NSA zapłaciło RSA za promowanie zbackdoorowanego algorytmu jako domyślnego

Reuters doniósł wczoraj o tajnym porozumieniu znanej wszystkim firmy RSA ze znaną wszystkim organizacją NSA.

Według dokumentów ujawnionych Reutersowi przez (niespodzianka) Edwarda Snowdena, umowa pomiędzy dwiema wyżej wspomnianymi organizacjami wyglądała tak:

• RSA dostaje 10 000 000 dolarów amerykańskich
• w zamian, w jednym ze swoich produktów – Bsafe, jako domyślną lub preferowaną metodę generowania liczb pseudolosowych umieszcza algorytm odpowiednio osłabiony (backdoorowany) przez NSA (konkretna nazwa algorytmu: Dual Elliptic Curve Deterministic Random Bit Generator – w skrócie: Dual EC DRBG).

Co ciekawe, wydajnościowo algorytm ten wypada znacznie gorzej od konkurencji, więc jest dość rzadko spontanicznie używany przez programistów.

Pomysł jest również o tyle nowatorski, że jest w stanie wpłynąć na bezpieczeństwo innych (nawet teoretycznie bezpiecznych) algorytmów kryptograficznych – w końcu generowanie liczb pseudolosowych to jeden z zasadniczych fundamentów, na których polega bardzo dużo rozmaitych operacji kryptograficznych.

Czym jest z kolei sam Bsafe? To przydatny zbiór narzędzi kryptograficznych dla deweloperów. Jak chwali się sam producent:

RSA BSAFE: Security software products that enable developers to meet the wide-ranging security goals of their applications. BSAFE software is embedded and tested in thousands of commercial applications and is available in C/C++ and Java.

RSA na stronach Bsafe sam wspomina również o łaskawym wsparciu NSA:

National Security Agency (NSA) Suite B Cryptography specifies a set of FIPS 140-approved cryptographic algorithms for the protection of classified and unclassified data. RSA BSAFE products provide the full range of Suite B cryptographic algorithms, certificate chain validation, and Transport Layer Security (TLS) cipher suites.

Po całej publikacji zarówno RSA jak i NSA odmówiło szczegółowych komentarzy, choć co ciekawe już wcześniej (tj. we wrześniu tego roku) RSA wystosowało rekomendację by klienci używający Bsafe nie używali wspomnianego algorytmu NSA, a o problemach z Dual EC DRBG pisał już dłuższy czas temu Bruce Schneier.

Z drugiej strony RSA zapewniło właśnie, że wszystkie rozwiązania są ich autorstwa:

RSA always acts in the best interest of its customers and under no circumstances does RSA design or enable any back doors in our products. Decisions about the features and functionality of RSA products are our own.

Być może rzeczywiście RSA nie było świadome pułapki – tj. nie wiedziało o specjalnie zaprojektowanej dziurze w algorytmie Dual EC DRBG, tym bardziej że standard jest zaaprobowany przez NIST (ich akceptację ma przykładowo popularny i uznawany za bezpieczny algorytm AES). Z drugiego punktu widzenia – w końcu znana jest sprawa niegdysiejszego spektakularnego obniżenia przez NSA długości klucza, w niegdyś niezmiernie popularnym algorytmie symetrycznym DES – do zaledwie 56 bitów.

–michal.sajdak<at>securitum.pl