Соединенные Штаты Америки (США) и их союзные правительства предприняли попытки, неофициально именуемые « Криптовойнами », ограничить доступ общественности и иностранных государств к криптографии, достаточно сильной, чтобы помешать расшифровке национальными разведывательными службами, особенно Агентством национальной безопасности (АНБ). [1]
В первые дни Холодной войны США и их союзники разработали сложную серию правил экспортного контроля, призванных предотвратить попадание широкого спектра западных технологий в руки других, особенно Восточного блока . Для любого экспорта технологий, классифицируемых как «критические», требовалась лицензия. CoCom был организован для координации западного экспортного контроля.
Защищались два типа технологий: технологии, связанные только с оружием войны («боеприпасы»), и технологии двойного назначения, которые также имели коммерческое применение. В США экспорт технологий двойного назначения контролировался Министерством торговли , в то время как боеприпасы контролировались Государственным департаментом . Поскольку сразу после Второй мировой войны рынок криптографии был почти полностью военным, технология шифрования (методы, а также оборудование и, после того как компьютеры стали важными, криптографическое программное обеспечение) была включена в качестве пункта Категории XIII в Список боеприпасов США . Многонациональный контроль над экспортом криптографии на западной стороне раздела холодной войны осуществлялся через механизмы CoCom.
Однако к 1960-м годам финансовые организации начали требовать сильное коммерческое шифрование в быстрорастущей области проводных денежных переводов. Введение правительством США Стандарта шифрования данных в 1975 году означало, что коммерческое использование высококачественного шифрования станет обычным делом, и начали возникать серьезные проблемы экспортного контроля. Обычно они решались посредством индивидуальных процедур запроса экспортной лицензии, инициированных производителями компьютеров, такими как IBM , и их крупными корпоративными клиентами.
Контроль за экспортом шифрования стал предметом общественного беспокойства с появлением персональных компьютеров . Криптосистема PGP Фила Циммермана и ее распространение в Интернете в 1991 году стали первым серьезным вызовом «индивидуального уровня» контролю за экспортом криптографии. Рост электронной коммерции в 1990-х годах создал дополнительное давление для снижения ограничений. [2] Вскоре после этого технология SSL компании Netscape получила широкое распространение в качестве метода защиты транзакций по кредитным картам с использованием криптографии с открытым ключом .
Зашифрованные с помощью SSL сообщения использовали шифр RC4 и 128-битные ключи . Экспортные правила правительства США не разрешали экспорт криптосистем, использующих 128-битные ключи. [3] На этом этапе западные правительства на практике имели раздвоение личности, когда дело касалось шифрования; политика была разработана военными криптоаналитиками, которые были озабочены исключительно тем, чтобы не допустить получения секретов их «врагами», но эта политика затем была передана в сферу торговли должностными лицами, чья работа заключалась в поддержке промышленности.
