Comments 51
Отдадим дань уважение первоисточнику ТК 26 (https://tc26.ru/), где со все это добро разрабатывалось.
Прежде чем принудительно всех пересаживать на ГОСТ-шифрование сайтов, обеспечивая заказами особоприближенных, необходимо внедрить шифрование в популярные браузеры, .net, java и другие фреймворки. С диким ужасом вспоминаю реализацию xml подписи на ГОСТ для СМЭВа, дело было лет 9 назад, но осадок никуда не делся. Раньше я тратил 4 часа жизни на настройку браузера для работы с ГОСТ-шифрованием, сейчас час, но и это дико. ЯБраузер заявляет, что будет работать из коробки, но и в других браузерах должна быть поддержка.
Я помню о скандалах с rsa и бекдорах реализации и понимаю необходимость подобного шага, но, камон, не верю в бесшовность перехода.
А еще нас заставят делать два домена с сертификатами:
- Католическими на rsa для остального мира
- Православными по ГОСТ — для своих.
Гм, если не ошибаюсь все работает через плагин, установка плагина занимает пару минут.
Опять же есть версии огнелиса и хрома с интегрированным ГОСТом.
ssl_certificate example.com.rsa.crt;
ssl_certificate_key example.com.rsa.key;
ssl_certificate example.com.ecdsa.crt;
ssl_certificate_key example.com.ecdsa.key;
На всякий случай напоминаю о проблемах, которые могут всплыть при использовании open-source реализациях хэш-функции Стрибога и их влиянии на электронную подпись ГОСТ Р 34.10-2012:
И тут случился шок! Хэш, подсчитанный «знаменитой реализацией Дегтярева» совпадал с хэшом, подсчитанным в openssl с ГОСТ-ым endine, но не совпадал со значением хэш, посчитанным с помощью libgcrypt и libressl.
Так что не будет их никогда не в каких Хромах до тех пор, пока не подтвердят Безопасность.
Шифров нет в библиотеках OpenSSL и boringssl, собственно они там и не должны быть. Т.к зачем они нужны если есть TLS?
Понятие безопасности растяжимое, я пытался прочитать все статьи про уязвимости ГОСТа, там в основном упирают на тайно выбранные константы. В итоге никакой явной атаки никто не предоставил, кроме фразы, что теоретически существуют слабые константы, а про "секретные" константы оказалось, что это ФИО авторов алгоритма в кодировке, что не тянет на супер уязвимые константы.
А почему не включают в стандарт? Ну а зачем им конкуренты? У них есть свои стандарты, своя контора NSA, которая эти стандарты продвигает, типа Dual_EC_DRBG, который закончился скандалом, так как там был явный бэкдор.
Может я и не прав, но можно статью в студию с примером реализации по взлому?
Не понял смысл примера про корейскую и японскую крипту, так как судя по докам кроме американских в винде, к примеру, ничего из коробки не поддерживается если я правильно понял, получается что по факту ГОСТ в таком же положении, не хуже и не лучше, не зависимо от того одобрил их кто-то на бумаге или нет
https://docs.microsoft.com/en-us/windows/win32/secauthn/tls-cipher-suites-in-windows-10--version-1507
Хотя, зачем вообще поддерживать какие-либо алгоритмы других стран, когда это не требуется софту в стране выпуска, тем более что разработка криптографии как и поиск уязвимостей и прочего в ней довольно трудоемкий процесс, так что нет ГОСТа из коробки нигде и хорошо, почему к нему должно быть особое отношение, а так хоть обязать через силу на него перейти всем сложнее
ГОСТ сейчас в положении prpposed draft datatracker.ietf.org/doc/draft-smyshlyaev-tls12-gost-suites и будет в нем находится до тех пор, пока авторы не ответят удовлетворительно на возникшие к ним вопросы вместо того, чтобы как попугаи повторять «патамушта!» Но что-то мне подсказывает, что ответов от них не будет, а вместо них Захарова расскажет про очередной всемирный заговор против молодой советской республики и выразит очередную порцию озабоченностей в лужу.
Ну я не припомню у нас какой-то пример взаимодействия гос в ИТ, где была нормальная связь с общественностью, всё делается как будто специально чем хуже, тем лучше, а по поводу констант кто знает в итоге четные они или нет, это как генераторы случайных чисел, требуются отдельно физические, так как встроенному в проц от Интел полного доверия быть не может, тем более что предложенных констант на каждый алгоритм обычно несколько сразу, возможно смотря какую выбрать?
