Lærdommer fra DES: Det vi lærte

DES-nøkkelen på 56 bit ble utformet med datakraften i 1977 i tankene. Utviklerne forventet at den skulle være sikker i minst 10–15 år. I 1997, 20 år senere, kunne den knekkes på måneder, og i 1999 på timer.

Lærdommen er at kryptografiske nøkkellengder må ta høyde for fremtidige fremskritt innen databehandling. NIST anbefaler nå at systemer har en sikkerhetsmargin på minst 112 bit for å forbli sikre gjennom 2030, og 128 bit eller mer for langsiktig sikkerhet.

Auguste Kerckhoffs uttalte i 1883 at et chiffer skal være sikkert selv om alt ved systemet bortsett fra nøkkelen er offentlig kjent. DES var det første chifferet som ble standardisert av myndighetene og utformet med dette prinsippet uttrykkelig i tankene.

Publiseringen av hele spesifikasjonen til DES gjorde det mulig for kryptografimiljøet å analysere den for svakheter i 20 år. Chifferet viste seg å være mer motstandsdyktig mot offentlig granskning enn alternativer som var avhengige av at algoritmen ble holdt hemmelig.

Da DES først ble publisert, ble kriteriene for utforming av S-boksene holdt hemmelige av NSA. Dette førte til konspirasjonsteorier om bakdører. På 1990-tallet ble kriteriene offentliggjort, og det viste seg at S-boksene var spesielt utformet for å motstå differensiell kryptoanalyse.

Denne lærdommen om åpenhet førte til at moderne chifferkonkurranser krever at hele begrunnelsen for designet offentliggjøres. AES-kandidatene publiserte fullstendige designkriterier og sikkerhetsargumenter, noe som muliggjorde grundig offentlig analyse.

NSAs medvirkning til å redusere DES-nøkkellengden fra 128 til 56 bit og endre S-boksene skapte varig institusjonell mistillit til myndighetenes innblanding i kryptografiske standarder.

Denne mistilliten ble forsterket av bakdørsskandalen rundt Dual_EC_DRBG i 2013, der NSA ble avslørt for bevisst å ha svekket en NIST-standard for tilfeldige tallgeneratorer. DES-erfaringen etablerte mønsteret med en sunn skepsis til myndighetenes inngrep i chiffer.

En lærdom fra DES er hvor viktig algoritmefleksibilitet er: systemer bør utformes slik at kryptografiske algoritmer enkelt kan byttes ut når de blir utdaterte. Systemer som hadde DES hardkodet, krevde dyre migreringer der alt måtte rives ut og erstattes.

Moderne kryptografiske protokoller som TLS forhandler om algoritmevalg ved starten av hver tilkobling, slik at begge parter kan bli enige om de sterkeste algoritmene som begge støtter. Dermed kan nye algoritmer innføres uten å bryte bakoverkompatibiliteten.

NIST lærte av DES-erfaringen at en lukket myndighetsprosess skaper mistillit og potensielt svake algoritmer. AES-konkurransen (1997–2001) var helt åpen: alle organisasjoner verden over kunne sende inn en kandidat.

Femten algoritmer ble sendt inn av team fra USA, Europa og andre steder. Fem finalister ble analysert offentlig i tre år. Rijndael, utviklet av belgiske kryptografer, vant på teknisk grunnlag. Den åpne prosessen skapte utbredt tillit til AES.

AES-konkurransen anvendte lærdommene fra DES direkte: store nøkkellengder (128, 192 og 256 bit), en blokkstørrelse på 128 bit som håndterte bekymringer rundt bursdagsangrep, fullstendige offentliggjorte designkriterier og årelang, åpen kryptoanalyse.

AES har tålt over 20 år med offentlig kryptoanalyse uten praktisk gjennomførbare angrep. De best kjente angrepene mot AES er bare marginalt bedre enn brute force-angrep, noe som bekrefter at den åpne konkurranseprosessen resulterte i et sterkt chiffer.

Millioner av maskinvareimplementasjoner av DES finnes i minibanker, betalingsterminaler, satellittdekodere og industrielle kontrollsystemer. Det er langt dyrere og tar mye lengre tid å bytte ut maskinvare enn å oppdatere programvare.

Lærdommen er at kryptografiske maskinvareimplementasjoner må planlegge for algoritmeutskifting fra starten. Moderne HSM-er og smartkortbrikker er utformet for å støtte flere algoritmer og kan oppdateres med fastvareoppdateringer for å legge til nye standarder.

Etter DES ble NISTs standardiseringsprosess mer transparent og inkluderende. Periodene for offentlige kommentarer ble utvidet, algoritmedesign ble offentliggjort i sin helhet før standardisering, og internasjonal deltakelse ble aktivt oppmuntret.

Standardiseringen av NISTs postkvantekryptografi (2016–2024) anvendte alle disse lærdommene: åpen internasjonal konkurranse, flere runder med offentlig kryptoanalyse, transparente utvalgskriterier og samtidig standardisering av flere algoritmer for å sikre mangfold.

Moderne kryptografi har løst problemet med nøkkellengde: AES-256 gir så store sikkerhetsmarginer at brute force-angrep er umulige i overskuelig fremtid. Den gjenstående utfordringen er nøkkelhåndtering.

Nøkkelgenerering (virkelig tilfeldig), nøkkellagring (beskyttet mot uautorisert tilgang), nøkkeldistribusjon (sikkert delt med de riktige partene), nøkkelrotasjon (bytte nøkler uten å forstyrre tjenesten) og nøkkeltilbakekalling (tilbakekalling av kompromitterte nøkler) er de uløste problemene som forårsaker de fleste kryptografiske feilene i praksis.

Overgangen til postkvantekryptografi (PQC) er det moderne motstykket til overgangen fra DES til AES. Kvantedatamaskiner utgjør en trussel mot RSA og ECC, akkurat som den eksponentielle veksten i maskinvare truet DES.

NIST fastsatte sine første PQC-standarder i 2024: CRYSTALS-Kyber (nå ML-KEM) for nøkkelinnkapsling og CRYSTALS-Dilithium (nå ML-DSA) for signaturer. Lærdommene fra DES, blant annet åpen konkurranse og algoritmefleksibilitet, ble brukt direkte i PQC-standardiseringsprosessen.

DES lærte oss at nøkkellengder må ta høyde for Moores lov, at offentlig granskning gjør chifre sterkere, at kriterier for utforming av S-bokser bør offentliggjøres, og at myndighetenes involvering i standarder krever åpenhet.

Algoritmefleksibilitet, åpne konkurranser (AES, PQC) og maskinvare som er utformet for algoritmeutskifting er alle direkte svar på arven etter DES. Det vanskeligste problemet i moderne kryptografi er ikke nøkkellengde, men nøkkelhåndtering.