บทเรียนจาก DES: สิ่งที่เราเรียนรู้

คีย์ขนาด 56 บิตของ DES ได้รับการออกแบบโดยคำนึงถึงกำลังประมวลผลในปี 1977 ผู้ออกแบบคาดว่าจะมีความปลอดภัยอย่างน้อย 10-15 ปี แต่ในปี 1997 (20 ปีต่อมา) ก็สามารถถอดรหัสได้ภายในไม่กี่เดือน และในปี 1999 ภายในไม่กี่ชั่วโมง

บทเรียนคือ ความยาวคีย์เข้ารหัสต้องคำนึงถึงความก้าวหน้าด้านการประมวลผลในอนาคต ปัจจุบัน NIST แนะนำให้ระบบมีระดับความปลอดภัยเผื่ออย่างน้อย 112 บิต เพื่อให้ยังปลอดภัยไปจนถึงปี 2030 และมีอย่างน้อย 128 บิตสำหรับความปลอดภัยระยะยาว

ออกุสต์ เคิร์กฮอฟส์ระบุไว้ในปี 1883 ว่า รหัสลับควรปลอดภัยแม้ข้อมูลทุกอย่างเกี่ยวกับระบบ ยกเว้นคีย์ จะเป็นความรู้สาธารณะ DES เป็นรหัสลับที่รัฐบาลกำหนดเป็นมาตรฐานตัวแรกซึ่งออกแบบโดยคำนึงถึงหลักการนี้อย่างชัดเจน

การเผยแพร่ข้อกำหนดทั้งหมดของ DES ทำให้ชุมชนวิทยาการเข้ารหัสวิเคราะห์จุดอ่อนได้เป็นเวลานานถึง 20 ปี รหัสลับนี้พิสูจน์แล้วว่าทนทานต่อการตรวจสอบโดยสาธารณะมากกว่าทางเลือกที่อาศัยการปกปิดอัลกอริทึม

เมื่อมีการเผยแพร่ DES ครั้งแรก NSA ได้เก็บเกณฑ์การออกแบบ S-box ไว้เป็นความลับ เรื่องนี้ทำให้เกิดทฤษฎีสมคบคิดเกี่ยวกับประตูหลัง ในช่วงทศวรรษ 1990 มีการเปิดเผยเกณฑ์ดังกล่าว ซึ่งแสดงให้เห็นว่า S-boxes ได้รับการออกแบบมาโดยเฉพาะเพื่อรับมือกับการวิเคราะห์การเข้ารหัสเชิงผลต่าง

บทเรียนด้านความโปร่งใสนี้นำไปสู่การแข่งขันออกแบบรหัสลับสมัยใหม่ที่กำหนดให้ต้องเผยแพร่เหตุผลเบื้องหลังการออกแบบทั้งหมด ผู้สมัคร AES เผยแพร่เกณฑ์การออกแบบและเหตุผลด้านความปลอดภัยอย่างครบถ้วน ทำให้สามารถวิเคราะห์โดยสาธารณะได้อย่างละเอียด

การมีส่วนร่วมของ NSA ในการลดความยาวคีย์ของ DES จาก 128 เหลือ 56 บิต และการแก้ไข S-boxes ได้สร้างความไม่ไว้วางใจเชิงสถาบันต่อการมีส่วนร่วมของรัฐบาลในการกำหนดมาตรฐานการเข้ารหัสมาจนถึงปัจจุบัน

ความไม่ไว้วางใจนี้เพิ่มขึ้นจากเรื่องอื้อฉาวเกี่ยวกับประตูหลังของ Dual_EC_DRBG ในปี 2013 ซึ่งพบว่า NSA จงใจทำให้มาตรฐานตัวสร้างเลขสุ่มของ NIST อ่อนแอลง ประสบการณ์จาก DES ทำให้เกิดแนวทางการตั้งข้อสงสัยอย่างมีเหตุผลต่อการแทรกแซงรหัสลับโดยรัฐบาล