Я вообще не уверен, что им реально хочется в этот стандарт попасть, это ничего не даст
То что стандарт примут или нет думаю и в другую сторону никого не волнует, как говорится сделали что могли.
Ну а какой государству смысл от интернета без контроля над ним, за обычным интернетом контроль через то, что все компании либо в США, либо контролируются через санкции США, так что свой интернет карманный звучит как логичный шаг, вообще не понимаю почему не могли начать с того, что сделать свой корневой УЦ на RSA/ECDSA и постепенно смотреть что получится, было бы логично гос. сайтам иметь свою цепочку доверия, хотя бы как быстрый запасной план.
Отечественные криптоалгоритмы прямо как отечественная физика или математика… скрепная и сакральная. А если без сарказма, что особенного в российских алгоритмах по сравнению с нероссийскими?
Получаеться, что это «шифрование» нужно 2,5 пользователям — тогда ему не место в стандарте и поставке всем.
2. Добавить в софт (в ОС, популярные браузеры и популярные библиотеки) возможность работы с российскими алгоритмами не сложно, и обратная совместимость при этом не поломается. Спрос есть, и даже финансирование найдётся, если будет принципиальное согласие.
3. А вот с принципиальным согласием есть проблемы. Никто не горит желанием добавлять поддержку алгоритмов, стойкость которых сомнительна: это не то что не соответствует целям разработчиков софта, а прямо им противоречит.
На мой взгляд, браузеры должны поддерживать весь набор шифров. А на серверной стороне можно отключать шифры, которым нет доверия.
Кто-нибудь может раскрыть этот момент?
Если перестановка действительно случайная (как утверждают авторы) — то нельзя придумать алгоритм, который бы был по размеру меньше этой подстановки (для случайных данных самый простой способ записать их — привести как есть, константой). А тут вот получается, причем намного меньше.
Пример — сама таблица 256 байт, самая короткая программа на C для её генерации — 134 байта, на ассемблере есть реализация в 80 байт. Вероятность, что авторы выбрали случайную таблицу, а для неё случайно нашлась программа, в три раза её короче — ну, очень небольшая, это уж точно.
Основная претензия — авторы не говорят, зачем это нужно, и даже отрицают сам факт того, что это намеренно. Оправдание — "нууу мы тут выбрали случайную таблицу, а это оно само", что не выдерживает никакой критики, ибо класс таких таблиц очень узкий, и если оно действительно само — авторам стоит купить сотню лотерейных билетов — выиграют сотню квартир, машин, миллионов и что там еще в качестве призов предлагается.
В криптографии так не принято, когда автор одновременно выдвигает алгоритм в качестве стандарта и скрывает внутреннее устройство. Либо крестик (т.е. объяснить аномалию), либо трусы (т.е. идти и шифровать в недрах ФСБ, там такое любят). Они бы еще бинарник обфусцированный дали и предложили стандартизировать, а что — алгоритм? Алгоритм!
Возможно, что эта структура в таблице усиливает какие-то свойства алгоритма, а рассказать об этом не могут, т.к. раскрыть принцип формирования таблицы == раскрыть саму атаку. Такое уже было с DES, и тогда тоже все говорили о том, что возможно NSA вставила бекдор. Вопрос доверия ФСБ полагаю оставить за рамками этого комментария, лично у меня этого доверия нет. И в целом основывать защищенность на доверии одной спецслужбе — не самая лучшая идея.
И вот это ваше «случайно — следовательно — нет алгоритма» совершенно неправильно с точки зрения логики. Случайно может (теоретически) так лечь что вообще не будет перестановки (алгоритм 0-й длинны).
Но если отбросить всю эту «политико/заговорную тему» и ответить по существу: Снижает ли наличие алгоритма (путь даже короче чем сама таблица) крипто-стойкость алгоритмов, в которых эта таблица использована?
ЗЫ На сколько я помню историю с DES там вовсе не наличие алгоритма для таблицы перестановок роль играла, а дифференциальный криптоанализ выявил недостатки этих таблиц (не важно как они были составлены). Т.е. сравнивать ситуации с наличием алгоритма для создания блока перестановок и слабостью этого блока выявленную методами диф. криптоанализа — это как теплое с мягким сравнивать.
Нет, про DES было ровно так же. Пришла NSA и сказала "ваши таблицы плохие, берите мои таблицы, они хорошие". И только спустя много лет выяснилось, почему же они были хорошие. А до этого все тоже гадали, что они в этих таблицах спрятали (но да, тогда там не смогли найти структуру, просто обмусоливали факт таблиц, хз откуда взявшихся). Но DES был очень давно и был единственным. А сейчас этих алгоритмов много, хочешь AES, хочешь Blowfish, хочешь ChaCha20-Poly1305.
