Dell BSAFE , ранее известная как RSA BSAFE , является проверенной криптографической библиотекой FIPS 140-2 , доступной как на C , так и на Java. BSAFE изначально была создана RSA Security , которая была куплена EMC , а затем, в свою очередь, Dell. Когда Dell продала бизнес RSA компании Symphony Technology Group в 2020 году, Dell решила сохранить линейку продуктов BSAFE. [1] [2] BSAFE был одним из самых распространенных наборов инструментов шифрования до истечения срока действия патента RSA в сентябре 2000 года. Он также содержал реализации шифров RC x , наиболее распространенным из которых был RC4 . С 2004 по 2013 год генератором случайных чисел по умолчанию в библиотеке был одобренный NIST стандарт RNG, широко известный как небезопасный по крайней мере с 2006 года, содержащий клептографический бэкдор от Американского агентства национальной безопасности (АНБ) в рамках его секретной программы Bullrun . [3] В 2013 году агентство Reuters сообщило, что RSA получила платеж в размере 10 миллионов долларов за установку скомпрометированного алгоритма в качестве опции по умолчанию. [3] Впоследствии стандарт RNG был отозван в 2014 году, а RNG был удален из BSAFE в начале 2015 года.
С 2004 по 2013 год криптографически безопасным генератором псевдослучайных чисел (CSPRNG) по умолчанию в BSAFE был Dual_EC_DRBG , который содержал предполагаемый бэкдор от NSA , в дополнение к тому, что был предвзятым и медленным CSPRNG. [4] Криптографическое сообщество знало, что Dual_EC_DRBG был очень плохим CSPRNG вскоре после публикации спецификации в 2005 году, и к 2007 году стало очевидно, что CSPRNG, по-видимому, был разработан с целью содержать скрытый бэкдор для NSA, который мог использоваться только NSA с помощью секретного ключа. [5] В 2007 году Брюс Шнайер описал бэкдор как «слишком очевидный, чтобы заставить кого-либо его использовать». [5] Наличие бэкдора было подтверждено утечками Сноудена в 2013 году, и было высказано предположение, что АНБ заплатило RSA Security 10 миллионов долларов США за использование Dual_EC_DRBG по умолчанию в 2004 году, [3] хотя RSA Security отрицала, что знала о бэкдоре в 2004 году. Статья Reuters, которая раскрыла секретный контракт на 10 миллионов долларов на использование Dual_EC_DRBG, описывала сделку как «заключенную лидерами бизнеса, а не чистыми технологами». [3] RSA Security в значительной степени отказалась объяснять свой выбор продолжать использовать Dual_EC_DRBG даже после того, как дефекты и потенциальный бэкдор были обнаружены в 2006 и 2007 годах, и отрицала намеренную установку бэкдора. [6]
Так почему RSA выбрала Dual_EC в качестве алгоритма по умолчанию? Вы меня поняли. Dual_EC не только невероятно медленный, что имеет реальные последствия для производительности, но и было показано, что он просто плохой генератор случайных чисел еще в 2006 году. К 2007 году, когда Шумоу и Фергюсон подняли вопрос о возможности бэкдора в спецификации, ни один здравомыслящий криптограф не подошел бы к этой штуке. И самое убийственное то, что RSA нанимает ряд выдающихся криптографов! Маловероятно, что все они пропустили бы новость о Dual_EC.
— Мэтью Грин, криптограф и профессор-исследователь в Университете Джонса Хопкинса, «Несколько мыслей о криптографической инженерии» [4] (После того, как был подтвержден бэкдор, но до того, как Reuters раскрыло секретную сделку на 10 миллионов долларов.)
Поскольку криптографически безопасный генератор случайных чисел часто является основой криптографии, многие данные, зашифрованные с помощью BSAFE, не были защищены от АНБ. В частности, было показано, что бэкдор делает SSL/ TLS полностью взламываемым стороной, имеющей закрытый ключ к бэкдору (т. е. АНБ). [5] Поскольку правительство США и американские компании также использовали уязвимый BSAFE, АНБ потенциально могло сделать данные США менее безопасными, если бы секретный ключ АНБ к бэкдору был украден. Также возможно получить секретный ключ, решив один экземпляр задачи эллиптической кривой алгоритма [5] (взлом экземпляра криптографии эллиптической кривой считается маловероятным при использовании современных компьютеров и алгоритмов, но прорыв может произойти).
В июне 2013 года Эдвард Сноуден начал сливать документы АНБ. В ноябре 2013 года RSA переключила значение по умолчанию на HMAC DRBG с SHA-256 в качестве опции по умолчанию. В следующем месяце Reuters опубликовало отчет, основанный на утечках Сноудена, в котором говорилось, что RSA получила платеж в размере 10 миллионов долларов за установку Dual_EC_DRBG в качестве опции по умолчанию. [3]
В последующих выпусках Crypto-C Micro Edition 4.1.2 (апрель 2016 г.), Micro Edition Suite 4.1.5 (апрель 2016 г.) и Crypto-J 6.2 (март 2015 г.) Dual_EC_DRBG был полностью удален.
«Extended Random» было предложенным расширением для протокола Transport Layer Security (TLS), представленным для стандартизации в IETF сотрудником АНБ, [7] хотя оно так и не стало стандартом. Расширение в противном случае было бы безвредным, но вместе с Dual_EC_DRBG оно облегчило бы использование бэкдора. [8] [9]
Ранее не было известно, что расширение включено в каких-либо реализациях, но в декабре 2017 года оно было обнаружено включенным на некоторых моделях принтеров Canon , которые используют библиотеку RSA BSAFE, поскольку номер расширения конфликтовал с частью TLS версии 1.3. [9]
25 ноября 2015 года RSA объявила даты окончания срока службы (EOL) для BSAFE. [17] Окончание основной поддержки (EOPS) должно было наступить 31 января 2017 года, а окончание расширенной поддержки (EOXS) изначально было назначено на 31 января 2019 года. Позднее эта дата была продлена RSA для некоторых версий до 31 января 2022 года. [18] Во время расширенной поддержки, несмотря на то, что политика поддержки гласила, что будут исправлены только самые серьезные проблемы, выпускались новые версии, содержащие исправления ошибок, исправления безопасности и новые алгоритмы. [19]
12 декабря 2020 года Dell объявила об отмене прошлого решения RSA, разрешив поддержку продукта BSAFE после января 2022 года, а также возможность вскоре приобрести новые лицензии. Dell также объявила о ребрендинге наборов инструментов на Dell BSAFE . [20]