Kriptografi ne kadar güvenli?

Bir süredir devam eden, ABD'nin, İran gizli servisinin iletişimini izlediği yönündeki tartışmaları duymuşsunuzdur. Olay ilk önce bu bilgiyi İran'ın nasıl elde ettiği etrafında dönüyordu. Senaryolardan en kuvvetli olanı ise bir dönemler ABD'nin Irak'ta en çok güvendiği ve gizli servis hizmetlerinden dolayı aylık $335,000 ödediği Ahmad Chalabi'nin bu bilgiyi, içkili bir ABD gizli servis ajanından aldığı ve İran'a verdiğiydi.

BBC'deki bu haber ise olayın teknik olarak nasıl yapılıyor olabileceği üzerinde duruyor.
Çeşitli güvenlik uzmanlarıyla yapılan röportajlardan alıntılarla günümüz kriptografi uygulamalarının kırılamayacağı, bu izleme olayının insan hatası(?) veya bir backdoor sayesinde yapılmış olabileceği anlatılıyor.

Alıntılardan biri beni biraz düşündürttü: Acaba?!

"The Code Book" kitabının yazarı Simon Singh: "... Bugün bir email göndersem, dünyanın tüm gizli servisleri, dünyanın tüm bilgisayarlarını kullansalar dahi çözemezler. Şifrelemeyi yapanlar şifre kırıcıları karşısında oldukça büyük bir avantaja sahipler."

Görüşler

Nightwalker
yaklaşık 20 yıl önce

Aslında bu konuda daha deneyimli FM üyeleri bulunmakta. Onların değerlendirmeleriyle bu konuuda bizleri bilgilendirmelerini bekleriz.

huseyin
yaklaşık 20 yıl önce

Mailllarda güvenlik asimmetrik şifreleme (public/private key, Diffie-Hellman) yöntemiyle yapılıyor.

sertifika, iki asal sayının çarpımından oluşan çok büyük bir sayı. Şifreleme ve çözme işlemleri matematiksel yöntemler kullanarak, bu sayılar üzerinden yapılıyor.

siz büyük sayıyı kullanarak dosyayı şifreliyorsunuz. Çarpanlarını sadece o bildiği için çözebilir.

N basamaklı bir sayı için, bütün olasılıkları deneyerek çözmeye kalkmak,
exp(c(log log n)^2/3 (log n)^1/3) zaman alıyor.

1024'lük bir sertifika ortalama 2 üzeri 80 'e filan denk gelir.

saniyede bir milyon hesaplamayla, kabaca 2 üzeri 41 yıl yapar.

1 milyon bilgisayarı birleştirseniz 2 üzeri 31 yıla düşer. yani 2 milyar yıl :)

simor
yaklaşık 20 yıl önce

Peki bu geçenlerde konusu edilen riemann hipotezinin deneyselliği ve gerçekte uygulanabilirliği kanıtlanırsa (ki konu yine asal sayılardı galiba) bu şifrelemenin geleceği ne olacak gerçekten.

huseyin
yaklaşık 20 yıl önce

Sistem tamamen büyük sayıları çarpanlarına ayırmanın zorluğuna dayanıyor.

Eğer kolay bir yöntem bulunursa, önce bankaları soyup, sonra açıklarsınız :)

Bütün şifreleme altyapısı altüst olur.

conan
yaklaşık 20 yıl önce

Maillerdeki sifreleme olarak kastettigin GPG, PGP gibi bir cesit sifreleme ise dedigin biraz eksik.

Sifrelemenin kendisi public/private key pair kullanarak yapilmiyor. Sifrelemenin kendisi simetrik sifreleme. Bu sifrelemenin de bir sifresi/anahtari var. Iste bu sifrenin/anahtarin kendisi karsi tarafin public keyi ile sifrelenip cyphertext'e ekleniyor. Karsi tarafa gonderiliyor. Karsi taraf da bu olayin tersini yapiyor.

