Wymiana kluczy i szyfrowanie hybrydowe

Szyfrowanie symetryczne wymaga, aby obie strony udostępniły sobie ten sam tajny klucz, zanim będą mogły bezpiecznie się komunikować. Jak jednak bezpiecznie przekazać ten klucz, jeśli nie ma jeszcze bezpiecznego kanału? Ten problem dystrybucji klucza uważano za nierozwiązywalny aż do 1976 roku, kiedy Whitfield Diffie i Martin Hellman opublikowali przełomową pracę. Ich rozwiązanie — wymiana kluczy Diffiego-Hellmana — umożliwia dwóm stronom ustanowienie wspólnego tajnego klucza przez niezabezpieczony kanał bez przesyłania samego klucza, nawet jeśli komunikację obserwują podsłuchujący.

Diffie-Hellman (DH) wykorzystuje sprytną sztuczkę matematyczną opartą na problemie logarytmu dyskretnego. Obie strony uzgadniają dwie wartości publiczne (dużą liczbę pierwszą p i generator g). Każda strona generuje prywatną losową liczbę, oblicza na jej podstawie wartość publiczną i wymienia się wartościami publicznymi z drugą stroną. Następnie każda strona może obliczyć ten sam wspólny sekret na podstawie własnej liczby prywatnej i wartości publicznej drugiej strony — jednak podsłuchujący, który zna tylko wartości publiczne, nie może obliczyć wspólnego sekretu bez rozwiązania problemu logarytmu dyskretnego, co dla dużych liczb jest obliczeniowo niewykonalne.

Elliptic Curve Diffie-Hellman (ECDH) to nowoczesny i wydajniejszy wariant wymiany kluczy Diffiego-Hellmana. Wykorzystuje matematykę krzywych eliptycznych zamiast potęgowania modularnego, zapewniając ten sam poziom bezpieczeństwa przy znacznie mniejszych parametrach. Klucz ECDH o długości 256 bitów zapewnia bezpieczeństwo odpowiadające kluczowi DH o długości 3072 bitów. ECDHE (litera „E” oznacza Ephemeral) generuje nową parę kluczy dla każdej sesji, zapewniając idealne utajnienie przekazywania. TLS 1.3 wymaga używania ECDHE do wymiany kluczy, dzięki czemu jest to dominujący mechanizm wymiany kluczy we współczesnym bezpieczeństwie sieciowym.

Idealne utajnienie przekazywania (Perfect Forward Secrecy, PFS) gwarantuje, że klucze sesji nie zostaną ujawnione nawet wtedy, gdy długoterminowy klucz prywatny serwera zostanie później wykradziony. PFS osiąga się przez używanie efemerycznych par kluczy podczas wymiany kluczy dla każdej sesji — klucz sesji jest wyprowadzany z tymczasowej pary kluczy, która jest usuwana po zakończeniu sesji. Bez PFS (przy użyciu wymiany kluczy RSA) atakujący, który dziś zarejestruje zaszyfrowany ruch, a później wykradnie klucz prywatny, może retrospektywnie odszyfrować cały wcześniejszy ruch. Dzięki PFS wcześniejsze sesje pozostają bezpieczne nawet po przejęciu klucza.

Szyfrowanie hybrydowe łączy kryptografię asymetryczną i symetryczną, zapewniając zarówno korzyści związane z zarządzaniem kluczami charakterystyczne dla szyfrowania asymetrycznego, jak i wydajność szyfrowania symetrycznego. Proces przebiega następująco: (1) wygenerowanie losowego symetrycznego klucza sesji, (2) zaszyfrowanie dużej ilości danych tym kluczem symetrycznym (szybko), (3) zaszyfrowanie klucza symetrycznego kluczem publicznym odbiorcy (bezpieczne przesłanie klucza), (4) wysłanie zarówno zaszyfrowanych danych, jak i zaszyfrowanego klucza. Odbiorca odszyfrowuje klucz symetryczny za pomocą swojego klucza prywatnego, a następnie odszyfrowuje dane za pomocą odzyskanego klucza symetrycznego.

Uzgadnianie TLS to najczęstsza rzeczywista implementacja szyfrowania hybrydowego. W standardzie TLS 1.3: (1) klient wysyła obsługiwane zestawy szyfrów oraz udział klucza (wartość publiczną ECDHE). (2) Serwer odpowiada swoim udziałem klucza, certyfikatem (zawierającym jego klucz publiczny) oraz podpisem. (3) Obie strony obliczają ten sam wspólny sekret za pomocą ECDH. (4) Cały późniejszy ruch jest szyfrowany kluczem symetrycznym wyprowadzonym ze wspólnego sekretu (AES-256-GCM). Cały proces ustanawia zaszyfrowany kanał w ciągu jednej podróży w obie strony, bez bezpośredniego przesyłania klucza symetrycznego.