И да, криптография в основном не является точной наукой. Там точно известны способы, как делать не надо, а способы, как делать надо — эмпирические, "вроде не поломали" и "на данный момент нет известных атак". Случаи, когда у примитивов есть доказанная стойкость, немногочисленны, и в основном опираются на (недоказанную) стойкость нижестоящего примитива. Единственный шифр с доказанной абсолютной стойкостью — вообще одноразовый блокнот. Обычно доказывают стойкость режимов шифрования или подписи (OAEP, XTS) в предположении, что нижележащий шифр (RSA, AES) соответствует какой-то модели безопасности.
"Случайно — нет алгоритма" правильно с точки зрения статистики. В среднем на случайную перестановку не найдется эффективные алгоритма, но да, есть некоторые вырожденные случаи — например, перестановка 1-2-3-4-5..., или та, что у ГОСТа. Вероятность попасть на вырожденный случай маленькая, а длина алгоритмов — как раз неплохая метрика для оценки вырожденности этого случая. Математически это называется "энтропия".
Ресурсы исследователей ограничены, и когда ты подаешь заявку на алгоритм — никто не будет разбираться "что имел в виду автор", и никто не будет исходить из тезиса "если это пока не нашли — значит этого нет". Потому с точки зрения международной стандартизации ГОСТ рассматривается именно как интересная задача "что же там сныкали", а не как криптографический примитив. Для прекращения его рассмотрения в качестве криптографического примитива достаточно самого факта, что что-то спрятали. Потому что есть другие примитивы, где ничего не прятали, и которые можно анализировать по существу, а не тратить время на поиски бекдора или на установление его отсутствия.
И да, я не говорю что ГОСТ плохой, я просто говорю, что при таких вводных им пользоваться никто не будет. Сфера его применения — офицеры ФСБ, которые темной ночью будут закрываться в кабинете и шифровать друг другу пакеты. Ну и все, кто от них зависит.
Аналогично сейчас так же обмусоливают эллиптические NIST-овые кривые, говоря о том, что они в общем-то хз откуда взялись и возможно принадлежат к какому-то секретному классу слабых кривых. И именно потому есть понятие "curve rigidity" и альтернативы в виде X25519 и X488. Заметьте — и это в сторону американских кривых, никаких скреп и новичков. Абсолютно те же самые принципы. Просто криптография так работает, вся. Вот оно, выделено жирным красным цветом — абсолютно те же заявления — "непонятно как получено".
Условно говоря, желающих жить с крокодилом немного, несмотря на то, что он вроде не кусается. Достаточно того, что зубы есть. Но да, математически наличие бекдора не доказано, если вы это хотели услышать. Другое дело, что от факта возможности, но недоказанности перспективы шифра лучше не становятся.
«Случайно — нет алгоритма» правильно с точки зрения статистики.
И это тоже не верно: произвольную случайную перестановку можно реализовать алгоритмом. Возможно он будет длиннее самой таблицы, но такой алгоритм всегда найдется.
Т.е. «Случайно — нет алгоритма» — просто ложное утверждение априори. Как из той мухи раздуть слона — вы прекрасно описали.
И да, я не оправдываю разработчиков ГОСТ-овских алгоритмов шифрования. Но и делать выводы о надежности алгоритмов на основе домыслов — тоже не поддерживаю.
Возможно он будет длиннее самой таблицы, но такой алгоритм всегда найдется.
Это подразумевалось, да, из контекста первого сообщения. Имелся в виду "алгоритм короче, чем запись константой", который существует не всегда.
Но и делать выводы о надежности алгоритмов на основе домыслов — тоже не поддерживаю.
Потому что в криптографии действует презумпция ненадежности, вот и все. Особенно в конкурсах на стандарты. Все вышеизложенное вытекает из этого.
Вывод, кстати, делается не на основе домыслов, а на основе факта, что авторы врут. Это, в отличие от возможного бекдора, установлено с достаточной достоверностью.
Плюс, как я вон выше про кривые NIST привел, заменять возможно ненадежные алгоритмы — стандартная практика, даже если ненадежность не доказана (или доказана, но вычислительно недостижима).
факта, что авторы врут— высосано из пальца.
Ну вот возьму я 256 пронумерованных карточек и долго буду мешать, раскидывать и сгребать, и прочими методами вносить энтропию, потом выложу их подряд — это случайная перестановка? Да, она сформирована случайно.
