El mejor de su clase: la historia del estándar de cifrado AES

Desde mayo de 2020, las ventas oficiales de discos duros externos WD My Book que admiten el cifrado de hardware AES con una clave de 256 bits han comenzado en Rusia. Debido a restricciones legislativas, anteriormente dichos dispositivos solo se podían comprar en tiendas de electrónica en línea extranjeras o en el mercado "gris", pero ahora cualquiera puede obtener una unidad protegida con una garantía de marca de 3 años de Western Digital. En honor a este importante evento, decidimos hacer una breve excursión a la historia y descubrir cómo apareció el Estándar de cifrado avanzado y por qué es tan bueno en comparación con las soluciones de la competencia.



Durante mucho tiempo, el estándar de cifrado simétrico oficial en los Estados Unidos fue DES (Estándar de cifrado de datos), desarrollado por IBM e incluido en la lista de Estándares federales de procesamiento de información en 1977 (FIPS 46-3). El algoritmo se basa en los desarrollos obtenidos durante un proyecto de investigación con nombre en código Lucifer. Cuando el 15 de mayo de 1973, la Oficina Nacional de Estándares de EE. UU. Anunció una competencia para crear un estándar de encriptación para agencias gubernamentales, la corporación estadounidense ingresó a la carrera criptográfica con la tercera versión de Lucifer, utilizando la red Feistel actualizada. Y junto con otros competidores, sufrió un fiasco: ninguno de los algoritmos presentados para el primer concurso cumplía con los estrictos requisitos formulados por los expertos de la NBS.





Por supuesto, IBM no pudo simplemente aceptar la derrota: cuando la competencia se relanzó el 27 de agosto de 1974, la corporación estadounidense volvió a presentar una solicitud, presentando una versión mejorada de Lucifer. Esta vez, el jurado no tuvo una sola queja: después de haber realizado un trabajo competente sobre los errores, IBM eliminó con éxito todas las deficiencias, por lo que no había nada de qué quejarse. Habiendo obtenido una contundente victoria, Lucifer cambió su nombre a DES y fue publicado en el Registro Federal el 17 de marzo de 1975.



Sin embargo, durante los simposios abiertos organizados en 1976 para discutir un nuevo estándar criptográfico, DES fue fuertemente criticado por la comunidad de expertos. La razón de esto fueron los cambios realizados en el algoritmo por los especialistas de la NSA: en particular, la longitud de la clave se redujo a 56 bits (inicialmente Lucifer admitía el trabajo con claves de 64 y 128 bits), y se cambió la lógica de los bloques de permutación. Según los criptógrafos, las "mejoras" no tenían sentido y lo único por lo que se esforzaba la Agencia de Seguridad Nacional, introduciendo modificaciones, era poder ver documentos cifrados libremente.



En relación con las acusaciones anteriores, se creó una comisión especial en el Senado de los Estados Unidos, cuyo propósito era verificar la validez de las acciones de la NSA. En 1978, se publicó un informe después de la investigación, que informó lo siguiente:

• Los representantes de la NSA participaron en la finalización de DES solo de manera indirecta, mientras que su contribución se refirió solo a cambios en el funcionamiento de los bloques de permutación;
• se encontró que la versión final de DES era más resistente al craqueo y al análisis criptográfico que la original, por lo que los cambios estaban justificados;
• una longitud de clave de 56 bits es más que suficiente para la gran mayoría de las aplicaciones, porque romper un cifrado requerirá una supercomputadora con un valor de al menos decenas de millones de dólares, y dado que los atacantes comunes e incluso los piratas informáticos profesionales no tienen tales recursos, no hay nada de qué preocuparse.

Las conclusiones de la comisión se confirmaron parcialmente en 1990, cuando los criptógrafos israelíes Eli Biham y Adi Shamir, trabajando en el concepto de criptoanálisis diferencial, llevaron a cabo un gran estudio de algoritmos de bloques, incluido DES. Los científicos concluyeron que el nuevo modelo de permutación resultó ser mucho más resistente a los ataques que el original, lo que significa que la NSA realmente ayudó a eliminar varios agujeros en el algoritmo.





Adi Shamir



Al mismo tiempo, la limitación en la longitud de la clave resultó ser un problema, y ​​muy serio, lo que fue demostrado de manera convincente por la organización pública Electronic Frontier Foundation (EFF) en 1998 como parte del experimento DES Challenge II realizado bajo los auspicios del Laboratorio RSA. Una supercomputadora, con nombre en código EFF DES Cracker, fue construida específicamente para descifrar DES, que fue desarrollada por John Gilmore, cofundador de EFF y líder del proyecto DES Challenge, y Paul Kocher, fundador de Cryptography Research.