Самый длинный размер ключа, разрешенный для экспорта без индивидуального лицензионного разбирательства, составлял 40 бит , поэтому Netscape разработала две версии своего веб-браузера . «US edition» имела полную 128-битную силу. «International Edition» имела эффективную длину ключа, сокращенную до 40 бит, путем раскрытия 88 бит ключа в протоколе SSL . Приобретение «US domestic» версии оказалось достаточно сложным, так что большинство пользователей компьютеров, даже в США, в конечном итоге остановились на «International» версии, [4] чье слабое 40-битное шифрование можно было взломать за несколько дней с помощью одного персонального компьютера. Похожая ситуация произошла с Lotus Notes по тем же причинам. [5]
Правовые иски Питера Юнгера и других борцов за гражданские права и защитников конфиденциальности, широкая доступность программного обеспечения для шифрования за пределами США и восприятие многими компаниями того, что негативная реклама о слабом шифровании ограничивает их продажи и рост электронной коммерции, привели к серии послаблений в экспортном контроле США, кульминацией которых стало подписание президентом Биллом Клинтоном в 1996 году указа 13026 [6], переводящего коммерческое шифрование из Списка боеприпасов в Список торгового контроля . Кроме того, в указе говорилось, что «программное обеспечение не должно рассматриваться или рассматриваться как «технология»» в смысле Правил экспортного администрирования . Этот указ позволил Министерству торговли США внедрить правила, которые значительно упростили экспорт фирменного и открытого программного обеспечения, содержащего криптографию, что они и сделали в 2000 году. [7]
По состоянию на 2009 год экспорт невоенной криптографии из США контролируется Бюро промышленности и безопасности Министерства торговли . [8] Некоторые ограничения все еще существуют, даже для продуктов массового рынка, особенно в отношении экспорта в « государства-изгои » и террористические организации. Военизированное шифровальное оборудование, электроника, одобренная TEMPEST , пользовательское криптографическое программное обеспечение и даже криптографические консультационные услуги по-прежнему требуют экспортной лицензии [8] (стр. 6–7). Кроме того, регистрация шифрования в BIS требуется для экспорта «товаров массового рынка шифрования, программного обеспечения и компонентов с шифрованием, превышающим 64 бита» (75 FR 36494). Кроме того, другие товары требуют одноразового рассмотрения или уведомления BIS перед экспортом в большинство стран. [8] Например, BIS необходимо уведомить до того, как криптографическое программное обеспечение с открытым исходным кодом будет размещено в Интернете, хотя никакого рассмотрения не требуется. [9] Правила экспорта были смягчены по сравнению со стандартами до 1996 года, но все еще сложны. [8] Другие страны, в частности, участвующие в Вассенаарских соглашениях , [10] имеют аналогичные ограничения. [11]
До 1996 года правительство Соединенного Королевства не выдавало экспортным компаниям экспортных лицензий, если они не использовали слабые шифры или короткие ключи, и в целом не поощряло практическую публичную криптографию. [12] Дебаты о криптографии для NHS выявили это открыто. [12]
Чип Clipper представлял собой набор микросхем для мобильных телефонов, созданный АНБ в 1990-х годах, в котором реализовано шифрование с бэкдором для правительства США. [2] Правительство США пыталось заставить производителей телефонов принять этот набор микросхем, но безуспешно, и к 1996 году программа была окончательно закрыта.
A5/1 — это потоковый шифр, используемый для обеспечения конфиденциальности беспроводной связив стандарте сотовой связи GSM .
Исследователь по вопросам безопасности Росс Андерсон в 1994 году сообщил, что « в середине 1980-х годов между службами радиотехнической разведки НАТО произошел ужасный спор по поводу того, должно ли быть шифрование GSM надежным или нет. Немцы говорили, что оно должно быть надежным, поскольку они имели протяженную границу с Варшавским договором ; но другие страны так не считали, и алгоритм, который сейчас используется, является французской разработкой». [13]
По словам профессора Яна Арильда Аудестада, в процессе стандартизации, который начался в 1982 году, A5/1 изначально предлагалось иметь длину ключа 128 бит. В то время 128 бит прогнозировались как безопасные в течение как минимум 15 лет. Сейчас предполагается, что 128 бит фактически будут безопасными и по состоянию на 2014 год. Аудестад, Петер ван дер Аренд и Томас Хауг говорят, что британцы настаивали на более слабом шифровании, а Хауг сказал, что британский делегат сказал ему, что это должно было позволить британской секретной службе легче подслушивать. Британцы предложили длину ключа 48 бит, в то время как западные немцы хотели более сильное шифрование для защиты от шпионажа со стороны Восточной Германии, поэтому компромиссом стала длина ключа 56 бит. [14] В общем, ключ длиной 56 раз легче взломать, чем ключ длиной 128.
