Kryptografia to nie jest dziedzina dla ludzi lubiących spokój

Co kilka lat społeczność zajmująca się kryptografią dyskretnie grzebie kolejny standard, który jeszcze niedawno uważano za wystarczający. Szyfrowanie 128-bitowe z lat 90. brzmi dziś jak koszmar, a klucze RSA, które niegdyś wydawały się potężne, padają w kilka godzin na zwykłym sprzęcie.

Dokładnie to wydarzyło się niedawno, gdy badacz opublikował wyniki faktoryzacji kluczy RSA-512 należących do starej certyfikacji (CA) — zaufanych fundamentów, na których przeglądarki budują weryfikację tożsamości stron internetowych. Chodzi o klucze z Netscape'a 4.51, który zadebiutował w marcu 1999 roku, wraz z certyfikatami kanadyjskiej CA o nazwie E-Certify. Te korzenie były zaufane dla połączeń SSL aż do 2003 roku, kiedy to branża wreszcie przyznała, że 512 bitów nigdy nie było wystarczające.

Dlaczego 512 bitów zawsze było złym pomysłem

RSA-512, jak sama nazwa wskazuje, wykorzystuje 512-bitowy moduł — iloczyn dwóch dużych liczb pierwszych. W latach 90. faktoryzacja takiej liczby była teoretycznie możliwa, ale praktycznie trudna. Jednak matematyka się nie zmieniła — zmieniła się nasza moc obliczeniowa. Współczesny procesor Ryzen 9 potrafi złamać klucz RSA-512 w około 30 godzin, używając otwartych narzędzi jak CADO-NFS. W 1999 roku ta sama operacja wymagałaby albo superkomputera, albo masywnego wysiłku rozproszonego.

Co szczególnie ciekawe — nawet w 1999 roku było to ryzykownie blisko granicy. RSA-155 (512-bitowa liczba z 155 cyframi dziesiętnymi) została rozłożona na czynniki pierwsze w sierpniu 1999 roku, zaledwie miesiące po tym, jak certyfikaty E-Certify trafiły do użytku. Badacz zasugerował, że te klucze prawdopodobnie nie powinny być w ogóle wydawane.

Kontekst historyczny Web PKI

Web PKI — system certyfikacji zabezpieczający HTTPS — został zbudowany na założeniach, które dziś brzmią dość naiwnie. W latach 90. producenci przeglądarek dostarczali dziesiątki certyfikatów root od różnych organizacji z całego świata, z minimalną standaryzacją rozmiarów kluczy czy praktyk operacyjnych.

Netscape, który praktycznie wynalazł handel internetowy dzięki SSL w 1994 roku, był szczególnie liberalny. Internet Explorer podchodził ostrożniej — żadne certyfikaty root z 512-bitowym RSA nigdy nie trafiły do IE. Ale podejście Netscape'a stworzyło historyczny artefakt: 512-bitowe certyfikaty CA, które pozostały zaufane na każdym systemie z starą wersją Netscape'a i źle ustawionym zegarem.

Co to oznacza dla dzisiejszego bezpieczeństwa

Wniosek nie jest taki, że "nigdy nie używaj RSA-512". To oczywiste. Ważniejsze jest, że standardy bezpieczeństwa to żywe dokumenty. Klucz RSA-2048, którego dziś wymagają najlepsze praktyki, kiedyś也会 uznany za zbyt mały. Projekt standaryzacji kryptografii post-kwantowej NIST już trwa, ponieważ badacze przewidują, że komputery kwantowe ostatecznie złamią RSA.

Dla developerów i organizacji ta lekcja historii wzmacnia kilka kluczowych zasad:

• Planuj migrację algorytmów: Twoja infrastruktura będzie wymagała aktualizacji w miarę ewolucji standardów kryptograficznych. Unikaj wpisywania na twardo konkretnych algorytmów.
• Obserwuj harmonogramy wycofań: Certyfikatory i przeglądarki regularnie ogłaszają daty zakończenia wsparcia dla starszych rozmiarów kluczy i funkcji haszujących.
• Automatyzuj odnawianie certyfikatów: Procesy manualne prowadzą do zapomnianych certyfikatów i przestarzałych konfiguracji.
• Korzystaj z Certificate Transparency: Współcześni certyfikatorzy muszą publicznie logować certyfikaty, co utrudnia złośliwym podmiotom uzyskanie fałszywych certyfikatów.

Ta zabawna część

Poza implikacjami bezpieczeństwa, jest coś niewątpliwie cool w łamaniu kluczy kryptograficznych od nieistniejącej już certyfikacji. Badacz opublikował zarówno prywatne klucze E-Certify, jak i skonfigurował testowy serwer HTTPS działający z Netscape Navigator 4.51. To kapsuła czasu, dowodząca że te stare certyfikaty wciąż mogą uwierzytelniać połączenia — przynajmniej w przeglądarkach oprogramowanych przez developerów, którzy dziś jeszcze chodzą do szkoły.

Jeśli jesteś ciekaw eksploracji starych archiwów certyfikatów, badacz udostępnił narzędzia i instrukcje do ekstrakcji oraz analizy historycznych certyfikatów root. Możesz natrafić na inne zapomniane CA z podobnie słabymi kluczami. To przypomnienie, że historia internetu zostawia ślady, i nie wszystkie z nich były bezpieczne od początku.

Następnym razem, gdy konfigurujesz TLS dla swojej aplikacji, poświęć chwilę na docenienie tego, jak daleko zaszliśmy — i jak automatycznie Twój hosting prawdopodobnie obsługuje odnawianie certyfikatów, rozmiary kluczy i wybór szyfrów. Dzikie zachody 512-bitowych CA są za nami, ale lekcje o kryptograficznej higienie pozostają tak samo istotne jak zawsze.