Not: Diffie Hellman anahtar degistokusu ise PGP'de ElGamal'a donusturulmus bir sekilde kullaniliyor. Aslinda Diffie Hellman simetrik sifrelemede kullanilan anahtarin iki taraf arasinda degistokus edilmesi icin kullanilir genelde. SSL'de bu uygulamanin bir benzerini gorebilirsiniz. (session keyi degistokus etmek icin bir step)

robertosmix
yaklaşık 20 yıl önce

Sayın Simon Singh'ın yazdığı The Code Book isimli kitaba inanmasanız çok iyi olur. Kendisi kitabının arkasına şifreli bir metin koymuştu, ve bunu kırana 15,000$ vereceğini vaat etmişti. Ancak çok geçmeden bu şifreli metin 5 genç tarafından kırıldı. (Bkz: http://slashdot.org/article.pl?sid=00/10/11/2247204) Şimdi bu kitabın yazarının kullandığı bu meydan okuyucu lafların ne kadar anlamsız olduğunu fark etmek zor olmasa gerek. Ayrıca The Code Book isimli kitabın hangi yılda yazıldığına da bakarsak, bu kitabı ve yazarı çok da ciddiye almanın gereksiz olduğunu da farkederiz.

Kaldı ki bugün bilişim güvenliği ile yakından alakadar olmuş herhangi bir uzman, kırılamayacak herhangi bir algoritmanın henüz geliştirilmediğini ve muhtemelen de insanlık tarihinin sonuna kadar da geliştirilemeyeceğini söyler. Şimdiye kadar geliştirilmiş bütün algoritmalar zaman içerisinde kırılmıştır, ve şu anda kullanılan algoritmaların büyük bir kısmı da bir süre içerisinde kırılacaktır.

Bugün en genelde kullanılan algoritmalar tam sayıların asal çarpanlarına ayırılması zorluğuna dayanmaktalar (Bkz: RSA,DSA vs.) Ancak bu algoritmaların sonları da yavaş yavaş yaklaşmak üzere. (Bkz:Riemman Hipotezi ve ispatı)

Örneğin RSA algoritmasının "Number Field Sieve" (sayı alanı dağılımı) yöntemiyle, yaklaşık olarak O(e1.9(lnn)1/3(lnlnn)2/3) süre içerisinde kırabiliyoruz. En basitinden her bilgisayarda kullanılan SSH protokülünde var olan 1024 bitlik RSA kriptolaması, 2-3 işlemcili, iyi bir bilgisayar ile 2-3 hafta içerisinde kırılabiliyor. Çin'in elindeki süper bilgisayarlar, NSA'daki teknolojinin son harikaları RSA, DSA yada benzeri asal sayı algoritmaları karşısında aciz kalır mı sanıyorsunuz?

Askeri alanda açık anahtarlı kriptolama sistemlerinin kullanılması yavaş yavaş önemini yitimekte, kapalı anahtarlı kriptolama yöntemleri değer kazanmakta. Kullanılan kriptolama süreçlerinde ise minimum 4096 bitlik kriptolama zorunluluğu bulunmakta. Neden acaba? :)

NSA'nın en son uğraştığı ve ABD bütçesinde 2-3 milyar dolar ayrılan Kuantum Bilgisayarları en baba
asal sayı algoritmalarını bile Peter Shor'un geliştirdiği deşifreleme algoritmalarıyla 2-3 saniye içerinde kırabilecek duruma gelecek.

Bütün bu gelişmeleri bir kenara atsak bile, bugün tam sayıların asal çarpanlara ayırılması üzerine çok etkili bir yöntem bulunursa, bütün bu şifreleme sistemleri otomatik olarak kırılmış olur. Bilimin hızına da bakacak olursak 150 yıldır çözülemeyen problemleri çözen matematikcilerin, bahsettiğimiz yöntemleri bulmalarının da bir süreç meselesi olduğunu kabul etmemiz gerekir.

Almanlar Enigmanın asla kırılamaz olduğunu düşünüyorlardı, ancak savaşı enigmanın kırılması sonrası kaybettiler. Şu veya bu algoritmayı kırmak için "milyonlarca yada milyarlarca yıl gerekir" gibi cümleler sahiplerini her zaman utandırmış, zaman içerisinde komik durumlara düşürmüştür. BBC'nin haberini de bu çeşit bir hata olarak niteliyorum. Bazı algoritmaların kırılmasının zor olması, her zaman zor olacağı manasına gelmez, tam tersine gün geçtikce kolaylaşacağını gösterir. Kırılamayacağını ise hiç göstermez.

huseyin
yaklaşık 20 yıl önce

o zaman birkaç tane bilgisayarı birleştirip para kazan ...

http://www.rsasecurity.com/rsalabs/node.asp?id=2093

adresinde RSA sayıları ve ödülleri var.

