreto condiviso prodotto da uno scambio Diffie-Hellman non viene usato direttamente come chiave di cifratura. Viene invece fornito a una funzione di derivazione delle chiavi (KDF) per produrre le chiavi di cifratura effettive e i vettori di inizializzazione. TLS 1.3 usa HKDF (funzione di derivazione delle chiavi basata su HMAC) per derivare chiavi separate per la cifratura in ciascuna direzione. Le KDF aggiungono un costo computazionale (rendendo più difficili gli attacchi a forza bruta), espandono segreti brevi nel numero di byte necessario per le chiavi e garantiscono che le chiavi derivate abbiano buone proprietà statistiche per essere usate come chiavi simmetriche.

Pretty Good Privacy (PGP) e il suo equivalente open source OpenPGP usano la crittografia ibrida per le email. Quando Alice invia un'email cifrata a Bob, PGP genera una chiave di sessione simmetrica casuale, cifra il corpo dell'email con essa (AES), cifra la chiave di sessione con la chiave pubblica RSA o ECC di Bob e invia entrambi insieme. Per le email firmate, PGP calcola l'hash del messaggio e firma l'hash con la chiave privata di Alice, garantendo il non ripudio. Il modello di rete di fiducia di PGP (in cui gli utenti firmano le chiavi degli altri) è un'alternativa alla PKI basata sulle autorità di certificazione.

Lo scambio di chiavi Diffie-Hellman è sicuro contro gli intercettatori passivi, ma è vulnerabile agli attacchi man-in-the-middle (MITM) attivi se le parti non si autenticano reciprocamente. Un attaccante può intercettare il valore pubblico di Alice, sostituirlo con il proprio e stabilire sessioni DH separate con Alice e Bob, facendo credere a ciascuno dei due di comunicare con l'altro. Per questo TLS combina lo scambio di chiavi DH con l'autenticazione tramite certificato: il certificato del server (firmato da una CA attendibile) dimostra l'identità del server e impedisce la sostituzione della chiave pubblica durante l'handshake.

Verifichi la propria comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: Diffie-Hellman risolve il problema dello scambio di chiavi permettendo alle parti di derivare un segreto condiviso su un canale non sicuro; ECDHE (effimero) offre la segretezza perfetta in avanti; la crittografia ibrida combina lo scambio asimmetrico delle chiavi con la cifratura simmetrica dei dati principali per una maggiore efficienza; e TLS 1.3 impone ECDHE per tutte le connessioni. Nel prossimo argomento esamineremo le autorità di certificazione e le catene di fiducia.