Dlaczego długość klucza kryptograficznego ma znaczenie

W kryptografii parametr bezpieczeństwa lambda oznacza docelowy poziom bezpieczeństwa. Określa długości kluczy, rozmiary wyników funkcji hashujących i inne parametry w całym systemie kryptograficznym. System z lambda = 128 oznacza, że atakujący potrzebuje około 2^128 operacji, aby go złamać. Wszystkie parametry dobiera się spójnie, tak aby najsłabszy element zapewniał co najmniej ten poziom bezpieczeństwa.

Bezpieczeństwo 80-bitowe było niegdyś uznawane za wystarczające w przypadku aplikacji, które nie przetwarzają danych wrażliwych. Jego złamanie wymaga około 2^80, czyli około 10^24 operacji. Dzięki nowoczesnym klastrom GPU i zoptymalizowanym algorytmom staje się to wykonalne dla dobrze finansowanych przeciwników. NIST wycofał bezpieczeństwo 80-bitowe w 2010 roku i nie jest ono już zalecane dla żadnych nowych wdrożeń kryptograficznych. Systemy starszego typu korzystające z parametrów 80-bitowych należy zaktualizować.

Bezpieczeństwo 112-bitowe, zapewniane przez triple DES (3DES), oferuje umiarkowaną ochronę i było minimalnym poziomem zalecanym przez NIST dla szyfrowania symetrycznego po wycofaniu DES. 3DES stosuje DES trzykrotnie z różnymi kluczami, zapewniając efektywnie 112-bitowy poziom bezpieczeństwa mimo klucza 168-bitowego. NIST planuje zakazać stosowania 3DES w zastosowaniach federalnych do 2024 roku, ponieważ moc obliczeniowa nadal rośnie, a AES całkowicie go zastąpił.

AES-128 zapewnia 128-bitowy poziom bezpieczeństwa i jest obecnym standardem szyfrowania symetrycznego. Nie istnieje żaden praktyczny atak na AES-128 z użyciem klasycznych komputerów. NIST uznaje 128-bitowy poziom bezpieczeństwa za wystarczający do długoterminowej ochrony co najmniej do 2030 roku. Większość protokołów kryptograficznych, w tym TLS 1.3, WireGuard i Signal, domyślnie używa symetrycznych kluczy 128-bitowych lub dłuższych.

AES-256 zapewnia bezpieczeństwo na poziomie 256 bitów wobec ataków klasycznych oraz efektywne bezpieczeństwo na poziomie 128 bitów wobec kwantowego algorytmu Grovera. Stosowanie symetrycznych kluczy 256-bitowych gwarantuje, że nawet po pojawieniu się komputerów kwantowych dużej skali szyfrowanie pozostanie bezpieczne na poziomie 128 bitów. Dlatego aplikacje rządowe i wojskowe wymagające długoterminowej ochrony danych już teraz przechodzą na szyfrowanie symetryczne z kluczami 256-bitowymi.

Bezpieczeństwo RSA opiera się na trudności rozkładu dużych liczb całkowitych na czynniki. Rozkład na czynniki jest łatwiejszym problemem matematycznym niż pełne przeszukiwanie klucza symetrycznego, dlatego RSA wymaga znacznie większych kluczy, aby zapewnić równoważny poziom bezpieczeństwa. Klucz RSA 2048-bitowy zapewnia zaledwie około 112 bitów bezpieczeństwa. Klucz RSA 3072-bitowy zapewnia około 128 bitów bezpieczeństwa. Osiągnięcie poziomu bezpieczeństwa takiego jak w przypadku AES-256 wymagałoby klucza RSA o długości około 15 360 bitów.

Kryptografia krzywych eliptycznych osiąga taki sam poziom bezpieczeństwa jak RSA przy użyciu znacznie mniejszych kluczy, wykorzystując matematyczną trudność problemu logarytmu dyskretnego na krzywych eliptycznych. Klucz ECC 256-bitowy, taki jak P-256 lub Curve25519, zapewnia około 128 bitów bezpieczeństwa, czyli tyle samo co klucz RSA 3072-bitowy. Mniejsze klucze oznaczają szybsze obliczenia i krótsze komunikaty uzgadniania TLS, dzięki czemu ECC jest preferowane w aplikacjach wrażliwych na wydajność.

NIST Special Publication 800-57 jest uznanym przewodnikiem po zarządzaniu kluczami kryptograficznymi. Określa, które algorytmy i rozmiary kluczy są zatwierdzone na poszczególnych poziomach bezpieczeństwa, jak długo należy używać kluczy przed ich rotacją oraz jakie są wymagania dotyczące przechowywania i niszczenia kluczy. Przestrzeganie wytycznych SP 800-57 gwarantuje zgodność wyborów kryptograficznych ze standardami federalnymi i pozwala je uzasadnić podczas audytów zgodności.

Najczęściej stosowane porównanie wygląda następująco: 128-bitowy klucz symetryczny (AES-128) zapewnia w przybliżeniu taki sam poziom bezpieczeństwa jak RSA 3072-bitowy lub ECC 256-bitowy. Wynika to z faktu, że klucze symetryczne są chronione przed atakiem brute force, którego koszt rośnie wykładniczo, podczas gdy klucze asymetryczne są chronione przez algorytmy matematyczne o koszcie podwykładniczym. Różnica w rozmiarach kluczy odzwierciedla różną trudność leżących u ich podstaw problemów matematycznych.

Bezpieczeństwo bitowe dostarcza więcej informacji niż sam rozmiar klucza. Stwierdzenie, że system zapewnia 128-bitowe bezpieczeństwo, oznacza, że jego złamanie wymaga około 2^128 operacji, niezależnie od zastosowanego algorytmu. Klucz RSA 2048-bitowy zapewnia 112 bitów bezpieczeństwa. Klucz AES 128-bitowy zapewnia 128 bitów bezpieczeństwa. Porównywanie rozmiarów kluczy różnych algorytmów bez uwzględnienia bezpieczeństwa bitowego prowadzi do błędnych wniosków dotyczących ich względnej siły.

Dane zaszyfrowane dziś muszą pozostać bezpieczne przez cały okres obowiązywania ich klauzuli tajności. Dokumenty rządowe opatrzone klauzulą tajności mogą wymagać zachowania poufności przez dziesięciolecia. Wybór długości kluczy wyłącznie na podstawie obecnych możliwości obliczeniowych jest niewystarczający: klucze należy dobierać tak, aby były odporne na ataki wykorzystujące przyszły rozwój sprzętu oraz potencjalne komputery kwantowe. Zastosowanie dłuższych kluczy niewiele kosztuje, a zapewnia znaczny zapas bezpieczeństwa na przyszłość.

Jaki rozmiar klucza zapewnia w przybliżeniu taki sam poziom bezpieczeństwa jak AES-128?

Parametr bezpieczeństwa lambda mierzy docelowy poziom bezpieczeństwa w bitach. Poziom 80-bitowy jest uznawany za przestarzały, 112-bitowy stanowi minimum, 128-bitowy jest standardem, a 256-bitowy zapewnia zapas bezpieczeństwa na erę postkwantową. RSA wymaga znacznie większych kluczy niż algorytmy symetryczne, aby zapewnić równoważny poziom bezpieczeństwa: RSA 3072-bitowy odpowiada AES-128. ECC osiąga taki sam poziom bezpieczeństwa jak RSA przy użyciu znacznie mniejszych kluczy. Przy porównywaniu algorytmów bezpieczeństwo bitowe ma większe znaczenie niż sam rozmiar klucza.