1024'e 100.000 dolar veriyorlar. O süper hackerların gözünden kaçmış herhalde :)

robertosmix
yaklaşık 20 yıl önce

NFS (Number Field Sieve) yöntemi oldukça teknik ve bir o kadar da zor bir yöntem. Algoritmalarını geliştirmek için yeterli zaman ve iyi bir programlama bilgisi gerekli. Kaldı ki, bu algoritmaları geliştirdikten sonra, bilgisayarların işlemcilerini aynı çalışmaya yönlendirmek biraz daha teknik uğraş gerektiriyor. Clustering adı verilen genel bir yöntem var. Ancak bu yöntemle BSD yada Linux yada Unix tabanlı sunuculardan verim alabiliyorsunuz.

Şimdi tabii ki, bu iş için yaklaşık 5 ile 6 bin dolarlık sunucuları almak, bunları tek bir uğraş için birleştirmek, kalan zamanınızı bunlara vermek, 100.000 bin dolara eşdeğer mi o tartışılır??

Süper hackerlar bu tip işlerle uğraşmazlar cracker'ların işidir şifreleri kırmak. Hackerlar hakkında daha fazla bilgi için Hacker FAQ'lerini incelemenizi tavsiye ederim.

FZ
yaklaşık 20 yıl önce

The Code Book şifreleme tarihine dair epey detaylı ve doyurucu bilgi veren kitaplardan biridir. conan sağolsun bu kitabı okuma şansına sahip oldum 1 yılı aşkın bir süre önce. Şifreleme tarihine dair kaynak kabul edilebilecek bir kitap olduğunu düşünüyorum.

Teorik olarak kırılamayacak kabul edilen tek yöntemin ``one time pad´´ olduğunu biliyorum. Bunun dışında hiçbir yöntem, algoritma için kesinlikle kırılamaz dendiğini duymadım. Ama tabii pratik olarak kırılamaz demek başka bir şey. Yani benim elimde bir bilgi, belge varsa ve siz bu belgeyi ele geçirdikten sonra, birkaç yüz bilgisayarı min. birkaç hafta çalıştırmadan çözemiyorsanız, bunu pratik olarak kırılamaz kabul edebiliriz. Genellikle bu hassas bilgiler üzerinden birkaç hafta geçtikten sonra işe yaramaz olabilirler çünkü. Bazıları için bu süre birkaç güne dahi düşebilir. Yani anında çözülmediği sürece kırılamaz kabul edilebilir. Dikkat: Teorik olarak kırılamaz denmiyor.

Bir de tabii şu var, biz NSA falan değiliz. NSA gizli çalışan bir istihbarat kurumudur. Spekülasyon haricinde, somut olarak fikir yürütmek ancak somut bilgilere dayanarak yapılabilir, en azından biz fani ölümlüler için bu böyle. Dolayısı ile mevcut yayınlara, açıklanan yöntemlere bakarak konuşmak durumdayız. Şu anda ciddi anlamda Shor algoritmasını büyük sayılara uygulayabilecek stabiliteye ve yetkinliğe sahip somut bir bilgi işlem sistemi kamu bilgisi dahilinde değil. Gizli çalışmaları bilmediğimiz için ancak spekülasyon ve geçmiş bilgilerden yola çıkarak sallantılı ekstrapolasyonlar yapabiliriz.

İspatlandığı iddia edilen Riemann Hipotezi´ne gelince, şimdiye dek bu hipotezin kriptografi açısından önemli ilişkisine dair herhangi bir şey okumadım, varsa böyle bir ilişki lütfen biri beni bilgilendirsin. Buna ek olarak okuduklarımdan gördüğüm kadarı ile zaten pek çok makalenin başında Riemann Hipotezini doğru kabul edersek şudur, budur diye başlıyor, dolayısı ile bunun ispatlanması matematiksel açıdan önemli olmakla birlikte kriptografiye dair önemli bir sonuç getirmesi - tek başına - şu anda mevcut görünmüyor.