Współczesna kryptografia wykorzystuje mechanizmy enkapsulacji klucza (KEM) jako bardziej formalne i bezpieczne podejście do wymiany kluczy niż bezpośrednie asymetryczne szyfrowanie klucza sesji. KEM umożliwia jednej stronie wygenerowanie klucza symetrycznego i „enkapsulowanie” go za pomocą klucza publicznego odbiorcy w taki sposób, aby tylko odbiorca mógł go dekapsulować (odzyskać). Postkwantowy standard NIST CRYSTALS-Kyber to KEM oparty na problemach kratowych, a nie na faktoryzacji liczb całkowitych czy krzywych eliptycznych, dzięki czemu jest odporny na ataki z użyciem komputerów kwantowych.

Do czasu TLS 1.3 powszechnie stosowano wymianę kluczy RSA: klient generował sekret przedgłówny, szyfrował go kluczem publicznym RSA serwera i wysyłał go do serwera. Problem polegał na tym, że rozwiązanie to zapewniało brak poufności przekazywania. Jeśli klucz prywatny serwera został później przejęty, można było odszyfrować wszystkie wcześniejsze sesje zaszyfrowane w ten sposób. TLS 1.3 całkowicie usuwa wymianę kluczy RSA (dopuszcza wyłącznie ECDHE), aby wymusić poufność przekazywania we wszystkich połączeniach. Dlatego wyłączenie TLS 1.0 i 1.2 (które nadal dopuszczają statyczne RSA) oraz wymaganie TLS 1.3 zwiększa bezpieczeństwo.

Wspólny sekret utworzony podczas wymiany Diffiego-Hellmana nie jest bezpośrednio używany jako klucz szyfrowania. Zamiast tego przekazuje się go do funkcji wyprowadzania klucza (KDF), która generuje właściwe klucze szyfrowania i wektory inicjalizacyjne. TLS 1.3 wykorzystuje HKDF (funkcję wyprowadzania klucza opartą na HMAC) do wyprowadzenia oddzielnych kluczy szyfrowania dla każdego kierunku komunikacji. KDF-y zwiększają koszt obliczeniowy (utrudniając ataki brute force), rozszerzają krótkie sekrety do wymaganej liczby bajtów klucza oraz zapewniają, że wyprowadzone klucze mają dobre właściwości statystyczne potrzebne przy użyciu jako klucze symetryczne.

Pretty Good Privacy (PGP) i jego odpowiednik open source, OpenPGP, wykorzystują szyfrowanie hybrydowe do ochrony poczty e-mail. Gdy Alicja wysyła Bobowi zaszyfrowaną wiadomość e-mail: PGP generuje losowy symetryczny klucz sesji, szyfruje nim treść wiadomości (AES), szyfruje klucz sesji kluczem publicznym RSA lub ECC Boba, a następnie wysyła oba elementy razem. W przypadku podpisanych wiadomości e-mail PGP oblicza skrót wiadomości i podpisuje go kluczem prywatnym Alicji, zapewniając niezaprzeczalność. Model sieci zaufania PGP (użytkownicy podpisują nawzajem swoje klucze) stanowi alternatywę dla PKI opartego na urzędach certyfikacji.

Wymiana kluczy Diffiego-Hellmana jest bezpieczna przed pasywnymi podsłuchującymi, ale podatna na aktywne ataki typu man-in-the-middle (MITM), jeśli strony nie uwierzytelnią się wzajemnie. Atakujący może przechwycić wartość publiczną Alicji, podstawić własną i ustanowić oddzielne sesje DH zarówno z Alicją, jak i z Bobem — przy czym każda ze stron będzie sądzić, że komunikuje się z drugą. Dlatego TLS łączy wymianę kluczy DH z uwierzytelnianiem certyfikatem: certyfikat serwera (podpisany przez zaufany urząd certyfikacji) potwierdza tożsamość serwera i zapobiega podmianie klucza publicznego podczas uzgadniania.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: Diffie-Hellman rozwiązuje problem wymiany kluczy, umożliwiając stronom wyprowadzenie wspólnego sekretu za pośrednictwem niezabezpieczonego kanału; ECDHE (efemeryczny) zapewnia doskonałą poufność przekazywania; szyfrowanie hybrydowe łączy asymetryczną wymianę kluczy z symetrycznym szyfrowaniem dużych ilości danych w celu zwiększenia wydajności; a TLS 1.3 wymaga ECDHE dla wszystkich połączeń. Następnie omówimy urzędy certyfikacji i łańcuchy zaufania.