Юлий Цезарь не доверял гонцам. Поэтому, отправляя письма своим генералам, он заменял каждую букву A в своём сообщении на D, каждую B на E, и т.д. Только тот, кто знал правило «сдвига на 3» мог расшифровать его послание.

Итак, приступим.

Зашифрование и расшифрование

Информация, которая может быть прочитана, осмыслена и понята без каких-либо специальных мер, называется открытым текстом (plaintext, clear text). Метод искажения открытого текста таким образом, чтобы скрыть его суть, называется зашифрованием ¹ (encryption или enciphering). Зашифрование открытого текста приводит к его превращению в непонятную абракадабру, именуемую шифртекстом (ciphertext). Шифрование позволяет скрыть информацию от тех, для кого она не предназначается, несмотря на то, что они могут видеть сам шифртекст. Противоположный процесс по обращению шифртекста в его исходный вид называется расшифрованием (decryption или deciphering) ².

Рисунок 1 иллюстрирует это.

Что такое криптография

Криптография – это наука об использовании математики для зашифрования и расшифрования данных. Криптография позволяет хранить важную информацию или передавать её по ненадёжным каналам связи (таким как Интернет) так, что она не может быть прочитана никем, кроме легитимного получателя.

В то время как криптография – это наука о защите данных, криптоанализ – это наука об анализировании и взломе криптографированных коммуникаций. Классический криптоанализ предствляет собой смесь аналитики, математических и статистических расчётов, а также спокойствия, решительности и удачи. Криптоаналитиков также называют взломщиками.

Криптология объединяет криптографию и криптоанализ.

Стеганография является смежной дисциплиной. Вместо того, чтобы делать сообщения нечитаемыми, она использует техники сокрытия самих сообщений. Стеганография – это не криптография, это лишь частный случай кодирования, чья надёжность опирается на секретность механизма сокрытия сообщений. Скажем, если вы решите спрятать сообщение А, используя для этого первые буквы первых слов в каждом предложении сообщения Б, это будет секретом, пока кто-то не обнаружит, где искать А, и тогда механизм более не будет предоставлять никакой защиты.

Стойкая криптография

«В мире различают два типа критографии: криптография, которая помешает вашей младшей сестре читать ваши файлы, и криптография, которая помешает читать ваши файлы правительствам крупных стран. Эта книга посвящена криптографии вторго типа»

– Брюс Шнайер, «Прикладная криптография: протоколы, алгоритмы, исходные тексты на языке С»

PGP основан на том же типе криптографии.

Криптография может быть стойкой, а может быть слабой, как описано в приведённом примере. Криптографическая стойкость измеряется тем, сколько понадобится времени и ресурсов, чтобы из шифртекста восстановить исходный открытый текст. Результатом стойкой криптографии является шифртекст, который исключительно сложно взломать без обладания определёнными инструментами по дешифрованию. Но насколько сложно? Используя весь вычислительный потенциал современной цивилизации – даже миллиард компьютеров, выполняющих миллиард операций в секунду – невозможно дешифровать результат стойкой криптографии до конца существования Вселенной.

Кто-то может решить, что стойкая криптография сможет устоять даже против самого серьёзного криптоаналитика. Но кто об этом говорит? Никем не доказано, что лучшее шифрование, доступное сегодня, сможет выстоять против вычислительных возможностей компьютеров, доступных завтра. Тем не менее, стойкая криптография, задействованная в PGP, – лучшая на сегодняшний день. Бдительность и консерватизм сберегут вас лучше заявлений о совершенной защите.

Как действует криптография

Криптографический алгоритм, или шифр, – это математическая формула, описывающая процессы зашифрования и расшифрования. Чтобы зашифровать открытый текст, криптоалгоритм работает в сочетании с ключом – словом, числом или фразой. Одно и то же сообщение одним алгоритмом, но разными ключами будет преобразовываться в разный шифртекст. Защищённость шифртекста целиком зависит от двух вещей: стойкости криптоалгоритма и секретности ключа.

Криптоалгоритм плюс всевозможные ключи и протоколы, приводящие их в действие, составляют криптосистему. PGP – это криптосистема.

Обычная криптография

В традиционной криптографии, также называемой шифрованием тайным или симметричным ключом, один и тот же ключ используется как для зашифрования, так и для расшифрования данных. Data Encryption Standart (DES) – пример симметричного алгоритма, широко применявшегося на Западе с 70-х годов в банковской и коммерческой сферах. В настоящее время его сменяет Advanced Encryption Standard (AES). Рисунок 2 иллюстрирует процесс симметричного шифрования.

Шифр Цезаря

Крайне простой пример симметричного шифрования – это подстановочный шифр. Подстановочный шифр заменяет каждую часть информации другой информацией. Чаще всего это достигается смещением букв алфавита. Пара примеров – это Секретное кольцо-декодер капитана Миднайта, которое могло быть у вас в детстве, и шифр Юлия Цезаря. В обоих случаях алгоритм состоит в том, чтобы сдвинуть алфавит, а ключ – это число букв, на которое произведено смещение.

Допустим, если мы решим зашифровать слово «SECRET», используя ключ Цезаря, равный 3, то сдвинем латинский алфавит так, чтобы он начинался с третьей буквы (D).

Итак, беря исходный вариант

ABCDEFGHIJKLMNOPQRSTUVWXYZ,

и смещая всё на 3, получаем

DEFGHIJKLMNOPQRSTUVWXYZABC,

где D=A, E=B, F=C, и т.д.

Используя эту схему, открытый текст «SECRET» превращается в «VHFUHW». Чтобы кто-то мог восстановить исходный текст, вы сообщаете ему, что ключ – 3.

Очевидно, что по сегодняшним меркам это чрезвычайно слабый алгоритм, тем не менее, даже он помогал Цезарю! И прекрасно демонстрирует, как действует симметричное шифрование.

Симметричное шифрование и управление ключами

Симметричное шифрование имеет ряд преимуществ. Первое – скорость криптографических операций. Оно особенно полезно для шифрования данных, которые остаются у вас. Однако, симметричное шифрование, применяемое само по себе как средство защиты пересылаемых ценных данных, может оказаться весьма затратным просто из-за сложности передачи тайного ключа.

Вспомните персонажа из вашего любимого шпионского фильма: человек с запечатанным кейсом, пристёгнутым наручником к руке. Как вы считаете, что в этом кейсе? Едва ли в нём коды запуска ракет / формула химического оружия / планы вторжения, как таковые. Вероятнее, там – ключ, который расшифрует секретную информацию.

Для установления криптографированной связи с помощью симметричного алгоритма, отправителю и получателю нужно предварительно согласовать ключ и держать его в тайне. Если они находятся в географически удалённых местах, то должны прибегнуть к помощи доверенного посредника, например, надёжного курьера, чтобы избежать компрометации ключа в ходе транспортировки. Злоумышленник, перехвативший ключ в пути, сможет позднее читать, изменять и подделывать любую информацию, зашифрованную или заверенную этим ключом. Глобальная проблема симметричных шифров (от Кольца-декодера капитана Миднайта до DES и AES) состоит в сложности управления ключами: как вы доставите ключ получателю без риска, что его перехватят?

Криптография с открытым ключом

Проблема управления ключами была решена криптографией с открытым, или асимметричным, ключом, концепция которой была предложена Уитфилдом Диффи и Мартином Хеллманом в 1975 году ³.

Криптография с открытым ключом – это асимметричная схема, в которой применяются пары ключей: открытый (public key), который зашифровывает данные, и соответствующий ему закрытый (private key), который их расшифровывает. Вы распространяете свой открытый ключ по всему свету, в то время как закрытый держите в тайне. Любой человек с копией вашего открытого ключа может зашифровать информацию, которую только вы сможете прочитать. Кто угодно. Даже люди, с которыми вы прежде никогда не встречались.

Хотя ключевая пара математически связана, вычисление закрытого ключа из открытого в практическом плане невыполнимо. Каждый, у кого есть ваш открытый ключ, сможет зашифровать данные, но не сможет их расшифровать. Только человек, обладающим соответствующим закрытым ключом может расшифровать информацию.

Главное достижение асимметричного шифрования в том, что оно позволяет людям, не имеющим существующей договорённости о безопасности, обмениваться секретными сообщениями. Необходимость отправителю и получателю согласовывать тайный ключ по специальному защищённому каналу полностью отпала. Все коммуникации затрагивают только открытые ключи, тогда как закрытые хранятся в безопасности. Примерами криптосистем с открытым ключом являются Elgamal (названная в честь автора, Тахира Эльгамаля), RSA (названная в честь изобретателей: Рона Ривеста, Ади Шамира и Леонарда Адлмана), Diffie-Hellman (названная, правильно, в честь её создателей) и DSA, Digital Signature Algorithm (изобретённый Дэвидом Кравицом).

Поскольку симметричная криптография была некогда единственным способом пересылки секретной информации, цена надёжных каналов для обмена ключами ограничивала её применение только узким кругом организаций, которые могли её себе позволить, в частности, правительствами и крупными банковскими учреждениями (или маленькими детьми с Секретными кольцами-декодерами). Появление шифрования с открытым ключом стало технологической революцией, предоставившей стойкую криптографию массам. Помните курьера с кейсом, пристёгнутым к руке? Шифрование с открытым ключом отправило его на покой (к его же благу, вероятно).

Как действует PGP

PGP объединяет в себе лучшие стороны симметричной криптографии и криптографии с открытым ключом. PGP – это гибридная криптосистема.

Когда пользователь зашифровывает данные с помощью PGP, программа для начала их сжимает. Сжатие сокращает время модемной передачи и экономит дисковое пространство, а также, что более важно, повышает криптографическую стойкость. Большинство криптоаналитических техник основано на статистическом анализе шифртекста в поисках признаков открытого текста. Сжатие уменьшает число таких признаков (снижает избыточность данных), чем существенно усиливает сопротивляемость криптоанализу. (Слишком короткие файлы и файлы, которые не сжимаются достаточно хорошо, не сжимаются вовсе.)

Затем, PGP создаёт сеансовый ключ, т.е. одноразовый симметричный ключ, применяемый только для одной операции. Этот сеансовый ключ представляет собой псевдослучайное число, сгенерированное от случайных движений мышки и нажатий клавиш. Сеансовый ключ работает на основе очень надёжного, быстрого симметричного алгоритма, которым PGP зашифровывает сжатое сообщение; в результате получается шифртекст. Как только данные зашифрованы, сеансовый ключ также шифруется, но уже открытым ключом получателя. Этот зашифрованный открытым ключом сеансовый ключ прикрепляется к шифртексту и передаётся вместе с ним получателю.

Расшифрование происходит в обратном порядке. PGP получателя использует его закрытый ключ для извлечения сеансового ключа из сообщения, которым шифртекст исходного послания восстанавливается в открытый текст.

Таким образом, комбинация этих двух криптографических методов объединяет удобство шифрования открытым ключом со скоростью работы симметричного алгоритма. Симметричное шифрование в тысячи раз быстрее асимметричного. Шифрование открытым ключом, в свою очередь, предоставляет простое решение проблемы управления ключами и передачи данных. Используемые совместно, скорость исполнения и управление ключами взаимно дополняются и улучшаются без какого-либо ущерба безопасности.

Ключи

Ключ – это некоторая величина, которая, работая в сочетании с криптоалгоритмом, производит определённый шифртекст. Ключи, как правило, – это очень-очень-очень большие числа. Размер ключа измеряется в битах; число, представляющее 2048-битовый ключ, чертовски большое. В асимметричной криптографии, чем больше ключ, тем защищённей полученный шифртекст.

Однако, размер асимметричного ключа и размер симметричного тайного ключа, абсолютно несопоставимы. Симметричный 80-битовый ключ эквивалентен в стойкости 1024-битовому открытому ключу. Симметричный 128-битовый ключ примерно равен 3000-битовому открытому. Опять же, больше ключ – выше надёжность, но механизмы, лежащие в основе каждого из типов криптографии совершенно различны, и сравнивать их ключи в абсолютных величинах недопустимо.

Несмотря на то, что ключевая пара математически связана, практически невозможно из открытого вычислить закрытый; в то же время, вычисление закрытого ключа всегда остаётся возможным, если располагать достаточным временем и вычислительными мощностями. Вот почему критически важно создавать ключ верной длины: достаточно крупный, чтобы был надёжным, но достаточно малый, чтобы оставался быстрым в работе. Для этого подумайте и оцените, кто может попытаться «прочитать ваши файлы», насколько они могут быть упорны, скольким временем располагают, каковы их ресурсы.

Более крупные ключи будут криптографически защищены больший промежуток времени. Если то, что вы хотите зашифровать, должно храниться в тайне многие-многие годы, вам, возможно, следует воспользоваться очень большим ключом. Кто знает, сколько потребуется времени, чтобы вскрыть ваш ключ, используя завтрашние более быстрые, более эффективные компьютеры? Было время, когда 56-битовый симметричный ключ DES считался крайне надёжным.

По современным представлениям 128-битовые симметричные ключи совершенно надёжны и не подвержены взлому, по крайней мере до тех пор, пока кто-то не построит функционирующий квантовый суперкомпьютер. 256-битовые ключи по оценкам криптологов не могут быть взломаны даже теоретически и даже на гипотетическом квантовом компьютере. Именно по этой причине алгоритм AES поддерживает ключи длиной 128 и 256 бит. Однако история учит нас тому, что все эти заверения спустя пару десятилетий могут оказаться пустой болтовнёй.

PGP хранит ключи в зашифрованном виде. Они содержатся в двух файлах на жёстком диске; один файл для открытых ключей, другой – для закрытых. Эти файлы называются связками (keyrings). Используя PGP, вы, время от времени, будете добавлять открытые ключи своих корреспондентов на связку открытых. Ваши закрытые ключи находятся на связке закрытых. Если вы потеряете (удалите) связку закрытых ключей, то уже никаким образом не сможете расшифровать информацию, зашифрованную для ключей с этой связки. Следовательно, сохранение пары резервных копий этого файла является полезной практикой.

Цифровые подписи

Дополнительное преимущество от использования криптосистем с открытым ключом состоит в том, что они предоставляют возможность создания электронных цифровых подписей (ЭЦП). Цифровая подпись позволяет получателю сообщения убедиться в аутентичности источника информации (иными словами, в том, кто является автором информации), а также проверить, была ли информация изменена (искажена), пока находилась в пути. Таким образом, цифровая подпись является средством авторизации и контроля целостности данных. Кроме того, ЭЦП несёт принцип неотречения, который означает, что отправитель не может отказаться от от факта своего авторства подписанной им информации. Эти возможности столь же важны для криптографии, как и секретность.

ЭЦП служит той же цели, что печать или собственноручный автограф на бумажном листе. Однако вследствие своей цифровой природы ЭЦП превосходит ручную подпись и печать в ряде очень важных аспектов. Цифровая подпись не только подтверждает личность подписавшего, но также помогает определить, было ли содержание подписанной информации изменено. Собственноручная подпись и печать не обладают подобным качеством, кроме того, их гораздо легче подделать. В то же время, ЭЦП аналогична физической печати в том плане, что, как печать может быть проставлена любым человеком, получившим в распоряжение печатку, так и цифровая подпись может быть сгенерирована кем угодно с копией нужного закрытого ключа ⁴.

Некоторые люди используют цифровую подпись гораздо чаще шифрования. Например, вы можете не волноваться, если кто-то узнает, что вы только что поместили $1000 на свой банковский счёт, но вы должны быть абсолютно уверены, что производили транзакцию через банковского кассира.

Простой способ генерации цифровых подписей показан на рисунке 6. Вместо зашифрования информации чужим открытым ключом, вы шифруете её своим собственным закрытым. Если информация может быть расшифрована вашим открытым ключом, значит её источником являетесь вы.

Хэш-функция

Однако описанная выше схема имеет ряд существенных недостатков. Она крайне медлительна и производит слишком большой объём данных – по меньшей мере вдвое больше объёма исходной информации. Улучшением такой схемы становится введение в процесс преобразования нового компонента – односторонней хэш-функции. Одностороняя хэш-функция берёт ввод произвольной длины, называемый прообразом, – в данном случае, сообщение любого размера, хоть тысячи или миллионы бит – и генерирует строго зависящий от прообраза вывод фиксированной длины, допустим, 160 бит. Хэш-функция гарантирует, что если информация будет любым образом изменена – даже на один бит, – в результате получится совершенно иное хэш-значение.

