Schneier: 256-bit sleutel is voldoende
Een encryptie-aanbieder die met een 49.152-bit symmetrische sleutel beweert een doorbraak te hebben, kan niet op de goedkeuring van beveiligingsgoeroe Bruce Schneier rekenen, die stelt dat 256-bit nog altijd meer dan voldoende is. De nieuwe sleutel is afkomstig van Crypteto, die stelt dat elke bit extra de sterkte van het algoritme verdubbelt. Volgens Schneier is dit alleen in het geval van brute-force aanvallen zo en heeft een sleutel van zoveel bit weinig echte betekenis.
Verder stelt de aanbieder dat de snelheid ondanks de afmeting van de sleutel niet in gevaar komt. Elke extra bit zou de encryptie-snelheid halveren. "Dat is niet eens een beetje waar. Het is helemaal niet zo duidelijk hoe sleutellengte met encryptie-snelheid verband houdt." Blowfish behoudt bijvoorbeeld dezelfde snelheid, ongeacht de sleutellengte. AES-192 is 20% langzamer dan AES-128 en AES-256 is ongeveer 40% trager. Het is zeker niet zo dat de encryptie-snelheid met elke toegevoegde bit halveert.
Snake oil
Normaliter zegt Schneier niet op dit soort dingen te reageren, maar in dit geval daagt de aanbieder hem uit. Die krijgt van de beveiligingsgoeroe dan ook de volle laag. Het product zou namelijk het kenmerk van "snake oil" cryptografie hebben, nep-producten die niet waar maken wat ze beloven. In dit geval verraadt het product zich door de absurd lange sleutellengte. "Langere sleutellengtes zijn tot op zekere hoogte beter. AES heeft 128-bit, 192-bit en 256-bit sleutellengtes.
Dit is langer dan voor de afzienbare toekomst benodigd is. Sterker nog, we kunnen niet eens een wereld voorstellen waar 256-bit brute force zoekmogelijkheden mogelijk zijn." Schneier wijst ook naar het vierde kenmerk van zijn snake oil test. "Als het bedrijf sleutels niet begrijpt, wil je dan dat ze je beveiligingsproduct ontwerpen?"
1. Bewijsbaar veilige uitwisseling van Keys
1a) Randvoorwaarden
De source S moet deterministisch encrypt kunnen worden tot E met de Key K: H(E|KS)=0
De encrypte tekst E moet deterministisch gedecrypt kunnen worden to de Sourse S met key K: H(S|EK)=0
De source mag onafhankelijk gekozen worden van de encrypte tekst: I(S;E)=0
1b) Te bewijzen
Er lekt niets uit van de gebruikte Key K, gegeven de encrypte tekst E: I(K;E)=0
a3. Bewijs
>> ITIP('I(K;E)=0','H(E|KS)=0','H(S|EK)=0','I(S;E)=0','H(S)=H(K)');
True
Dit bewijs geeft aan dat als de entropie van de Key K en de Source S even groot zijn er niets uitlekt van de Key K, gegeven de encrypte tekst E.
2. Key uitwisseling blijft veilig na uitwisseling van meerdere Keys.
b1. Gegeven
Een Key uitwisselings functie met:
a) Keys K en L welke gedeeld moeten worden tussen zender en ontvanger.
b) Een vooraf gedeelde Identifier S tussen de Zender en Ontvanger.
c) Beveiligde berichten E en F welke de Keys K en L bevatten.
b2. Randvoorwaarden
Voor een uitleg van de systematiek in de randvoorwaarden zie het 1e bewijs.
Encryptie: H(E|KS)=0, H(F|LS)=0
Decryptie: H(K|SE)=0, H(L|SF)=0
Gedeelde Identifier S is onafhankelijk van de encrypte Keys: I(S;EF)=0
Keys zijn onafhankelijk van de beveiligde berichten: I(K;E)=0, I(L;F)=0
b3. Te bewijzen
Er lekt niets van de keys uit, gegeven de encrypte berichten: I(K;EF)=0, I(L;EF)=0
b4. Bewijs
ITIP('I(L;EF)=0','H(F|LS)=0','H(E|KS)=0','I(K;E)=0','I(L;F)=0','H(K|SE)=0','H(L|SF)=0','I(S;EF)=0');
True
ITIP('I(K;EF)=0','H(F|LS)=0','H(E|KS)=0','I(K;E)=0','I(L;F)=0','H(K|SE)=0','H(L|SF)=0','I(S;EF)=0');
True
Deze bewijzen zijn automatisch gecontroleerd met de Information Theoretic Inequality Prover ITIP, zie http://user-www.ie.cuhk.edu.hk/~ITIP/ Deze bewijzen kunnen ook gecontroleerd worden met XITIP, zie http://xitip.epfl.ch
http://iest2.ie.cuhk.edu.hk/~whyeung/post/draft2.pdf Dit boek is een goede introductie voor het boek "Modern Coding Theory" dat hierboven gegeven is. Het hierboven gegeven informatie-theoretische bewijs geeft echter exact weer wat het probleem is dat Bruce Schneier hier bespreekt. In de deze bewijzen worden de randvoorwaarden gegeven waaronder de bewering van Bruce Schneier correct is. Bruce Schneier heeft het over rekenkundige veiligheid. Als met rekenkundige security algorithmen source informatie met redundantie erin wordt beveiligd dan is dit per definitie te kraken, bijvoorbeeld met de hierboven aangehaalde "automated deterministic program inversion methoden". Bovenstaande informatie-theoretische bewijzen geven aan onder welke informatie-theoretische randvoorwaarden dit soort attacks onmogelijk zijn. Als dat het geval is dan pas is een sleutellengte van 256 bits voldoende.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