Широко используемый алгоритм шифрования DES изначально планировался IBM с размером ключа 128 бит; [15] АНБ лоббировало размер ключа 48 бит. Конечным компромиссом стал размер ключа 64 бита, 8 из которых были битами четности, чтобы сделать эффективный параметр безопасности ключа 56 бит. [16] DES считался небезопасным еще в 1977 году, [17] и документы, просочившиеся в утечку Сноудена 2013 года , показывают, что на самом деле он был легко взломан АНБ, но все еще рекомендовался NIST . [ 18] DES Challenges были серией конкурсов атак методом подбора, созданных RSA Security, чтобы подчеркнуть отсутствие безопасности, обеспечиваемой стандартом шифрования данных . В рамках успешного взлома сообщений, закодированных в DES, EFF построил специализированный компьютер для взлома DES, получивший название Deep Crack .
Успешный взлом DES, вероятно, помог собрать как политическую, так и техническую поддержку для более продвинутого шифрования в руках обычных граждан. [19] В 1997 году NIST начал конкурс по выбору замены для DES , что привело к публикации в 2000 году Advanced Encryption Standard (AES). [20] AES по-прежнему считается безопасным по состоянию на 2019 год, и АНБ считает AES достаточно сильным для защиты информации, классифицированной на уровне «совершенно секретно». [21]
Опасаясь широкого распространения шифрования, АНБ приступило к скрытному влиянию на стандарты шифрования и их ослаблению, а также к получению главных ключей — либо по соглашению, либо силой закона, либо путем эксплуатации компьютерных сетей ( хакерства ). [2] [22]
По данным New York Times : «Но к 2006 году, как отмечается в документе АНБ, агентство взломало коммуникации трех иностранных авиакомпаний, одной системы бронирования билетов, одного ядерного департамента иностранного правительства и еще одного интернет-сервиса, взломав виртуальные частные сети, которые их защищали. К 2010 году программа Edgehill, британская программа по противодействию шифрованию, расшифровывала VPN-трафик для 30 целей и поставила цель расшифровать еще 300». [22]
В рамках Bullrun АНБ также активно работало над «внедрением уязвимостей в коммерческие системы шифрования, ИТ-системы, сети и конечные коммуникационные устройства, используемые целями». [23] The New York Times сообщила, что генератор случайных чисел Dual EC DRBG содержит лазейку от АНБ, которая позволяет АНБ взломать шифрование, полагаясь на этот генератор случайных чисел. [24] Несмотря на то, что Dual_EC_DRBG был известен как небезопасный и медленный генератор случайных чисел вскоре после публикации стандарта, а потенциальный бэкдор АНБ был обнаружен в 2007 году, а альтернативные генераторы случайных чисел без этих недостатков были сертифицированы и широко доступны, RSA Security продолжала использовать Dual_EC_DRBG в наборе инструментов BSAFE компании и Data Protection Manager до сентября 2013 года. Хотя RSA Security отрицает намеренное внедрение бэкдора в BSAFE, она до сих пор не дала объяснений продолжающемуся использованию Dual_EC_DRBG после того, как его недостатки стали очевидны в 2006 и 2007 годах, [25] однако 20 декабря 2013 года было сообщено, что RSA приняла платеж в размере 10 миллионов долларов от АНБ, чтобы установить генератор случайных чисел в качестве генератора по умолчанию. [26] [27] В просочившихся документах АНБ говорится, что их усилия были «вызовом изящества» и что «в конце концов АНБ стало единственным редактором» стандарта.
