Kun vanhat salausavaimet murretaan – 512-bittisen RSA:n perintö

Kryptografian maailmassa tapahtuu jotain mielenkiintoista muutaman vuoden välein: avainkoot, jotka vielä äskettäin tuntuivat lyömättömiltä, siirtyvät automaattisesti historian hyllylle. Se, mikä oli 128-bittinen salausta 1990-luvulla, tuntuu nykyään arveluttavalta. Ja RSA-avaimet, jotka vaikuttivat aikanaan läpäisemättömiltä, kukistuvat nykyraudalla factorization-tekniikalla muutamassa tunnissa.

Tämä toteutui hiljattain, kun tutkija julkaisi tuloksia 512-bittisten RSA-avainten murtamisesta. Kyseessä olivat vanhat juurivarmenteet E-Certifyltä – kanadalaiselta varmentajalta, jonka varmenteita Netscape 4.51 toi mukanaan maaliskuussa 1999. Nämä varmenteet olivat luotettuja SSL-yhteyksissä aina vuoteen 2003 saakka, jolloin kryptografiayhteisö vihdoin myönsi totuuden: 512 bittiä ei koskaan ollut riittävästi.

Miksi 512 bittiä oli alun perinkin huono idea

Nimi RSA-512 kertoo oleellisen: kyseessä on 512 bitin modulus eli kahden suuren alkuluvun tulo. 1990-luvulla tällaisen luvun jakaminen tekijöihinsä oli teoriassa mahdollista mutta käytännössä työlästä. Matematiikka ei ole muuttunut – mutta laskentateho kyllä.

Modernin Ryzen 9 -prosessorin avulla 512-bittisen RSA-avaimen murtaminen kestää CADO-NFS:n kaltaisilla avoimen lähdekoodin työkaluilla noin 30 tuntia. Vuonna 1999 sama työ olisi vaatinut joko supertietokoneen tai valtavan hajautetun laskentaoperaation.

Mielenkiintoista kyllä, tilanne oli ongelmallinen jo vuonna 1999. RSA-155 (eli 512-bittinen luku, jossa on 155 desimaalipaikkaa) murrettiin elokuussa 1999 – vain kuukausia sen jälkeen, kun E-Certifyn varmenteet tulivat markkinoille. Tutkijan havainto on suoraviivainen: näitä avaimia ei olisi pitänyt myöntää alun perinkään.

Web PKI:n historiankirjoitus

Web PKI eli HTTPS:ää turvaava varmentajahierarkia rakennettiin aikanaan luottamusolettamuksilla, jotka vaikuttavat nykyään naivia. 1990-luvulla selaint valmistajat toimittivat kymmeniä juurivarmenteita eri puolilta maailmaa, ilman kunnollista standardointia avainkokoihin tai toimintatapoihin.

Netscape, joka käytännössä keksi web-kaupankäynnin SSL:n myötä vuonna 1994, oli erityisen väljä. Internet Explorer sen sijaan toimi konservatiivisemmin – yhtään 512-bittistä RSA-juurta ei koskaan toimitettu IE:n mukana.

Netscapen lähestymistapa loi kuitenkin historiallisen artefaktin: 512-bittisiä CA-varmenteita, jotka pysyivät luotettuina missä tahansa järjestelmässä, jossa pyöri vanha Netscape-viogaus virheellisesti asetetulla kellolla.

Mitä tämä tarkoittaa nykyaikaiselle turvallisuudelle?

Oppitunti ei ole vain "älä koskaan käytä 512-bittistä RSA:ta". Se on ilmeistä. Tärkeämpi viesti on, että turvallisuusstandardit elävät ja muuttuvat. Nykyinen parhaiden käytäntöjen vaatima 2048-bittinen RSA-avain tulee joskus näyttämään aivan liian pieneltä. NIST:n post-kvanttitietokonekryptografiahanke on jo käynnissä, koska tutkijat ennustavat kvanttitietokoneiden murtautuvan RSA:n läpi tulevaisuudessa.

Kehittäjille ja organisaatioille tämä historiallinen esimerkki vahvistaa muutamia periaatteita:

• Suunnittele algoritmien siirto etukäteen: Infrastruktuurisi tarvitsee päivityksiä kryptografisten standardien kehittyessä. Vältä kovakoodaamasta tiettyjä algoritmeja.
• Seuraa käytöstäpoiston aikatauluja: Varmentajat ja selaimet ilmoittavat säännöllisesti vanhojen avainkokojen ja hash-funktioiden tukiajankohdat.
• Automaattista varmenteiden uusiminen: Manuaaliset prosessit johtavat unohtuneisiin varmenteisiin ja vanhentuneisiin asetuksiin.
• Käytä varmenteiden läpinäkyvyyttä: Moderneiden varmentajien täytyy kirjata varmenteet julkisesti, mikä vaikeuttaa haitallisten toimijoiden mahdollisuuksia hankkia väärennettyjä varmenteita.

Hauska puoli

Turvallisuusimplikaatioiden ohella on kiistatta jotain kiehtovaa vanhojen salausavainten murtamisessa. Tutkija julkaisi E-Certifyn yksityiset avaimet ja perusti jopa testi-HTTPS-palvelimen, joka toimii Netscape Navigator 4.51:n kanssa. Kyseessä on eräänlainen aikakapseli, joka osoittaa näiden vanhojen varmenteiden yhä toimivan yhteyksien todentamisessa – ainakin selaimilla, jotka ovat vanhempia kuin monet nykyiset kehittäjät.

Jos olet utelias tutkimaan vanhoja varmenteita, tutkija on julkaissut työkalut ja ohjeet historiallisten juurivarmennusten poimintaan ja analysointiin. Saattaa löytyä muita unohdettuja varmentajia vastaavilla heikoilla avaimilla. Muistutus siitä, että internetin historia jättää jälkiä – eikä kaikki niistä ollut alun perinkään turvallista.

Seuraavan kerran kun määrität TLS:n sovelluksellesi, pysähdy hetkeksi miettimään, kuinka pitkälle olemme päässeet – ja kuinka automaattisesti hosting-alustasi todennäköisesti hoitaa varmenteiden uusimisen, avainkoot ja cipher suite -valinnat. 512-bittisten CA-varmentajien villi länsi -aika on takanamme, mutta opit kryptografisesta hygieniasta ovat yhtä ajankohtaisia kuin koskaan.