В процессе цифрового подписания PGP обрабатывает сообщение криптографически стойким односторонним хэш-алгоритмом. Эта операция приводит к генерации строки ограниченной длины, называемой дайджестом сообщения (message digest) ⁵. (Опять же, любое изменение прообраза приведёт к абсолютно иному дайджесту.)

Затем PGP зашифровывает полученный дайджест закрытым ключом отправителя, создавая «электронную подпись», и прикрепляет её к прообразу. PGP передаёт ЭЦП вместе с исходным сообщением. По получении сообщения, адресат при помощи PGP заново вычисляет дайджест подписанных данных, расшифровывает ЭЦП открытым ключом отправителя, тем самым сверяя, соответственно, целостность данных и их источник; если вычисленный адресатом и полученный с сообщением дайджесты совпадают, значит информация после подписания не была изменена. PGP может как зашифровать само подписываемое сообщение, так и не делать этого; подписание открытого текста без зашифрования полезно в том случае, если кто-либо из получателей не заинтересован или не имеет возможности сверить подпись (допустим, не имеет PGP).

Если в механизме формирования ЭЦП применяется стойкая односторонняя хэш-функция, нет никакого способа взять чью-либо подпись с одного документа и прикрепить её к другому, или же любым образом изменить подписанное сообщение. Малейшее изменение в подписанном документе будет обнаружено в процессе сверки ЭЦП.

ЭЦП играют важнейшую роль в удостоверении и заверении ключей других пользователей PGP.

Цифровые сертификаты

Одна из главных проблем асимметричных криптосистем состоит в том, что пользователи должны постоянно следить, зашифровывают ли они сообщения истинными ключами своих корреспондентов. В среде свободного обмена открытыми ключами через общественные серверы-депозитарии атаки по принципу «человек в середине» представляют серьёзную потенциальную угрозу. В этом виде атак злоумышленник подсовывает пользователю поддельный ключ с именем предполагаемого адресата; данные зашифровываются подставным ключом, перехватываются его владельцем-злоумышленником, попадая в итоге в чужие руки.

В среде криптосистем с открытым ключом критически важно, чтобы вы были абсолютно уверены, что открытый ключ, которым собираетесь что-то зашифровать – не искусная имитация, а истинная собственность вашего корреспондента. Можно попросту шифровать только теми ключами, которые были переданы вам их владельцами из рук в руки на дискетах. Но предположим, что нужно связаться с человеком, живущим на другом краю света, с которым вы даже незнакомы; как вы можете быть уверены, что получили его подлинный ключ?

Цифровые сертификаты ключей упрощают задачу определения принадлежности открытых ключей предполагаемым владельцам.

Сертификат есть форма удостоверения. Иные виды удостоверений включают ваши водительские права, государственный паспорт, свидетельство о рождении, и т.п. Каждое из них несёт на себе некоторую идентифицирующую вас информацию и определённую неподделываемую запись, что кто-то другой (госструктура, частное лицо) установил вашу личность. Некоторые сертификаты, такие как паспорт, – самодостаточное подтверждение вашей личности; будет довольно скверно, если кто-то похитит его, чтобы выдать себя за вас.

Цифровой сертификат в своём предназначении аналогичен физическому. Цифровой сертификат ключа – это информация, прикреплённая к открытому ключу пользователя, помогающая другим установить, является ли ключ подлинным и верным. Цифровые сертификаты нужны для того, чтобы сделать невозможной попытку выдать ключ одного человека за ключ другого.

Цифровой сертификат состоит из трёх компонентов:

• открытого ключа, к которому он приложен;

• данных, или записей, сертификата (сведения о личности пользователя, как то, имя, электронная почта и т.п., а также, по необходимости, дополнительные ограничителельные сведения: права допуска, рабочие лимиты и прочее);

• одной или нескольких цифровых подписей, «связывающих» ключ с сертификатом.

Цель ЭЦП на сертификате – указать, что сведения сертификата были заверены доверенным третьим лицом или организацией. В то же время цифровая подпись не подтверждает достоверность сертификата как целого; она является поручительством только того, что подписанная запись сертификата (идентифицирующая информация) связаны с данным открытым ключом.

Таким образом, сертификат, обычно, – это открытый ключ с прикреплёнными к нему одной или несколькими формами ID плюс отметка подтверждения от доверенного лица, «связывающая» ID и открытый ключ.

Распространение сертификатов

Сертификаты применяются, когда нужно обменяться с кем-нибудь ключами. Небольшим группам людей, нуждающимся в защищённой связи, не составит труда просто передать друг другу дискеты или отправить электронные письма, содержащие копии их ключей.

Это – ручное распространение открытых ключей, и оно эффективно только до определённого этапа. Дальнейшее – за пределами возможностей данного метода, и тогда возникает необходимость развёртывания системы, которая бы обеспечивала достаточную надёжность и безопасность, предоставляла возможности хранения и обмена ключами, так что коллеги, бизнес-партнёры или незнакомцы смогли бы отправлять друг другу зашифрованные сообщения, если в том возникнет необходимость.

Такая система может реализоваться в форме простого хранилища-депозитария, называемого сервером сертификатов, или сервером-депозитарием открытых ключей, или иметь более сложную и комплексную структуру, предполагающую дополнительные возможности администрирования ключей, и называемую инфраструктурой открытых ключей (Public Key Infrastructure, PKI).

Серверы-депозитарии

Сервер-депозитарий, также называемый сервером сертификатов, или сервером ключей, – это сетевая база данных, позволяющая пользователям оставлять и извлекать из неё цифровые сертификаты. Сервер ключей также может иметь некоторые функции администрирования, помогающие организации поддерживать свою политику безопасности. Например, на хранение могут оставляться только ключи, удовлетворяющие определённым критериям.

Инфраструктуры открытых ключей (PKI)

PKI, как и простой сервер-депозитарий, имеет базу данных для хранения сертификатов, но, в то же время, предоставляет сервисы и протоколы по управлению открытыми ключами. В них входят возможности выпуска (издания), отзыва (аннулирования) и системы доверия сертификатов. Главной же особенностью PKI является наличие компонентов, известных как Центр сертификации (Certification Authority, CA) и Центр регистрации (Registration Authority, RA).

Центр сертификации (ЦС) издаёт цифровые сертификаты и подписывает их своим закрытым ключом. Из-за важности своей роли, ЦС является главным компонентом инфраструктуры PKI. Используя открытый ключ ЦС, любой пользователь, желающий проверить подлинность конкретного сертификата, сверяет подпись Центра сертификации и, следовательно, удостоверяется в целостности содержащейся в сертификате информации и, что более важно, во взаимосвязности сведений сертификата и открытого ключа.

Как правило, Центром регистрации (ЦР) называется система людей, механизмов и процессов, служащая целям зачисления новых пользователей в структуру PKI и дальнейшего администрирования постоянных пользователей системы. Также ЦР может производить «веттинг» – процедуру проверки того, принадлежит ли конкретный открытый ключ предполагаемому владельцу.

ЦР – это человеческое сообщество: лицо, группа, департамент, компания или иная ассоциация. С другой стороны, ЦС – обычно, программа, выдающая сертификаты своим зарегистрированным пользователям. Существуют и защищённые от взлома аппаратные реализации ЦС, сооружённые из пуленепробиваемых материалов и снабжённые «красной кнопкой», аннулирующей в критической ситуации все выданные ключи.

Роль ЦР-ЦС аналогична той, что выполняет государственный паспортный отдел: одни его сотрудники проверяют, требуется ли выдача паспорта (работа ЦР), а другие изготовляют сам документ и передают его владельцу (работа ЦС). Наличие ЦР для ЦС не обязательно, но оно обеспечивает разделение функций, которое иногда необходимо.

Формат сертификатов

Цифровой сертификат – это набор идентифицирующих сведений, связанных с открытым ключом и подписанных доверенным третьим лицом, дабы доказать их подлинность и взаимосвязность. Сертификат может быть представлен множеством различных форматов.

PGP поддерживает два формата сертификатов:

• Сертификаты OpenPGP (чаще называемые просто ключами PGP)

• Сертификаты X.509

Формат сертификата PGP

Сертификат PGP содержит, в частности, следующие сведения:

• Открытый ключ владельца сертификата – открытая часть ключевой пары и её алгоритм: RSA v4, RSA Legacy v3, DH или DSA.

• Сведения о владельце сертификата – информация, идентифицирующая личность пользователя: его имя, адрес электронной почты, номер ICQ, фотография и т.д.

• ЭЦП владельца сертификата – подпись ключевой пары, связанной с сертификатом (т.н. автоподпись).

• Период действия сертификата – дата начала действия сертификата и дата окончания его действия; указывает на то, когда сертификат станет недействительным (аналогично сроку действия водительских прав). Если ключевая пара содержит дополнительные подключи шифрования, то здесь будет указан период действия каждого из них.

• Предпочтительный алгоритм шифрования – указывает на то, зашифрованную каким алгоритмом информацию предпочитает получать владелец сертификата. Поддерживаются следующие: CAST, AES, IDEA, Triple-DES и Twofish.

Вы можете представить сертификат PGP в виде открытого ключа с одной или несколькими привязанными к нему «бирками» (рис. 9). На этих «бирках» указана информация, идентифицирующая владельца ключа, а также подпись этого ключа, подтверждающая, что ключ и идентификационные сведения взаимосвязаны. (Этот вид подписи называется автоподписью (self-signature); её содержит каждый PGP-сертификат.)

Уникальный аспект формата сертификатов PGP в том, что каждый сертификат может содержать множество подписей. Любой человек может подписать идентификационно-ключевую пару, чтобы заверить, полагаясь на своё личное убеждение, что открытый ключ принадлежит именно указанному в ID пользователю. Если поищите на общественных серверах-депозитариях, то можете обнаружить некоторые ключи, как, например, принадлежащий автору PGP Филу Циммерману, содержащие огромное количество подписей.

Некоторые PGP-сертификаты состоят из открытого ключа с несколькими «бирками», каждая из которых содержит собственные сведения, идентифицирующие владельца ключа (например, имя владельца и его рабочий e-mail, прозвище владельца и его домашний e-mail, фотография владельца – всё на одном сертификате). Список подписей на каждой из «бирок» может быть различным; подписи указывают на достоверность определённой «бирки» и её принадлежность открытому ключу, а не на то, что все «бирки» достоверны. (Учтите, что «достоверность» зависит от установившего её: подписи – это мнения, и разные люди уделяют разную степень внимания проверке подлинности перед подписанием ключа.)

Формат сертификата Х.509

Х.509 – это другой очень распространённый формат. Все сертификаты Х.509 соответствуют международному стандарту ITU-T X.509; таким образом (теоретически), сертификат Х.509, созданный для одного приложения, может быть использован в любом другом, поддерживающим этот стандарт. На практике, однако, сложилась ситуация, что разные компании создают собственные расширения для Х.509, не все из которых между собой совместимы.

Всякий сертификат требует, чтобы кто-то заверил взаимосвязность открытого ключа и идентифицирующей владельца ключа информации. Имея дело с PGP-сертификатом, каждый может выступать в качестве заверителя содержащихся в нём сведений (за исключением случаев, когда эта возможность намеренно ограничена политикой безопасности). Но в случае сертификатов Х.509 заверителем может быть только Центр сертификации или некто, специально уполномоченный им на эту роль. (Имейте в виду, что PGP-сертификаты также в полной мере поддерживают иерархическое структурирование системы доверия, использующее ЦС для удостоверения сертификатов.)

Сертификат Х.509 – это набор стандартных полей, содержащих сведения о пользователе или устройстве, и их соответствующий открытый ключ. Стардарт Х.509 определяет, какие сведения входят в сертификат и как они кодируются (формат данных).

Сертификат Х.509 содержит следующие сведения:

• Версия Х.509 – указывает, на основе какой версии стандарта Х.509 построен данный сертификат, что определяет, какая информация может в нём содержаться.

• Открытый ключ владельца сертификата – открытый ключ наряду с идентификатором используемого алгоритма (указывающим криптосистему, к которой принадлежит данный ключ) и прочая информация о параметрах ключа.

• Серийный номер сертификата – организация-издатель сертификата обязана присвоить ему уникальный серийным (порядковый) номер для его опознавания среди прочих сертификатов, выданных данной организацией. Эта информация применяется в ряде случаев; например, при аннулировании сертификата, его серийный номер помещается в реестр аннулированных сертификатов (Certificate Revocation List, CRL).

• Уникальный опознаватель владельца ключа (или DN, distinguished name – уникальное имя) – это имя должно быть уникальным и единственным во всём Интернете. DN состоит из нескольких подпунктов и может выглядеть примерно так:

CN=Bob Davis, EMAIL=bdavis@pgp.com, OU=PGP Engineering, O=PGP Corporation, C=US (Что обозначает Понятное имя субъекта, Электронную почту, Подразделение организации, Органицию и Страну соответственно.)

• Период действия сертификата – дата начала действия сертификата и дата окончания его действия; указывает на то, когда сертификат станет недействителен.

• Уникальное имя издателя – уникальное имя организации, подписавшей сертификат. Обычно, это наименование Центра сертификации. Использование сертификата подразумевает доверие организации, его подписавшей. (В случаях с корневыми сертификатами выдавшая организация – этот же ЦС – подписывает его сама.)

• ЭЦП издателя – электронная подпись, созданная закрытым ключом организации, выдавшей сертификат.

• Идентификатор алгоритма подписи – указывает алгоритм, использованный ЦС для подписания сертификата.

Существует ряд фундаментальных различий между форматами сертификатов Х.509 и PGP:

• вы можете лично создать собственный сертификат PGP; вы должны запросить и получить сертификат Х.509 от Центра сертификации;

• сертификаты Х.509 содержат только одно имя владельца сертификата;

• сертификаты Х.509 содержат только одну ЭЦП, подтверждающую подлинность сертификата.

Чтобы получить сертификат Х.509, вы должны попросить ЦС выдать его вам. Вы предоставляете системе свой открытый ключ, чем доказываете, что обладаете соответствующим закрытым, а также некоторые идентифицирующие вас сведения. Затем вы электронно подписываете эти сведения и отправляете весь пакет – запрос сертификата – в Центр сертификации. ЦС выполняет определённый процесс по проверке подлинности предоставленной информации и, если всё сходится, создаёт сертификат, подписывает и возвращает вам.

Вы можете представить сертификат Х.509, как обычный бумажный сертификат или аттестат с приклеенным к нему открытым ключом. На нём указано ваше имя, а также некоторые сведения о вас, плюс подпись издателя сертификата.

Вероятно, наибольшая польза от сертификатов Х.509, это их применение в Веб-браузерах.

Подлинность и доверие

Любой пользователь в среде криптосистем с открытым ключом рискует рано или поздно принять по неострожности поддельный ключ (сертификат) за настоящий. Достоверность (подлинность) есть убеждённость в том, что конкретный открытый ключ принадлежит предполагаемому владельцу, чья идентификационная информация указана в сертификате ключа. Подлинность является одним из важнейших критериев в среде системы открытых ключей, где вы должны определять аутентичность каждого конкретного сертификата.

Убедившись, что чужой открытй ключ достоверен (т.е. действительно принадлежит именно предполагаемому владельцу), вы можете подписать копию этого ключа на своей связке, чем засвидетельствуете факт, что вы его проверили и нашли достоверным. Если захотите, чтобы другие знали вашу степень доверия этому сертификату, вы можете экспортировать свою подтверждающую подпись на сервер-депозитарий с тем, чтобы другие могли её видеть и могли на неё положиться при определении подлинности этого ключа.

Как было описано в параграфе «Инфраструктуры открытых ключей (PKIs)», некоторые компании уполномочивают один или несколько Центров сертификации (ЦС) на проверку подлинности сертификатов. В организации, использующей PKI с сертификатами Х.509, задача Центров регистрации состоит в приёме запросов на сертификаты, а задача Центров сертификации – в выдаче сертификатов конечным пользователям: процесс ответа на запрос пользователя на получение сертификата. В организации, использующей сертификаты PGP без PKI, задача ЦС – в проверке достоверности всех PGP-сертификатов и подписании подлинных. Как правило, основная цель ЦС – собственной подписью «связать» открытый ключ с идентификационной информацией, содержащейся в сертификате, чем заверить третьих лиц, что были приняты определённые меры по установлению связи между ключом и идентификационными сведениями.