И то что позже может быть найден достаточно короткий алгоритм формирующий эту последовательность вовсе не делает «враньем» первичный постулат о случайности создания этой перестановки.
Если для вас это не так, то мне искренне жаль.
И то что позже может быть найден достаточно короткий алгоритм формирующий эту последовательность вовсе не делает «враньем» первичный постулат о случайности создания этой перестановки.
Разумеется, не делает. Зато длина алгоритма позволяет говорить о вероятностях.
Есть вероятность, что они искренне случайно выбрали такую подстановку. И есть вероятность, что они просто наврали, а о реальных критериях выбора подстановки говорить не хотят или не имеют права.
Вероятность первого оценивается математически, учитывая, что каждый сэкономленный байт влияет на эту вероятность экспоненциально, она очень маленькая. Вероятность второго предлагаю каждому оценить самостоятельно, учитывая, что даже в США был пример с DES.
Если для вас это не так, то мне искренне жаль.
Я предпочитаю птицу, которая ходит как утка, выглядит как утка и крякает как утка, называть уткой. Хотя заметьте, я ни разу не делал ДНК-тест этих птиц и строго говоря утверждать о принадлежности к биологическому виду не могу.
Если вам более привычно сохранять свою картину мира, где есть всемирный заговор против стойкого алгоритма, ценой веры в события, вероятности которых имеют не один десяток нулей после запятой, то я не могу вас за это осуждать. В конце концов, вы далеко не один такой.
Я то все надеялся что общаюсь с человеком, для которого причинно следственные связи в рассуждениях важнее домыслов и страхов перед товарищем майфором… и да мне искренне жаль, что я потратил столько времени на разговор из разряда слепого с глухим…
Если строка длины N достаточно случайна (близка к строке аналогичного состава и длины с максимальной энтропией) то её колмогоровская сложность ~ N, т.е. алгоритма, короче её, не существует.
С другой стороны можно почитать про ограничение архивирования, если вдруг стало интересно. В любом случае — это хороший тон задавать процедуру генерации «случайных» элементов, которые гарантируют, что там нет умышленных уязвимостей. А давать бинарные куски с формулировкой «как вы не можете верить государству» — плохой.
Если строка длины N достаточно случайна (близка к строке аналогичного состава и длины с максимальной энтропией) то её колмогоровская сложность ~ N, т.е. алгоритма, короче её, не существует.
А на основе чего делается такое заключение? Есть где про это почитать.
По поводу хорошего тона, тут вопрос спорный (по крайней мере, для меня). Ведь опять же: случайно созданная последовательность не перестает быть случайно созданной при нахождении короткого алгоритма ее воссоздания. Случайное создание не обязано гарантировать максимальную энтропию распределения.
И тут еще один вопрос — а так ли важна максимально возможная энтропия в блоках перестановки? Кто-то оценивал ее в тех же S-блоках AES например?
0000011111
или
1010110010
Правильный ответ, разумеется, они обе одинаково случайны, поскольку если мы рассмотрим множество всех последовательностей длины 10 то каждая из указанных выше последовательностей может быть выбрана оттуда с одинаковой вероятностью 2^-10.
Аналогично вводится и понятие случайной подстановки — как случайного объекта, заданного на множестве всех подстановок.
С колмогоровской сложностью тоже не все просто — это величина асимптотическая — именно поэтому все пишут, что она примерно должна быть равна длине последовательности, но если мы посмотрим непосредственно на теорему, которая формулирует это утверждение, то там сказано, что сложность отличается на некоторую константу С. И тут мы приходим к двум вопросам для конкретной последовательности выполнены условия асимптотики (256 — это уже бесконечность или еще нет), ну и какое значение для этой длины имеет константа C? 1,2, 100, 256?
Ну а на тему всемирного заговора вот хорошая задачка:
Институт стандартов NIST проводит два конкурса. В первом конкурсе AES участвуют 15 алгоритмов от различных авторов со всего мира, во втором, SHA-3 — 51 алгоритм. Какова вероятность того, что в обоих конкурсах победят алгоритмы от одного и того же автора? ;)
Аналогично вводится и понятие случайной подстановки — как случайного объекта, заданного на множестве всех подстановок.
Ну это ровно то о чем я и говорю:
0,1,2,3,4,5....254,255 — точно также «случайна» как и все остальные перестановки для 256 элементов. А для ее алгоритм воспроизводства по сути 0-вой длинны (если не считать операцию копирования со входа на выход).
