Troca de chaves e criptografia híbrida

A criptografia simétrica exige que ambas as partes compartilhem a mesma chave secreta antes de poderem se comunicar com segurança. Mas como compartilhar essa chave com segurança quando vocês ainda não têm um canal seguro? Esse problema da distribuição de chaves foi considerado insolúvel até 1976, quando Whitfield Diffie e Martin Hellman publicaram um artigo revolucionário. A solução deles — a troca de chaves Diffie-Hellman — permite que duas partes estabeleçam uma chave secreta compartilhada por um canal inseguro sem jamais transmitir a própria chave, mesmo sob a observação de eventuais espiões.

Diffie-Hellman (DH) usa um truque matemático inteligente baseado no problema do logaritmo discreto. Ambas as partes concordam com dois valores públicos (um número primo grande p e um gerador g). Cada parte gera um número aleatório privado, calcula um valor público a partir dele e troca os valores públicos. Em seguida, cada parte pode calcular o mesmo segredo compartilhado usando seu próprio número privado e o valor público da outra parte — mas um espião que veja apenas os valores públicos não consegue calcular o segredo compartilhado sem resolver o problema do logaritmo discreto, o que é computacionalmente inviável para números grandes.

Elliptic Curve Diffie-Hellman (ECDH) é a variante moderna e mais eficiente da troca de chaves Diffie-Hellman. Ela usa a matemática de curvas elípticas em vez da exponenciação modular, alcançando a mesma segurança com parâmetros muito menores. Uma chave ECDH de 256 bits oferece uma segurança equivalente à de uma chave DH de 3072 bits. A ECDHE (o “E” significa Ephemeral) gera um novo par de chaves para cada sessão, fornecendo Perfect forward secrecy. O TLS 1.3 exige ECDHE para a troca de chaves, tornando-o o mecanismo de troca de chaves predominante na segurança web moderna.

Perfect Forward Secrecy (PFS) garante que as chaves de sessão não sejam comprometidas mesmo que a chave privada de longo prazo do servidor seja roubada posteriormente. O PFS é obtido usando pares de chaves efêmeros para a troca de chaves de cada sessão — a chave de sessão é derivada de um par de chaves temporário que é descartado após o término da sessão. Sem PFS (usando a troca de chaves RSA), um invasor que registre tráfego criptografado hoje e roube a chave privada posteriormente poderá descriptografar retroativamente todo o tráfego passado. Com PFS, as sessões anteriores permanecem seguras mesmo após o comprometimento da chave.

Hybrid encryption combina criptografia assimétrica e simétrica para obter tanto os benefícios de gerenciamento de key da criptografia assimétrica quanto o desempenho da criptografia simétrica. O processo é: (1) gerar uma key de sessão simétrica aleatória; (2) criptografar os dados principais com essa key simétrica (rapidamente); (3) criptografar a key simétrica com a key pública do destinatário (transmissão segura da key); (4) enviar os dados criptografados e a key criptografada. O destinatário descriptografa a key simétrica com sua key privada e, em seguida, descriptografa os dados com a key simétrica recuperada.

O TLS handshake é a implementação mais comum de criptografia híbrida no mundo real. No TLS 1.3: (1) o cliente envia os conjuntos de cifras compatíveis e o compartilhamento de key (valor público ECDHE); (2) o servidor responde com seu compartilhamento de key, certificate (contendo sua key pública) e uma assinatura; (3) ambos os lados calculam o mesmo segredo compartilhado por meio de ECDH; (4) todo o tráfego subsequente é criptografado com uma key simétrica derivada do segredo compartilhado (AES-256-GCM). Todo o processo estabelece um canal criptografado em uma única ida e volta, sem jamais transmitir a key simétrica diretamente.

A criptografia moderna usa Key Encapsulation Mechanisms (KEM) como uma abordagem mais formal e segura para a troca de keys do que a criptografia assimétrica direta de uma key de sessão. Um KEM permite que uma parte gere uma key simétrica e a “encapsule” usando a key pública do destinatário, de modo que somente o destinatário possa desencapsulá-la (recuperá-la). O padrão pós-quântico do NIST, CRYSTALS-Kyber, é um KEM baseado em problemas de reticulados, e não em fatoração de inteiros ou curvas elípticas, o que o torna resistente a ataques de computadores quânticos.

Até o TLS 1.3, a troca de key RSA era comum: o cliente gerava um segredo pré-mestre, criptografava-o com a key pública RSA do servidor e o enviava ao servidor. O problema é que isso não oferece sigilo de encaminhamento. Se a key privada do servidor for comprometida posteriormente, todas as sessões anteriores criptografadas dessa forma poderão ser descriptografadas. O TLS 1.3 remove completamente a troca de key RSA (ele permite apenas ECDHE), especificamente para impor sigilo de encaminhamento em todas as conexões. É por isso que desativar TLS 1.0 e 1.2 (que ainda permitem RSA estático) e exigir TLS 1.3 representa uma melhoria de segurança.

O segredo compartilhado produzido por uma troca de Diffie-Hellman não é usado diretamente como uma key de criptografia. Em vez disso, ele é fornecido a uma Key Derivation Function (KDF) para produzir as keys de criptografia reais e os vetores de inicialização. O TLS 1.3 usa HKDF (HMAC-based Key Derivation Function) para derivar keys separadas para a criptografia em cada direção. As KDFs acrescentam custo computacional (dificultando a força bruta), expandem segredos curtos para a quantidade necessária de bytes de key e garantem que as keys derivadas tenham boas propriedades estatísticas para uso como keys simétricas.

Pretty Good Privacy (PGP) e seu equivalente de código aberto, OpenPGP, usam criptografia híbrida para e-mails. Quando Alice envia um e-mail criptografado para Bob: o PGP gera uma key de sessão simétrica aleatória, criptografa o corpo do e-mail com ela (AES), criptografa a key de sessão com a key pública RSA ou ECC de Bob e envia ambas juntas. Para e-mails assinados, o PGP calcula o hash da mensagem e assina o hash com a key privada de Alice, fornecendo não repúdio. O modelo de rede de confiança do PGP (usuários assinando as keys uns dos outros) é uma alternativa à PKI baseada em autoridades de certificação.

A troca de keys Diffie-Hellman é segura contra interceptadores passivos, mas vulnerável a ataques man-in-the-middle (MITM) ativos se as partes não autenticarem umas às outras. Um invasor pode interceptar o valor público de Alice, substituí-lo pelo próprio e estabelecer sessões DH separadas com Alice e Bob — cada um acreditando estar se comunicando com o outro. É por isso que o TLS combina a troca de keys DH com autenticação por certificate: o certificate do servidor (assinado por uma CA confiável) comprova a identidade do servidor, impedindo a substituição da key pública por um MITM durante o handshake.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: o Diffie-Hellman resolve o problema da troca de keys permitindo que as partes derivem um segredo compartilhado por um canal inseguro; o ECDHE (efêmero) oferece Perfect Forward Secrecy; a hybrid encryption combina a troca assimétrica de keys com a criptografia simétrica dos dados principais para obter eficiência; e o TLS 1.3 exige ECDHE para todas as conexões. A seguir, exploraremos Authorities de Certificates e Cadeias de Trust.