Центр сертификации в организации – это краеугольный камень системы подлинности и доверия; в некоторых организациях, как, например, в тех, которые используют PKI, ни один сертификат не считается подлинным, пока не будет подписан доверенным ЦС.

Проверка подлинности

Один из способов определения подлинности сертификата – некоторая механическая процедура. Существует несколько методик её проведения. Например, вы можете попросить своего корреспондента передать копию его открытого ключа «физически», т.е. вручить на жёстком носителе – магнитном или оптическом диске и т.п. Но зачастую это бывает неудобно и неэффективно.

Другой вариант – сверить отпечаток (fingerprints) сертификата. Насколько уникальны отпечатки пальцев людей, настолько же уникальны и отпечатки каждого сертификата PGP. Отпечаток – это хэш-значение сертификата пользователя, которое показано как одно из его свойств. В PGP отпечаток может быть представлен или как шестнадцатеричное число, или как набор т.н. биометрических слов, фонетически чётких и применяемых для упрощения вербальной идентификации отпечатка.

Вы можете определить подлинность сертификата позвонив владельцу ключа (таким образом, что вы начнёте коммуникацию) и попросив его прочитать отпечаток с его ключа; вам же нужно сверить этот отпечаток против того, который находится на полученной вами копии. Такой способ допустим, если вам знаком голос корреспондента, но как вы установите личность того, с кем даже незнакомы? Некоторые с этой целью помещают отпечатки ключей на свои визитные карточки.

Ещё один метод определения подлинности чужого сертификата – положиться на мнение третьей стороны, уже установившей его подлинность.

ЦС, например, отвественно за детальную проверку принадлежности открытого ключа предполагаемому владельцу перед выдачей ему сертификата. Любой пользователь, доверяющий ЦС, будет автоматически расценивать подлинными все сертификаты, подписанные ЦС.

Параллельный аспект проверки подлинности и достоверности состоит в том, чтобы убедиться, что сертификат не был аннулирован (отозван). За дополнительной информацией по этому вопросу обращайтесь к параграфу «Аннулирование сертификата».

Установление доверия

Вы сами удостоверяете сертификаты. Но вы также доверяете людям. Поэтому вы можете доверить людям и право удостоверять сертификаты. Как правило, если только владелец сам не вручил вам копию ключа, вы должны положиться на чьё-то чужое мнение о его подлинности.

Мета-поручители и доверенные поручители

В большинстве случаев пользователи полностью полагаются на ЦС в проверке подлинности сертификатов. Иными словами, пользователи убеждены, что ЦС провёл всю механическую процедуру проверки за них, и уверены в его поручительствах за подлинность заверенных им сертификатов. Такая схема работает только до некоторого предела в количестве пользователей PKI, перейдя который ЦС не сможет придерживаться прежнего уровня тщательности процедуры проверки. В этом случае становится необходимым добавление в систему дополнительных «поручителей».

ЦС также может быть мета-поручителем (мета-представителем). Мета-поручитель не только сам заверяет ключи, но предоставляет и другим лицам (организациям) полномочия заверения. По аналогии с тем, как король передаёт свою личную печать или факсимиле приближённым советникам, чтобы те могли действовать от его имени, так и мета-поручитель уполномочивает других действовать в качестве доверенных поручителей (доверенных представителей). Эти доверенные поручители могут удостоверять ключи с тем же результатом, что и мета-поручитель. Однако, они не могут создавать новых доверенных поручителей.

«Мета-поручитель» и «доверенный поручитель» – это термины PGP. В среде Х.509 мета-поручитель называется корневым Центром сертификации (root CA), а доверенные поручители – подчинёнными, или промежуточными, Центрами сертификации (subordinate CAs, intermediate CAs).

Корневой ЦС для подписания ключей использует закрытый ключ, связанный с особым типом сертификата, называемым корневым сертификатом ЦС. Любой сертификат, подписанный корневым ключом ЦС, становится достоверным любому другому сертификату, подписанному корневым. Такой процесс удостоверения действует даже для сертификатов, подписанных другим ЦС в [связанной] системе – если ключ промежуточного ЦС подписан ключом корневого ЦС, любой сертификат подписанный первым расценивается верным в пределах иерархии. Этот процесс отслеживания вдоль ветвей иерархии того, кто подписал какие сертификаты, называется отслеживанием пути, или цепи, сертификатов.

Модели отношений доверия

В относительно закрытых системах, таких как небольшие организации и фирмы, можно без труда отследить путь сертификата назад к корневому ЦС. Однако, пользователям зачастую приходится связываться с людьми за пределами их корпоративной среды, включая и таких, с которыми они прежде никогда не встречались, например, с поставщиками, потребителями, клиентами и др. Установление линии доверия с теми, кто не был явно удостоверен ЦС, становится непростой задачей.

Организации следуют одной из нескольких моделей отношений доверия, которые диктуют пользователям их действия по определению подлинности сертификатов. Существуют три различные модели:

• Прямое доверие

• Иерархическое доверие

• Сеть доверия (Web of Trust)

Прямое доверие

Прямое доверие – это простейшая из моделей отношений доверия. В этой схеме пользователь убеждён, что ключ подлинный, поскольку точно знает, от кого получил этот ключ. Все криптосистемы в той или иной мере используют эту форму доверия. Например, в веб-браузерах корневые ключи Центров сертификации доверяются напрямую, т.к. находились в дистрибутиве данного программного продукта. Если и существует какой-либо вид иерархии, то он распространяется из этих напрямую доверяемых сертификатов.

В PGP пользователь, заверяющий ключи самостоятельно, не прибегая к помощи доверенных поручителей, использует схему прямого доверия.

Иерархическое доверие

В иерархической системе существует ряд корневых сертификатов, от которых распросраняется доверие. Эти сертификаты могут либо сами заверять сертификаты конечных пользователей, либо они могут уполномочивать другие сертификаты, которые будут заверять сертификаты пользователей по некоторой цепи. Представьте, что это большое «дерево» доверия. Подлинность сертификатов-«листьев» (сертификатов конечных пользователей) определяется отслеживанием цепочки к их удостоверителям, а от них уже к удостоверителям этих удостоверителей, и так до тех пор, пока не будет найден напрямую доверяемый корневой сертификат.

Сеть доверия

Сеть доверия объединяет обе предыдущие модели, также привнося принцип, что доверие есть понятие субъективное (что соотносится с житейским представлением), и идею о том, что чем больше информации, тем лучше. Таким образом, это накопительная модель доверия. Сертификат может быть доверяем напрямую или доверяем по некоторой цепочке, уходящей к напрямую доверяемому корневому сертификату (мета-поручителю), или может быть заверен группой доверенных поручителей.

Возможно, вам знакомо понятие «шесть степеней разделения», означающее, что любой индивид может установить некоторую цепочку к любому другому индивиду на планете, используя шесть или менее человек в качестве посредников. Это – сеть представителей.

Таково же и представление PGP о доверии. PGP использует цифровые подписи как собственный вид поручительства. Когда один пользователь подписывает ключ другого, он становиться поручителем этого ключа (поручительствует за подлинность ключа и его принадлежность предполагаемому владельцу). Этот процесс, расширяясь, и образует сеть доверия.

В среде PGP любой пользователь может выступать в качестве центра сертификации. Каждый пользователь может заверить открытый ключ другого пользователя. Однако, такой сертификат будет расценен подлинным иным пользователем только тогда, когда последний признаёт заверителя своим доверенным поручителем. (Иными словами, вы доверяете моему мнению о подлинности других ключей, только если считаете меня своим доверенного поручителем. В противном случае, моя субъективная оценка подлинности чужих ключей для вас по меньшей мере неоднозначна.)

На связке открытых ключей каждого пользователя содержатся следующие показатели:

• считает ли пользователь определённый ключ подлинным;

• уровень доверия, предоставленный пользователем определённому ключу, с которым его владелец будет выступать поручителем в подлинности других ключей.

Вы указываете на своей копии моего ключа, насколько весомым считаете моё мнение о подлинности подписанных мною ключей. Это исключительно система репутации: некоторые пользователи известны тем, что тщательно проверяют ключи и дают хорошие подписи, которым люди доверяют как безоговорочному показателю подлинности.

Степени доверия в PGP

Наивысший уровень доверия – безусловное доверие (Implicit Trust) – это доверие вашей собственной ключевой паре. PGP полагает, что если вы владеете закрытым ключом, то должны доверять и действиям соотвествующего открытого. Все ключи, подписанные вашим безусловно доверяемым, для вас верны и подлинны.

Существует три степени доверия, которые вы можете присвоить чужому открытому ключу:

• Полное доверие

• Частичное доверие

• Нет доверия

Чтобы ещё более всё запутать, существует также три уровня подлинности:

• Подлинный

• Возможно подлинный

• Неопределённый

Чтобы дать другому ключу полномочия поручительства, вы:

1. Берёте подлинный ключ, который

либо подписан вами, либо иным доверенным поручителем, и затем

2. Устанавливаете уровень доверия, которого, как вам кажется, заслуживает владелец.

Для примера представим, что на вашей связке есть ключ Алисы. Вы определили подлинность её ключа и, подписывая его, указываете на это. Вам известно, что Алиса – активный сторонник тщательной проверки чужих ключей. Поэтому вы наделяете её Полным доверием, что, фактически, превращает её в Центр сертификации: если Алиса подпишет чужой ключ, он будет верным на вашей связке априори.

PGP требует одну Полностью доверяемую или две Частично доверяемых подписи, чтобы установить ключ как подлинный. Метод PGP приравнивания двух Частичных к одной Полной аналогичен тому, как иногда от вас требуют два вида документов, удостоверяющих личность. Вы можете посчитать Алису частично надёжной, также посчитать Боба частично заслуживающим доверия. Есть риск, что каждый из них в отдельности может случайно подписать липовый ключ, так что вы, вероятно, не станете предоставлять Полного доверия ни одному. Однако, вероятность того, что оба они подпишут один и тот же липовый ключ, довольно мала.

Аннулирование сертификата

Применение сертификата допустимо только пока он достоверен. Опасно полагаться на то, что сертификат будет защищён и надёжен вечно. В большинстве организаций и во всех PKI сертификат имеет ограниченный срок «жизни». Это сужает период, в который система может оказаться под угрозой, если сертификат будет взломан.

Таким образом, сертификат создаётся с определённым заданным периодом достоверности, начинающимся с даты создания и заканчивающимся датой истечения (аналогично сроку годности пищевых продуктов или действию водительских прав). Сертификат может быть использован в течение всего периода действия, по истечении которого перестаёт быть верным, поскольку достоверность его идентификационно-ключевой пары более не может быть гарантирована. (Тем не менее, сертификат по-прежнему может применяться для подтверждения информации, зашифрованной или подписанной им ранее в течение периода жизни; однако он становится неприменим для будущих криптографических нужд.)

Но иногда появляется потребность сделать сертификат недействительным до истечения срока его жизни, например, в случае увольнения владельца сертификата с настоящего места работы или когда у владельца возникает подозрение, что закрытый ключ данного сертификата был скомпрометиран. Такой процесс называется отзывом или аннулированием. Аннулированный сертификат гораздо более подозрителен, нежели истекший. Истекший сертификат более непригоден к использованию, однако, не несёт такой угрозы скомпрометированности, как аннулированный.

Любой пользователь, заверивший сертификат (поручившийся за взаимосвязность ключа и сведений сертификата), в любой момент может отозвать с него свою подпись, используя тот же закрытый ключ, которым её создавал. Отозванная подпись указывает на то, что заверитель счёл, что открытый ключ и идентификационная информация более не связаны друг с другом, или что открытый ключ сертификата (или соотвествующий закрытый) был скомпрометирован. Отозванная подпись имеет практически такое же значение, как и аннулированный сертификат.

В случае сертификатов Х.509 отозванная подпись фактически представляет то же самое, что и аннулированный сертификат, поскольку вообще лишь одна подпись была поручительством подлинности сертификата – подпись Центра сертификации. PGP предоставляет дополнительную возможность аннулирования всего сертификата (а не только подписей на нём), если вы вдруг посчитаете, что он был каким-либо образом скомпрометирован.

Только владелец сертификата (обладатель соотвествующего закрытого ключа) или некто, специально уполномоченный владельцем (т.н. «доверенный отменитель», designated revoker), может аннулировать PGP-сертификат. (Доверение третьему лицу функции аннулирования весьма полезно, т.к. потеря пароля к закрытому ключу, которая зачастую и служит поводом к аннулированию, делает исполнение этой процедуры самим владельцем сертификата невозможной.) Сертификат Х.509 может быть отозван только его издателем – ЦС – по запросу владельца.

Уведомление об аннулировании сертификата

После аннулирования сертификата крайне важно оповестить всех потенциальных корреспондентов, что он более недействителен. Наиболее простой способ оповещения в среде PGP – это размещение аннулированного сертификата на сервере-депозитарии; таким образом, все, кто могут решить связаться с вами, будут предупреждены не использовать этот открытый ключ.

В среде PKI уведомление об аннулировании сертификатов осуществляется посредством специального механизма, называемого реестром аннулированных сертификатов (Certificate Revocation List, CRL), публикуемого Центром сертификации. CRL содержит датируемый, заверенный список всех аннулированных непросроченных сертификатов системы. Аннулированные сертификаты остаются в списке только до момента своего фактического истечения, после чего удаляются оттуда – это предотвращает бесконечное разрастание списка.

ЦС обновляет CRL через регулярные промежутки времени. Теоретически, это должно свести к минимуму риск непреднамеренного использования аннулированного сертификата. Хотя, всё же остаётся вероятность случайного применения скомпрометированного сертификата во временном промежутке между публикациями CRL.

Что такое ключевая фраза

Большинству пользователей знаком метод ограничения доступа к компьютеру или компьютерным ресурсам при помощи пароля, который представляет собой уникальную последовательность символов, вводимую как идентификационный код.

Ключевая фраза – это более длинный, сложный и, теоретически, более надёжный вариант пароля. Обычно состоящая из нескольких слов, ключевая фраза гораздо надёжней против стандартных атак «по словарю», в ходе которых взломщик перебирает все слова из словаря в попытке угадать ваш пароль. Наилучшие ключевые фразы довольно длинны и комплексны, содержат как заглавные, так и строчные буквы, а также цифры, знаки препинания и прочие символы.

PGP использует ключевую фразу чтобы зашифровать ваш закрытый ключ. Закрытый ключ хранится на диске, зашифрованный хэшем-значением ключевой фразы как симметричным тайным ключом. Вы же используете ключевую фразу, чтобы расшифровать и применять закрытый ключ. Ключевая фраза должна быть такой, чтобы вам её было трудно забыть, а другим – догадаться. Она должна быть чем-то, уже давно и надёжно хранящимся в долгосрочной памяти вашего мозга, а не придуманным с нуля. Почему? Потому что если вы забудете ключевую фразу – вы в большой беде. Закрытый ключ абсолютно и совершенно бесполезен без его ключевой фразы, и с этим ничего нельзя поделать. Помните цитату в начале этой главы? PGP – это криптография, которая не позволит правительствам могучих держав читать ваши файлы. И уж тем более она не позволит читать их вам. Учтите это, если вдруг решите изменить ключевую фразу на отрывок из анекдота, который никогда не могли толком запомнить.

Разделение ключа

Говорят, что секрет – это уже не секрет, когда его знают два человека. Разделение закрытого ключа опровергает такое мнение. Хотя это и не рекомендуемая практика, разделение закрытого ключа в определённых ситуациях бывает необходимо. Например, корпоративные ключи подписания (Corporate Signing Keys, CSK) – это особо важные закрытые ключи, используемые организацией, например, для заверения правовых документов, личной информации сотрудников или пресс-релизов для удостоверения авторства. В данном случае будет полезно, чтобы несколько членов компании имело доступ к закрытому ключу. Но это равно будет значить, что каждый из членов команды сможет свободно и в полной мере выступать от имени компании.

