"प्रशिक्षण" क्रिप्टो प्रोटोकॉल का उपयोग करने का खतरा

मैं इस लेख को उपयोगकर्ता यूजीनसुखोव के पोस्ट से इतना ही नहीं लिखने के लिए प्रेरित हुआ , जैसा कि @AstralMan की पहली टिप्पणी है।

दरअसल, अक्सर एक उच्च-स्तरीय क्रिप्टोग्राफिक प्रोटोकॉल का विवरण या यहां तक ​​कि एक तैयार कार्यान्वयन (विवरण के अनुसार) को देखकर, कुछ लोग इसे तुरंत अपने स्वयं के प्रोजेक्ट में लागू करने की कोशिश करते हैं और इसे आम जनता के लिए घोषित करते हैं (कृपया इसे एस्ट्रलमैन उद्यान में एक पत्थर के रूप में नहीं लें)। लेकिन ऐसा समाधान सबसे सफल से बहुत दूर है! क्रिप्टो प्रोटोकॉल का वर्णन, एक नियम के रूप में, वास्तविक उपयोग में प्रतिभागियों और महत्वपूर्ण महत्व के स्पष्टीकरण के पक्ष में विभिन्न आवश्यक जांच शामिल नहीं है। इतिहास कई उदाहरणों को जानता है जब एक प्रोटोकॉल मजबूत और समय-परीक्षणित एन्क्रिप्शन, हैशिंग, आदि पर आधारित होता है। निर्माण के बहुत तर्क के कारण, और चेक और स्पष्टीकरण के रूप में इस तरह के "trifles" के कारण ठीक से हैक किया गया। क्रिप्टो प्रोटोकॉल का वर्णन, अपने बहुत विचार को प्रदर्शित करता है, इसे शैक्षिक कहा जाएगा।

तुरंत, मैं ध्यान देता हूं कि यूजीनसुखोव लेख से प्रमाणीकरण प्रोटोकॉल एक प्रशिक्षण है। इसका मतलब यह है कि कुछ शर्तों के तहत उस पर हमला करना संभव है, जिसका भविष्य में प्रदर्शन किया जाएगा। हालांकि, इसका मतलब यह नहीं है कि प्रोटोकॉल खराब है, और इसका लेखक पेशेवर नहीं है। इसका केवल यह अर्थ है कि लेखक पाठकों को प्रोटोकॉल की उच्च-स्तरीय अवधारणा से अवगत कराना चाहता था, और प्रोटोकॉल के सटीक सावधानीपूर्वक विनिर्देश को छोड़ दिया था, जिसे अनुपयुक्तता के कारणों के लिए आगे "मुकाबला" कार्यान्वयन के लिए डेवलपर्स को सौंप दिया गया था।

उदाहरण के लिए RSA लें और मान लें कि हमने इस क्रिप्टोकरेंसी का उपयोग करके केवल एक बाइट को स्थानांतरित करने का निर्णय लिया है। एक प्रशिक्षण का उपयोग आरएसए स्वाभाविक रूप से विफलता में समाप्त हो जाएगा! सिफरटेक्स्ट को इंटरसेप्ट करने के बाद, हमलावर शून्य से 255 तक की संख्याओं की पूरी तरह से गणना करके प्लेनटेक्स्ट (एक ही बाइट) को तुरंत बहाल कर देगा। "मुकाबला" आरएसए को इस तरह की मनमानी की अनुमति नहीं देनी चाहिए, जो कि सही तरीके से लागू होने पर होती है।

भविष्य में, हम यह मानेंगे कि हमलावर (या हमलावर) के पास विभिन्न घृणित कार्यों के पूर्ण शस्त्रागार तक पहुंच है, जैसे संचार चैनल को "वायरटैपिंग" करना, सभी इंटरसेप्ट किए गए संदेशों को सहेजना, संदेशों को बिगाड़ना, पहले से बाधित संदेश भेजना, आदि। हम यह भी मान लेंगे कि हमलावर सर्वर से डेटाबेस चुरा सकता है। मैं स्पष्ट करूँगा कि ये सभी धारणाएँ विश्लेषण किए गए शैक्षिक क्रिप्टो प्रोटोकॉल के लेखक की धारणाओं से अलग नहीं हैं।