Procesador EFF DES Cracker



El sistema que desarrollaron fue capaz de encontrar con éxito una clave para una muestra cifrada mediante un método simple de fuerza bruta en solo 56 horas, es decir, en menos de tres días. Para hacer esto, DES Cracker necesitaba verificar aproximadamente una cuarta parte de todas las combinaciones posibles, lo que significa que incluso en las circunstancias más desfavorables, tardará aproximadamente 224 horas en romperse, es decir, no más de 10 días. Al mismo tiempo, el costo de la supercomputadora, teniendo en cuenta los fondos gastados en su diseño, ascendió a solo 250 mil dólares. Es fácil adivinar que hoy en día es aún más fácil y barato descifrar tal cifrado: no solo el hardware se ha vuelto mucho más poderoso, sino que también gracias al desarrollo de las tecnologías de Internet, un hacker no tiene que comprar o alquilar el equipo necesario; basta con crear una botnet a partir de PC infectadas con un virus.



Este experimento demostró claramente lo obsoleto que es DES. Y dado que en ese momento el algoritmo se utilizaba en casi el 50% de las soluciones en el campo del cifrado de datos (según la misma EFF), la cuestión de encontrar una alternativa se volvió más aguda que nunca.

Nuevos desafíos, nueva competencia

Para ser justos, debe decirse que la búsqueda de un reemplazo para el Estándar de cifrado de datos comenzó casi simultáneamente con la preparación del EFF DES Cracker: el Instituto Nacional de Estándares y Tecnología (NIST) de los EE. UU. Anunció en 1997 el lanzamiento de un concurso de algoritmos de cifrado destinado a identificar un nuevo "estándar de oro" para la seguridad de cifrado. Y si en los viejos tiempos se realizaba un evento similar exclusivamente "para los nuestros", entonces, teniendo en cuenta la mala experiencia de hace 30 años, el NIST decidió hacer el concurso completamente abierto: cualquier empresa y cualquier individuo podía participar, independientemente de la ubicación o ciudadanía.



Este enfoque dio sus frutos incluso en la etapa de selección de los solicitantes: entre los autores que solicitaron participar en el concurso Advanced Encryption Standard se encontraban criptólogos de fama mundial (Ross Anderson, Eli Biham, Lars Knudsen) y pequeñas empresas de TI especializadas en ciberseguridad (Counterpane ), grandes corporaciones (Deutsche Telekom alemana) e instituciones educativas (Universidad Católica de Lovaina, Bélgica), así como start-ups y pequeñas empresas de las que pocas personas han oído hablar fuera de sus países (por ejemplo, Tecnologia Apropriada Internacional de Costa Rica).



Curiosamente, esta vez el NIST aprobó solo dos requisitos básicos para los algoritmos participantes:

• el bloque de datos debe tener un tamaño fijo de 128 bits;
• el algoritmo debe admitir al menos tres tamaños de clave: 128, 192 y 256 bits.

Fue relativamente fácil lograr ese resultado, pero, como dicen, el diablo está en los detalles: había muchos más requisitos secundarios y era mucho más difícil cumplirlos. Mientras tanto, fue sobre su base que los revisores de NIST seleccionaron a los concursantes. Estos son los criterios para que los contendientes ganen:

1. la capacidad de resistir cualquier ataque criptoanalítico conocido en el momento de la competencia, incluidos los ataques a través de canales laterales;
2. la ausencia de claves de cifrado débiles y equivalentes (por equivalentes nos referimos a aquellas claves que, aunque tienen diferencias significativas entre sí, conducen a la recepción de cifrados idénticos);
3. la velocidad de cifrado es estable y casi igual en todas las plataformas actuales (de 8 a 64 bits);
4. optimización para sistemas multiprocesador, soporte para paralelización de operaciones;
5. requisitos mínimos para la cantidad de RAM;
6. sin restricciones para su uso en escenarios estándar (como base para la creación de funciones hash, PRNG, etc.);
7. la estructura del algoritmo debe ser robusta y fácil de entender.

El último punto puede parecer extraño, pero si lo piensas, tiene sentido, porque un algoritmo bien estructurado es mucho más fácil de analizar, y además, es mucho más difícil esconder un "marcador" en él, con el que un desarrollador podría tener acceso ilimitado a datos cifrados.



La convocatoria de candidaturas para el concurso Advanced Encryption Standard duró año y medio. En total, participaron 15 algoritmos:

1. CAST-256, desarrollado por la empresa canadiense Entrust Technologies, basado en el CAST-128 creado por Carlisle Adams y Stafford Tavares;
2. Crypton, Future Systems, ;
3. DEAL, , , ;
4. DFC, , (CNRS) France Telecom;
5. E2, Nippon Telegraph and Telephone;
6. FROG, - Tecnologia Apropriada Internacional;
7. HPC, ;
8. LOKI97, ;
9. Magenta, Deutsche Telekom AG;
10. MARS IBM, — Lucifer;
11. RC6, , AES;
12. Rijndael, ;
13. SAFER+, Cylink ;
14. Serpent, , ;
15. Twofish, Blowfish, 1993 .

