Síťový šifrovací systém, který se stále více využívá nejen v online bankovnictví, ale i v internetových obchodech, webmailových a dalších službách, kde by neměla důvěrná data putovat internetem v čitelném stavu, není tak bezpečný, jak se obecně předpokládalo. Alespoň podle zprávy skupiny evropských a amerických kryptoanalytiků.
Výzkumníci prověřili miliony veřejných šifrovacích klíčů, které používají zejména weby k šifrování komunikace s klientem, a nalezli sice malý, ale poměrně významný počet klíčů, které je možno dešifrovat. Ve většině případů šlo o způsob generování klíčů. Čísla, na jejichž základě se klíče generovaly, nebyla tak náhodná, jak by teoreticky měla být. Proto dospěli výzkumníci k závěru, že útočník, který získá dostatečný počet veřejných klíčů, může nejméně u několika správně určit odpovídající klíč privátní.
„Jedná se o velmi závažnou chybu šifrování způsobenou špatným algoritmem generování náhodných čísel při vytváření soukromého klíče pro protokoly HTTPS, SSL a TSL,“ informoval Peter Eckersley z nadace Electronic Frontier Foundation. Ta pro výzkum poskytla potřebný počet veřejných klíčů. „V současnosti informujeme všechny subjekty, jejichž klíče jsou zneužitelné, a certifikační autority, které pro ně vydaly certifikáty, aby si vygenerovali nové klíče a tyto slabé aby odvolali,“ vysvětlil dále.
Šifrování pomocí páru veřejného a privátního klíče je základní kryptovací systém používaný k ochraně dat přenášených internetem. Veřejným klíčem se data šifrují, šifrovaná se odesílají na server, který je dešifruje pomocí svého privátního klíče. Doposud byl tento způsob považován za bezpečný, protože se předpokládalo, že privátní klíč není možné nijak odhadnout.
Veřejné klíče jsou uloženy v digitálních certifikátech vydávaných certifikační autoritou, která ověří jejich pravost. Pokud by totiž nebyly digitálně podepsané, mohlo by se stát, že by útočník „podstrčil“ do komunikace vlastní sadu klíčů, s jejichž pomocí by mohl data dešifrovat. Nyní se ukazuje, že v některých případech se ani tolik namáhat nemusí.
Výzkumníci měli k dispozici 6,6 milionů veřejných klíčů generovaných pomocí algoritmu RSA, ze kterých bylo 12720 v podstatě nezabezpečených a dalších zhruba 27 tisíc zneužitelných. Klíče, které výzkumníci prověřovali, byly získány z několika veřejně dostupných databází. Může se k nim tedy dostat v podstatě kdokoli.
Jak je v tomto oboru běžné, výzkumníci se nejdříve obrátili na všechny postižené, aby jim pomohli tuto bezpečnostní chybu opravit. Teprve potom chtěli informovat veřejnost, protože mnoho z jimi prolomených klíčů je stále používáno. Výsledky jejich výzkumu však zveřejnil v úterý deník The New York Times. Proto by měli všichni postižení reagovat co nejrychleji.
PŘEDPLATNÉ
ČLÁNKY DO MAILU