Lezioni da DES: cosa abbiamo imparato

La chiave di DES da 56 bit è stata progettata tenendo conto della potenza di calcolo del 1977. I progettisti prevedevano che sarebbe stata sicura per almeno 10-15 anni. Nel 1997, dopo 20 anni, poteva essere violata in pochi mesi; nel 1999, in poche ore.

La lezione è che la lunghezza delle chiavi crittografiche deve tenere conto dei futuri progressi dell'informatica. Oggi NIST raccomanda che i sistemi dispongano di un margine di sicurezza di almeno 112 bit per rimanere sicuri fino al 2030 e di almeno 128 bit per la sicurezza a lungo termine.

Nel 1883 Auguste Kerckhoffs affermò che un cifrario dovrebbe rimanere sicuro anche se ogni aspetto del sistema, tranne la chiave, fosse di dominio pubblico. DES è stato il primo cifrario standardizzato dal governo a essere progettato tenendo esplicitamente conto di questo principio.

La pubblicazione delle specifiche complete di DES ha consentito alla comunità crittografica di analizzarlo alla ricerca di punti deboli per 20 anni. Il cifrario si è dimostrato più resistente all'analisi pubblica rispetto alle alternative che si basavano sulla segretezza dell'algoritmo.

Quando DES fu pubblicato per la prima volta, i criteri di progettazione delle S-box furono mantenuti segreti dalla NSA. Questo alimentò le teorie del complotto sulla presenza di backdoor. Negli anni Novanta i criteri furono resi pubblici e mostrarono che le S-box erano state progettate specificamente per resistere alla crittoanalisi differenziale.

Questa lezione sulla trasparenza ha portato le moderne competizioni tra cifrari a richiedere la pubblicazione di una motivazione completa della progettazione. I candidati ad AES hanno pubblicato criteri di progettazione e argomentazioni di sicurezza completi, consentendo un'analisi pubblica approfondita.

Il coinvolgimento della NSA nella riduzione della lunghezza della chiave di DES da 128 a 56 bit e nella modifica delle S-box ha creato una duratura diffidenza istituzionale nei confronti del coinvolgimento dei governi negli standard crittografici.

Questa diffidenza è stata amplificata dallo scandalo della backdoor Dual_EC_DRBG del 2013, quando si è scoperto che la NSA aveva indebolito deliberatamente uno standard NIST per i generatori di numeri casuali. L'esperienza di DES ha gettato le basi per un sano scetticismo riguardo agli interventi governativi sui cifrari.

Una lezione di DES è l'importanza dell'agilità degli algoritmi: i sistemi dovrebbero essere progettati in modo da poter sostituire facilmente gli algoritmi crittografici quando diventano obsoleti. I sistemi con DES codificato direttamente richiedevano costose migrazioni con sostituzione completa.

I moderni protocolli crittografici come TLS negoziano la scelta degli algoritmi all'inizio di ogni connessione, consentendo a entrambe le parti di concordare gli algoritmi più sicuri supportati da entrambe. In questo modo è possibile distribuire nuovi algoritmi senza compromettere la compatibilità con le versioni precedenti.

NIST ha imparato dall'esperienza di DES che un processo governativo chiuso genera diffidenza e algoritmi potenzialmente deboli. La competizione AES (1997-2001) è stata completamente aperta: qualunque organizzazione del mondo poteva presentare un candidato.

Sono stati presentati quindici algoritmi da team degli Stati Uniti, dell'Europa e di altre parti del mondo. Cinque finalisti sono stati analizzati pubblicamente per tre anni. Rijndael, sviluppato da crittografi belgi, ha vinto per i suoi meriti tecnici. Il processo aperto ha prodotto una fiducia diffusa in AES.

La competizione AES ha applicato direttamente le lezioni apprese da DES: opzioni con chiavi più lunghe (128, 192 e 256 bit), una dimensione del blocco di 128 bit per rispondere ai problemi degli attacchi del compleanno, criteri di progettazione completamente pubblici e diversi anni di crittoanalisi aperta.

AES ha resistito a oltre 20 anni di crittoanalisi pubblica senza subire attacchi pratici. I migliori attacchi conosciuti contro AES sono solo marginalmente migliori della forza bruta, a conferma del fatto che il processo di competizione aperta ha prodotto un cifrario robusto.

Esistono milioni di implementazioni hardware di DES in bancomat, terminali di pagamento, decoder satellitari e sistemi di controllo industriale. Sostituire l'hardware è molto più costoso e lento che aggiornare il software.

La lezione è che le implementazioni crittografiche hardware devono prevedere fin dall'inizio la sostituzione degli algoritmi. I moderni HSM e i chip per smart card sono progettati per supportare più algoritmi e possono essere aggiornati tramite firmware per aggiungere nuovi standard.

Dopo DES, il processo di standardizzazione di NIST è diventato più trasparente e inclusivo. I periodi per i commenti pubblici sono stati estesi, i progetti degli algoritmi sono stati pubblicati integralmente prima della standardizzazione e la partecipazione internazionale è stata attivamente incoraggiata.

La standardizzazione della crittografia post-quantistica di NIST (2016-2024) ha applicato tutte queste lezioni: competizione internazionale aperta, più cicli di crittoanalisi pubblica, criteri di selezione trasparenti e standardizzazione simultanea di più algoritmi per garantire la diversità.

La crittografia moderna ha risolto il problema della lunghezza delle chiavi: AES-256 offre margini di sicurezza così ampi che gli attacchi a forza bruta saranno impossibili nel futuro prevedibile. La sfida rimanente è la gestione delle chiavi.

La generazione delle chiavi (con casualità reale), la conservazione delle chiavi (protette dagli accessi non autorizzati), la distribuzione delle chiavi (condivisione sicura con le parti corrette), la rotazione delle chiavi (cambio delle chiavi senza interrompere il servizio) e la revoca delle chiavi (revoca delle chiavi compromesse) sono i problemi ancora irrisolti che causano la maggior parte dei fallimenti crittografici nel mondo reale.

La transizione alla crittografia post-quantistica (PQC) è l'equivalente moderno della transizione da DES ad AES. I computer quantistici minacciano RSA ed ECC, proprio come la crescita esponenziale della potenza hardware minacciava DES.

NIST ha finalizzato i suoi primi standard PQC nel 2024: CRYSTALS-Kyber (ora ML-KEM) per l'incapsulamento delle chiavi e CRYSTALS-Dilithium (ora ML-DSA) per le firme. Le lezioni apprese da DES, tra cui la competizione aperta e l'agilità degli algoritmi, sono state applicate direttamente al processo di standardizzazione PQC.

DES ci ha insegnato che la lunghezza delle chiavi deve tenere conto della legge di Moore, che l'analisi pubblica rende i cifrari più robusti, che i criteri di progettazione delle S-box dovrebbero essere pubblicati e che il coinvolgimento dei governi negli standard richiede trasparenza.

L'agilità degli algoritmi, le competizioni aperte (AES, PQC) e l'hardware progettato per la sostituzione degli algoritmi sono tutte risposte dirette all'eredità di DES. Il problema più difficile nella crittografia moderna non è la lunghezza delle chiavi, ma la loro gestione.