Решением подобной проблемы является разделение и распределение закрытого ключа между несколькими лицами таким образом, что для восстановления его в рабочее состояние нужно присутствие более одного или двух хранителей частей (долей) ключа. Если собрано слишком мало долей – ключ бесполезен.

Например, можно разделить ключ на три доли с требованием любых двух из них для реконструкции или разделить его на две доли с необходимостью использования обеих. Если для процедуры реконструкции применяется защищённое сетевое соединение, хранителям долей ключа не нужно присутствовать вместе в одной географической точке.

Технические подробности

Эта глава представила подробное введение в концепции и терминологию криптографии. В главе 2, «Фил Циммерман о PGP», Филипп Циммерман, автор PGP, проведёт более глубокое обсуждение проблем секретности, технических аспектов фунционирования PGP, включая описание используемых в программе алгоритмов, а также объяснит некоторые виды атак и способы защиты от них.

За дополнительными сведениями о криптографии обращайтесь к материалам, изложенным в разделе предисловия «Библиография».

Страница 3 / 4

1. В большинстве случаев русский термин шифрование является синонимом зашифрования, но иногда обозначает криптографический процесс в целом, – здесь и далее прим. переводчика. Вернуться к тексту

2. Не следует путать расшифрование с дешифрованием : первое обозначает обращение шифртекста в открытый текст при помощи ключа, второе – без знания ключа путём криптоанализа. Вернуться к тексту

3. Теперь есть доказательства в пользу того, что Британская Секретная Служба изобрела его несколькими годами раньше Диффи и Хеллмана, но хранила под грифом «сов. секретно» и никак не использовала. J H Ellis, The Possibility of Secure Non-Secret Digital Encryption, CESG Report, January 1970. (CESG – Национальный Центр Объединённого Королевства по официальному применению криптографии.), – прим. автора. Первой гражданской реализацией концепции криптографии с открытым ключом было изобретение Ральфа Меркла, получившее название «Головоломок Меркла» (было описано им в качестве курсовой работы в 1974 году), но к практическим целям эта схемы была неприменима, – прим. пер. Вернуться к тексту

4. Таким образом, цифровая подпись, в отличие от собственноручной, свидетельствует не о том, что конкретный индивидуум (физическое лицо) заверил информацию, а что конкретный криптографический ключ заверил информацию. Цели "связывания" криптографического ключа и физического лица служат цифровые сертификаты и механизмы защиты ключа, основанные на личностных (биометрических) данных его владельца. Вернуться к тексту

5. Синонимы – хэш-значение, свёртка, сигнатура, контрольная сумма, код аутентичности сообщения. Вернуться к тексту

Эта глава содержит подробную информацию о криптографии и PGP в авторском изложении Фила Циммермана.

Зачем я создал PGP

«Всё, что ты делаешь, будет незначительно, но очень важно, что ты делаешь это»

– Махатма Ганди

Это дело личное, секретное и исключительно ваше. Вы можете планировать предвыборную кампанию, обсуждать налоги, вести тайный роман. А возможно вы общаетесь с политическим диссидентом, живущим в репрессивной стране. Чего бы ни касались ваши конфиденциальные документы и частная электронная переписка, вы не желаете, чтобы кто-то посторонний мог их прочитать. Нет ничего дурного в защите своих собственных прав. Право на тайну частной жизни столь же важно, сколь и Конституция.

Право на тайну частной жизни читается в каждой строке Билля о Правах. Но во времена написания Конституции Соединённых Штатов отцы-основатели не видели нужды явно закреплять права на тайну коммуникаций. Это было бы по меньшей мере странно. Двести лет назад все коммуникации были тайными. Если в пределах слышимости появлялся посторонний, вы могли просто пойти за амбар и продолжит свой разговор. Никто не смог бы подслушать. Право на тайну коммуникаций было естественным правом не столько в философском смысле, сколько в смысле законов физики, исходя из технологического уровня того времени.

Но с началом информационной эры, наступившей с изобретением телефона, всё изменилось. Теперь большая часть общения совершается электронно. Наши самые интимные разговоры никак не защищены. Звонок с мобильного телефона может быть перехвачен с помощью радиостанции. Электронная почта, отправляемая через Интернет, не более защищена, чем разговор по сотовому телефону. Электронная почта, становясь нормой жизни, быстро вытесняет бумажную.

До недавних пор, если правительство намеревалось нарушить право обычных граждан на тайну переписки, оно было вынуждено затратить некоторое количество времени и средств, чтобы перехватить, отпарить и вскрыть бумажный конверт. Или ему приходилось прослушивать и, возможно, переписывать вручную телефонный разговор, по крайней мере до появления технологий автоматического распознавания речи. Этот тип трудоёмких «ручных» перехватов был непрактичен в более крупных масштабах. Он применялся только в определённых исключительных обстоятельствах, когда оправдывал затраченные на него средства. Это напоминало ловлю на удочку по рыбке. Сегодня e-mail может автоматически сканироваться на предмет интересующих ключевых слов и фраз – в огромных масштабах, неподконтрольно и незаметно. Это словно ловня тонн рыбы траулерной сетью. А экспоненциальный рост компьютерных вычислительных мощностей делает то же самое возможным и для речевого трафика.

Вы, конечно, можете возразить, что ваша электронная почта не содержит ничего противозаконного, следовательно зачем её шифровать? Но если вы и правда такой законопослушный гражданин, которому нечего скрывать, тогда почему не отправляете всю свою бумажную корреспонденцию только на почтовый открытках? Почему не соглашаетесь на тест на содержание наркотиков по первому требованию? Почему требуете от полиции ордер на обыск вашего дома? Вы что-то прячете? Если вы отправляете письма в конвертах, разве это значит, что вы непременно преступник, или наркоторговец, или, быть может, чокнутый параноик? Есть ли у законопослушных граждан потребность шифровать свою электронную почту?

Что если все вдруг решат, что законопослушные граждане должны отправлять письма только на открытках? Если в такой ситуации нонконформист воспользуется бумажным конвертом, дабы защитить свои гражданские права, это неминуемо привлечёт внимание. Наверняка представители власти вскроют его письмо, чтобы взглянуть, что же он прячет. К счастью, мы не живём в таком мире, поскольку все отправляют письма в конвертах, и это никому не кажется странным. Безопасность – в массах. Было бы замечательно, если бы все столь же обыденно шифровали весь отправляемый e-mail, безобидный или нет, так что никто не вызывал бы подозрение, просто используя криптографию для защиты своего права на тайну электронной переписки. Считайте это формой солидарности.

Сенатский законопроект 266, общий антикриминальный законопроект 1991 года, скрывал в себе разрушительную меру. Если бы эта необязательная резолюция стала реальным законом, она бы обязала производителей оборудования для защищённых коммуникаций встраивать в свои изделия особые «потайные ходы», позволяющие правительству читать любые криптографированные сообщения. Цитата:

«Конгресс видит необходиым, чтобы провайдеры электронных коммуникационных услуг и производители электронного коммуникационного оборудования гарантировали государству возможность получения из коммуникационных систем содержания открытого текста речевых, цифровых и прочих коммуникационных потоков, когда оно соотвественно уполномочено на то законом».

Именно эта законодательная инициатива побудила меня в том же году опубликовать PGP для свободного доступа в Интернет незадолго до того, как под энергичным протестом индустриальных групп и либеральных объединений за права человека эта мера была отклонена.

Закон «О коммуникационном содействии в правоприменительной деятельности» (CALEA) 1994 года утвердил требование к телефонным компаниям установить в свои центральные цифровые коммутаторы дистанционные порты для перехвата телефонных сообщений, создавая тем самым новую технологическую инфраструктуру для прослушки одним щелчком мыши; больше федеральным агентам не придётся выезжать на место и подключаться к телефонной линии зажимами-крокодильчиками. Теперь они смогут спокойно сидеть с чашечкой кофе в своём вашингтонском офисе и слушать ваши телефонные звонки. Разумеется, закон всё ещё требует судебного ордера для организации прослушки. Но в то время, как технические инфраструктуры создаются на десятилетия, законы и политика меняются в считанные часы. Когда оптимизированные для слежки коммуникационные инфраструктуры уже внедрены, перемена в политической обстановке может привести к злоупотреблению этой новоявленной силой. Политический контекст может измениться с избранием нового президента или, возможно более радикально и резко, после подрыва федерального здания. ¹

Год спустя принятия CALEA, ФБР обнародовало инициативу о требовании к телефонным компаниям установить в свои инфраструктуры достаточные мощности для единовременной прослушки одного процента всех телефонных переговоров в крупных городах США. Это бы представляло более чем тысячекратное увеличение в количестве прослушиваемых переговоров. В прежние годы осуществлялось лишь около тысячи судебно санкционированных телефонных перехватов в США за год на федеральном уровне, уровне штатов и местном уровне вместе взятых. Трудно представить, как правительство наймёт достаточно судей для подписания нужного числа ордеров; ещё труднее понять, откуда оно возьмёт столько федеральных агентов, которые будут сидеть и слушать весь этот трафик в реальном времени. Единственно возможный способ обработки такого объёма информации – это огромная оруэллианская программа по автоматическому распознаванию речи, которая будет просеивать весь трафик в поисках интересующих ключевых слов или голоса определённого человека. Если правительство не найдёт цель в первом однопроцентном образце, прослушка будет переключена на следующий и так далее, пока цель не будет обнаружена или пока все телефоны не будут прослушаны на предмет подозрительных переговоров. ФБР заверяло, что эти мощности нужны ему только в качестве задела на будущее. Но эта инициатива вызвала столь яростное общественное возмущение, что была отклонена Конгрессом. Однако сам факт, что ФБР затребовало столь серьёзную силу, свидетельствует о его ближайших планах.

Когда затрагиваются права на тайну личной жизни, технологические достижения не позволяют сохранять статус-кво. Статус-кво нестабилен. Если мы не будем ничего предпринимать, новые технологии дадут правительству такие возможности контроля и надзора за гражданами, о которых Сталин даже не мечтал. Единственный способ не отступить от своих гражданских прав в цифровую эпоху – это стойкая криптография.

Вам не нужно разувероваться во власти, чтобы начать применять криптографию. Ваши деловые переговоры могут быть перехвачены конкурентами, организованной преступностью и иностранными разведслужбами. Например, некоторые зарубежные правительства допускают использование своей информационно-технической разведки против компаний из других государств, чтобы сделать собственные корпорации более конкурентоспособными. Ирония в том, что режим ограничений, введённый правительством США в 90-х на распространение и использование стойкой криптографии, ослабил защиту собственного американского бизнеса от перечисленных угроз.

Правительству известно, сколь значительную роль криптография обречена играть в «силовых» взаимоотношениях с его собственным народом. В апреле 93-го администрация Клинтона раскрыла кардинально новую криптографическую политику, разрабатывавшуюся в Агентстве национальной безопасности (АНБ) США с начала администрации Буша. Основой этой новой политики стала сконструированная в АНБ шифровальная микросхема, названная Clipper-чипом, содержащая новый засекреченный алгоритм шифрования АНБ – Skipjack. Правительство пыталось инспирировать частную индрустрию встраивать чип во все изделия для защищённых коммуникаций, такие как криптофоны, криптофаксы и пр. AT&T установила Clipper в свои криптографические речевые продукты. В чём же здесь фокус? В процессе производства в каждый Clipper-чип загружается его собственный уникальный ключ, а правительство получает копию, которую помещает в депозит. Однако беспокоиться не о чем – правительство обещает использовать эти депонированные ключи для прослушки ваших переговоров, только когда «надлежащим образом уполномочено на то законом». Конечно, чтобы сделать Clipper безоговорочно эффективным, следующим логическим шагом было бы объявление всех иных форм криптографии вне закона.

Первоначально правительство заявляло, что использование Clipper-чипа будет добровольным, что никого не станут принуждать использовать его вместо других типов криптографии. Но реакция общественности против микросхемы была сильна, гораздо сильнее, чем рассчитывало правительство. Компьютерная индустрия объявила о своей монолитной оппозиции применению чипа. Директор ФБР Луис Фри отреагировал на вопрос, заданный на пресс-конференции в 1994, в том смысле, что если Clipper не получит общественного признания, и перехваты ФБР станут невозможны вследствие не контролируемой государством криптографии, его контора не будет иметь иного выхода, кроме поиска законодательной поддержки. Позднее, после трагедии в Оклахома-Сити, мистер Фри заявил на слушаниях в Сенатском Судебном Комитете, что доступность широкой общественности средств стойкой криптографии должна быть строго ограничена государством (хотя никто не доказал, что подрывники применяли криптографию в ходе планирования теракта).

Правительство проявляет тенденции, не склоняющие к уверенности в том, что оно никогда не станет нарушать наши гражданские свободы. Программа ФБР COINTELPRO была нацелена на группы, выступавшие против госполитики. Оно шпионило за антивоенным движением и за движением в поддержку гражданских прав. Оно прослушивало телефон Мартина Лютера Кинга. Никсон вёл список своих врагов. Затем, был уотергейтский скандал. А не так давно и Конгресс пытался или достиг успеха в проведении законов, ограничивающих наши гражданские права в Интернет. Некоторые элементы из клинтонского Белого Дома собирали конфиденциальные досье ФБР на гражданских служащих Республиканцев, вероятно, для политического шантажа. А чрезмерно усердные прокуроры выказывали готовность пойти хоть на край света в поисках компрометирующих материалов о сексуальных «приключениях» своих политических противников. Ни в какие времена прошлого столетия не было общественное недоверие правительству столь широко распространено по всему политическому спектру, как оно есть сегодня.

В 1990-х я понял, что если мы хотим выстоять против этой разрушительной тенденции правительства по установлению криптографии вне закона, одна из мер, которой мы можем воспользоваться, – это применять криптографию столько, сколько сможем, пока её применение ещё легально. Когда применение стойкой криптографии станет популярным, правительству будет труднее криминализировать её. Поэтому использование PGP может выступать как средство сохранения демократии. Если права на частную жизнь станут вне закона, только те, кто вне закона, будут иметь частную жизнь.

Оказалось, что публикация PGP наряду с годами жёсткого общественного недовольства и индустриального давления на ослабление экспортного контроля дали позитивный эффект . В последние месяцы 1999 года администрация Клинтона объявила о радикальном пересмотре политики экпортного контроля криптотехнологий. Она попросту отказалась от режима ограничений. Сейчас мы, наконец, можем экспортировать средства стойкого шифрования без каких-либо максимальных порогов стойкости. Это была долгая борьба, но мы в конце концов одержали победу, по крайней мере на фронте экспортного контроля США. Теперь нужно продолжить наши усилия по распространению и популяризации криптографии, чтобы притупить эффект от усиливающихся мер по электронной слежке в Интернет некоторыми государствами. И всё ещё нужно «продавить» наши права на её демократическое использование, несмотря на энергичные протесты ФБР.

PGP даёт людям власть взять защиту собственных гражданских прав в свои руки. На это существует высокая социальная потребность. Именно поэтому я создал PGP.

Симметричные алгоритмы PGP

PGP располагает набором различных алгоритмов с тайным ключом, шифрующих само сообщение. Под алгоритмами с тайным ключом мы подразумеваем симметричные блочные шифры, использующие один и тот же ключ как для зашифрования, так и для расшифрования. Симметричные блочные шифры, предлагаемые PGP, это CAST, Triple-DES, IDEA, Twofish, а также AES. Все эти алгоритмы не были написаны «на коленке» – это результаты серьёзных научных исследований криптологических групп с выдающейся репутацией.

Для интересующихся криптографией мы можем обсудить эти алгоритмы немного более подробно. CAST, Triple-DES и IDEA оперируют с 64-битовыми блоками данных. CAST и IDEA имеют ключи длиной 128 бит, Triple-DES использует 168-битовый ключ. Как и Data Encryption Standart (DES), эти алгоритмы могут работать в режимах гаммирования с обратной связью по шифртексту (cipher feedback, CFB) и последовательного сцепления блоков шифртекста (cipher block chaining, CBC). PGP использует их в 64-битовом режиме CFB.