Según los resultados de la primera ronda, se determinaron 5 finalistas, entre los que se encontraban Serpent, Twofish, MARS, RC6 y Rijndael. El jurado encontró fallas en casi todos los algoritmos enumerados, excepto uno. ¿Quién fue el ganador? Extendamos un poco la intriga y consideremos primero las principales ventajas y desventajas de cada una de las soluciones enumeradas.

MARTE

En el caso del "dios de la guerra", los expertos notaron la identidad de los procedimientos de cifrado y descifrado, pero esto se limitó a sus ventajas. El algoritmo de IBM resultó ser sorprendentemente glotón, lo que lo hizo inadecuado para operaciones con recursos limitados. También hubo problemas con la paralelización de los cálculos. Para un funcionamiento eficiente, MARS necesitaba soporte de hardware para la multiplicación y rotación de 32 bits por un número variable de bits, lo que nuevamente impuso restricciones en la lista de plataformas compatibles.



MARS también demostró ser bastante vulnerable a los ataques en el tiempo y el consumo de energía, tenía problemas con la expansión de claves sobre la marcha, y su complejidad excesiva dificultaba el análisis de la arquitectura y creaba problemas adicionales en la etapa de implementación práctica. En resumen, en el contexto de otros finalistas, MARS parecía un verdadero forastero.

RC6

El algoritmo heredó algunas de las transformaciones de su predecesor, RC5, que se había investigado a fondo anteriormente, lo que, combinado con una estructura simple e intuitiva, lo hizo completamente transparente para los expertos y excluyó la presencia de "marcadores". Además, RC6 demostró velocidades de procesamiento récord en plataformas de 32 bits, y los procedimientos de cifrado y descifrado fueron absolutamente idénticos.



Sin embargo, el algoritmo tenía los mismos problemas que el MARS mencionado anteriormente: existe una vulnerabilidad a los ataques de canal lateral y el rendimiento depende del soporte para operaciones de 32 bits, así como problemas con la computación paralela, la expansión de claves y altas demandas de recursos de hardware. En este sentido, de ninguna manera estaba capacitado para el papel de ganador.

Dos peces

Twofish resultó ser bastante ágil y bien optimizado para trabajar en dispositivos de bajo consumo, se adaptó bien a la expansión de claves y asumió varias opciones de implementación, lo que hizo posible ajustarlo para tareas específicas. Al mismo tiempo, los "dos peces" demostraron ser vulnerables a los ataques a través de canales laterales (en particular, en términos de tiempo y consumo de energía), no eran particularmente amigables con los sistemas multiprocesador y eran extremadamente complejos, lo que, por cierto, afectó la velocidad de expansión clave.

Serpiente

El algoritmo tenía una estructura simple y comprensible, que simplificó enormemente su auditoría, no era particularmente exigente con el poder de la plataforma de hardware, tenía soporte para expandir claves "sobre la marcha" y era relativamente fácil de modificar, lo que difería favorablemente de sus oponentes. A pesar de esto, Serpent fue, en principio, el más lento de los finalistas, además, los procedimientos para cifrar y descifrar la información en él eran radicalmente diferentes y requerían enfoques de implementación fundamentalmente diferentes.

Rijndael

Rijndael resultó estar extremadamente cerca del ideal: el algoritmo cumplía completamente con los requisitos de NIST, aunque no era inferior, y en términos de la totalidad de características, era notablemente superior a los competidores. Reindal solo tenía dos debilidades: vulnerabilidad a los ataques de consumo de energía en el procedimiento de expansión clave, que es un escenario muy específico, y ciertos problemas con la expansión clave sobre la marcha (este mecanismo funcionó sin restricciones solo para dos concursantes: Serpent y Twofish). Además, según los expertos, Reindal tenía una fuerza criptográfica ligeramente menor que Serpent, Twofish y MARS, que, sin embargo, fue más que compensada por la resistencia a la gran mayoría de tipos de ataques de canal lateral y una amplia gama de opciones de implementación.



En términos de la totalidad de características, Reindahl estaba muy por delante de los competidores, por lo que el resultado de la votación final fue bastante lógico: el algoritmo obtuvo una victoria aplastante, recibiendo 86 votos a favor y solo 10 en contra. Serpent ocupó el honorable segundo lugar con 59 votos, mientras que Twofish ocupó el tercer puesto con 31 miembros del jurado. Les siguió RC6, que obtuvo 23 votos, y MARS naturalmente tomó la última línea, recibiendo solo 13 votos a favor y 83 en contra.