บทเรียนหนึ่งจาก DES คือความสำคัญของความคล่องตัวของอัลกอริทึม ระบบควรได้รับการออกแบบให้เปลี่ยนอัลกอริทึมการเข้ารหัสได้ง่ายเมื่ออัลกอริทึมเหล่านั้นล้าสมัย ระบบที่ฝัง DES ไว้ตายตัวต้องย้ายระบบด้วยการรื้อเปลี่ยนทั้งหมด ซึ่งมีค่าใช้จ่ายสูง

โพรโทคอลการเข้ารหัสสมัยใหม่อย่าง TLS จะเจรจาเลือกอัลกอริทึมเมื่อเริ่มต้นการเชื่อมต่อแต่ละครั้ง ทำให้ทั้งสองฝ่ายตกลงใช้อัลกอริทึมที่แข็งแกร่งที่สุดจากบรรดาอัลกอริทึมที่ทั้งคู่รองรับได้ วิธีนี้ทำให้สามารถนำอัลกอริทึมใหม่มาใช้งานได้โดยไม่ทำลายความเข้ากันได้กับระบบรุ่นก่อน

NIST ได้เรียนรู้จากประสบการณ์ของ DES ว่ากระบวนการแบบปิดของรัฐบาลก่อให้เกิดความไม่ไว้วางใจและอัลกอริทึมที่อาจอ่อนแอ การแข่งขัน AES (1997-2001) เปิดกว้างอย่างเต็มที่ องค์กรใดก็ได้จากทั่วโลกสามารถส่งอัลกอริทึมเข้าประกวด

มีการส่งอัลกอริทึมเข้าประกวด 15 รายการจากทีมใน US ยุโรป และภูมิภาคอื่น ๆ ผู้เข้ารอบสุดท้าย 5 รายได้รับการวิเคราะห์โดยสาธารณะเป็นเวลา 3 ปี Rijndael ซึ่งพัฒนาโดยนักวิทยาการเข้ารหัสชาวเบลเยียม เป็นผู้ชนะด้วยคุณสมบัติทางเทคนิค กระบวนการแบบเปิดนี้สร้างความเชื่อมั่นอย่างกว้างขวางต่อ AES

การแข่งขัน AES นำบทเรียนจาก DES มาใช้โดยตรง ได้แก่ ตัวเลือกคีย์ขนาดใหญ่ (128, 192, 256 บิต) ขนาดบล็อก 128 บิตเพื่อจัดการกับข้อกังวลเรื่องการโจมตีแบบวันเกิด การเผยแพร่เกณฑ์การออกแบบทั้งหมดต่อสาธารณะ และการวิเคราะห์การเข้ารหัสแบบเปิดเผยเป็นเวลาหลายปี

AES ผ่านการวิเคราะห์การเข้ารหัสโดยสาธารณะมานานกว่า 20 ปีโดยไม่มีการโจมตีที่ใช้ได้จริง การโจมตี AES ที่เป็นที่รู้จักดีที่สุดมีประสิทธิภาพดีกว่าการลองทุกคีย์เพียงเล็กน้อย ยืนยันว่ากระบวนการแข่งขันแบบเปิดสามารถสร้างรหัสลับที่แข็งแกร่งได้

มีการใช้งาน DES บนฮาร์ดแวร์หลายล้านชุดในตู้เอทีเอ็ม เครื่องรับชำระเงิน เครื่องถอดรหัสดาวเทียม และระบบควบคุมอุตสาหกรรม การเปลี่ยนฮาร์ดแวร์มีค่าใช้จ่ายสูงกว่าและใช้เวลานานกว่าการปรับปรุงซอฟต์แวร์มาก

บทเรียนคือ การใช้งานการเข้ารหัสบนฮาร์ดแวร์ต้องวางแผนสำหรับการเปลี่ยนอัลกอริทึมตั้งแต่เริ่มต้น HSM และชิปสมาร์ตการ์ดสมัยใหม่ได้รับการออกแบบให้รองรับอัลกอริทึมหลายแบบ และสามารถอัปเดตผ่านเฟิร์มแวร์เพื่อเพิ่มมาตรฐานใหม่ได้