Я добавил в PGP алгоритм CAST по ряду причин: он подаёт надежды как стойкий блочный шифр со 128-битовым ключом, он очень быстр, и он бесплатный. Его название происходит от инициалов разработчиков, Карлайсла Адамса и Стаффорда Тавареса ², из Northern Telecom (Nortel). Nortel запатентовал CAST, но дал письменное обязательство оставить его доступным для каждого без выплат патентных гонораров. CAST представляется очень удачным шифром, спроектированным людьми с хорошей репутацией в своей профессиональной сфере. Дизайн основан на сугубо формальном подходе с рядом формально доказуемых положений; всё это даёт веские основания заключить, что для взлома его 128-битового ключа потребуется лобовая атака. CAST не имеет пространства слабых и полуслабых ключей. Есть верьёзные аргументы в пользу того, что CAST совершенно неподвержен линейному и дифференциальному криптоанализу, двум мощнейшим формам криптоанализа, описанным в открытой литературе, обе из которых оказались эффективны при взломе DES. Формальная DES-подобная архитектура CAST и хорошая репутация его авторов привлекли к алгоритму внимание и попытки криптоаналитических атак со стороны всего научного сообщества, которые он выстоял достойно. У меня появляется почти то же чувство уверенности в CAST, какое было несколько лет назад от IDEA, шифра, который я избрал для ранних версий PGP. На то время IDEA был слишком молод, чтобы иметь серьёзное доверие, но и поныне он демонстрирует себя очень хорошо.

Блочный шифр IDEA (International Data Encryption Algorithm) основан на концепции «смешения операций из различных алгебраических групп». Он был разработан в ETH, Цюрих, Джеймсом Мэсси и Суэджа Лай, и опубликован в 1990. В первых публикациях алгоритм назывался IPES (Improved Proposed Encryption Standart), но позднее его переименовали в IDEA. IDEA гораздо более стоек против атак, нежели ранние шифры FEAL, REDOC-II, LOKI, Khufu и Khafre. Также, IDEA оказался гораздо устойчивей DES к очень удачной дифференциальной криптоатаке Бихама и Шамира, равно как и к линейному криптоанализу. Уверенность в IDEA растёт с каждым годом. К сожалению, самым большим препятствием к применению IDEA как стандарта шифрования стал тот факт, что держатель патента на его дизайн – AscomSystec – не предоставляет его для свободного применения без выплат роялти, как в случаях с DES и CAST.

Также, в числе прочих, в арсенал блочных шифров PGP включён и трёхключевой Triple-DES. DES был изобретён в IBM в середине 70-х. Хотя он и имеет эффективный дизайн, его 56-битовый ключ слишком мал по сегодняшним меркам. Triple-DES же крайне надёжен; за многие годы он был хорошо изучен, так что может быть это более удачный выбор в сравнении с относительно молодыми CAST и IDEA. Triple-DES – это DES, применяемый трижды на одном блоке данных, используя три разных ключа, за исключением того, что вторая операция проходит в обратном порядке в режиме расшифрования. Несмотря на то, что Triple-DES гораздо медленней, чем CAST или IDEA, скорость обычно не играет критической роли в email-приложениях. Хотя Triple-DES имеет длину ключа в 168 бит, эффективная стойкость составляет по меньшей мере 112 бит против взломщика с невероятно огромным вычислительным потенциалом, используемым в атаке. В соответствии с рассчётами, представленными Майклом Винером на Crypto96, любые хотя бы удалённо правдоподобные ресурсы для хранения промежуточных вычислений, доступные взломщику, позволят провести атаку, требующую практически столько же времени/средств, сколько понадобится для лобового взлома 129-битового ключа. Применение Triple-DES не ограничено никакими патентами.

Начав с версии PGP 7.0, мы добавили алгоритм Брюса Шнайера Twofish. Twofish стал одним из пяти финалистов в проекте NIST «Улучшенный стандарт шифрования» (AES). AES представляет собой новую архитектуру блочного шифра, работающего на 128-битовых блоках, с размерами ключа в 128, 192 или 256 бит. Пятнадцать криптографических групп со всего света подали свои разработки, когда в 1996 году NIST объявил о начале конкурса, из которых в 1998 выбрал пять.

Пятью финалистами стали Twofish, Serpent, Rijndael, RC6 и MARS. Все пять прошли через серьёзнейшее криптоаналитическое испытание лучшими криптографами мира, многие из которых представляли на AES собственные работы, соревновавшиеся с другими. NIST из этих пяти превосходных алгоритмов в качестве победителя избрал Rijndael («рэйн долл»). Rijndael – это блочных шифр, разработанный Джоан Даймен и Винсентом Рижменом. Rijndael был включён в PGP, начиная с версии 7.1. За более подробной информацией об AES см. www.nist.gov/aes.

Открытые ключи, сгенерированные в PGP 5.0 и выше, несут в себе сведения о том, какие блочные шифры распознаются программой получателя с тем, чтобы программа отправителя знала, какие алгоритмы можно применять для зашифрования. Открытые ключи типа Diffie-Hellman/DSS поддерживают CAST, IDEA, AES (Rijndael), Triple-DES и Twofish в качестве блочных шифров с AES, установленным по умолчанию (в версиях 8.0 и выше). С целью обратной совместимости, ключи RSA не обладают такой возможностью. PGP ограничен алгоритмом IDEA для шифрования сообщений ключами RSA, поскольку старые версии PGP поддерживают только RSA и IDEA ³.

О процедуре сжатия данных в PGP

PGP сжимает открытый текст перед его зашифрованием, поскольку зашифрованные данные сжимаются гораздо хуже. Сжатие данных сокращает время их модемной передачи и экономит дисковое пространство, а так же, что более важно, усиливает криптографическую стойкость. Большинство криптоаналитических техник основано на статистическом анализе шифртекста в поисках признаков избыточности открытого текста. Сжатие уменьшает избыточность информации, чем существенно усиливает сопротивляемость криптоанализу. Сжатие данных требует немного дополнительного времени, но с точки зрения безопасности оно того стоит.

Слишком короткие файлы и файлы, которые не сжимаются достаточно хорошо, не сжимаются вовсе. Кроме того, программа распознаёт файлы, созданные наиболее распространёнными архиваторами, такими как PKZIP, и не пытается сжать уже сжатый файл.

Для технически любознательных можно добавить, что программа использует алгоритмы сжатия ZIP, написанные Жаном Лу Галли, Марком Адлером и Ричардом Уэйлсом. Программа ZIP использует алгоритмы сжатия, функционально эквивалентные тем, что применяются в PKZIP 2.x от PKWare. Эта программа сжатия была избрана для PGP в первую очередь из-за своей неплохой степени сжатия и быстроты работы.

О случайных числах и сеансовых ключах

Для генерации одноразовых симметричных сеансовых ключей PGP использует криптографически стойкий генеретор псевдослучайных чисел (ГПСЧ) ⁴. Если файл ПСЧ отсутствует, он автоматически создаётся и заполняется абсолютно произвольными числами, полученными программой от показаний системного таймера, задержек нажатий клавиш и перемещений мыши.

Генератор «пересеивает» файл при каждом его использовании, частично смешивая старый материал с новым, полученным от конкретного времени суток и иных произвольных показателей. В качестве гамма-генератора применяется симметричный алгоритм шифрования. Файл содержит как случайные данные выхода генератора, так и случайные данные ключа, используемого для задания исходного внутреннего состояния генератора.

Файл ПСЧ должен быть защищён от компрометации, дабы снизить риск вычисления из него ваших предыдущих или будущих сеансовых ключей. Потенциальному взломщику придётся очень постараться, чтобы извлечь хоть что-то полезное из этого файла, поскольку он криптографически перемешивается до и после каждого применения. Тем не менее, не будет лишним защитить его от попадания в чужие руки. Если можете, сделайте файл доступным только для себя. Если такое невозможно, не позволяйте посторонним беспрепятственно копировать файлы с вашего компьютера.

О дайджестах сообщений

Дайджест сообщения – это компактная 160- или 128-битовая свёртка вашего сообщения-прообраза, или контрольная сумма файла. Вы можете представить его как отпечаток (fingerprint) сообщения или файла. Дайджест сообщения – это «отражение» прообраза: если исходные данные будут как-либо изменены, из них будет вычислен совершенно иной дайджест. Это позволяет обнаружить даже самые незначительные изменения, внесённые злоумышленником в сообщение. Дайджест генерируется посредством криптографически стойкой односторонней хэш-функции. В вычислительном плане невозможно создать такое подставное сообщение, которое бы производило дайджест, идентичный дайджесту оригинального сообщения ⁵. В этом отношении дайджест сообщения гораздо лучше контрольной суммы (CRC32 или CRC64), поскольку довольно просто создать два различных сообщения, производящих одинаковую контрольную сумму. Но, как и в случае с контрольной суммой, не существует никакого способа восстановить из дайджеста исходные данные прообраза.

Алгоритм стойкой односторонней хэш-функции, используемый в PGP 5.0 и выше, называется SHA-1, что означает Secure Hash Algorithm; он был разработан в АНБ для Национального Института Стандартов и Технологий (NIST) США. SHA-1 – это 160-битовый хэш-алгоритм. Некоторые люди ко всем разработкам АНБ относятся с подозрением, поскольку именно АНБ «заведует» электронной и радиотехнической разведкой и взломом кодов. Но имейте в виду, что АНБ не заинтересовано в подделке подписей; правительство и его силовые структуры получат гораздо больше выгоды от хорошего стандарта неподделываемых ЭЦП, не позволяющих никому от них отрекаться. Кроме того, SHA-1 был опубликован в открытой литературе и, после тщательнейшего исследования лучшими криптографами мира, специализирующимися на хэш-функциях, получил единодушную высочайшую оценку своего крайне удачного дизайна. Он имеет некоторые архитектурные инновации, благодаря которым преодолевает все наблюдавшиеся прежде проблемы односторонних хэш-функций, когда-либо созданных гражданским криптографическим сообществом. Все последние версии PGP используют SHA-1 в качестве хэш-алгоритма для генерации подписей новыми ключами DSA, соответствующими Стандарту Цифровых Подписей (DSS) NIST. Для нужд обратной совместимости новые версии PGP всё ещё используют MD5 для подписания ключами RSA [Legacy v3], т.к. старые версии PGP используют для работы с ЭЦП только алгоритм MD5.

В ранних версиях PGP в качестве алгоритма хэш-функции применялся MD5, Message Digest Algorithm, опубликованный для свободного доступа компанией RSA Data Security, Inc. MD5 представляет собой хэш-алгоритм со 128-битовым выходом. В 1996 году MD5 был практически взломан немецким криптографом Гансом Доббертином. Хотя алгоритм не поддался окончательно, в нём выявились столь серьёзные недостатки (тенденция сжимающей функции алгоритма к коллизиям), что теперь никому более не рекомендуется использовать его для генерации ЭЦП. Дальнейшая работа в этой области наверняка позволит полностью его взломать, что сделает возможной свободную подделку электронных подписей. Если вы не желаете в один прекрасный день обнаружить свою электронную подпись на подставных признательных показаниях, переходите к применению новых ключей DSA и RSA v4 как предпочтительного метода генерации цифровых подписей, поскольку они в качестве криптографически стойкой односторонней хэш-функции используют SHA-1.

Как защитить открытый ключ от подмены

В среде криптосистем с открытым ключом вам нет нужды предохранять открытые ключи от компрометации. Напротив, гораздо лучше, когда они широко распространены. Но очень важно защищать их от подделки, дабы всегда сохранялась уверенность, что конкретный открытй ключ действительно принадлежит человеку, чьё имя указано в сведениях сертификата. В этом состоит самое слабое место криптосистем с открытым ключом и это их главная уязвимость. Давайте для начала представим потенциально возможный инцидент, а затем разберёмся, как его не допустить.

Предположим, вам нужно отправить секретное послание Алисе. Вы скачиваете её сертификат и открытый ключ с сервера-депозитария, затем этим ключом зашифровываете письмо и отправляете его по электронной почте.

К несчастью для вас и Алисы, злоумышленник Мэллори сгенерировал собственную ключевую пару с идентификационными сведениями Алисы в сертификате (имя, email), взломал сервер и незаметно подменил подлинный открытый ключ Алисы своей подделкой. Ничего не подозревая, вы использовали поддельный ключ Мэллори вместо открытого ключа Алисы, ведь всё выглядело вполне правдоподобно, поскольку на поддельном ключе была идентификационная информация Алисы. Теперь Мэллори может перехватить и расшифровать сообщение, предназначенное Алисе, поскольку в его распоряжении соответствующий закрытый ключ. Он даже может вновь зашифровать письмо реальным ключом Алисы и отправить его по назначению, так что никто не заметит ничего подозрительного. Более того, он может делать собственным закрытым ключом подписи, якобы принадлежащие Алисе, поскольку для их проверки все будут использовать его подставной открытый ключ.

Единственный способ избежать подобной проблемы – не допускать махинаций с открытыми ключами. Это несложно, если вы получили открытый ключ Алисы непосредственно от неё при личной встрече, но может оказаться весьма проблематичным, если она в тысячах миль от вас или просто в данный момент недоступна.

Вероятно, вы сможете получить ключ Алисы от вашего с ней общего друга Дэвида, который имеет подлинную копию её открытого ключа. Дэвид может подписать открытый ключ Алисы собственным закрытым, тем самым поручаясь за его достоверность.

Так Дэвид заверит сертификат ключа, чем укажет, что ключ Алисы не был подделан. В то же время, проверка подписи поручителя на сертификате требует наличия у вас подлинной копии открытого ключа Дэвида. Вероятно, Дэвид также сможет предоставить и Алисе надёжную копию вашего ключа. Таким образом, он станет доверенным посредником-поручителем между вами и Алисой.

Этот подписанный сертификат открытого ключа Алисы может быть загружен ей самой или Дэвидом на сервер-депозитарий с тем, чтобы вы могли его получить в любое удобное время. Скачав сертификат, вы сверяете подпись открытым ключом Дэвида и можете быть уверены, что это на самом деле подлинный открытый ключ Алисы. Ни один мошенник не сможет вас одурачить, выдавая свой поддельный ключ за ключ Алисы, поскольку никто не может подделать сертифицирующую этот ключ подпись Дэвида.

Широко известный и уважаемый человек может даже специализироваться на услугах посредничества и представительства между разными пользователями, подписывая сертификаты их открытых ключей. Этого доверенного индивида можно назвать Центром сертификации. Цифровой сертификат любого открытого ключа, содержащий подпись этого Центра сертификации, может быть априорно расценен как подлинный и действительно принадлежащий пользователю, чья идентификация указана в сведениях сертификата. Любому пользователю, желающему участвовать в такой Сети доверия, для проврки подписей будет достаточно достоверной копии открытого ключа ЦС. В некоторых случаях, ЦС может также выступать в качестве сервера-депозитария, позволяя пользователям сети запрашивать из него открытые ключи; но для сервера-депозитария заверять ключи нет никакой необходимости.

Доверенный централизованный ЦС особенно уместен в крупных корпоративных и государственных учреждений с единой системой управления. Некоторые организации используют иерархии ЦС.

В более децентрализованной среде возможность всем пользователям выступать в качестве представителей и доверенных поручителей своих друзей и коллег будет более предпочтительна, нежели централизованный источник сертификации ключей.

Одна из привлекательных особенностей PGP состоит в том, что он реализуется равно эффективно и в централизованной среде с Центром сертификации, и в более децентрализованной, в которой пользователи самостоятельно обмениваются своими персональными ключами.

Комплекс мер по защите открытых ключей от подделки – это наиболее сложная проблема практических реализаций криптосистем с открытым ключом. Это «ахиллесова пята» всей асимметричной криптографии, и большая часть всех механизмов PGP завязана именно на решение этой главной задачи.

Не используйте чужой открытый ключ, пока полностью не убедитесь, что это не подделка, а подлинный ключ человека, чья идентификация указана в сведениях сертификата. Вы можете быть уверены в подлинности ключа, если получили его напрямую от владельца при личной встрече, либо если его сертификат подписан человеком, которому вы доверяете, при условии, что располагаете достоверной копией ключа поручителя. Кроме того, в сведениях сертификата должно быть отражено как имя, так и фамилия пользователя, а не одно его имя.

Как бы вы ни были опытны, не забывайте о мерах предосторожности и не полагайтесь на подлинность скаченного с сервера-депозитария или с веб-сайта открытого ключа, если он не заверен кем-то, кому вы доверяете. Такой несертифицированный открытый ключ мог быть подделан или заменён кем угодно, возможно даже системным администратором сервера или веб-сайта.

