เหตุใดความยาวกุญแจเข้ารหัสลับจึงสำคัญ

ในวิทยาการเข้ารหัสลับ พารามิเตอร์ความปลอดภัยแลมบ์ดาแสดงระดับความปลอดภัยเป้าหมาย พารามิเตอร์นี้กำหนดความยาวคีย์ ขนาดผลลัพธ์แฮช และพารามิเตอร์อื่น ๆ ทั่วทั้งระบบการเข้ารหัสลับ ระบบที่มีแลมบ์ดา = 128 หมายความว่าผู้โจมตีต้องใช้การดำเนินการประมาณ 2^128 ครั้งจึงจะทำลายระบบได้ พารามิเตอร์ทั้งหมดจะถูกเลือกให้สอดคล้องกัน เพื่อให้องค์ประกอบที่อ่อนแอที่สุดยังมีความปลอดภัยอย่างน้อยระดับนี้

ครั้งหนึ่งเคยถือว่าความปลอดภัยระดับ 80 บิตเพียงพอสำหรับแอปพลิเคชันที่ไม่จัดการข้อมูลสำคัญ การทำลายระดับนี้ต้องใช้การดำเนินการประมาณ 2^80 ครั้ง หรือราว 10^24 ครั้ง ด้วยคลัสเตอร์ GPU สมัยใหม่และอัลกอริทึมที่ปรับให้เหมาะสม ระดับนี้กำลังเข้าใกล้ความเป็นไปได้สำหรับผู้โจมตีที่มีทรัพยากรสูง NIST ยกเลิกการรับรองความปลอดภัยระดับ 80 บิตในปี 2010 และไม่แนะนำระดับนี้สำหรับการนำระบบการเข้ารหัสลับใหม่ใด ๆ ไปใช้งานอีกต่อไป ระบบเดิมที่ใช้พารามิเตอร์ระดับ 80 บิตควรได้รับการอัปเกรด

ความปลอดภัยระดับ 112 บิตที่ได้จาก DES สามชั้น ให้การป้องกันในระดับปานกลาง และเคยเป็นคำแนะนำขั้นต่ำของ NIST สำหรับการเข้ารหัสแบบสมมาตรหลังจากยกเลิกการใช้ DES การเข้ารหัสแบบ DES สามชั้นจะใช้ DES สามครั้งด้วยคีย์ที่แตกต่างกัน ทำให้มีระดับความปลอดภัยที่มีผลจริง 112 บิต แม้คีย์จะมีขนาด 168 บิต NIST วางแผนห้ามใช้ DES สามชั้นในงานของรัฐบาลกลางภายในปี 2024 เนื่องจากกำลังประมวลผลเพิ่มขึ้นอย่างต่อเนื่องและเออีเอสได้เข้ามาแทนที่อย่างสมบูรณ์

เออีเอส-128 ให้ความปลอดภัยระดับ 128 บิต และเป็นมาตรฐานปัจจุบันสำหรับการเข้ารหัสแบบสมมาตร ยังไม่มีการโจมตีที่ใช้งานได้จริงต่อเออีเอส-128 ด้วยคอมพิวเตอร์แบบดั้งเดิม NIST ถือว่าความปลอดภัยระดับ 128 บิตเพียงพอสำหรับการป้องกันระยะยาวอย่างน้อยจนถึงปี 2030 โปรโตคอลการเข้ารหัสลับส่วนใหญ่ รวมถึง TLS 1.3, WireGuard และซิกแนล ใช้คีย์สมมาตรระดับ 128 บิตขึ้นไปเป็นค่าเริ่มต้น

AES-256 ให้ความปลอดภัยระดับ 256 บิตต่อการโจมตีแบบดั้งเดิม และให้ความปลอดภัยที่ใช้งานได้จริงระดับ 128 บิตต่ออัลกอริทึมควอนตัมของโกรเวอร์ การใช้คีย์สมมาตรขนาด 256 บิตทำให้มั่นใจได้ว่า แม้คอมพิวเตอร์ควอนตัมขนาดใหญ่จะพร้อมใช้งาน การเข้ารหัสก็ยังคงปลอดภัยที่ระดับ 128 บิต นี่คือเหตุผลที่แอปพลิเคชันของภาครัฐและกองทัพซึ่งต้องการการปกป้องข้อมูลระยะยาวกำลังเปลี่ยนมาใช้การเข้ารหัสแบบสมมาตรขนาด 256 บิตตั้งแต่ตอนนี้

ความปลอดภัยของ RSA อาศัยความยากของการแยกตัวประกอบจำนวนเต็มขนาดใหญ่ การแยกตัวประกอบเป็นปัญหาทางคณิตศาสตร์ที่ง่ายกว่าการไล่ลองคีย์สมมาตรครบทุกค่า ดังนั้น RSA จึงต้องใช้คีย์ที่มีขนาดใหญ่กว่ามากเพื่อให้ได้ความปลอดภัยในระดับเดียวกัน คีย์ RSA ขนาด 2048 บิตให้ความปลอดภัยเพียงประมาณ 112 บิต ส่วนคีย์ RSA ขนาด 3072 บิตให้ความปลอดภัยประมาณ 128 บิต การจะได้ความปลอดภัยเทียบเท่า AES-256 ต้องใช้คีย์ RSA ขนาดประมาณ 15,360 บิต

