Perché la lunghezza della chiave crittografica è importante

In crittografia, il parametro di sicurezza lambda rappresenta il livello di sicurezza obiettivo. Determina la lunghezza delle chiavi, le dimensioni dell'output degli hash e altri parametri dell'intero sistema crittografico. Un sistema con lambda = 128 significa che un attaccante necessita di circa 2^128 operazioni per violarlo. Tutti i parametri vengono scelti in modo coerente, affinché il componente più debole fornisca almeno questo livello di sicurezza.

Un tempo la sicurezza a 80 bit era considerata sufficiente per le applicazioni non sensibili. Per violarla sono necessarie circa 2^80, ovvero circa 10^24, operazioni. Con i moderni cluster di GPU e algoritmi ottimizzati, questo livello si sta avvicinando alla fattibilità per gli avversari dotati di ingenti risorse. NIST ha ritirato la sicurezza a 80 bit nel 2010, che non è più raccomandata per nessuna nuova implementazione crittografica. I sistemi legacy che utilizzano parametri a 80 bit dovrebbero essere aggiornati.

La sicurezza a 112 bit, offerta dal triple DES (3DES), garantisce una protezione moderata ed era la raccomandazione minima di NIST per la cifratura simmetrica dopo il ritiro di DES. 3DES applica DES tre volte con chiavi diverse, utilizzando di fatto un livello di sicurezza di 112 bit nonostante la chiave sia di 168 bit. NIST prevede di vietare 3DES per l'uso federale entro il 2024, poiché la potenza di calcolo continua ad aumentare e AES lo ha completamente sostituito.

AES-128 offre una sicurezza di 128 bit ed è lo standard attuale per la cifratura simmetrica. Non esiste alcun attacco pratico contro AES-128 con i computer classici. NIST considera adeguata la sicurezza a 128 bit per la protezione a lungo termine almeno fino al 2030. La maggior parte dei protocolli crittografici, tra cui TLS 1.3, WireGuard e Signal, utilizza come impostazione predefinita chiavi simmetriche a 128 bit o più lunghe.

AES-256 offre una sicurezza di 256 bit contro gli attacchi classici e una sicurezza effettiva di 128 bit contro l'algoritmo quantistico di Grover. L'uso di chiavi simmetriche a 256 bit garantisce che, anche se diventassero disponibili computer quantistici su larga scala, la cifratura rimarrebbe sicura al livello di 128 bit. Per questo le applicazioni governative e militari che richiedono la protezione dei dati a lungo termine stanno passando ora alla cifratura simmetrica a 256 bit.

La sicurezza di RSA si basa sulla difficoltà di fattorizzare interi di grandi dimensioni. La fattorizzazione è un problema matematico più semplice rispetto al tentativo sistematico di indovinare una chiave simmetrica, quindi RSA richiede chiavi molto più lunghe per raggiungere un livello di sicurezza equivalente. Una chiave RSA da 2048 bit offre solo circa 112 bit di sicurezza. Una chiave RSA da 3072 bit offre approssimativamente 128 bit di sicurezza. Per ottenere la stessa sicurezza di AES-256 servirebbe una chiave RSA di circa 15.360 bit.

La crittografia a curve ellittiche raggiunge lo stesso livello di sicurezza di RSA con chiavi molto più piccole, sfruttando la difficoltà matematica del problema del logaritmo discreto sulle curve ellittiche. Una chiave ECC da 256 bit, come P-256 o Curve25519, offre approssimativamente 128 bit di sicurezza, equivalenti a una chiave RSA da 3072 bit. Le chiavi più piccole consentono calcoli più rapidi e messaggi di handshake TLS più brevi, rendendo ECC preferibile nelle applicazioni in cui le prestazioni sono importanti.

La NIST Special Publication 800-57 è la guida di riferimento per la gestione delle chiavi crittografiche. Specifica quali algoritmi e dimensioni delle chiavi sono approvati per ciascun livello di sicurezza, per quanto tempo utilizzare le chiavi prima di ruotarle e quali requisiti applicare alla loro conservazione e distruzione. Seguire la SP 800-57 garantisce che le scelte crittografiche siano conformi agli standard federali e possano essere adeguatamente giustificate durante gli audit di conformità.

Il confronto più comune è il seguente: una chiave simmetrica da 128 bit (AES-128) offre una sicurezza approssimativamente equivalente a quella di RSA da 3072 bit o ECC da 256 bit. Questo perché le chiavi simmetriche sono protette dagli attacchi di forza bruta, il cui costo cresce esponenzialmente, mentre le chiavi asimmetriche sono protette da algoritmi matematici il cui costo cresce in modo subesponenziale. L'asimmetria nelle dimensioni delle chiavi riflette la diversa difficoltà dei problemi matematici sottostanti.

I bit di sicurezza sono più indicativi della semplice dimensione della chiave. Dire che un sistema offre 128 bit di sicurezza significa che per violarlo sono necessarie approssimativamente 2^128 operazioni, indipendentemente dall'algoritmo. Una chiave RSA da 2048 bit offre 112 bit di sicurezza. Una chiave AES da 128 bit offre 128 bit di sicurezza. Confrontare le dimensioni delle chiavi di algoritmi diversi senza considerare i bit di sicurezza porta a conclusioni errate sulla loro robustezza relativa.

I dati cifrati oggi devono rimanere sicuri per tutta la durata della loro classificazione. I documenti governativi classificati potrebbero dover rimanere riservati per decenni. Scegliere la lunghezza delle chiavi basandosi solo sulle capacità di calcolo attuali non è sufficiente: le chiavi devono essere dimensionate per resistere agli attacchi favoriti dai futuri miglioramenti hardware e dai potenziali computer quantistici. Utilizzare chiavi più lunghe del necessario ha un costo ridotto, ma offre una significativa protezione per il futuro.

Quale dimensione della chiave offre approssimativamente lo stesso livello di sicurezza di AES-128?

Il parametro di sicurezza lambda misura in bit il livello di sicurezza obiettivo. 80 bit sono deprecati; 112 bit rappresentano il minimo; 128 bit sono lo standard; 256 bit offrono un margine post-quantistico. Per una sicurezza equivalente, RSA richiede chiavi molto più grandi degli algoritmi simmetrici: RSA da 3072 bit equivale ad AES-128. ECC raggiunge lo stesso livello di sicurezza di RSA con chiavi molto più piccole. Nel confrontare gli algoritmi, i bit di sicurezza sono più significativi della semplice dimensione della chiave.