Если вас просят подписать чей-то ключ, прежде убедитесь, что он действительно принадлежит человеку, указанному в идентификации сертификата, поскольку подпись на сертификате открытого ключа – это ваше поручительство за его подлинность и принадлежность указанному человеку. Все, кто вам доверяет, примут этот открытый ключ за достоверный, потому что он несёт вашу сертифицирующую подпись. Не полагайтесь на домыслы и чужое мнение: подписывайте открытый ключ только тогда, когда лично и непосредственно убедились в его принадлежности заявленному владельцу. Предпочтительнее подписывать только те ключи, которые были напрямую получены от их истинных владельцев.

Для подписания сертификата ключа вы должны быть гораздо более уверены в его подлинности, нежели для его личного использования с целью шифрования сообщений. Для установления подлинности ключа только для личного применения будет достаточно подписи доверенного поручителя. Но чтобы подписать ключ самому, вам необходима собственная независимая непосредственная убеждённость в том, кто в действительности является владельцем этого ключа. Возможно, вам стоит позвонить владельцу (убедитесь, что говорите с тем, с кем надо) и попросить его прочитать отпечаток ключа, дабы удостовериться, что ключ, находящийся у вас, является точной копией оригинального.

Имейте в виду: ваша подпись на сертификате ключа не поручительствует за доверие владельцу; она поручительствует только за достоверность (подлинность) этого открытого ключа. Вы не рискуете репутацией, подписывая ключ социопата, если полностью убеждены, что ключ действительно принадлежит ему. Другие люди поверят в подлинность ключа, поскольку он подписан вами (допуская, что они вам доверяют), но не поверят его владельцу как человеку. Доверие целостности ключа и доверие его обладателю – не одно и то же.

Полезно держать свой открытый ключ вместе с набором удостоверяющих подписей от ряда поручителей в надежде, что большинство людей довериться сертифицирующей подписи хотя бы одного из них. Вы можете разместить свой ключ с набором подписей в различных депозитариях. Если подписываете чужой открытый ключ, верните его копию с вашей подписью обратно владельцу; таким образом, вы сможете выступать в качестве его представителя.

Примите все меры, чтобы никто не мог подменить файл вашей собственной связки открытых ключей. Проверка подписей на сертификате нового ключа полностью зависит от целостности достоверных открытых ключей, уже находящихся на вашей связке. Держите связку под физическим контролем; желательно хранить её, равно как и закрытый ключ, на собственном персональном компьютере, нежели на многопользовательской системе со свободным доступом; это необходимо для защиты связки от подделки, а не от компрометации. Храните актуальную достоверную резервную копию связки открытых и закрытых ключей на защищённом от записи внешнем носителе, например, на компакт-диске.

Так как ваш собственный открытый ключ является последним источником прямой или опосредованной проверки подлинности всех остальных ключей на связке, этот ключ защитить от подделки важнее всего. Будет лучше, если вы сделаете его резервную копию и поместите её на надёжный носитель.

PGP в своей логике исходит из допущения, что вы держите связки ключей, сам PGP и систему в целом в полной физической безопасности. Если злоумышленник получит доступ к компьютеру, тогда, теоретически, он сможет изменить программу, делая неэффективными все её механизмы обнаружения недостоверных ключей.

Несколько усложнённым способом защиты всей связки открытых ключей от подделки будет подписание её файла закрытым ключом. Вы можете сделать это, создав съёмную подпись (detached signature) файла и регулярно её сверяя.

Как PGP определяет подлинность ключей

Прежде чем приступить к этому параграфу, ознакомьтесь с предыдущим, «Как защитить открытый ключ от подмены».

PGP следит, какие из открытых ключей на связке сертифицированы подписями ваших доверенных поручителей. Вам нужно лишь указать программе, кого вы считаете доверенными поручителями, подписав их открытые ключи собственным безоговорочно достоверным закрытым. Здесь PGP возьмёт работу на себя и будет автоматически удостоверять все остальные ключи, подписанные установленными вами поручителями; разумеется, вы можете продолжать самостоятельно сертифицировать дополнительные ключи.

PGP применяет два параллельных критерия оценки достоверности открытых ключей, не спутайте их:

1. Принадлежит ли ключ предполагаемому владельцу? Иными словами, сертифицирован ли он доверенной подписью?

2. Принадлежит ли ключ человеку, уполномоченному вами на удостоверение иных ключей (поручителю)?

PGP автоматически вычисляет ответ на вопрос 1. Ответ на вопрос 2 вы предоставляете программе сами. Когда вы даёте ответ на вопрос 2, PGP может рассчитать ответ на вопрос 1 для всех ключей, подписанных установленным вами поручителем.

Ключи, сертифицированные доверенным поручителем, расцениваются подлинными. Ключ самого доверенного поручителя должен быть удостоверены или лично вами, или другим доверенным поручителем.

PGP даёт возможность указать одну из градаций доверия каждому поручителю. Уровень доверия владельцу ключа, выступающего в качестве поручителя, должен отражать не только вашу оценку порядочности этого человека, но и ваше мнение о его компетентности в понимании процедур управления ключами и их сертификации. Можно выставить уровень отсутствия доверия, частичного доверия или полного доверия пользователю в удостоверении других открытых ключей. Этот показатель будет хранится на вашей связке вместе с его ключом, но при экспортировании ключа со связки PGP её не копирует, поскольку ваше личное мнение считается конфиденциальным.

Расчитывая достоверность открытого ключа, PGP проверяет уровни доверия всех сертифицирующих его подписей. Затем он выводит общую оценку достоверности: например, две частично доверяемые подписи расцениваются равнозначными одной полностью доверяемой. Скептицизм программы поддаётся регулировке: вы можете настроить PGP, чтобы для удостоверения ключа он требовал две полностью доверяемые или три частично доверяемые подписи и т.д. ⁶

Ваш собственный открытый ключ достоверен аксиоматически. Программа определяет, что открытый ключ принадлежит вам, находя на связке соответствующий ему закрытый. PGP также полагает, что вы целиком доверяете самому себе в сертификации других ключей.

С течением времени вы будете собирать на связке ключи корреспондентов, кого-то из которых решите наделить правом поручительства. Другие пользователи будут назначать собственных поручителей. Все постепенно будут накапливать и распространять со своими сертификатами наборы удостоверяющих подписей в надежде, что любой потенциальный корреспондент доверится хотя одной-двум из них. Всё это в конечном итоге сформирует децентрализованную отказоустойчивую Сеть доверия всех открытых ключей общественной информационной системы.

Этот уникальный децентрализованный подход резко констрастирует со стандартными схемами администрирования открытых ключей, разработанных в единоначальных государственных и частных консервативных организациях вроде Internet Privacy Enhanced Mail (PEM), полагающихся на централизованный контроль и навязываемую вертикальную систему доверия. Стандартные модели основаны на иерархии Центров сертификации, решающих за вас, кому вы можете доверять. Распределённый вероятностный метод определения подлинности открытых ключей – это краеугольный камень архитектуры управления ключами нашей программы. PGP ставит вас на вершину вашей собственной пирамиды сертификации, давая право самостоятельно решать, кто заслуживает доверия, а кто – нет. PGP создан для людей, предпочитающих лично паковать парашюты.

Имейте в виду, что акцентирование внимания на этом распределённом массовом подходе не означает, что PGP не может быть реализован и в более иерархичных структурированных схемах администрирования. Например, крупным корпоративным пользователям будет полезно иметь некую центральную фигуру (лицо или департамент), сертифицирующую ключи всех служащих. PGP справляется с таким централизованным сценарием, как с особой упрощённой формой его собственной более универсальной модели доверия.

Как уберечь закрытый ключ от компрометации

Тщательнейшим образом оберегайте свой закрытый ключ и ключевую фразу! Если закрытый ключ окажется скомпрометирован, вам стоит как можно быстрее дать знать об этом всем заинтересованным лицам, пока злоумышленник не начал подделывать вашу электронную подпись. Например, взломщик сможет использовать ключ для подписания сертификатов поддельных открытых ключей, что может создать большие проблемы для множества пользователей, особенно если ваша подпись имеет у них высокий авторитет. И, самое главное, скомпрометированный закрытый ключ ставит под угрозу раскрытия все ваши конфиденциальные послания и файлы.

Прежде всего держите свой закрытый ключ под полным физическим контролем. Можете хранить его на домашнем компьютере или в ноутбуке, который носите с собой. Если вы работаете за офисным компьютером, над которым не имеете постоянного контроля, то держите связки открытых и закрытых ключей на защищённом от записи внешнем носителе, например, флоппи-диске или смарт-карте, и никогда не забывайте его в конторе, уходя домой. Ни в коем случае не держите закрытый ключ на многопользовательской машине, например, на UNIX-системе с коммутируемым подключением. Взломщик может прослушать модемное соединение, перехватить ключевую фразу, а затем добраться до закрытого ключа. Используйте свой закрытый ключ только на машине, находящейся под вашим полным физическим контролем.

Не храните ключевую фразу на том же компьютере, что и закрытый ключ! Держать ключевую фразу и сам ключ на одном ПК так же опасно, как держать свой PIN в одном бумажнике с банковской картой. Представьте, что будет, если кто-то получит доступ к диску, содержащему и закрытый ключ, и ключевую фразу. Конечно, самое надёжное место для хранения ключевой фразы – ваша собственная голова. Если же вам кажется, что ключевую фразу всё-таки стоит записать, спрячьте запись и держите в безопасности, возможно даже в большей, чем сам ключ.

Сделайте несколько резервных копий закрытого ключа на разных носителях. Помните, что пока у вас только один экземпляр закрытого ключа, его потеря сделает бесполезными все копии открытого, которые вы распространили по миру, а вся зашифрованная информация окажется безвозвратно потеряна.

Децентрализованный неинституциональный подход PGP по управлению открытыми ключами имеет как свои преимущества, так и недостатки: вы не можете полагаться на единый список аннулированных сертификатов, что делает ограничение последствий компрометации закрытого ключа более трудной задачей. Остаётся лишь распространить известие и надеяться, что о нём услышат все.

Если случилось худшее – закрытый ключ и его пароль оказались скомпрометированы (надо надеяться, вы как-то об этом узнали) – нужно немедленно издать сертификат аннулировани ключа (Key Revocation Certificate, KRC). Он применяется как предупредительная мера, блокирующая использование аннулированного открытого ключа. Вы можете издать сертификат KRC, воспользовавшись командой Отзыва (Revoke) из менеджера PGPkeys, либо попросить сделать это вашего «уполномоченного отменителя» (Designated Revoker). Затем нужно отправить этот сертификат на сервер-депозитарий. Любой потенциальный корреспондент, скачавший сертификат, не сможет намеренно или случайно воспользоваться вашим открытым ключом: PGP не позволит использовать его для шифрования, а при сличении подписей будет уведомлять, что ключ аннулирован. Теперь вы можете сгенерировать новую ключевую пару и опубликовать новый открытый ключ в Интернете.

Что если вы потеряли закрытый ключ

Для аннулирования открытого ключа в обычной ситуации нужно воспользоваться командой Отзыва в менеджере PGPkeys; этим будет издан сертификат KRC, подписанный соответствующим закрытым ключом.

Но как поступить, если закрытый ключ оказался потерян, уничтожен, либо вы попросту забыли ключевую фразу? Вам не удастся самостоятельно аннулировать открытый ключ, поскольку для подписания сертификата аннулирования нужен закрытый ключ, которого у вас больше нет. Если у вас нет «доверенного отменителя», имеющего право по вашему требованию издать сертификат KRC, вам придётся лично попросить каждого человека, подписавшего открытый ключ, отозвать с него свою подпись. Тогда, если кто-то попытается воспользоваться им, полагаясь на мнение поручителей, он будет предупреждён не доверять состоянию вашего открытого ключа.

Берегитесь ханаанского бальзама

Приобретая новый криптографический продукт, всегда возникает вопрос: можно ли ему доверять? Даже лично изучив исходные тексты программы, далеко не каждый имеет математическое образование, чтобы судить о надёжности реализации криптосистемы. И будь вы даже опытным криптографом, незначительные уязвимости алгоритмов всё же могут остаться незамеченными.

В начале 70-х, ещё учась в колледже, я придумал, как тогда полагал, блестящую шифровальную схему. Простой поток псевдослучайных чисел объединялся с потоком открытого текста, производя шифртекст. Это должно было сделать его устойчивым к любому статистическому анализу, не позволяя взломать шифр даже самым могучим разведслужбам. Я почувствовал такое самодовольство!

Годы спустя я обнаружил такую же схему в ряде консультативных статей и вводных материалов по криптографии. Как мило, другим криптологам на ум пришла та же мысль! К сожалению, схема была представлена как простое домашнее задание по использованию элементарных криптоаналитических техник для её тривиального взлома. Вот и вся моя блестящая идея...

Из этого горького опыта я вынес, как легко разрабатывая шифровальный алгоритм впась в ложное чувство защищённости. Большинство людей не предполагают, насколько это трудно изобрести алгоритм, который бы выдержал продолжительную атаку профессионального и обладающего огромными ресурсами оппонента. Многие заурядные разработчики создали равно неэффективные шифровальные схемы (зачастую одну и ту же схему), и некоторые из них были включены в коммерческие программные продукты, проданные за хорошие деньги тысячам ничего не подозревающих пользователей.

Это то же самое, что продавать автомобильные ремни безопасности, которые красивы и удобны, но мгновенно раскрываются даже в самом мягком крэш-тесте. Полагаться на них будет даже хуже, чем не пристёгивать ремень вообще. Никто и не поймёт, что он бесполезен, пока не попадёт в настоящую автокатастрофу. Используя слабый криптопродукт, вы, ничего не подозревая, можете поставить ценную информацию под угрозу, тогда как не сделали бы этого, вовсе не имея криптографических средств. Возможно, вы даже никогда не узнаете, что ваши данные были скомпрометированы.

Иногда в коммерческих продуктах реализован федеральный Стандарт шифрования данных – DES – весьма неплохой блочный шифр (за исключением слишкой короткого ключа), рекомендованный правительством для коммерческого использования (но не для секретной информации, что довольно странно. Хммм). DES может работать в нескольких режимах, одни из которых лучше других. Правительство особо указывает не использовать при пересылке сообщений самый простой и слабый – электронную кодовую книгу (electronic codebook, ECB). Вместо него оно предлагает более стойкие и комплексные режимы гаммирования с обратной связью (cipher feedback, CFB) и сцепления блоков шифртекста (cipher block chaining, CBC).

К несчастью, большинство исследованных мною в начале 1990-х, когда я только опубликовал PGP, коммерческих пакетов использовали именно режим ECB. В беседах с некоторыми из авторов подобных разработок они отвечали, что никогда и не слышали о режимах CBC или CFB и не знают о слабостях ECB. В тех же продуктах иногда реализуются неадекватные и небезопасные протоколы управления ключами. Один тот факт, что они не изучили даже основ криптографии, чтобы понимать такие элементарные концепции, ничуть не воодушевляет. Кроме того, нередко такие программные продукты содержат альтернативный более быстрый алгоритм, который может быть использован вместо медленного DES. Разработчик программы как правило считает свой собственный быстрый алгоритм столь же надёжным, сколь и DES, но после разговора с ним я обычно выяснял, что это лишь вариация на тему моего собственного «блестящего» изобретения из студенческих лет. Возможно он даже не понимает, как работает его алгоритм, но горячо уверяет меня, что это – великолепная схема, на которую можно положиться. Я знаю, что он считает свой алгоритм безупречным, но как мне проверить надёжность, не изучив его?

Справедливости ради стоит отметить, что компании, специализирующиеся на криптотехнологиях, не выпускают таких кошмарно слабых программ.

Но даже действительно хорошие программы, применяющие DES в верном режиме, всё же имеют проблемы. Обычный DES использует 56-битовый ключ, слишком короткий по сегодняшним меркам, который может быть с лёгкостью взломан полным перебором на специальных высокоскоростных машинах. Жизнь DES подошла к концу, равно завершилась жизнь всех его реализаций.

