Шифрование – гарантия защиты или миф?

Шифрование – гарантия защиты или миф?Когда речь заходит о шифровании данных, часто приходится слышать фразу: «Если кому-то надо – все равно взломают». Мы попробуем опровергнуть  это высказывание.

Большинство распространённых криптоалгоритмов используют открытый алгоритм шифрования, т.е. сам процесс шифрования и дешифрования не секретен, а защищенность данных обусловлена только секретным ключом или паролем, который используется при шифровании. Открытость криптоалгоритма позволяет гарантировать отсутствие «лазеек» в системе шифрования, которые позволяют расшифровать данные, не зная ключа шифрования.

Как правило, ключ шифрования отличается серьезной длиной (от 64 бит до бесконечности)  и слабой удобочитаемостью, поэтому ключ хранят вместе с данными, ограничивая к нему доступ паролем. Поэтому в системе есть 2 уязвимых места: подбор пароля для чтения ключа шифрования, или подбор непосредственно ключа шифрования.

Как правило, подбор ключа шифрования практически невозможен, т.к. даже для 64-битного ключа доступно несколько миллиардов комбинаций, а такие короткие ключи уже давно не используются, уступив место ключам с длиной 256 бит и более. Число вариантов при этом возрастает в геометрической прогрессии.

Слабым местом в любой системе шифрования является пароль (так он достаточно короткий). В случае использования непосредственно ключа, размещенного на смарт-карте, эти паролем является пин-код смарт-карты. Этот пароль открывает доступ к ключу, необходимому для расшифровки данных.  В первую очередь надежность шифрования влияет длина пароля и его «содержание».  При надежном криптоалгоритме злоумышленник может только одним способом получить ключ – подобрать нужный пароль. Сделать это можно несколькими способами, наиболее распространенные их них:

  • Полный перебор
  • Перебор по словарю
  • Использование ошибки в алгоритме кодирования ключа паролем

Полный перебор может быть эффективен при коротком пароле и мощных вычислительных ресурсах у злоумышленника. Пароли, имеющие длину менее 8-ми символов, достаточно неустойчивы к полному перебору при наличии соответствующих аппаратных ресурсов, но при увеличении длины пароля хотя бы на один символ процесс перебора усложняется в десятки или сотни раз.

Перебор по словарю основан на том, что пользователи часто в качестве паролей используют слова, фразы и даты, которые могут легко запомнить.  Таким образом, используя словарь можно значительно ускорить перебор, подбирая пароли из словарного перечня, а не из всего алфавита.

Существует масса других способов при наличии должной подготовки получить доступ и к зашифрованной информации: заражение компьютера вирусом и отслеживание пароля при вводе его с клавиатуры, подкуп персонала и т.д.

Хорошим способом борьбы с взломом и хищением пароля является применение смарт-карт, при использовании которых, по мимо знания пароля необходимо наличие специальный аппаратный ключ, скопировать и подделать который достаточно сложно или вообще не возможно. Системы шифрования с аппаратной защитой успешно применяются ведущими компаниями, например, в новых версиях современных игровых приставок, которые не позволяют  запускать нелегально скопированные игры.

Защита информации не ограничивается только шифрованием данных – это в первую очередь целый комплекс управленческих и  организационных мероприятий, которые должны быть разработаны квалифицированными специалистами и строго соблюдаться в компании.

Опубликовал 15 февраля 2011 в рубрике Защита информации.

Комментарии

  • Виктор

    15 июля 2013 в 12:21


    согласен, подборка паролей это самое слабое место в системе шифрования. Но люди, которые занимаются шифрованием, прекрасно понимают, что пароль это самое слабое место в системе защиты.
    Я вообще поступаю несколько иначе — пользуюсь программой для шифрования (использую cybersafe) и защищаю ее 12 значным паролем. Поскольку в ней все мои сертификаты шифрования. Единственная трудность -всегда держать его в уме. При сложных случаях от ректального криптоанализа спасает знание лишь части паролей, или использование двойных криптоконтейнеров.

Прокомментировать

Имя *

Почта *

Сайт