Уроки DES: чему мы научились

56-битный ключ DES проектировался с учётом вычислительных возможностей 1977 года. Конструкторы рассчитывали, что он будет безопасен как минимум 10–15 лет. К 1997 году (через 20 лет) его можно было взломать за несколько месяцев, а к 1999 году — за несколько часов.

Вывод таков: при выборе длины криптографических ключей необходимо учитывать будущий рост вычислительных возможностей. Теперь NIST рекомендует, чтобы системы имели запас безопасности не менее 112 бит для сохранения безопасности до 2030 года и не менее 128 бит для долгосрочной безопасности.

Огюст Керкгоффс сформулировал в 1883 году принцип, согласно которому шифр должен оставаться безопасным, даже если всё в системе, кроме ключа, известно публике. DES стал первым шифром, стандартизированным правительством, при разработке которого этот принцип был явно учтён.

Публикация полной спецификации DES позволила криптографическому сообществу анализировать его на наличие слабостей в течение 20 лет. При открытом изучении шифр оказался более устойчивым, чем альтернативы, полагавшиеся на секретность алгоритма.

Когда DES впервые опубликовали, критерии проектирования S-блоков хранились NSA в секрете. Это породило теории заговора о лазейках. В 1990-х годах критерии раскрыли, и выяснилось, что S-блоки были специально разработаны для противодействия дифференциальному криптоанализу.

Этот урок прозрачности привёл к появлению современных конкурсов шифров, в правилах которых требуется публиковать полное обоснование конструкции. Участники конкурса AES опубликовали полные критерии проектирования и обоснования безопасности, что позволило провести тщательный публичный анализ.

Участие NSA в сокращении длины ключа DES со 128 до 56 бит и изменении S-блоков породило длительное недоверие к участию государства в разработке криптографических стандартов.

Это недоверие усилил скандал с лазейкой в Dual_EC_DRBG (2013): выяснилось, что NSA намеренно ослабило стандарт генератора случайных чисел NIST. Опыт с DES закрепил здоровый скептицизм по отношению к вмешательству государства в разработку шифров.

Один из уроков DES — важность гибкости алгоритмов: системы следует проектировать так, чтобы криптографические алгоритмы можно было легко заменять по мере их устаревания. Системы, жёстко настроенные на DES, требовали дорогостоящей миграции с полной заменой.

Современные криптографические протоколы, такие как TLS, согласовывают выбор алгоритмов в начале каждого соединения, позволяя обеим сторонам выбрать самые надёжные алгоритмы из поддерживаемых обеими сторонами. Благодаря этому новые алгоритмы можно внедрять без нарушения обратной совместимости.

NIST сделал вывод из опыта с DES, что закрытый правительственный процесс порождает недоверие и потенциально слабые алгоритмы. Конкурс AES (1997–2001) был полностью открытым: подать кандидатуру мог любой участник из любой страны.

Пятнадцать алгоритмов представили команды из US, Европы и других регионов. Пять финалистов в течение трёх лет открыто анализировались. Rijndael, разработанный бельгийскими криптографами, победил благодаря техническим достоинствам. Открытый процесс обеспечил широкое доверие к AES.

Конкурс AES непосредственно воплотил уроки DES: большие варианты длины ключа (128, 192 и 256 бит), размер блока 128 бит, устраняющий опасения по поводу атак типа «дней рождения», полные открытые критерии проектирования и многолетний открытый криптоанализ.

AES выдержал более 20 лет публичного криптоанализа, и практических атак на него не найдено. Наилучшие известные атаки на AES лишь незначительно эффективнее полного перебора, что подтверждает: открытый конкурс позволил создать надёжный шифр.

Миллионы аппаратных реализаций DES используются в банкоматах, платёжных терминалах, декодерах спутникового сигнала и системах промышленного управления. Замена оборудования намного дороже и медленнее обновления программного обеспечения.

Вывод таков: при создании аппаратных криптографических реализаций необходимо с самого начала предусматривать замену алгоритмов. Современные HSM и микросхемы смарт-карт поддерживают несколько алгоритмов, а их прошивку можно обновлять, добавляя новые стандарты.

После DES процесс стандартизации NIST стал прозрачнее и инклюзивнее. Сроки публичного обсуждения продлили, конструкции алгоритмов стали полностью публиковать до стандартизации, а международное участие начали активно поощрять.

Стандартизация постквантовой криптографии NIST (2016–2024) применила все эти уроки: открытый международный конкурс, несколько этапов публичного криптоанализа, прозрачные критерии отбора и одновременную стандартизацию нескольких алгоритмов для обеспечения разнообразия.

Современная криптография решила проблему длины ключа: AES-256 обеспечивает настолько большой запас безопасности, что атаки полным перебором в обозримом будущем невозможны. Оставшаяся проблема — управление ключами.

Генерация ключей (по-настоящему случайная), хранение ключей (защищённое от несанкционированного доступа), распределение ключей (безопасная передача нужным сторонам), ротация ключей (смена ключей без нарушения работы сервиса) и отзыв ключей (отзыв скомпрометированных ключей) — это нерешённые задачи, которые становятся причиной большинства криптографических сбоев в реальном мире.

Переход к постквантовой криптографии (PQC) — современный аналог перехода с DES на AES. Квантовые компьютеры угрожают RSA и ECC, подобно тому как экспоненциальный рост вычислительной мощности угрожал DES.

NIST завершил разработку первых стандартов PQC в 2024 году: CRYSTALS-Kyber (теперь ML-KEM) для инкапсуляции ключей и CRYSTALS-Dilithium (теперь ML-DSA) для цифровых подписей. Уроки DES, включая открытый конкурс и гибкость алгоритмов, непосредственно применили в процессе стандартизации PQC.

Проверьте, как вы усвоили уроки эпохи DES.

DES научил нас, что при выборе длины ключей необходимо учитывать закон Мура, публичный анализ делает шифры надёжнее, критерии проектирования S-блоков следует публиковать, а участие государства в стандартизации требует прозрачности.

Гибкость алгоритмов, открытые конкурсы (AES, PQC) и аппаратные средства, рассчитанные на замену алгоритмов, — прямые ответы на наследие DES. Самая сложная проблема современной криптографии — не длина ключа, а управление ключами.