Ancak sonuç itibari ile elbette teorik olarak hiçbir algoritma sonsuza dek güvenilir falan değil. İnsan beyni sınır tanımıyor. Yine de eğer bireysel iletişim ya da işte şirketlerarası iletişimi falan düşünüyorsanız mevcut algoritmalara güvenebilirsiniz, NSA´nın sizin ticari sırlarınızla, ya da kişisel e-postalarınızla ilgileneceğini sanmam ABD´ye karşı ciddi bir tehdit oluşturma ihtimaliniz varsa o zaman farklı tabii, öyle bir durumda dünyanın en paranoyak insanı olmanızda fayda vardır. Yaptığınız her şeyin en kısa sürede öğrenileceğini hesaba katmanız gerekir ancak tabii bu ekstrem bir durum ve yukarıdaki kategoride iletişim kuran bireyleri, şirketleri falan ilgilendirmiyor, onların güvenliği ile alakalı değil.

Kısaca: Şifrelediğiniz bilginin çözülmesinin süresi sahip olduğu değerle ters orantılıdır.

Son olarak: Bruce Schneier´den bir alıntı: NSA´dan biri der ki: Genellikle şifreyi çözmek için brute-force kullanmayız, insanların ağzından ve bilgisayarlarından laf almak, onları dinlemek falan çok daha ucuza gelir ve kolaydır bizim için, brute-force, matematiksel yöntemle kırmaya çalışmak filan, bunlara genellikle gerek kalmadan olayı hallederiz.

Görüş belirtmek için giriş yapın...

İlgili Yazılar

Sadmind/IIS 9 bin sunucuyu vurdu

pulsar
17 Mayıs 2001, 1 dakika okuma süresi

Computer Emergency Response Teamin (CERT) bu hafta başında duyurduğu Solaris/IIS solucanı, kısa süre içinde büyük iş başardı. Attrition.orgun verilerine göre solucan üç hafta içinde 8 bin 800 web sitesini otomatikman etkisiz hale getirdi.

The Legend of Puffy Hood

barisozyurt
1 Ekim 2003, 3 dakika okuma süresi

Only one remote hole in the default install, in more than 7 years!" sloganlı ailenizin işletim sistemi OpenBSD, 1 Kasım'da yayınlayacağı 3.4 sürümünün sürüm şarkısını duyurdu: The Legend of Puffy Hood

Gelmeyin Microsoft`un Üstüne :)

sundance
3 Mayıs 2001, 1 dakika okuma süresi

Love Bug, Kournikova gibi virus/worm saldırılarından illalah diyen Amerikan Hava Kuvvetleri, Microsoft`un hazırladığı Outlook Security Patch`e resmi olarak gülmek için bir rapor hazırlıyor!!!

Bilindiği üzere yollanan e-maildaki Visual Basic kodunun çalıştırılması sayesinde yayılan bu virüsleri durdurmak için Microsoft bu tür kodların çalışmasına izin vermesi için kullanıcının onaylayacağı bir window çıkartma yolunu seçmişti.

Phrack 58 çıktı!

sundance
28 Aralık 2001, 1 dakika okuma süresi

Internet öncesinden beri güvenlik ve iletişim ortamlarının tartışmasız bir numaralı dergisi PHRACK`in yeni sayısı çıktı.

Özellikle LoopBack bölümünde okur mektuplarına verilen cevapları okumanızı tavsiye ederim, eminim eski sayıları da teker teker elden geçirirsiniz...

Kaliforniya Universitesi (Santa Barbara) Yurtlarında Win2000 Yasağı

cayfer
30 Eylül 2002, 1 dakika okuma süresi

Bir SlashDot haberine göre Santa Barbara'daki Kaliforniya Üniversitesi yurtlarında öğrencilerin Win2000 kullanmalarına artık izin verilmiyormuş. Haberin kaynağı olan UCSB Yurt Ağları yönetiminin yazısını burada bulabilirsiniz. Özet olarak Win2000 hataları yüzünden kampus ağının altüst olmasına daha fazla tahammül edemediklerini anlatan ve öğrencilerin XP Home'a geçmelerini isteyen bir yazı. Hatta bu geçiş için yardıma gereksinim duyanlara destek bile oluyorlar. Başlarının Win2000 ile ne denli dertte olduğunu gösteriyor bu kararları.