การเข้ารหัสเส้นโค้งวงรีให้ความปลอดภัยเทียบเท่า RSA โดยใช้คีย์ที่มีขนาดเล็กกว่ามาก อาศัยความยากทางคณิตศาสตร์ของปัญหาลอการิทึมไม่ต่อเนื่องบนเส้นโค้งวงรี คีย์ ECC ขนาด 256 บิต เช่น P-256 หรือ Curve25519 ให้ความปลอดภัยประมาณ 128 บิต ซึ่งเทียบเท่ากับคีย์ RSA ขนาด 3072 บิต คีย์ที่เล็กกว่าหมายถึงการคำนวณที่เร็วขึ้นและข้อความในขั้นตอนจับมือ TLS ที่มีขนาดเล็กลง ทำให้ ECC เหมาะสมกว่าสำหรับแอปพลิเคชันที่ไวต่อประสิทธิภาพ

เอกสารเผยแพร่พิเศษของ NIST หมายเลข 800-57 เป็นแนวทางอ้างอิงหลักสำหรับการจัดการคีย์เข้ารหัส โดยระบุว่าอัลกอริทึมและขนาดคีย์ใดได้รับอนุมัติในแต่ละระดับความปลอดภัย ควรใช้คีย์นานเท่าใดก่อนเปลี่ยนคีย์ ตลอดจนข้อกำหนดสำหรับการจัดเก็บและทำลายคีย์ การปฏิบัติตาม SP 800-57 ทำให้มั่นใจได้ว่าตัวเลือกด้านการเข้ารหัสสอดคล้องกับมาตรฐานของรัฐบาลกลางและสามารถชี้แจงเหตุผลได้ในการตรวจสอบการปฏิบัติตามข้อกำหนด

การเปรียบเทียบที่พบบ่อยที่สุดคือ คีย์สมมาตรขนาด 128 บิต (AES-128) ให้ความปลอดภัยใกล้เคียงกับ RSA ขนาด 3072 บิตหรือ ECC ขนาด 256 บิต เนื่องจากคีย์สมมาตรได้รับการป้องกันจากการไล่ลองทุกค่าด้วยต้นทุนแบบเอ็กซ์โพเนนเชียล ขณะที่คีย์อสมมาตรได้รับการป้องกันด้วยอัลกอริทึมทางคณิตศาสตร์ที่มีต้นทุนต่ำกว่าแบบเอ็กซ์โพเนนเชียล ความแตกต่างของขนาดคีย์จึงสะท้อนความยากที่ไม่เท่ากันของปัญหาทางคณิตศาสตร์ที่อยู่เบื้องหลัง

ความปลอดภัยระดับบิตให้ข้อมูลที่มีประโยชน์มากกว่าขนาดคีย์ดิบ การกล่าวว่าระบบมีความปลอดภัยระดับ 128 บิตหมายความว่า การทำลายระบบต้องใช้การดำเนินการประมาณ 2^128 ครั้ง ไม่ว่าจะใช้อัลกอริทึมใด คีย์ RSA ขนาด 2048 บิตมีความปลอดภัยระดับ 112 บิต ส่วนคีย์ AES ขนาด 128 บิตมีความปลอดภัยระดับ 128 บิต การเปรียบเทียบขนาดคีย์ระหว่างอัลกอริทึมโดยไม่พิจารณาความปลอดภัยระดับบิตอาจนำไปสู่ข้อสรุปที่ผิดเกี่ยวกับความแข็งแกร่งสัมพัทธ์

ข้อมูลที่เข้ารหัสในวันนี้ต้องยังคงปลอดภัยตลอดช่วงอายุของระดับชั้นความลับ ข้อมูลลับของรัฐบาลอาจต้องเก็บเป็นความลับต่อไปอีกหลายทศวรรษ การเลือกความยาวคีย์โดยพิจารณาเฉพาะความสามารถในการคำนวณในปัจจุบันจึงไม่เพียงพอ ควรกำหนดขนาดคีย์ให้ต้านทานการโจมตีจากการพัฒนาฮาร์ดแวร์ในอนาคตและจากคอมพิวเตอร์ควอนตัมที่อาจมีขึ้น การใช้คีย์ที่ยาวเกินความจำเป็นมีต้นทุนต่ำ แต่ช่วยเพิ่มการรองรับความปลอดภัยในอนาคตได้อย่างมาก

พารามิเตอร์ความปลอดภัย λ ใช้วัดระดับความปลอดภัยเป้าหมายเป็นบิต ระดับ 80 บิตเลิกใช้แล้ว ระดับ 112 บิตเป็นขั้นต่ำ ระดับ 128 บิตเป็นมาตรฐาน และระดับ 256 บิตให้ระยะเผื่อสำหรับยุคหลังควอนตัม RSA ต้องใช้คีย์ที่มีขนาดใหญ่กว่าอัลกอริทึมสมมาตรมากเพื่อให้ได้ความปลอดภัยเทียบเท่ากัน โดย RSA ขนาด 3072 บิตเทียบเท่ากับ AES-128 ส่วน ECC ให้ความปลอดภัยเทียบเท่า RSA ด้วยคีย์ที่มีขนาดเล็กกว่ามาก เมื่อเปรียบเทียบอัลกอริทึม ความปลอดภัยระดับบิตมีความหมายมากกว่าขนาดคีย์ดิบ