Lições do DES: o que aprendemos

A chave de 56 bits do DES foi projetada levando em conta o poder computacional de 1977. Os projetistas esperavam que ela permanecesse segura por pelo menos 10 a 15 anos. Em 1997 (20 anos depois), ela podia ser quebrada em meses; em 1999, em horas.

A lição é que os comprimentos das chaves criptográficas precisam levar em conta os avanços computacionais futuros. Atualmente, o NIST recomenda que os sistemas tenham uma margem de segurança de pelo menos 112 bits para permanecerem seguros até 2030 e de 128 bits ou mais para segurança de longo prazo.

Auguste Kerckhoffs afirmou em 1883 que uma cifra deveria ser segura mesmo que tudo sobre o sistema, exceto a chave, fosse de conhecimento público. O DES foi a primeira cifra padronizada pelo governo projetada tendo esse princípio explicitamente em mente.

A publicação da especificação completa do DES permitiu que a comunidade criptográfica o analisasse em busca de pontos fracos durante 20 anos. A cifra mostrou-se mais resistente sob escrutínio público do que alternativas que dependiam do sigilo do algoritmo.

Quando o DES foi publicado pela primeira vez, os critérios de projeto das caixas S eram mantidos em sigilo pela NSA. Isso alimentou teorias da conspiração sobre portas dos fundos. Na década de 1990, os critérios foram revelados, mostrando que as caixas S haviam sido projetadas especificamente para resistir à criptoanálise diferencial.

Essa lição de transparência levou às competições modernas de cifras, que exigem a publicação de uma justificativa completa do projeto. Os candidatos ao AES publicaram critérios completos de projeto e argumentos de segurança, possibilitando uma análise pública minuciosa.

A participação da NSA na redução do comprimento da chave do DES de 128 para 56 bits e na modificação das caixas S criou uma desconfiança institucional duradoura em relação à participação governamental nas normas criptográficas.

Essa desconfiança foi ampliada pelo escândalo da porta dos fundos do Dual_EC_DRBG (2013), no qual se descobriu que a NSA havia enfraquecido deliberadamente uma norma do NIST para um gerador de números aleatórios. A experiência com o DES estabeleceu o padrão de um ceticismo saudável em relação às intervenções governamentais em cifras.

Uma lição do DES é a importância da agilidade de algoritmos: os sistemas devem ser projetados para substituir facilmente os algoritmos criptográficos quando eles se tornarem obsoletos. Sistemas codificados especificamente para o DES exigiram migrações caras de remoção e substituição.

Protocolos criptográficos modernos, como o TLS, negociam as opções de algoritmo no início de cada conexão, permitindo que ambas as partes concordem com os algoritmos mais fortes que tenham em comum. Isso significa que novos algoritmos podem ser implantados sem quebrar a compatibilidade retroativa.

O NIST aprendeu com a experiência do DES que um processo governamental fechado gera desconfiança e algoritmos potencialmente fracos. A competição do AES (1997–2001) foi totalmente aberta: qualquer organização do mundo poderia enviar um candidato.

Quinze algoritmos foram enviados por equipes dos Estados Unidos (US), da Europa e de outras regiões. Cinco finalistas foram analisados publicamente durante três anos. O Rijndael, desenvolvido por criptógrafos belgas, venceu por mérito técnico. O processo aberto gerou ampla confiança no AES.

A competição do AES aplicou diretamente as lições do DES: opções de chaves maiores (128, 192 e 256 bits), tamanho de bloco de 128 bits para lidar com as preocupações relativas a ataques de aniversário, critérios completos de projeto publicados e vários anos de criptoanálise aberta.

O AES resistiu a mais de 20 anos de criptoanálise pública sem ataques práticos. Os melhores ataques conhecidos contra o AES são apenas marginalmente melhores que a força bruta, confirmando que o processo de competição aberta produziu uma cifra forte.

Existem milhões de implementações de hardware do DES em caixas eletrônicos, terminais de pagamento, decodificadores de satélite e sistemas de controle industrial. Substituir hardware é muito mais caro e demorado do que atualizar software.

A lição é que as implementações criptográficas em hardware devem planejar a substituição de algoritmos desde o início. Módulos modernos de segurança de hardware e chips de cartões inteligentes são projetados para oferecer suporte a vários algoritmos e podem ser atualizados por meio de firmware para adicionar novos padrões.

Após o DES, o processo de padronização do NIST tornou-se mais transparente e inclusivo. Os períodos para comentários públicos foram ampliados, os projetos dos algoritmos foram divulgados integralmente antes da padronização e a participação internacional foi ativamente incentivada.

A padronização da Criptografia Pós-Quântica do NIST (2016–2024) aplicou todas essas lições: competição internacional aberta, várias rodadas de criptoanálise pública, critérios de seleção transparentes e padronização simultânea de vários algoritmos para garantir diversidade.

A criptografia moderna resolveu o problema do comprimento das chaves: o AES-256 oferece margens de segurança tão grandes que ataques de força bruta são impossíveis no futuro previsível. O desafio restante é o gerenciamento de chaves.

Geração de chaves (com aleatoriedade verdadeira), armazenamento de chaves (protegidas contra acesso não autorizado), distribuição de chaves (compartilhadas com segurança com as partes corretas), rotação de chaves (alteração das chaves sem interromper o serviço) e revogação de chaves (revogação de chaves comprometidas) são os problemas não resolvidos que causam a maioria das falhas criptográficas no mundo real.

A transição para a criptografia pós-quântica (PQC) é o equivalente moderno da transição do DES para o AES. Os computadores quânticos ameaçam o RSA e o ECC, assim como o crescimento exponencial do hardware ameaçou o DES.

O NIST finalizou suas primeiras normas PQC em 2024: CRYSTALS-Kyber (agora ML-KEM) para encapsulamento de chaves e CRYSTALS-Dilithium (agora ML-DSA) para assinaturas. As lições do DES, incluindo a competição aberta e a agilidade de algoritmos, foram aplicadas diretamente ao processo de padronização do PQC.

Teste sua compreensão das lições aprendidas na era do DES.

O DES nos ensinou que os comprimentos das chaves devem levar em conta a Lei de Moore, que o escrutínio público torna as cifras mais fortes, que os critérios de projeto das caixas S devem ser publicados e que a participação governamental nas normas exige transparência.

Agilidade de algoritmos, competições abertas (AES, PQC) e hardware projetado para a substituição de algoritmos são respostas diretas ao legado do DES. O problema mais difícil da criptografia moderna não é o comprimento das chaves, mas o gerenciamento de chaves.