आइए हम उस तरह के प्रोटोकॉल को पास करें जो इसके लेखक ने प्रस्तुत किया है।



चलो ग्राहक से सर्वर M = हैश (RND) के नवीनतम स्थानांतरण पर ध्यान दें। ऐसा लगता है, हैशिंग क्यों? आप बस RND को अग्रेषित कर सकते हैं और वहीं समाप्त कर सकते हैं। लेकिन इतना सरल नहीं है। पहले, अंतिम हस्तांतरण पर हैशिंग का उपयोग किए बिना, प्रमाणीकरण प्रोटोकॉल के एक कमजोर संस्करण पर विचार करें, और इसकी कमियों को इंगित करें। प्रोटोकॉल योजना इस तरह दिखाई देगी:



पहला दोष यह है कि प्रोटोकॉल के कमजोर संस्करण में, क्लाइंट तथाकथित "डिक्रिप्शन ओरेकल" की भूमिका निभाता है। दरअसल, सर्वर क्लाइंट को संदेश भेजता है (हमारे मामले में, RND) ग्राहक की सार्वजनिक कुंजी पर एन्क्रिप्ट किया गया। क्लाइंट अपनी निजी कुंजी का उपयोग करके संदेश को डिक्रिप्ट करता है और संदेश को स्पष्ट पाठ में वापस सर्वर पर भेजता है। इस तरह के प्रोटोकॉल निर्माण की रणनीति "गैर-मानक" हैं, संभावित कमजोरियों को उठाते हैं और एक तरह से, प्रोटोकॉल लेखक के शौकियापन की बात करते हैं।

दूसरा दोष अधिक गंभीर है और इस तथ्य में निहित है कि प्रोटोकॉल लगभग तुरंत कुछ आरक्षणों के साथ फटा है। हम हमले का वर्णन करते हैं। मान लीजिए घुसपैठिए ने नंबर एन, आरएसए क्रिप्टोसिस्टम मॉड्यूल को मान्यता दी। चाहे उसने पंजीकरण चरण में डेटा को इंटरसेप्ट करके किया हो, या सर्वर से डेटाबेस चुराया हो, अब महत्वपूर्ण नहीं है। मुख्य बात यह है कि वह एन जानता है। यह भी मान लें कि सिमिट्रिक कुंजी K पर संदेश {d || N} को एन्क्रिप्ट करने के लिए, काउंटर मोड का चयन किया गया है (एक बहुत ही वास्तविक स्थिति)। इसका मतलब है कि हमलावर आसानी से {d || p} _K संदेश उत्पन्न करके संदेश को संशोधित कर सकता है {d || N} _K, जहां p एक विशेष रूप से चुना गया अभाज्य संख्या है और ग्राहक को संदेश भेजता है। मैं पाठक के कंधों पर इस कथन की वैधता रखना चाहता हूं। अगला। एक हमलावर संख्या पी को इस तरह से चुनता है कि पी -1 में एक "अच्छा" (क्रिप्टोग्राफिक अर्थ में) कारक है और यह डी (ग्राहक की निजी कुंजी) से अधिक है। फिर, {RND} _e के बजाय, घुसपैठिया जी बनाने वाला समूह Z_p ^ * भेजता है। एक अनसपेसिबल क्लाइंट, आखिरी ट्रांसफर पर प्रोटोकॉल के अनुसार, हमलावर को g ^ d (mod p) भेजता है। Polyg-Hellman एल्गोरिथ्म का उपयोग करते हुए, घुसपैठिए ग्राहक की निजी कुंजी को बहुपद समय में गणना करता है। उसके बाद, अपराधी हमेशा ग्राहक को प्रतिरूपण करने में सक्षम होगा।

और अब प्रोटोकॉल के विचार पर "मूल में", जैसा कि इसके लेखक द्वारा प्रस्तुत किया गया है (अंतिम हस्तांतरण पर हैशिंग के साथ)। मेरा तर्क है कि यदि k बिट्स में क्लाइंट प्राइवेट की लंबाई d है, तो सर्वर से प्रमाणित करने के लिए k क्लाइंट से कम में निजी कुंजी की गणना करना यथार्थवादी है। मैं गणितीय गणना को लेख में प्रस्तुत किए गए कथन को साबित नहीं करूँगा, क्योंकि वे काफी मात्रा में हैं और पाठकों की एक विस्तृत मंडली के लिए डिज़ाइन नहीं किए गए हैं। फिर भी, निराधार नहीं होने के लिए, मैं वर्णन करूंगा कि आप सर्वर पर क्लाइंट को प्रमाणित करने के लिए एक ही प्रयास के लिए डी कुंजी के कुछ कम से कम महत्वपूर्ण बिट्स की गणना कैसे कर सकते हैं। जाहिर है, इस तरह की गणना की संभावना प्रशिक्षण प्रोटोकॉल की भेद्यता को इंगित करती है। एक बार फिर, मैं इस तथ्य पर पाठक का ध्यान आकर्षित करूंगा कि प्रशिक्षण प्रोटोकॉल की भेद्यता एक "नियमित" स्थिति है, जो "मुकाबला" प्रोटोकॉल के स्थायित्व के बारे में कुछ भी नहीं कह सकता है। पहले से बनी धारणाएं हैं कि हमलावर संख्या N को जानता है और समरूप एन्क्रिप्शन के लिए काउंटर मोड का उपयोग किया जाता है।