Есть компания под названием AccessData, торгующая очень дешёвой программой, которая взламывает шифровальные схемы, встроенные в WordPerfect, Lotus 1-2-3, MS Excel, Symphony, Quattro Pro, Paradox, MS Word и PKZIP. Она не просто угадывает пароль, а производит настоящий криптоанализ. Некоторые люди покупают её, когда забывают пароли к собственным файлам. Силовые структуры тоже её покупают, чтобы читать файлы, которые изымают в ходе обысков. Я разговаривал с Эриком Томпсоном, автором программы, и он признался, что ей требуется всего доля секунды, чтобы взломать пароль, но он добавил несколько циклов задержки для замедления процесса, дабы он не казался покупателю столь элементарным.

В области защищённой телефонии ваш выбор невелик. Ведущий кандидат – это STU-III Secure Telephone Unit за две-три тысячи долларов, разработанный Motorola и AT&T для засекреченных правительственных операций. Он имеет стойкое шифрование, но для покупки этой версии требуется особая государственная лицензия. Существует коммерческая версия STU-III с заниженной для нужд АНБ криптографической стойкостью; есть и экспортный, ещё более ослабленный, вариант. Также имеется Surity 3600 от AT&T за 1200 долларов, в котором применяется небезызвестная государственная микросхема Clipper с депонированными для прослушки ключами. Есть, конечно, и аналоговые (нецифровые) речевые скрамблеры, которые можно найти в каталогах «шпионских» товаров; с точки зрения криптографии это поистине бесполезные игрушки, однако их продают как продукты для «защищённых» коммуникаций людям, которые просто не знают ничего лучше. ⁷

В некотором смысле криптография аналогична фармацевтике. Её надёжность представляется критически важной. Плохой пенициллин на вид ничем не отличается от хорошего. Если с вашим текстовым редактором что-то не так, вы это увидите, но как вы определите надёжность своего криптографического софта? Шифртекст, произведённый слабым алгоритмом, выглядит так же убедительно, как и шифртекст, сгенерированный стойким алгоритмом. В этом деле много ханаанского бальзама. ⁸ Много знахарских снадобий. В отличие от торгашей лекарствами древности, нынешние разработчики обычно даже не догадываются, что их продукты – ханаанский бальзам. Возможно, они неплохие программные инженеры, но, как правило, даже не знакомы с научными трудами по криптографии. Но продолжают считать, что могут написать хороший криптопродукт. А почему бы и нет? В конце концов, интуитивно это кажется несложным, а их программы вроде бы функционируют нормально.

Каждый, кто считает, что изобрёл безупречный криптографический алгоритм, либо невероятно редкостный гений, либо наивный дурак. К сожалению, порой мне приходится иметь дело с такими потенциальными криптографами, которые хотят внести в PGP свои «улучшения», добавив алгоритм собственной разработки.

Я вспоминаю случившуюся в 91-ом году беседу с Браеном Сноу, высокопоставленным криптографом из АНБ. Он сказал, что никогда бы не поверил в надёжность алгоритма, созданного тем, кто для начала «не набил собственных шишек», потратив достаточно времени на взлом кодов. В этом есть смысл. Я обнаружил, что практически никто из мира коммерческой криптографии не подходит под такой критерий. «Да, – добавил он с самоуверенной ухмылкой. – И это делает нашу работу в АНБ гораздо проще». Пугающая мысль. Ведь я тоже не подхожу.

Правительство тоже приторговывало ханаанским бальзамом. После Второй мировой войны Соединённые Штаты продали германские шифровальные машины «Энигма» странам третьего мира. Но правительство не сообщило, что в ходе войны Союзники вскрыли код «Энигмы», факт, остававшийся засекреченным в течение десятилетий. Даже сегодня во многих UNIX-системах алгоритм «Энигмы» применяется для шифрования файлов, отчасти и потому, что правительство создало юридические преграды для использования чего-то лучшего. Оно даже пыталось предовратить первоначальную публикацию RSA в 1977. И многие годы препятствовало практически всем попыткам коммерческой разработки эффективного криптофона для массового потребителя.

Главной задачей Агентства национальной безопасности США является сбор разведданных, главным образом путём скрытого прослушивания и перехватов частных гражданский коммуникаций (см. книгу Джеймса Бэмфорда «Дворец головоломок»). АНБ накопило значительные навыки и опыт по взлому кодов. Если люди не могут воспользоваться надёжными средствами шифрования, это делает задачу АНБ ещё более лёгкой. Агентство также отвественно за одобрение и рекомендацию криптоалгоритмов. Некоторые критики видят в этом конфликт интересов, например, как если посадить лисицу сторожить курятник. В 1980-х АНБ продавливало собственный симметричный шифровальный алгоритм (Утверждённая программа COMSEC), принципы действия которого отказывалось раскрывать, ссылаясь на «секретность информации». Агентство хотело, чтобы все просто приняли его на веру. Но любой криптолог скажет вам, что грамотно спроектированный алгоритм не нуждается в защите для сохранения надёжности. Защиты требуют только ключи. Как же в таком случае можно убедиться, что засекреченный алгоритм АНБ действительно безопасен? Агентству не составит большого труда разработать такой алгоритм, который только оно сможет взломать.

На момент первоначальной публикации PGP, качество коммерческих криптопродуктов в США определялось тремя главными факторами:

• Во-первых, почти тотальной некомпетентностью разработчиков коммерческих криптографических решений (хотя после выпуска PGP наметелись сдвиги). Каждый программист воображал себя криптографом, что вело к профанации крипторазработок и распространению продуктов крайне низкого качества.

• Во-вторых, систематическим вмешательством АНБ с целью подавить все разработки хороших коммерческих криптотехнологий мерами юридического запугивания и экономического давления. Часть этого давления выразилась в строгом экспортном контроле продуктов шифрования, который, по законам рынка программного обеспечения, имел сетевой эффект, подавляя и внутренние криптографические разработки.

• Третьим методом подавления являлось предоставление патентов на все алгоритмы шифрования с открытым ключом единственной компании, что позволяло давлением на эту критическую точку ограничивать распространение технологии в целом (в итоге осенью 95-го этот патентный картель развалился).

Совместный эффект всех этих факторов состоял в том, что до момента публикации PGP в США не было ни одного общедоступного универсального продукта, обеспечивающего шифрование с высокой степенью криптографической защиты.

Я не так уверен в надёжности PGP, как был когда-то уверен в своей «блестящей» шифровальной схеме. Будь это так, это было бы дурным симптомом. В то же время я не думаю, что PGP содержит какие-то зияющие дыры (хотя и убеждён, что в нём есть баги). Для реализации в нём я избрал лучшие алгоритмы из опубликованных в гражданской криптологической литературе. Эти алгоритмы были индивидуально детально изучены. Я знаю многих ведущих мировых криптографов, с некоторыми из них обсуждал большинство алгоритмов и протоколов, задействованных в PGP. Программа была годы в разработке и уже хорошо изучена. И я не работаю на АНБ. Но вы не обязаны мне верить, ведь её исходные тексты опубликованы именно с целью свободного изучения.

И ещё один момент в пользу надёжности и целостности PGP: после его первоначальной бесплатной публикации в 1991 году, я провёл три года под уголовным преследовнием Таможенной службой США за распространение программы за рубеж, с перспективой суда и многих лет тюремного заключения. Кстати, почему-то правительство не реагировало на другое криптографическое ПО, но только PGP вывел его из себя. Говорит ли вам это что-нибудь о стойкости PGP? Я заработал свою репутацию на криптографической целостности своих продуктов. Я не предам своих обязательств нашим гражданским и конституционным правам, ради которых рисковал собственной свободой. Я не позволю программе, автором которой являюсь, иметь секретные «потайные ходы».

Уязвимости

«Даже если на дешифрование одного шифртекста PGP задействовать весь вычислительный потенциал планеты – 260 миллионов компьютеров, – всё равно на взлом, в среднем, потребуется время, в 12 миллионов раз превосходящее возраст нашей Вселенной»

– Уильям Кроуэлл, замдиректора АНБ США, на сенатских слушаниях 20 марта 1997 года.

Не существует неуязвимых систем безопасности. Криптографическую защиту PGP можно обойти различными способами. Применяя любую систему безопасности, задайте себе вопрос, представляется ли защищаемая информация более ценной для взломщика, чем цена самой атаки, направленной на её получение? Проанализировав и определив свои риски, вы сможете оградить себя от самых простых атак, не беспокоясь о более дорогостоящих.

Некоторые моменты в дальнейшем обсуждении могут показаться излишней параноей, но такой подход необходим при обсуждении вопросов безопасности.

Компрометация закрытого ключа и ключевой фразы

Это простейшая и наиболее легко реализуемая атака, если вы где-то записали пароль к своему закрытому ключу. Если злоумышленник раздобудет запись, а также сам закрытый ключ, он сможет расшифровывать все сообщения и подделывать вашу подпись.

Вот некоторые советы по защите ключевой фразы:

• Не используйте очевидную ключевую фразу, которую можно с лёгкостью угадать, например, имена ваших детей или супруга.

• Не составляйте ключевую фразу из одного слова, поскольку в этом случае она может быть довольно легко взломана перебором всех слов из словаря. Именно поэтому ключевая фраза гораздо лучше пароля. Более продвинутый взломщик может заставить компьютер просканировать книгу известных изречений на предмет соответствия им вашей ключевой фразы, так что старайтесь не использовать и их. Добавьте в ключевую фразу небуквенные символы, такие как цифры и знаки препинания, только если это не сделает её слишком труднозапоминаемой.

• Используйте легкозапоминаемую, но труднопредсказуемую ключевую фразу. Избегайте её записания, выбирая такую, которая уже находится в вашей долгосрочной памяти, а не ту, которую придумали с нуля. В противном случае вы наверняка её забудете, если только не начнёте сразу и регулярно применять. Быть может, вы вспомните забавное бессмысленное выражение, пришедшее вам в голову ещё когда учились в колледже, и чудесным образом сохранившееся в памяти на все эти годы.

Махинации с открытыми ключами

Крупная проблема возникает в том случае, если открытые ключи контрагентов при взаимообмене оказались злоумышленно подменены. Подмена открытых ключей представляет собой главную уязвимость любой асимметричной криптосистемы, отчасти и потому, что многие новички не сразу распознают её (за более подробными сведениями обращайтесь к параграфу «Как защитить открытый ключ от подмены»).

Вкратце: прежде чем использовать чужой открытый ключ, убедитесь, что он аутентичен. Новый открытый ключ может считаться подлинным, только если был напрямую получен непосредственно от его владельца, либо если он подписан кем-то, кому вы доверяете в сертификации ключей. Примите все меры, чтобы никто не мог манипулировать вашей связкой открытых ключей. Держите связки открытых и закрытых ключей под полным физическим контролем, желательно на собственном компьютере, нежели на системе со свободным доступом. Сделайте резервные копии обеих связок.

Не полностью удалённые файлы

Другая потенциальная угроза безопасности исходит из того, как большинство операционных систем удаляют файлы. Когда вы зашифровали файл и хотите удалить оригинал с открытым текстом, ОС на самом деле не стирает данные физически – она просто удаляет запись о таком файле из файловой системы и особым образом помечает начало файла на диске, позволяя позднее вновь использовать занятые сектора, содержавшие файл. Это похоже на то, как если бы вы выбросили конфиденциальные документы в мусорную корзину вместо того, чтобы пропустить их через шреддер. Сектора диска по-прежнему содержат ценные данные, которые вы хотели стереть, и в будущем поверх них наверняка будет записана новая информация. Но если злоумышленник прочитает содержимое секторов спустя короткое время после их высвобождения, он сможет восстановить оригинал.

Компрометация может случиться и не умышленно. При сбое компьютера диск может оказаться повреждён, что повлечёт порчу или уничтожение каких-то файлов. Для их восстановления можно воспользоваться специальной утилитой, но обычно это приводит к тому, что наряду с нужными «воскресают» и все прочие давно удалённые файлы. Эти вновь появившиеся конфиденциальные данные, которые, как вы считали, исчезли давно и безвозвратно, могут быть просмотрены тем, кто занимается восстановлением повреждённого диска. Даже когды вы составляете важное сообщение в текстовом редакторе, он может сохранять на диске многочисленные временные копии текста просто из-за внутренних особенностей своего функционирования. Когда работа окончна, эти временные копии автоматически удаляются программой, но фрагменты ценных данных остаются где-то на диске.

Единственная возможность предотвратить восстановление открытого текста – каким-то образом перезаписать высвободившиеся от только что удалённого файла сектора. Если вы не знаете наверняка, что эти сектора в ближайшее время будут снова использованы, нужно принять определённые меры по перезаписи удалённого файла, а также всех его фрагментов, оставленных текстовым редактором на диске. Вы можете добиться этого, воспользовавшись функциями PGP по уничтожению данных Secure Wipe и Freespace Wipe.

Современные операционные системы благодаря поддержке так называемых журнальных файловых систем ещё более усугубляют проблему временных файлов. Эти файловые системы сохраняют в своей специальной внутренней области резервные копии всех записей, вносимых ОС в файловую систему – ведут журнал изменений. Такой журнал представляет собой последовательное описание всех изменений, произведённых на диске, и служит цели надёжного восстановления ФС после сбоев. Файловая система NTFS, поддерживаемая Windows NT/2000/XP, и есть пример журнальной ФС. MacOS X 10.2.2 также имеем журнальные расширения к своей файловой системе HFS. Единственный способ уничтожить записи журнала ФС, относящиеся к удалённым ценным файлам – использовать функцию PGP Freespace Wipe.

Вирусы и трояны

Атака состоит в применении специально спроектированного компьютерного вируса или червя для заражения установленной у вас программы PGP. Этот гипотетический вирус может быть устроен так, чтобы перехватывать закрытый ключ и его ключевую фразу или содержание расшифрованных сообщений и незаметно записывать эту информацию в файл либо отправлять её по сети взломщику. Равно он может менять функционирование PGP, чтобы тот не сообщал о поддельных цифровых подписях или ослаблял его криптографическую стойкость. Такая атака дешевле криптоаналитической.

Защита от подобного рода атак подпадает под общую категорию антивирусной защиты. Существуют довольно неплохие коммерческие антивирусные пакеты, а также гигиенические процедуры, следование которым серьёзно снижает риск вирусного заражения. Полный обзор антивирусных мероприятий лежит за пределами темы настоящего документа. PGP беззащитен против вирусов и троянских программ; его использование предполагает, что ваш собственный компьютер является достаточно надёжной средой исполнения. Но если подобный вирус или червь появятся в действительности, надо надеяться, предупреждение об этом всего криптографического и Интернет-сообщества распространится незамедлительно.

Если ваш компьютер имеет постоянное подключение к сети, взломщик может воспользоваться незакрытой уязвимостью в системе безопасности ОС, чтобы проникнуть в компьютер и поместить в него некую вредоносную программу, нарушающую целостность PGP. Такое может произойти даже пока вас нет рядом.

Похожая атака заключается в использовании качественной подделки PGP, функционирующей как PGP, но, например, не сверяющей должным образом подписи, что допустит применение поддельных открытых ключей, или радикально снижающей стойкость шифртекстов. Взломщику не составит большого труда изготовить такой троян, поскольку исходный код PGP широко распространён, что позволяет любому, внеся в него изменения, произвести безголовую имитацию программы, которая выглядит как настоящая, но безоговорочно следует демонической воле своего повелителя. Этот троян PGP может быть широко распространён, заверяя, что он из достоверного источника. Какое коварство!

Наилучший источник получения PGP – это сайт PGP Corporation.

Кроме того, есть несколько способов проверки целостности PGP при помощи ЭЦП. Вы можете с помощью второй подлинной копии программы сверить подпись на дистрибутиве подозрительной. Но это не поможет, если ваша ОС заражена специальным упомянутым выше вирусом, либо если оригинальная копия PGP была злонамеренно изменена так, чтобы скомпрометировать её возможность сверять надлежащим образом подписи. Для этой процедуры также необходимо, чтобы вы располагали подлинной копией открытого ключа PGP Corporation, которым сверяете подпись с дистрибутивного пакета программы.

Файл подкачки и виртуальная память

Первоначально PGP создавался для MS-DOS – примитовной по сегодняшним меркам операционной системы. Но когда он был адаптирован под более комплексные ОС, такие как Microsoft Windows и Macintosh OS, возникла новая проблема. Эта проблема проистекает из факта, что эти продвинутые ОС используют метод, называемый виртуальной памятью.

