“Crittografia di livello Militare”

E la sicurezza di marketing stronzate

Apr 2, 2019 · 5 min a leggere

Ovunque io guardi, le aziende dicono di proteggere i dati utilizzando “la crittografia di livello militare.”

Wow! Sembra fantastico! Iscrivimi! Se è abbastanza buono per i militari, allora è abbastanza buono per me!

O questo è quello che sperano che tu pensi. Ahimè, questa affermazione è più spesso il segno di scarsa sicurezza che di buona protezione.

Quindi, che cosa è esattamente “crittografia di livello militare”? Non è una domanda semplice dal momento che i militari hanno requisiti diversi per diverse sensibilità e questi vanno ben oltre l’algoritmo di crittografia utilizzato.

Detto questo, gli algoritmi di crittografia considerati utilizzabili dai militari sono nella lista NSA Suite B Crittografia (presto per essere sostituito). Un algoritmo specifico, AES, è sulla lista e ampiamente utilizzato. Nel 99% dei casi, questo algoritmo è ciò che le persone intendono quando affermano di usare “crittografia di livello militare.”

Quindi cosa c’è di sbagliato in questa affermazione? AES è cattivo?

AES va bene (probabilmente, ci sono opzioni migliori, ma non importa). AES è come una giacca mimetica. Non puoi semplicemente indossarlo e chiamarti militare pronto.

L’utilizzo di un algoritmo di crittografia forte non significa, di per sé, che i dati siano sicuri. Ad esempio, il testo che stai leggendo in questo momento è stato crittografato sulla sua strada a voi utilizzando AES. Fa parte della connessione sicura che ottieni a causa di “https” nell’URL. Quindi questo testo che stai leggendo è protetto da ” crittografia di livello militare.”Eppure, chiunque può vederlo. Non hai dovuto autenticare, o avere una chiave, o conoscere un segreto per vederlo.

suite di cifratura TLS utilizzato da questo blog; utilizzano tutte AES

La protezione da HTTPS mantiene una rete passiva watcher da vedere ciò che si sta leggendo e di una rete attiva intermediario di modificare i contenuti dei dati, come si fa strada verso di voi. HTTPS è essenziale per la sicurezza, ma non è la protezione dei dati. E ‘ la protezione della connessione.

Ciò che l’affermazione “crittografia di livello militare” non ti dice è:

  1. Quali controlli di accesso, se presenti, sono in atto per proteggere i dati, né dove o come possono essere ignorati (ad esempio, da un amministratore di database).
  2. Se la crittografia è trasparente o opaca: in molti casi, la crittografia trasparente è trasparente anche agli aggressori.
  3. Con AES, la chiave di decrittazione viene condivisa tra tutte le parti che necessitano di accesso. Che pone le domande: chi può vedere la chiave(s)? Chi ha mai avuto accesso? Come sono protette le chiavi?
  4. Con AES, ci sono alcune modalità con vari compromessi. Quale modalità (GCM, CBC, CTR, ecc.) viene utilizzato ed è appropriato?
  5. I tasti sono ruotati? I vettori di inizializzazione (IVs) sono usati correttamente? Che dire della fonte di generazione di numeri casuali? Se non è veramente casuale, la crittografia potrebbe essere compromessa.

Brown Safe vault door

Immagina una porta di un caveau. Questa cosa può resistere a mazze e piedi di porco tutto il giorno. Ma ha un pannello di codice sulla parte anteriore di esso. Scritto sopra questo è il codice di ingresso (le persone possono essere così smemorate, lo sai). Importa quanto sia forte questa porta? No.

Gli hacker attaccano i sistemi, non gli algoritmi, e ci sono molte parti di questi sistemi e molte scelte oltre l’algoritmo.

Mentre ci siamo, c’è un’altra richiesta di protezione dei dati che suona bene e viene usata e abusata dappertutto. E il più delle volte, è fondamentalmente privo di significato. Il reclamo assomiglia a questo:

Proteggiamo i tuoi dati con AES-256-Crittografia di livello militare-a riposo e in transito

Quindi cosa significa? “In transito” significa quasi certamente HTTPS. Ricordi come prima ho detto che i dati che stai leggendo qui sono stati crittografati usando AES? E ‘ quello che dicono qui. Stanno dicendo che usano HTTPS. Non fraintendermi, è fantastico, ma non limita chi può accedere ai dati.

L’altra parte di questo è il bit “a riposo”. Sembra promettente. Quindi se un hacker entra in un server, troverà solo dati crittografati e non sarà in grado di accedervi, giusto?

Probabilmente no.

Sfortunatamente, ciò che significa quasi certamente è che usano la crittografia del disco trasparente. Questa è una tecnologia che, come HTTPS, è super importante da usare e dovrebbe essere utilizzata da tutti. Ma non c’è niente di cui vantarsi.

Con la crittografia del disco trasparente, se la macchina è in esecuzione, è come se non ci fosse alcuna crittografia (quindi “trasparente”). Quando il computer è spento, i dati del disco rigido sono spazzatura casuale senza senso.

Quindi qual è il punto? Due cose:

  1. Chiunque ruba un disco rigido da un computer otterrà un bel disco rigido, ma nessuno dei dati su di esso.
  2. Se un disco rigido fallisce per qualche motivo, non ha più bisogno di essere rianimato per cancellare i dati o altrimenti distrutto fisicamente prima di buttarlo via.

Proprio come con la “crittografia di livello militare”, quello che hai qui è la gente che si vanta di fare le basi — il minimo possibile in questo giorno ed età — e facendo sembrare che sia uno strato di protezione che impedirebbe agli hacker o ad altri di visualizzare i tuoi dati.

Conclusione

Potresti liquidare queste frasi come qualcosa generato da persone di marketing poco esperte, ma per una cosa: le società di sicurezza e crittografia sono tra i peggiori trasgressori. Nella mia mente, questa è una mossa intenzionale per soffiare fumo di fronte ai clienti.

Chiunque si vanta di crittografare ” in transito e in riposo “e / o di utilizzare” crittografia di livello militare ” si vanta di bloccare la porta d’ingresso. Una persona del genere probabilmente non ha una buona serratura, un sistema di allarme, ed è probabile che abbiano una chiave sotto il tappetino. Perché chi si vanta di fare cose basilari? Se vedete queste affermazioni, si dovrebbe essere preoccupati per la sicurezza della società che li rende. Lo sono.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato.