Lekcje z DES: czego się nauczyliśmy

56-bitowy klucz DES zaprojektowano z myślą o mocy obliczeniowej dostępnej w 1977 roku. Projektanci zakładali, że zapewni on bezpieczeństwo przez co najmniej 10–15 lat. W 1997 roku, 20 lat później, można było go złamać w ciągu kilku miesięcy, a w 1999 roku — w ciągu kilku godzin.

Wniosek jest następujący: długość kluczy kryptograficznych musi uwzględniać przyszły rozwój mocy obliczeniowej. NIST zaleca obecnie, aby systemy miały margines bezpieczeństwa wynoszący co najmniej 112 bitów, jeśli mają pozostać bezpieczne do 2030 roku, oraz co najmniej 128 bitów w przypadku bezpieczeństwa długoterminowego.

Auguste Kerckhoffs stwierdził w 1883 roku, że szyfr powinien pozostać bezpieczny nawet wtedy, gdy cała wiedza o systemie — z wyjątkiem klucza — jest publiczna. DES był pierwszym szyfrem standaryzowanym przez rząd, który został zaprojektowany z wyraźnym uwzględnieniem tej zasady.

Opublikowanie pełnej specyfikacji DES umożliwiło społeczności kryptograficznej analizowanie go pod kątem słabości przez 20 lat. Szyfr okazał się bardziej odporny na publiczną kontrolę niż alternatywne rozwiązania opierające się na tajności algorytmu.

Gdy po raz pierwszy opublikowano DES, kryteria projektowe S-boxów były utrzymywane przez NSA w tajemnicy. Sprzyjało to powstawaniu teorii spiskowych na temat tylnych furtek. W latach 90. ujawniono te kryteria i wykazano, że S-boxy zaprojektowano specjalnie w celu odporności na kryptoanalizę różnicową.

Ta lekcja dotycząca przejrzystości doprowadziła do tego, że współczesne konkursy kryptograficzne wymagają publikowania pełnego uzasadnienia projektu. Zespoły zgłaszające kandydatów do AES opublikowały kompletne kryteria projektowe i argumenty dotyczące bezpieczeństwa, umożliwiając ich dokładną publiczną analizę.

Udział NSA w skróceniu długości klucza DES ze 128 do 56 bitów oraz w modyfikacji S-boxów doprowadził do trwałej nieufności instytucjonalnej wobec udziału rządu w opracowywaniu standardów kryptograficznych.

Nieufność tę pogłębił skandal związany z tylną furtką w Dual_EC_DRBG (2013), kiedy stwierdzono, że NSA celowo osłabiła standard generatora liczb losowych NIST. Doświadczenia z DES utrwaliły zdrowy sceptycyzm wobec rządowych ingerencji w szyfry.

Jedną z lekcji płynących z DES jest znaczenie elastyczności algorytmowej: systemy należy projektować tak, aby można było łatwo wymieniać algorytmy kryptograficzne, gdy stają się przestarzałe. Systemy, w których DES był zakodowany na stałe, wymagały kosztownych migracji polegających na całkowitej wymianie.

Nowoczesne protokoły kryptograficzne, takie jak TLS, negocjują wybór algorytmów na początku każdego połączenia, umożliwiając obu stronom uzgodnienie najsilniejszych algorytmów obsługiwanych przez obie strony. Dzięki temu można wdrażać nowe algorytmy bez przerywania zgodności wstecznej.

NIST wyciągnął z doświadczeń z DES wniosek, że zamknięty proces rządowy budzi nieufność i może prowadzić do powstania słabych algorytmów. Konkurs AES (1997–2001) był całkowicie otwarty: dowolna organizacja z dowolnego miejsca na świecie mogła zgłosić kandydata.

Zgłoszono piętnaście algorytmów opracowanych przez zespoły z USA, Europy i innych regionów. Pięciu finalistów poddawano publicznej analizie przez trzy lata. Rijndael, opracowany przez belgijskich kryptografów, zwyciężył ze względów technicznych. Otwarty proces wzbudził powszechne zaufanie do AES.