हमारे विनम्र उदाहरण के लिए लें प्राइम नंबर p = 65537 = 2 ^ 16 + 1. Z_p ^ * में हम तत्व g जनरेटिंग Z_p ^ * चुनते हैं। हम हैश (g), हैश (g ^ 2), हैश (g ^ 3), ..., हैश (g ^ {p-1}) की गणना करते हैं और उन्हें टेबल के रूप में हमारे कंप्यूटर पर सहेजते हैं। इस ऑपरेशन के लिए हमें बहुत कम समय और स्मृति मिलेगी। हम सर्वर से क्लाइंट को डेटा इंटरसेप्ट करते हैं और, जैसा कि पहले बताया गया है, एन को पी, आरएनडी को जी के साथ बदलें। नतीजतन, हमें क्लाइंट से एक अज्ञात तत्व - हैश (g ^ i) से एक हैश मिलता है, इसे तालिका में हमारे कंप्यूटर पर ढूंढें और i को पुनर्स्थापित करें। इस प्रकार, हम समीकरण पर आते हैं
g ^ d = g ^ i mod p

यह इस प्रकार है कि d = i + a (p-1), जहाँ a हमारे लिए कुछ अज्ञात संख्या है। हम उस d = i + 2 ^ 16 * a। यदि हम संख्या i को बिट स्ट्रिंग की संख्या 16 के रूप में दर्शाते हैं, तो यह ग्राहक की निजी कुंजी के अंतिम 16 बिट्स होंगे।

नोट। यदि यह तथ्य किसी के लिए तुरंत स्पष्ट नहीं है, तो हम दशमलव संख्या प्रणाली पर विचार करेंगे। उदाहरण के लिए, A = B + 10 ^ 3 * C। फिर B, संख्या A को 10 ^ 3 = 1000 से विभाजित करने का शेष है। और चूंकि 1000 10 की शक्ति है (हम दशमलव प्रणाली में काम करते हैं), तो B, A के अंतिम तीन अंक हैं। यदि A = 12345 है, तो A = 345 + 12 * 1000 और ऐसा अपघटन गैर-नकारात्मक B <= 1000 के लिए अद्वितीय है।

स्वाभाविक रूप से, हमले के दौरान, हम निजी कुंजी के कम से कम महत्वपूर्ण बिट्स की एक बड़ी संख्या की गणना कर सकते हैं। ध्यान दें कि यह राशि सीधे हमारे कंप्यूटर पर उपलब्ध मेमोरी पर निर्भर करती है, जिसमें हम हैश टेबल, और पीसी प्रदर्शन को स्टोर कर सकते हैं।

आफ्टरवर्ड : इस लेख के साथ, मैं इस बात पर जोर देना चाहूंगा कि क्रिप्टोग्राफी के क्षेत्र में जो "रेडीमेड" समाधान, एल्गोरिदम और प्रोटोकॉल हैं, जो साहित्य में या इंटरनेट पर खुली पहुंच में पाए जा सकते हैं, वे "रेडी-मेड" बिल्कुल नहीं हैं, वे शैक्षिक हैं। यदि आप वास्तव में विश्वसनीय रक्षा तंत्र को अपनी परियोजना में शामिल करना चाहते हैं, तो ध्यान रखें कि आपकी टीम के पास सूचना सुरक्षा के क्षेत्र में विशिष्ट शिक्षा और अनुभव वाला व्यक्ति है। यह क्षेत्र बेहद विशाल, जटिल और विविध है, इसे एक तस्वीर के साथ समझने के लिए, मैं आपको आश्वासन देता हूं। मैं आप सभी की सफलता की कामना करता हूं और आपके ध्यान के लिए धन्यवाद!