Обмен ключами и гибридное шифрование

Для симметричного шифрования обе стороны должны заранее иметь один и тот же секретный ключ, чтобы безопасно обмениваться данными. Но как безопасно передать этот ключ, если защищённого канала ещё нет? Эта проблема распределения ключей считалась нерешаемой до 1976 года, когда Уитфилд Diffie и Мартин Hellman опубликовали революционную научную работу. Их решение — обмен ключами Diffie-Hellman — позволяет двум сторонам установить общий секретный ключ через незащищённый канал, ни разу не передав сам ключ в открытом виде, доступном перехватчикам.

Diffie-Hellman (DH) использует остроумный математический приём, основанный на задаче дискретного логарифмирования. Обе стороны договариваются о двух общедоступных значениях (большом простом числе p и генераторе g). Каждая сторона создаёт случайное закрытое число, вычисляет на его основе открытое значение и обменивается открытыми значениями. Затем каждая сторона может вычислить один и тот же общий секрет, используя своё закрытое число и открытое значение другой стороны. При этом перехватчик, видящий только открытые значения, не может вычислить общий секрет без решения задачи дискретного логарифмирования, что вычислительно невозможно для больших чисел.

Elliptic Curve Diffie-Hellman (ECDH) — это современный и более эффективный вариант обмена ключами Diffie-Hellman. Вместо модульного возведения в степень он использует математику эллиптических кривых и обеспечивает тот же уровень безопасности при значительно меньших параметрах. Ключ ECDH длиной 256 бит обеспечивает уровень безопасности, эквивалентный ключу DH длиной 3072 бита. ECDHE (буква «E» означает Ephemeral) создаёт новую пару ключей для каждого сеанса, обеспечивая совершенную прямую секретность. TLS 1.3 требует использования ECDHE для обмена ключами, поэтому этот механизм доминирует в современной веб-безопасности.

Совершенная прямая секретность (PFS) гарантирует, что ключи сеансов не будут скомпрометированы, даже если долгосрочный закрытый ключ сервера впоследствии будет украден. PFS достигается за счёт использования эфемерных пар ключей для обмена ключами каждого сеанса: ключ сеанса выводится из временной пары ключей, которая удаляется после завершения сеанса. Без PFS (при использовании обмена ключами RSA) злоумышленник, записавший зашифрованный трафик сегодня и позднее похитивший закрытый ключ, может задним числом расшифровать весь прошлый трафик. При использовании PFS прошлые сеансы остаются защищёнными даже после компрометации ключа.

Гибридное шифрование сочетает асимметричную и симметричную криптографию, объединяя преимущества управления ключами асимметричного шифрования с производительностью симметричного. Процесс выглядит так: (1) генерируется случайный симметричный сеансовый ключ; (2) основной объём данных шифруется этим симметричным ключом (быстро); (3) симметричный ключ шифруется открытым ключом получателя (для безопасной передачи ключа); (4) отправляются и зашифрованные данные, и зашифрованный ключ. Получатель расшифровывает симметричный ключ с помощью своего закрытого ключа, а затем расшифровывает данные с помощью восстановленного симметричного ключа.

Установление TLS-соединения — наиболее распространённая реализация гибридного шифрования в реальных системах. В TLS 1.3: (1) клиент отправляет поддерживаемые наборы шифров и общедоступное значение ключа (открытое значение ECDHE); (2) сервер отвечает своим общедоступным значением ключа, certificate (содержащим его открытый ключ) и подписью; (3) обе стороны вычисляют один и тот же общий секрет с помощью ECDH; (4) весь последующий трафик шифруется симметричным ключом, полученным из общего секрета (AES-256-GCM). Весь процесс устанавливает зашифрованный канал за один обмен данными, при этом симметричный ключ никогда не передаётся напрямую.

Современная криптография использует механизмы инкапсуляции ключей (KEM) как более формальный и безопасный подход к обмену ключами по сравнению с прямым асимметричным шифрованием сеансового ключа. KEM позволяет одной стороне сгенерировать симметричный ключ и «инкапсулировать» его с помощью открытого ключа получателя так, чтобы только получатель мог выполнить декапсуляцию (восстановить ключ). Постквантовый стандарт NIST CRYSTALS-Kyber — это KEM, основанный на задачах теории решёток, а не на разложении целых чисел на множители или эллиптических кривых, поэтому он устойчив к атакам квантовых компьютеров.

До TLS 1.3 часто применялся обмен ключами RSA: клиент генерировал предварительный главный секрет, шифровал его открытым ключом RSA сервера и отправлял серверу. Проблема заключалась в том, что такой подход не обеспечивает прямую секретность. Если закрытый ключ сервера позднее будет скомпрометирован, все прошлые сеансы, зашифрованные таким способом, можно расшифровать. TLS 1.3 полностью исключает обмен ключами RSA (разрешён только ECDHE), чтобы обеспечить прямую секретность для всех соединений. Поэтому отключение TLS 1.0 и TLS 1.2 (в которых всё ещё допускается статический RSA) и обязательное использование TLS 1.3 повышают безопасность.

Общий секрет, полученный в результате обмена Диффи—Хеллмана, не используется непосредственно как ключ шифрования. Вместо этого он передаётся в функцию выведения ключа (KDF), которая создаёт фактические ключи шифрования и векторы инициализации. TLS 1.3 использует HKDF (функцию выведения ключа на основе HMAC) для получения отдельных ключей шифрования в каждом направлении. KDF увеличивают вычислительные затраты (что усложняет перебор), расширяют короткие секреты до требуемого количества байтов ключа и обеспечивают хорошие статистические свойства полученных ключей для использования в качестве симметричных.

PGP и его эквивалент с открытым исходным кодом OpenPGP используют гибридное шифрование для электронной почты. Когда Alice отправляет Bob зашифрованное письмо, PGP генерирует случайный симметричный сеансовый ключ, шифрует им текст письма (AES), шифрует сеансовый ключ открытым ключом RSA или ECC Bob и отправляет оба ключа вместе. Для подписанных писем PGP вычисляет хеш сообщения и подписывает хеш закрытым ключом Alice, обеспечивая неотрекаемость. Модель PGP, основанная на сети доверия (пользователи подписывают ключи друг друга), является альтернативой PKI на основе центра сертификации.

Обмен ключами Диффи—Хеллмана защищён от пассивных перехватчиков, но уязвим для активных атак «человек посередине» (MITM), если стороны не подтверждают подлинность друг друга. Злоумышленник может перехватить общедоступное значение Alice, подставить собственное и установить отдельные сеансы DH с Alice и Bob — при этом каждый из них будет считать, что общается с другим. Поэтому TLS сочетает обмен ключами DH с аутентификацией certificate: certificate сервера (подписанный доверенным CA) подтверждает личность сервера и не позволяет подменить открытый ключ во время установления соединения.

В этом уроке Вы узнали, что Диффи—Хеллман решает проблему обмена ключами, позволяя сторонам получить общий секрет через небезопасный канал; ECDHE (эфемерный) обеспечивает совершенную прямую секретность; гибридное шифрование сочетает асимметричный обмен ключами с симметричным шифрованием больших объёмов данных для повышения эффективности; а TLS 1.3 требует использования ECDHE для всех соединений. Далее мы рассмотрим центры сертификации и цепочки доверия.