Виртуальная память позволяет исполнять программы, намного превышающие ёмкость установленных в вашем компьютере полупроводниковых схем оперативной памяти (ОЗУ). Это очень полезно, так как софт становится всё более и более раздутым из-за ставших нормой графических интерфейсов, а пользователи всё чаще работают с несколькими крупными приложениями одновременно. С этой целью ОС для хранения невостребованных на данный момент частей программы использует жёсткий диск. Это означает, что ОС может записывать на диск такие вещи, которые, как вы считали, должны храниться только в основной физической памяти; это могут быть ключи, пароли, расшифрованный открытый текст. PGP не держит ценные данные подобного рода в памяти дольше, чем нужно, но есть вероятность, что ОС всё равно может записать их на диск.

Данные записываются в специальную область диска, называемую своп-файлом (swap file), или файлом подкачки. Затем они по мере надобности считываются из своп-файла, так что на каждый момент времени в физической памяти находится только часть информации или исполняемой программы. Все эти действия незаметны для пользователя, который видит только перемигивания индикатора доступа к диску. Microsoft Windows подкачивает блоки памяти, называемые страницами, используя алгоритм замены наименее используемых страниц (Least Recently Used, LRU). Это значит, что из памяти в первую очередь выгружаются те страницы, к которым дольше всего не было запросов. Такой подход снижает риск, что ценные данные будут записаны на диск, поскольку PGP не оставляет их надолго в памяти. Также мы старались по возможности заставить ОС блокировать такие данные в физической памяти, не позволяя выкачивать их на диск. Но мы не можем ничего гарантировать.

Всякий, кто имеет физический доступ к вашему компьютеру, может получить доступ и к этому файлу. Если вас беспокоит эта проблема, её можно решить, установив программу для шифрования или перезаписи файла подкачки. Другое возможное решение – отключить виртуальную память операционной системы совсем. MS Windows, как и Mac OS, позволяют сделать это. Но её отключение потребует от вас установить дополнительные схемы ОЗУ, чтобы уместить всё в физической памяти.

Брешь в физическом периметре безопасности

Злоумышленник может найти брешь в физической безопасности вашего офиса или дома для проникновения и получения физического доступа к компьютеру, расшифрованным файлам и распечатанным документам; это также даст ему возможность установить «жучок» или иную «закладку». Он может добиться этого путём кражи, осмотра мусора, подставного обыска и выемки документов, захвата, либо при помощи подкупа, шантажа или внедрения в штат ваших служащих. Некоторые из названных атак наиболее легко реализуемы против политических и общественных организаций, зависящих от многочисленного добровольного персонала.

Не впадайте в ложное чувство защищённости только из-за того, что у вас есть надёжное средство шифрования. Криптографические методы предохраняют данные только когда они зашифрованы – прямое нарушение физической безопасности может легко скомпрометировать открытый текст, либо записаную или произнесённую информацию.

Этот тип атак дешевле криптоаналитической, но его эффективность в полной мере зависит от объёма усилий и средств, вложенных в обеспечение физической безопасности.

TEMPEST-атака

Другой подход к взлому, применяемый хорошо оснащённым оппонентом, основан на удалённом регистрировании излучаемых компьютером электромагнитных волн. Эта дорогостоящая и трудоёмкая атака всё же дешевле прямого криптоаналитиза. Соответствующим образом оборудованный фургон может припарковаться неподалёку от вашего офиса и дистанционно «снять» все нажатия клавиш и отображаемую на дисплее информацию. Это, безусловно, раскроет все ваши пароли, сообщения, и т.п. Такую атаку можно предотвратить надёжным экранированием компьютерной техники и сетевых кабелей. Эта защитная технология, известная как TEMPEST (от Transient Electromagnetic Pulse Emanation Standard, стандарт всплескового переменного электромагнитного импульсного излучения), применяется некоторыми государственными службами и оборонными предприятиями. Есть компании, поставляющие экранировку TEMPEST коммерчески.

Новые версии PGP от 6.0 и выше, имеющие опцию Secure Viewer, могут отображать расшифрованный текст с помощью специального шрифта с пониженным радиоизлучением компьютерного монитора, что делает сигналы более труднообнаружимыми.

Фальсификация меток времени

Несколько неочевидной уязвимостью PGP является возможность злоумышленной подделки меток времени на цифровых подписях и сертификатах ключей. Вы можете пропустить этот раздел, если не интересуетесь деталями некоторых протоколов асимметричных криптосистем.

Ничто не остановит недобросовестного пользователя от «перевода стрелок» его системных часов для генерации сертификатов открытых ключей и цифровых подписей, которые будут казаться созданными в иное, чем в действительности, время. Он может сделать так, чтобы подписанная информация казалась подписанной раньше или позже, чем было в реальности, или что его ключевая пара была создана в прошлом или в будущем. Это может принести ему некоторую юридическую или финансовую выгоду, например, создавая некую лазейку, позволяющую отречься от собственной подписи.

Проблема фальсификации меток времени ЭЦП не страшнее подделки даты собственноручных подписей. Человек может написать любую дату напротив собственноручного автографа на контракте, но, похоже, никто по этому поводу чересчур не волнуется. Далеко не в каждом случае «некорректная» дата ручной подписи указывает на факт мошенничества. Метка времени указывает на то, когда человек своей подписью утвердил документ или с какого момента он хочет, чтобы подпись вступила в законную силу.

PGP предваряет подписанный текст несколькими строчками с указанием даты подписания и лица, подписавшего текст. PGP Universal и PGP 8.0.3 и выше применяют особые механизмы для предостращения модификации этих служебных строк, тем не менее, взломщик может прибегнуть к обрамлению текста в электронном письме аккуратно составленным изображением, заставляющим вас поверить, что он подписал сообщение в иное время, чем было в действительности. Один из способов обнаружить обман – целиком выделить содержание сообщения (Ctrl+A). Выделенный текст выглядит обычно иначе, чем выделенная картинка.

В тех случаях, когда реальная дата подписания имеет критическое значение, люди просто пользуются услугами нотариусов, подтверждающих эту дату. Аналогом такой процедуры в случае с ЭЦП будет попросить доверенного посредника подписать сертификат ЭЦП, приложив к нему собственную достоверную метку времени. Это не потребует сколь-нибудь экзотических или чрезмерно формализованных протоколов. Подписи посредников давно признаются законным средством установления фактической даты подписания документа.

Доверенный нотариус или Центр сертификации может давать надёжные подписи с достоверными метками времени. ⁹ Для этой цели даже не нужна централизованная служба. Любой доверенный поручитель или незаинтересованная третья сторона сможет исполнить эту роль, как это делают частные, государственные и общественные нотариусы. Когда нотариус подтверждает чужую подпись, он создаёт сертификат подписи для сертификата подписи. Затем нотариус может поместить съёмную ЭЦП (без самого заверенного документа) в специальный публичных архив. Подпись нотариуса с достоверной меткой времени будет иметь больший вес и правовое значение, нежели дата оригинальной подписи документа.

Подробное обсуждение этой темы вы можете найти в статье Деннинга в IEEE Computer за 1983 год. Будущие версии PGP возможно будут иметь дополнительные функции по работе с ноториальными подписями и достоверными метками времени.

Уязвимости многопользовательских систем

Изначально PGP создавался для однопользовательских ПК, находящихся под полным физическим контролем владельца. Если вы работаете с PGP на домашнем не подключённом к сети компьютере, ваши зашифрованные файлы будут в достаточной безопасности, только если некто не вломится к вам дом, не похитит компьютер и не станет угрожать, чтобы вы раскрыли ему свою ключевую фразу (если она не столь проста, чтобы её угадать).

PGP не способен защитить ваши файлы на общедоступной системе, когда они представлены в виде открытого текста. Равно, не может он противостоять взломщику, применяющему чрезвычайно сложный комплекс мер для перехвата используемого закрытого ключа. Злоумышленник может проникнуть в ваш компьютер, если он подключён к сети или если это общедоступная многопользовательская система с возможностью удалённого подключения, как UNIX. Вам необходимо принимать в расчёт все эти риски многопользовательских систем и соотвественно корректировать своё поведение. Возможно, в вашем случае будет лучше использовать PGP на изолированном персональном компьютере, находящимся под прямым физическим контролем.

Анализ трафика

Даже если взломщик не может узнать содержание зашифрованных сообщений, он всё же может получить некоторые крупицы информации, проследив, откуда приходят сообщения и куда они отправляются, их объём, время отправки. Это аналогично тому, как если бы злоумышленник просматривал ваши счета за междугородние телефонные переговоры, чтобы узнать кому и когда вы звонили и как долго продолжался разговор, хотя само содержание звонков останется ему неизвестным. Это называется анализом трафика. PGP в одиночку не защищает от подобного рода атак. Решение этой проблемы может потребовать специализированных протоколов связи, возможно, с применением криптографических средств, разработанных для уменьшения риска анализа трафика в конкретной коммуникационной среде.

Криптоанализ

Криптоанализ – это чрезвычайно сложная и дорогостоящая атака, доступная лишь оппоненту с мощнейшими суперкомпьютерами и колоссальными вычислительными ресурсами, например, государственной разведслужбе. Вероятно, она может взломать открытый ключ, используя некое засекреченное математическое открытие. Но научная общественность предпринимает попытки взлома асимметричной криптографии с 1978 года, не добиваясь никакого успеха.

Возможно, спецслужбы владеют какими-то засекреченными методиками взлома реализованных в PGP блочных шифров. Это ночной кошмар любого криптолога. В практических криптографических приложениях не существует гарантий абсолютной безопасности.

Всё же определённый оптимизм остаётся оправданным. Включённые в PGP алгоритмы с открытым ключом, хэш-функции и блочные шифры были созданы одними из лучших криптографов в мире. Они прошли долгую проверку на надёжность и безопасность лучшими группами гражданских криптоаналитиков планеты.

Даже если эти блочные шифры имеют какие-то неизвестные незначительные недостатки, PGP сжимает открытый текст перед зашифрованием, что сводит к минимуму любые возможные слабые места алгоритмов. Вычислительная нагрузка на вскрытие шифртекста вероятнее всего будет многократно превышать ценность самого сообщения, что сделает взлом нерентабельным и в конечном счёте бессмысленным.

Если же ваша ситуация оправдывает опасение перед дорогостоящими атаками такого масштаба, тогда вам лучше связаться с консультантом по информационной безопасности для разработки индивидуальных решений, приспособленных под ваши особые нужды.

Заключение

Без хорошей криптографической защиты цифровых коммуникаций злоумышленнику не составит почти никаких усилих и труда перехватывать сообщения, особенно, отправляемые по модему или по электронной почте. Если же вы применяете PGP и соблюдаете разумные меры предосторожности, взломщику потребуется гораздо больше сил, времени и средств, чтобы получит вашу информацию в свои руки.

Если вы обезопасили себя от простейших атак и чувствуете уверенность, что не будете подвергнуты атаке серьёзнго, располагающего крупными ресурсами оппонента, тогда вы скорее всего будете спокойны, используя PGP. PGP даст вам весьма хорошую секретность.

Страница 4 / 4

1. События 11 сентября 2001 года и последовавшая за ними реакция заставляют совсем по-иному оценить эти слова. Вернуться к тексту

2. Разработчики же утверждают, что название CAST связано с процедурой разработки, и должно напоминать о вероятностном характере процесса (cast, англ. – догадка), а не об инициалах авторов. Вернуться к тексту

3. Речь идёт о формате ключей RSA обратной совместимости, о так называемых RSA Legacy v3. Новый формат ключей RSA v4 в полной мере соответствует функциональности ключей DH/DSS v4. Вернуться к тексту

4. В PGP реализован генератор ПСЧ, соответствующий спецификациям ANSI X9.17 для генерации непредсказуемых сеансовых ключей. Более подробные сведения могут быть найдеты в IETF RFC 1750. Вернуться к тексту

5. Если говорить точнее, в вычислительном плане практически невозможно создать такое подставное сообщение, которое производило бы дайджест, идентичный дайджесту заданного сообщения – для это потребуется перебрать 2¹⁶⁰ вариантов при использовании хэш-функции SHA-1. В то же время, исходя из парадокса дней рождений, можно создать два сообщения, производящих идентичный дайждест, за 2⁸⁰ вычислений, а если принять во внимание теорию вероятности, то с 50-процентным успехом искомая комбинация сообщений будет найдена уже после 2⁷⁹ вычислений. Вернуться к тексту

6. Функция регулировки «скептицизма» программы при оценке достоверности ключей в её последних версиях отсутствует. Ключ считается подлинным, если его сертификат заверен одной полностью доверяемой подписью или двумя частично доверяемыми подписями. Недоверяемые подписи в расчёт оценки не берутся. Вернуться к тексту

7. В последние годы положение на рынке защищённой телефонии начинает меняться, прежде всего в странах ЕС. В качестве примера стоит упомянуть платформу SNAP от SnapShield и сотовый GSM-криптофон GSMK-100 от немецкой GSMK mbH за полторы тысячи евро. Если же в вашем бюджете не предусмотрены такие затраты, можно воспользоваться условно-бесплатным PGPfone. Вернуться к тексту

8. В старину ханаанским бальзамом называли шарлатанские лекарства, якобы излечивающие от всех болезней. Сегодня это термин, применяемый к ненадёжным системам безопасности. Вернуться к тексту

9. Общественная служба меток времени, основанная на механизме PGP, называется Stamper. Здесь можно более подробно узнать о ней и о том, как с ней обращаться. Вернуться к тексту

Что такое pgp?

Прикладная криптосистема PGP(Pretty Good Privacy, Довольно хорошая секретность) была разработана и опубликована в Интернет в 1991 году программистом и математиком Массачусетского Политеха Филиппом Циммерманом, по сути, оказавшись первым продуктом подобного уровня, представленным для свободного доступа всему миру (за что впоследствии Циммерман поплатился несколькими годами уголовного преследования со стороны Таможенной службы США – в то время экспорт стойких криптотехнологий за пределы Штатов был запрещён). Изначальной целью разработки была защита гражданских прав пользователей глобальной сети, а главной задачей программы стала криптографическая защита электронной почты – шифрование.

Программа основана на так называемой асимметричной криптографии, использующей взаимосвязные пары ключей: закрытый, хранящийся только у владельца для цели расшифрования данных и их цифрового подписания, и открытый, который не нуждается в защите, может быть широко распространен и используется для зашифрования и сличения цифровых подписей (все эти уникальные возможности достигаются засчёт особого математического аппарата). Это идеальное решение для людей, не имеющих существующего согласованного тайного ключа. Вы можете взять открытый ключ адресата из любого открытого источника, с его Интернет-сайта, например, зашифровать сообщение и отправить. Никто, кроме получателя с соответствующим закрытым ключом, не сумеет прочитать ваше письмо.

С тех пор PGP претерпел значительные изменения и преобразился, как согласно духу времени и новых угроз, так и вследствие того, что теперь значительную часть пользователей программы составляют не только обычные люди, но и крупные организации и бизнесы. Сегодня PGP – это несколько линеек приложений, различающихся назначением и перечнем решаемых задач, функциональностью, принципами работы и средой исполнения, но объединённых полной совместимостью благодаря стандартуOpenPGP, а также своей исключительной надёжностью в обеспечении защиты информации.

Долгая история PGP привлекла к криптосистеме внимание огромного числа пользователей, исследователей, специалистов. Тому способствовал и ряд дополнительных обстоятельств. Во-первых, программа всегда была условно-бесплатна. Даже после перехода разработки на коммерческие рельсы продолжают выходить freeware-версии, отличающиеся от платных лишь чуть меньшей функциональностью (по большому счету, только отсутствием PGPdisk). Во-вторых, разработчики – выдающиеся программные инженеры и эксперты в области информационной безопасности – всегда публиковали исходные тексты программы для их свободного изучения, что является необходимым условием для поддержания высокой надёжности и выдающейся репутации системы. Закрытые исходные тексты лишь осложняют изучение программы на наличие брешей, "потайных ходов" и ошибок в реализации. С другой стороны, тот факт, что даже наличие открытых исходных текстов не привело к взлому PGP, красноречиво свидетельствует о надёжности программы.

За дополнительной информацией обращайтесь в раздел Софт.