К 2010 году АНБ разработало «новаторские возможности» против зашифрованного интернет-трафика. Однако документ GCHQ предупреждал: «Эти возможности являются одними из самых хрупких в сообществе Sigint, и непреднамеренное раскрытие простого «факта» может насторожить противника и привести к немедленной потере возможности». [22] В другом внутреннем документе говорилось, что «не будет НИКАКОЙ « необходимости знать ». [22] Несколько экспертов, включая Брюса Шнайера и Кристофера Согояна , предположили, что успешная атака на RC4 , алгоритм шифрования 1987 года, который до сих пор используется по крайней мере в 50 процентах всего трафика SSL/TLS, является правдоподобным путем, учитывая несколько общеизвестных слабостей RC4. [28] Другие предполагали, что АНБ получило возможность взламывать 1024-битные RSA и открытые ключи Диффи–Хеллмана . [29] Группа исследователей указала на то, что в реализациях Диффи-Хеллмана широко используется несколько неэфемерных простых чисел длиной 1024 бита, и что АНБ провело предварительные вычисления с этими простыми числами, чтобы взломать шифрование с их помощью в реальном времени, и это вполне вероятно то, о чем говорится в «новаторских возможностях» АНБ. [30]
Программа Bullrun является спорной, поскольку считается, что АНБ намеренно вставляет или хранит в секрете уязвимости, которые влияют как на законопослушных граждан США, так и на цели АНБ, в рамках своей политики NOBUS . [31] Теоретически у АНБ две задачи: предотвращать уязвимости, которые влияют на США, и находить уязвимости, которые могут быть использованы против целей США; но, как утверждает Брюс Шнайер, АНБ, похоже, отдает приоритет поиску (или даже созданию) и сохранению в секрете уязвимостей. Брюс Шнайер призвал к разделению АНБ, чтобы группа, отвечающая за укрепление криптографии, не подчинялась группам, которые хотят взломать криптографию ее целей. [32]
В рамках утечек Сноудена стало широко известно, что разведывательные агентства могут обходить шифрование данных, хранящихся на смартфонах Android и iOS , юридически обязывая Google и Apple обходить шифрование на определенных телефонах. Примерно в 2014 году, в ответ на это, Google и Apple переработали свое шифрование таким образом, чтобы у них не было технической возможности обойти его, и его можно было разблокировать, только зная пароль пользователя. [33] [34]
Различные сотрудники правоохранительных органов, включая генерального прокурора администрации Обамы Эрика Холдера [35], отреагировали резким осуждением, назвав неприемлемым, что государство не может получить доступ к данным предполагаемых преступников даже при наличии ордера. В одном из наиболее знаковых ответов начальник детективов полицейского управления Чикаго заявил, что «Apple станет телефоном по выбору для педофилов». [36] Washington Post опубликовала редакционную статью, в которой настаивала на том, что «пользователи смартфонов должны признать, что они не могут быть выше закона, если есть действительный ордер на обыск», и согласившись с тем, что бэкдоры нежелательны, предложила внедрить бэкдор «золотого ключа», который разблокировал бы данные при наличии ордера. [37] [38]
Директор ФБР Джеймс Коми привел ряд случаев, подтверждающих необходимость расшифровки смартфонов. Интересно, что ни в одном из, по-видимому, тщательно отобранных случаев смартфон не имел никакого отношения к идентификации или поимке преступников, и ФБР, похоже, не смогло найти никаких весомых случаев, подтверждающих необходимость расшифровки смартфонов. [39]
Брюс Шнайер назвал спор о праве на шифрование смартфонов «Криптовойнами II» [40] , а Кори Доктороу назвал его «Криптовойнами-возрождением» [41] .
Законодатели в американских штатах Калифорния [42] и Нью-Йорк [43] предложили законопроекты, запрещающие продажу смартфонов с невзламываемым шифрованием. По состоянию на февраль 2016 года ни один законопроект не был принят.
В феврале 2016 года ФБР получило постановление суда, требующее от Apple создать и подписать в электронном виде новое программное обеспечение, которое позволило бы ФБР разблокировать iPhone 5c , изъятый у одного из стрелков в теракте 2015 года в Сан-Бернардино, Калифорния . Apple оспорила постановление. В конце концов ФБР наняло третью сторону для взлома телефона. См. спор о шифровании между ФБР и Apple .