El 2 de octubre de 2000, Rijndael fue declarado ganador del concurso AES, cambiando tradicionalmente su nombre a Advanced Encryption Standard, por el que se le conoce en la actualidad. El procedimiento de estandarización duró aproximadamente un año: el 26 de noviembre de 2001, AES fue incluido en la lista de Estándares Federales de Procesamiento de Información, recibiendo el índice FIPS 197. El nuevo algoritmo fue muy apreciado por la NSA, y desde junio de 2003, la Agencia de Seguridad Nacional de EE. UU. Incluso reconoció AES con una clave de 256 bits. el cifrado es lo suficientemente fuerte como para garantizar la seguridad de los documentos clasificados como "ultrasecretos".

Discos duros externos WD My Book con cifrado de hardware AES-256

Gracias a su combinación de alta fiabilidad y rendimiento, Advanced Encryption Standard ganó rápidamente reconocimiento mundial, convirtiéndose en uno de los algoritmos de cifrado simétrico más populares del mundo y formando parte de muchas bibliotecas criptográficas (OpenSSL, GnuTLS, Crypto API de Linux, etc.). AES ahora se usa ampliamente en aplicaciones empresariales y de consumo y es compatible con una amplia variedad de dispositivos. En particular, es el cifrado de hardware AES-256 el que se utiliza en las unidades externas Western Digital de la familia My Book para garantizar la protección de los datos almacenados. Echemos un vistazo más de cerca a estos dispositivos.





La línea de discos duros de escritorio WD My Book está disponible en seis capacidades de 4, 6, 8, 10, 12 y 14 terabytes, para que pueda elegir el que mejor se adapte a sus necesidades. De forma predeterminada, los discos duros externos utilizan el sistema de archivos exFAT, que garantiza la compatibilidad con una amplia gama de sistemas operativos, incluidos Microsoft Windows 7, 8, 8.1 y 10, así como Apple macOS versión 10.13 (High Sierra) y superior. Los usuarios de Linux pueden montar un disco duro utilizando el controlador exfat-nofuse.



My Book se conecta a su computadora usando High Speed ​​USB 3.0, que es compatible con USB 2.0. Por un lado, permite transferir archivos a la mayor velocidad posible, porque el ancho de banda del USB SuperSpeed ​​es de 5 Gb / s (es decir, 640 MB / s), que resulta ser más que suficiente. Al mismo tiempo, la función de compatibilidad con versiones anteriores brinda soporte para casi cualquier dispositivo lanzado en los últimos 10 años.





Aunque My Book no requiere la instalación de software adicional debido a su tecnología plug and play para detectar y configurar automáticamente los dispositivos periféricos, recomendamos usar el paquete de software WD Discovery que se incluye con cada dispositivo.





El conjunto incluye las siguientes aplicaciones:

Utilidades de WD Drive

El programa le permite obtener información actualizada sobre el estado actual de la unidad basada en datos SMART y verificar si hay sectores defectuosos en la unidad de disco duro. Además, Drive Utilities puede borrar rápidamente todos los datos almacenados en su My Book no solo eliminando archivos, sino también sobrescribiéndolos completamente varias veces, por lo que no se pueden recuperar una vez que se completa el procedimiento.

Copia de seguridad de WD

Con esta utilidad, puede configurar copias de seguridad programadas. Debe decirse que WD Backup admite el trabajo con Google Drive y Dropbox, al tiempo que le permite seleccionar cualquier combinación de origen y destino posible al crear una copia de seguridad. Por lo tanto, puede configurar la transferencia automática de datos de My Book a la nube, o importar los archivos y carpetas necesarios de los servicios enumerados tanto a un disco duro externo como a una máquina local. Además, puede sincronizar con su cuenta de Facebook, lo que le permite hacer una copia de seguridad automática de las fotos y videos de su perfil.

Seguridad WD

Es con esta utilidad que puede restringir el acceso a la unidad con una contraseña y administrar el cifrado de datos. Todo lo que se requiere para esto es especificar una contraseña (su longitud máxima puede ser de hasta 25 caracteres), luego de lo cual toda la información en el disco será encriptada, y solo aquellos que conocen la contraseña podrán acceder a los archivos guardados. Para mayor comodidad, WD Security le permite crear una lista de dispositivos confiables que desbloquearán automáticamente su My Book cuando se conecte.



Enfatizamos que WD Security solo proporciona una interfaz visual conveniente para administrar la protección criptográfica, mientras que el cifrado de datos lo realiza la propia unidad externa a nivel de hardware. Este enfoque proporciona una serie de beneficios importantes, a saber:

• , , ;
• , , ;
• ;
• , « », .

Todo lo anterior garantiza la seguridad de los datos y le permite eliminar casi por completo la posibilidad de robo de información confidencial. Teniendo en cuenta las capacidades adicionales de la unidad, esto convierte a My Book en uno de los mejores dispositivos de almacenamiento seguros disponibles en el mercado ruso.