Konkurs AES bezpośrednio zastosował lekcje płynące z DES: dłuższe klucze o długości 128, 192 i 256 bitów, 128-bitowy rozmiar bloku rozwiązujący problem ataków urodzinowych, pełne publiczne kryteria projektowe oraz wieloletnią otwartą kryptoanalizę.

AES przetrwał ponad 20 lat publicznej kryptoanalizy bez żadnych praktycznych ataków. Najlepsze znane ataki na AES są tylko nieznacznie skuteczniejsze od ataku siłowego, co potwierdza, że otwarty proces konkursowy doprowadził do powstania silnego szyfru.

Miliony sprzętowych implementacji DES istnieją w bankomatach, terminalach płatniczych, dekoderach satelitarnych i przemysłowych systemach sterowania. Wymiana sprzętu jest znacznie droższa i wolniejsza niż aktualizacja oprogramowania.

Wniosek jest następujący: sprzętowe implementacje kryptograficzne muszą od początku uwzględniać możliwość wymiany algorytmów. Nowoczesne moduły HSM i układy kart inteligentnych są projektowane z myślą o obsłudze wielu algorytmów i można je aktualizować za pomocą oprogramowania układowego, aby dodawać obsługę nowych standardów.

Po doświadczeniach z DES proces standaryzacji NIST stał się bardziej przejrzysty i otwarty. Wydłużono okresy zgłaszania uwag, projekty algorytmów publikowano w całości przed standaryzacją, a udział międzynarodowy aktywnie wspierano.

Proces standaryzacji kryptografii postkwantowej NIST (2016–2024) zastosował wszystkie te lekcje: otwarty międzynarodowy konkurs, wiele rund publicznej kryptoanalizy, przejrzyste kryteria wyboru oraz równoczesną standaryzację wielu algorytmów w celu zapewnienia różnorodności.

Współczesna kryptografia rozwiązała problem długości klucza: AES-256 zapewnia tak duży margines bezpieczeństwa, że ataki siłowe będą niemożliwe w dającej się przewidzieć przyszłości. Pozostaje jednak wyzwanie związane z zarządzaniem kluczami.

Generowanie kluczy (z zapewnieniem prawdziwej losowości), przechowywanie kluczy (z ochroną przed nieuprawnionym dostępem), dystrybucja kluczy (bezpieczne udostępnianie ich właściwym stronom), rotacja kluczy (zmiana kluczy bez zakłócania działania usługi) oraz unieważnianie kluczy (unieważnianie kluczy, które zostały ujawnione) to nierozwiązane problemy będące przyczyną większości rzeczywistych awarii kryptograficznych.

Przejście do kryptografii postkwantowej (PQC) jest współczesnym odpowiednikiem przejścia z DES do AES. Komputery kwantowe zagrażają RSA i ECC, podobnie jak wykładniczy wzrost mocy sprzętu zagrażał DES.

NIST sfinalizował pierwsze standardy PQC w 2024 roku: CRYSTALS-Kyber (obecnie ML-KEM) do enkapsulacji kluczy oraz CRYSTALS-Dilithium (obecnie ML-DSA) do podpisów. Lekcje płynące z DES, w tym otwarty konkurs i elastyczność algorytmowa, zostały bezpośrednio zastosowane w procesie standaryzacji PQC.

Proszę sprawdzić swoją wiedzę na temat wniosków wyciągniętych z ery DES.

DES nauczył nas, że długość kluczy musi uwzględniać prawo Moore’a, publiczna kontrola wzmacnia szyfry, kryteria projektowe S-boxów powinny być publikowane, a udział rządu w tworzeniu standardów wymaga przejrzystości.

Elastyczność algorytmowa, otwarte konkursy (AES, PQC) oraz sprzęt projektowany z myślą o wymianie algorytmów są bezpośrednią odpowiedzią na spuściznę DES. Najtrudniejszym problemem współczesnej kryptografii nie jest długość klucza, lecz zarządzanie kluczami.