Triple DES: prolongando a vida útil do DES

A solução óbvia para o comprimento fraco da chave do DES é aplicá-lo duas vezes (DES duplo): C = DES_K2(DES_K1(P)). Com duas chaves de 56 bits, o espaço de chaves nominal é 2^112.

No entanto, o ataque de encontro no meio destrói essa ideia: criptografe todos os textos simples com todos os 2^56 valores de K1, descriptografe todos os textos cifrados com todos os 2^56 valores de K2 e encontre os valores intermediários correspondentes. O ataque exige apenas 2^56 de trabalho e 2^56 de armazenamento, não dando ao DES duplo nenhuma vantagem de segurança sobre o DES simples.

O 3DES de duas chaves usa três operações DES, mas apenas duas chaves: C = DES_K1(DES^-1_K2(DES_K1(P))). A ordem EDE (Criptografar-Descriptografar-Criptografar) é usada para compatibilidade retroativa.

A segurança do 3DES de duas chaves é de aproximadamente 112 bits contra ataques conhecidos, embora ataques de encontro no meio a reduzam um pouco. O 3DES de duas chaves é usado em muitos sistemas bancários e de pagamento legados.

O 3DES de 3 chaves usa três chaves independentes K1, K2 e K3: C = DES_K3(DES^-1_K2(DES_K1(P))). O comprimento nominal da chave é 3 x 56 = 168 bits, mas a segurança efetiva contra os melhores ataques conhecidos é de cerca de 112 bits.

O 3DES de 3 chaves oferece segurança maior que o 3DES de duas chaves e era recomendado para novas aplicações em padrões como NIST SP 800-131A antes de o próprio 3DES ser descontinuado.

A estrutura Criptografar-Descriptografar-Criptografar (EDE) do 3DES não é arbitrária. Quando K1 = K2 = K3, a descriptografia intermediária desfaz a criptografia inicial, e a criptografia final produz o mesmo resultado que o DES simples.

Essa compatibilidade retroativa com o DES simples foi essencial para uma migração gradual. O hardware e o software DES existentes podiam interoperar com sistemas 3DES durante um período de transição sem perda de dados.

O 3DES pode ser reduzido ao DES simples definindo as três chaves como iguais. Isso significa que o hardware 3DES pode processar dados criptografados com DES e dados criptografados com 3DES usando o mesmo circuito.

Isso era especialmente importante para o setor bancário e os sistemas de pagamento que tinham infraestrutura baseada em DES no valor de bilhões de dólares. O 3DES permitiu uma transição gradual e retrocompatível, sem exigir a substituição simultânea de todos os equipamentos.

O 3DES continua sendo amplamente usado na infraestrutura bancária, embora esteja descontinuado para novas aplicações. Cartões de pagamento com chip EMV usam 3DES para autenticação do cartão e criptografia de transações.

As mensagens interbancárias SWIFT também usam 3DES para códigos legados de autenticação de mensagens. A enorme escala da infraestrutura financeira implantada significa que o 3DES persistirá em campo por muitos anos, apesar de sua descontinuação.

A NIST declarou oficialmente o 3DES obsoleto em 2023 por meio da revisão 2 do SP 800-131A. Todo uso do 3DES é agora considerado obsoleto, o que significa que ele não deve ser usado em sistemas novos e deve ser substituído nos sistemas legados.

O AES é a substituição recomendada. O AES é mais rápido, usa blocos maiores (128 bits contra 64 bits), oferece comprimentos de chave de 128, 192 ou 256 bits e não possui fraquezas práticas conhecidas.

O Sweet32, publicado em 2016, demonstrou um ataque prático contra o 3DES em HTTPS. O tamanho de bloco de 64 bits significa que, após 2^32 blocos (cerca de 32 GB de dados), colisões do paradoxo do aniversário no modo CBC começam a vazar informações sobre textos simples.

Contra sessões HTTPS, o Sweet32 exigia cerca de 785 GB de tráfego sob a mesma chave, algo possível com uma sessão autenticada de longa duração. O ataque levou os navegadores a priorizar o AES-GCM e remover o 3DES dos conjuntos de cifras padrão.

O 3DES executa três operações DES por bloco. O próprio DES é lento no hardware moderno porque foi projetado para o hardware da década de 1970, com padrões de operações bit a bit diferentes dos das CPUs modernas.

O AES, projetado para eficiência em software e aproveitando o hardware moderno com instruções AES-NI, é de 10 a 100 vezes mais rápido que o 3DES em software. O AES-NI em CPUs modernas da Intel/AMD pode criptografar vários gigabytes por segundo, enquanto o 3DES tem dificuldade para atingir 100 MB/s.

Apesar de usar três operações DES e chaves mais longas, o 3DES mantém o tamanho do bloco de 64 bits. O tamanho do bloco é um parâmetro fundamental da estrutura de Feistel e não pode ser alterado sem reprojetar o algoritmo.

Esse tamanho de bloco de 64 bits é a causa raiz da vulnerabilidade Sweet32. O tamanho de bloco de 128 bits do AES faz com que os ataques de aniversário exijam 2^64 blocos (~18 exabytes), algo computacionalmente inviável na prática.

O NIST SP 800-131A fornece um guia detalhado de migração para fazer a transição do 3DES para o AES. Ele recomenda o AES com chaves de 128, 192 ou 256 bits como substituto para todos os usos do 3DES, desde conjuntos de cifras TLS até a criptografia de dados armazenados.

A migração tem amplo suporte: todas as bibliotecas criptográficas modernas e plataformas de hardware oferecem suporte ao AES, geralmente com aceleração de hardware. Recomenda-se que as organizações tratem a migração como uma atualização da configuração do software, e não como um projeto de substituição de hardware.

Teste seus conhecimentos sobre as configurações do DES triplo.

O DES triplo foi criado para prolongar a vida útil do DES usando a estrutura EDE. Ataques de encontro no meio impedem que o DES duplo ofereça o dobro da segurança. O 3DES com chaves iguais se reduz ao DES simples, permitindo compatibilidade retroativa.

O 3DES foi considerado obsoleto pelo NIST (2023) devido à vulnerabilidade do tamanho de bloco de 64 bits (Sweet32) e ao desempenho inferior ao do AES. Ele persiste na infraestrutura bancária e de EMV como um sistema legado.