एक गलती के बारे में

शायद मैं गलत हूं, लेकिन मैं दृढ़ता से इस राय का पालन करता हूं कि कुछ त्रुटियां उन परियोजनाओं से कम दिलचस्प नहीं हैं जिनमें वे हुईं। मैं एक परियोजना के बारे में बात करना चाहता हूं जिसमें मैंने लंबे समय तक भाग लिया। यह तथ्य कि क्रिप्टोग्राफिक उपकरणों का सही उपयोग प्रतीत होता है कि किसी भी अर्थ की क्रिप्टोग्राफी के बाकी हिस्सों से वंचित करने के लिए एक भेद्यता पैदा हुई है।

मैं तुरंत कहूंगा कि मैं खुद को क्रिप्टोग्राफी के क्षेत्र में एक योग्य विशेषज्ञ नहीं मानता हूं। मैं क्रिप्टोग्राफिक एल्गोरिदम के साथ काम कर रहा था जब स्थिति ने मुझे कोई अन्य विकल्प नहीं छोड़ा। बेशक, बेहतर होगा कि मामले में कोई और जानकार इन कामों में लगा हो, लेकिन ऐसा हुआ कि मुझे उनसे निपटना पड़ा। किसी भी मामले में, मुझे उम्मीद है कि मेरी कहानी दिलचस्प होगी।

यह कहानी 90 के दशक के मध्य में हुई थी। मैंने केएआई के 4 वें वर्ष में अध्ययन किया, जबकि पीएम विभाग में अंशकालिक काम किया। मुझे याद है कि मैंने स्थानीय मोमबत्ती कारखाने में से एक के लिए फॉक्सबेस पर संस्थान के कई कर्मचारियों के साथ मिलकर कुछ लिखा था। विभाग में बहुत काम ने इस तथ्य में योगदान दिया कि मैं लगातार दृष्टि में था और एक ठीक क्षण में, मुझे क्रिप्टोग्राफी से निपटने वाले हार्डवेयर के विकास से संबंधित एक नई परियोजना में भाग लेने की पेशकश की गई थी। बेशक, मैं सहमत था।


हमारे समूह में पूरी तरह से योग्य क्रिप्टोलॉजिस्ट, इलेक्ट्रॉनिक इंजीनियर और प्रोग्रामर की एक जोड़ी शामिल थी। मैं, एक युवा विशेषज्ञ के रूप में, एचएएल में लगा हुआ था। कुछ खास नहीं, C ++ और थोड़ा सा x86 असेंबली। इसके बाद, हम, एक पूरे समूह के रूप में, तातारस्तान गणराज्य के आरसीआई में बहुत सफलतापूर्वक कार्यरत थे।

यहाँ हमारे उत्पादों में से एक की तरह लग रहा था ( ISA कार्ड हटाने योग्य कुंजी के साथ):



मुख्य उद्देश्य के अलावा - गामा -स्ट्रीमिंग एन्क्रिप्शन, यह एक उच्च गुणवत्ता वाले छद्म यादृच्छिक संख्या जनरेटर के रूप में भी इस्तेमाल किया जा सकता है। इस डिवाइस की मुख्य विशेषता सॉफ्टवेयर बुकमार्क का उपयोग करके मुख्य डेटा को इंटरसेप्ट करने में असमर्थता थी।

सब कुछ इस प्रकार से जुड़ा था:



कुंजी के अंदर एक नियमित ROM कुंजी थी:



रॉम से एन्क्रिप्शन का प्रदर्शन करते समय, दिए गए पते पर, कुंजी के 16 बाइट्स डिवाइस में पढ़े गए थे (एक पंक्ति में), जिसके बाद, इस कुंजी और रैंडम सिंक भेजने के आधार पर, एन्क्रिप्शन के लिए इस्तेमाल किया गया गामा उत्पन्न हुआ था। कुंजी को कभी भी पीसी पर प्रेषित नहीं किया गया था।

मुझे याद नहीं है कि किसके पास यह विचार था (यह संभव है कि यह मेरे लिए था) कि यदि आप पंक्ति से नहीं बल्कि ROM से एक कुंजी चुनते हैं, लेकिन बाइट-बाय-बाय (प्रत्येक बाइट के चयन को नियंत्रित करता है), तो सभी प्रकार की अनुमतियों का उपयोग करके, आप बहुत अधिक कुंजी प्राप्त कर सकते हैं। यह एक बहुत ही भयानक विचार था। चुपचाप और अपूर्ण रूप से, हार्डवेयर-सॉफ्टवेयर कॉम्प्लेक्स की वास्तुकला में एक छेद का गठन किया गया था, जिसने पूरे रोम कुंजी की सामग्री को प्रोग्रामेटिक रूप से पढ़ना संभव बना दिया।


सौभाग्य से, इस भेद्यता को देखा गया और समय पर तय किया गया, लेकिन कई उपकरणों को फिर से तैयार करना पड़ा।

इस छोटे से लेख में, मैं पाठक को क्रिप्टोग्राफी से संबंधित मुद्दों के प्रति उदासीन रवैये से आगाह करना चाहता हूं। क्रिप्टोग्राफी कपटी है और कमजोरियां आसानी से उत्पन्न हो सकती हैं जहां आप कम से कम उनसे उम्मीद करते हैं। हालाँकि, मैं "गैर-पेशेवरों" से क्रिप्टोग्राफी के उपयोग को छोड़ने का आग्रह नहीं करता, जैसा कि इस लेख में किया गया है।

केवल अनुभव और कार्य पर अधिकतम ध्यान त्रुटियों का पता लगाने में मदद कर सकता है जैसे ऊपर वर्णित है। और यदि आप इस दिशा में काम नहीं करते हैं, तो अनुभव कहीं से भी आएगा।