В апреле 2016 года Дайан Файнстайн и Ричард Берр выступили спонсорами законопроекта, который некоторые назвали «чрезмерно расплывчатым» [44] , который, скорее всего, криминализировал бы все формы стойкого шифрования . [45] [46]
В декабре 2019 года Комитет Сената США по правосудию провел слушания по шифрованию и законному доступу, сосредоточившись на зашифрованном хранилище смартфонов. [47] Окружной прокурор Сайрус Вэнс-младший , профессор Мэтт Тейт, Эрик Нойеншвандер из Apple и Джей Салливан из Facebook дали показания. Председатель Линдси Грэм заявил в своем вступительном слове: «Все мы хотим, чтобы устройства защищали нашу конфиденциальность». Он также сказал, что правоохранительные органы должны иметь возможность читать зашифрованные данные на устройствах, пригрозив принять закон, если это необходимо: «Вы найдете способ сделать это, или мы сделаем это за вас». [48]
В октябре 2017 года заместитель генерального прокурора Род Розенштейн призвал к депонированию ключей под эвфемизмом «ответственное шифрование» [49] как к решению продолжающейся проблемы «ухода в тень». [50] Это относится к судебным постановлениям о прослушивании телефонных разговоров и мерам полиции, которые становятся неэффективными, поскольку сильное сквозное шифрование все чаще добавляется в распространенные мессенджеры. Розенштейн предположил, что депонирование ключей предоставит их клиентам способ восстановить свои зашифрованные данные, если они забудут свой пароль, чтобы они не были потеряны навсегда. С точки зрения правоохранительных органов, это позволит судье выдать ордер на обыск, предписывающий компании расшифровать данные; без депонирования или другого подрыва шифрования поставщик услуг не сможет выполнить этот запрос. В отличие от предыдущих предложений, децентрализованное хранение ключей компаниями, а не государственными учреждениями, как утверждается, является дополнительной мерой безопасности.
В 2015 году глава АНБ адмирал Майкл С. Роджерс предложил еще больше децентрализовать депонирование ключей, введя «передние двери» вместо задних дверей в шифрование. [51] Таким образом, ключ будет разделен на две половины: одна будет храниться государственными органами, а другая — компанией, ответственной за продукт шифрования. Правительству, таким образом, все равно понадобится ордер на обыск, чтобы получить половину ключа компании, в то время как компания не сможет злоупотреблять депонированием ключей, чтобы получить доступ к данным пользователей без половины ключа правительства. Эксперты не были впечатлены. [52] [51]
В 2018 году АНБ продвигало использование «легкого шифрования», в частности шифров Simon и Speck , для устройств Интернета вещей . [53] Однако попытка стандартизировать эти шифры в ISO не удалась из-за жесткой критики со стороны совета экспертов по криптографии, которая вызвала опасения, что у АНБ есть непубличные знания о том, как их взломать. [54]
После террористического акта в редакции Charlie Hebdo в 2015 году бывший премьер-министр Великобритании Дэвид Кэмерон призвал объявить криптографию без бэкдора вне закона, заявив, что не должно быть «средств связи», которые «мы не можем прочитать». [55] [56] Президент США Барак Обама встал на сторону Кэмерона в этом вопросе. [57] Этот призыв к действию, похоже, не привел к какому-либо законодательству или изменению статус-кво криптографии без бэкдора, которая стала законной и доступной.
Закон об устранении злоупотреблений и безудержного пренебрежения интерактивными технологиями ( EARN IT ) 2020 года предусматривает создание Национальной комиссии из 19 членов, которая разработает набор руководящих принципов «лучшей практики», которым поставщики технологий должны будут соответствовать, чтобы «заслужить» иммунитет (традиционно предоставляемый «автоматически» разделом 230 Закона о благопристойности в коммуникациях ) к ответственности за материалы о сексуальном насилии над детьми на своих платформах. Сторонники представляют его как способ борьбы с материалами о сексуальном насилии над детьми на интернет-платформах, но он подвергся критике со стороны сторонников шифрования, поскольку вполне вероятно, что «лучшие практики», разработанные комиссией, будут включать отказ от использования сквозного шифрования, поскольку такое шифрование сделает невозможным проверку на наличие незаконного контента. [58] [59]
{{cite book}}: CS1 maint: отсутствует местоположение издателя ( ссылка )