Однако такая перестановка позволяет радикально упростить линейные и дифферинциальные методы криптоанализа. А вот постановка с большей энтропией затрудняет их. И вот тут гораздо интереснее другое: существует ли набор метрик или тестов, который бы говорил о качестве блока перестановок в плане противостояния методам криптоанализа? Или это еще зависит от окружающего блок перестановк алгоритма?
Почти уверен, что число раундов снижает требования к блоку перестановок потому как тот же DES предлагали лечить именно увеличением числа раундов (по мимо увеличения длинны ключа).
А темой всемирного заговора я как-то не интересуюсь. Но как проводятся всякого рода конкурсы — немного представляю… поэтому… задачка ваша с кучей подвохов. Ну типа не содержит уточнений на тему кто с кем спит/играет в гольф/и т.п. подковерных нюансов, которые… ну скажем так: очень редко не влияют на принятия решений :).
какая из следующих двух последовательностей длины 10 более случайная:
Речь таки идет о вероятности попадания в узкий класс. Какая из последовательностей длины десять более вероятна — где идет пять нулей подряд или где есть просто пять нулей в любых местах?
Институт стандартов NIST проводит два конкурса. В первом конкурсе AES участвуют 15 алгоритмов от различных авторов со всего мира, во втором, SHA-3 — 51 алгоритм. Какова вероятность того, что в обоих конкурсах победят алгоритмы от одного и того же автора? ;)
Ноль, конкурс прошел, команды авторов разные (пересекаются только в одном человеке).
Однако такая перестановка позволяет радикально упростить линейные и дифферинциальные методы криптоанализа.
Такая перестановка вырождает алгоритм до линейной операции. AES точно, кузнечик вроде похож. Можно хоть 100 раундов с такой перестановкой сделать, эффект будет как у одного.
И вот тут гораздо интереснее другое: существует ли набор метрик или тестов, который бы говорил о качестве блока перестановок в плане противостояния методам криптоанализа? Или это еще зависит от окружающего блок перестановк алгоритма?
Существует, например, корреляционная характеристика и дифференциальная характеристика. И это, кстати, один из ответов на вопрос "почему случайный s-box не всегда хорош" — если бы DES был со случайными S-Box-ами, он был бы сильно слабее.
И ведь вы таки снова уехали от темы. Авторы заявляют, что S-Box генерируется случайно (и заявляют, что потеряли программу, которая его генерировала), а по факту очень аккуратно попали в узкий осмысленный (!) класс перестановок.
Ведь там не только программа на ассемблере длиной в 80 байт. Программой просто пытались получить численные оценки сложности, которыми можно меряться. Перестановка осмысленная с точки зрения математики. Случайно там оказалось дискретное логарифмирование. Случайно она отображает регулярные множества. Всего перестановок 256! ≈ 2^1684, а перестановок TKlog ≈ 2^76. Различных программ на ассемблере длиной 80 байт ≤2^640 (не все из них валидны, многие из них делают одно и то же, но да ладно).
Масштаб удачи просто поражает. Случайно выбить событие с вероятностью порядка 10^-315 — это уметь надо.
Т.е. более предметно рассматривать вопрос, что авторы хотели вложить в перестановку. Я лично вижу три варианта:
- бекдор (тогда не скажут)
- анти-бекдор, перестановка защищает от какой-то секретной атаки на блочные шифры, известной ФСБ (тогда тоже не скажут)
- быстрая аппаратная реализация за счет регулярности (такие действительно есть). Но этот вариант маловероятный — тогда бы так и сказали, а не говорили бы, что это случайность и программу потеряли.
Настоящее российское шифрование — это когда офицер ФСБ шифрует твой файл
В подобных статьях ссылаются на утверждение разработчиков ГОСТ алгоритмов о случайном выборе значений, а потом эту случайность "разоблачают".
Есть ли ссылка публикацию этого утверждения от разработчтков? Не домыслы, не пересказ с чьих-то слов.
https://www.ruscrypto.ru/resource/archive/rc2013/files/03_shishkin.pdf
Слайд 10, красным помечено выбранное разработчиками (например, см. предыдущие слайды — шифр представляет из себя SP-сеть, и она тоже помечена красным, ровно как и "Выбор пространства V8").
Имеется ввиду — "Случайный поиск с заданными ограничениями по параметрам" ?
Угу, оно самое.
https://cdn.virgilsecurity.com/assets/docs/memo-on-kuznyechik-s-box.pdf
Есть еще такое. Там упомянуты те самые ограничения и:
The S-box π was obtained by pseudorandom search and the following properties were taken into account.
No secret structure was enforced during construction of the S-box
Шифруем по-русски, или отечественные криптоалгоритмы