หลังยุค DES กระบวนการกำหนดมาตรฐานของ NIST มีความโปร่งใสและเปิดกว้างมากขึ้น มีการขยายช่วงเวลารับฟังความคิดเห็นสาธารณะ เผยแพร่การออกแบบอัลกอริทึมทั้งหมดก่อนกำหนดมาตรฐาน และส่งเสริมการมีส่วนร่วมจากนานาชาติอย่างจริงจัง

การกำหนดมาตรฐานการเข้ารหัสหลังยุคควอนตัมของ NIST (2016-2024) นำบทเรียนเหล่านี้มาใช้ทั้งหมด ได้แก่ การแข่งขันระดับนานาชาติแบบเปิด การวิเคราะห์การเข้ารหัสโดยสาธารณะหลายรอบ เกณฑ์การคัดเลือกที่โปร่งใส และการกำหนดมาตรฐานอัลกอริทึมหลายรายการพร้อมกันเพื่อความหลากหลาย

การเข้ารหัสสมัยใหม่แก้ปัญหาเรื่องความยาวคีย์ได้แล้ว AES-256 มีระดับความปลอดภัยเผื่อสูงมากจนการโจมตีแบบลองทุกคีย์เป็นสิ่งที่ไม่อาจทำได้ในอนาคตอันใกล้ ความท้าทายที่เหลืออยู่คือการจัดการคีย์

การสร้างคีย์ (สุ่มอย่างแท้จริง) การจัดเก็บคีย์ (ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต) การแจกจ่ายคีย์ (แบ่งปันกับฝ่ายที่ถูกต้องอย่างปลอดภัย) การหมุนเวียนคีย์ (เปลี่ยนคีย์โดยไม่รบกวนบริการ) และการเพิกถอนคีย์ (เพิกถอนคีย์ที่ถูกบุกรุก) ล้วนเป็นปัญหาที่ยังแก้ไม่ตกและเป็นสาเหตุของความล้มเหลวด้านการเข้ารหัสในโลกจริงส่วนใหญ่

การเปลี่ยนผ่านสู่การเข้ารหัสหลังยุคควอนตัม (PQC) เป็นสิ่งเทียบเท่าสมัยใหม่ของการเปลี่ยนผ่านจาก DES ไปเป็น AES คอมพิวเตอร์ควอนตัมคุกคาม RSA และ ECC เช่นเดียวกับที่การเพิ่มขึ้นแบบทวีคูณของประสิทธิภาพฮาร์ดแวร์เคยคุกคาม DES

NIST สรุปมาตรฐาน PQC ชุดแรกในปี 2024 ได้แก่ CRYSTALS-Kyber (ปัจจุบันคือ ML-KEM) สำหรับการห่อหุ้มคีย์ และ CRYSTALS-Dilithium (ปัจจุบันคือ ML-DSA) สำหรับลายเซ็น บทเรียนจาก DES รวมถึงการแข่งขันแบบเปิดและความคล่องตัวของอัลกอริทึม ถูกนำมาใช้โดยตรงในกระบวนการกำหนดมาตรฐาน PQC

ทดสอบความเข้าใจเกี่ยวกับบทเรียนที่ได้จากยุค DES

DES สอนเราว่าความยาวคีย์ต้องคำนึงถึงกฎของมัวร์ การตรวจสอบโดยสาธารณะทำให้รหัสลับแข็งแกร่งขึ้น เกณฑ์การออกแบบ S-box ควรได้รับการเผยแพร่ และการมีส่วนร่วมของรัฐบาลในการกำหนดมาตรฐานต้องมีความโปร่งใส

ความคล่องตัวของอัลกอริทึม การแข่งขันแบบเปิด (AES, PQC) และฮาร์ดแวร์ที่ออกแบบให้เปลี่ยนอัลกอริทึมได้ ล้วนเป็นการตอบสนองโดยตรงต่อมรดกของ DES ปัญหาที่ยากที่สุดในการเข้ารหัสสมัยใหม่ไม่ใช่ความยาวคีย์ แต่เป็นการจัดการคีย์