De ce este controversată conformitatea cu FIPS 140-2?

Citeam comentariile unui articol despre o nouă implementare propusă a /dev/random în Linux astăzi și cineva a remarcat că trebuie să fie deranjant să treci prin 43 de revizuiri și să nu ai încă patch-ul. Câteva comentarii pe rând și cineva aparent sugerează că această nouă implementare ar fi compatibilă cu FIPS 140-2, și că acest lucru este controversat cu „un dezvoltator al unui renumit modul kernel VPN” care „utiliză în mod intenționat doar algoritmi aprobați de NIST” are „o opinie puternică împotriva conformității FIPS necesare pentru cazurile de utilizare guvernamentale”.

De ce asta? Ce este controversat cu privire la conformitatea cu FIPS 140-2?

Voi adăuga la alt raspuns: cel Reguli de certificare FIPSÂ 140-2 pentru RNG-uri au fost viciate; și notificarea de modificare a FIPS 140-2 2 (dec. 2002) a eliminat partea despre autotestări. Ele sunt literalmente eliminate din standard, lăsând vid. Astfel, FIPS 140-2 nu prescrie niciun test satisfăcător din punct de vedere tehnic al sursei de entropie, nu a făcut-o niciodată și aceasta este o problemă. Prescrie doar condiționarea criptografică aprobată (cu privire la care nu am rezerve tehnice acum că Dual_EC_DRBG este scos).

Inițial au fost prescrise 4 teste (monobit, poker, runs și long runs) care să fie efectuate la cererea operatorului (la nivelul 3) sau la fiecare pornire (nivel 4), fiind necesară o intervenție manuală dacă un test eșuează. Este greșit din mai multe motive:

• Nivelurile de acceptare sunt foarte stricte (mai mult decât erau în FIPSÂ 140-1). Chiar și cu un generator perfect, testele vor eșua pe teren cu o probabilitate considerabilă, cu intervenția umană mandatată. Acest lucru este pur și simplu inacceptabil în unele aplicații, inclusiv sisteme de operare, TPM-uri, carduri inteligente. Orice lucru operat nesupravegheat nu poate fi la nivelul 4, iar contorsiunile sunt necesare la nivelul 3 pentru a justifica chestia cu „cererea operatorului”.
• Nu este specificat că aceste teste ar trebui să fie executate pe sursa de entropie necondiționată. Prin urmare, este tentant să rulați testele pe numere aleatoare ca rezultat al unui bloc de condiționare, ceea ce face testele în mare măsură inutile: dacă sursa de entropie necondiționată eșuează sau devine cu entropie scăzută, un test al ieșirii condiționate nu va înțelege acest lucru, cu excepția cazului în care condiționarea are un imens defect teoretic.
• Nivelul de acceptare al unor teste (în special testul monobit și, într-o măsură mai mică, testul de poker) este de așa natură încât o ușoară părtinire, care este perfect normală și inofensivă pentru o sursă de entropie necondiționată, urmată de o condiționare criptografică adecvată, va determina o rată de respingere dezastruos de mare. . Astfel, este practic imposibil să se aplice testele pe materialul care necesită testare.

Ultimele două probleme rămân la cele de mai târziu SP 800-22 Rev. 1a Teste statistice NIST pentru RNG-uri pentru aplicații criptografice (care, după înțelegerea mea limitată, sunt acum utilizate în timpul certificării). Matematica testelor este bine. Dar, ca mai sus, testele sunt foarte sensibile, deci inutilizabile pe o sursă de entropie adevărată necondiționată (testele ar eșua adesea), astfel utilizabile numai la ieșirea unei surse condiționate, astfel încât nu pot detecta defectele sursei dacă condiționarea este bună. Și este imposibil să detectezi un generator cu ușă în spate competent doar din ieșirea lui.

Deci aceste teste fie eșuează și dau o bună asigurare că materialul testat se distinge de aleatoriu, fie reușesc și dau o aparentă asigurare de securitate, chiar dacă entropia sursei este foarte limitată sau condiționarea are o ușă în spate, care ambele pot permite un atac. .

Oamenii de la NIST sunt competenți și este rezonabil să ne întrebăm dacă adevăratul scop al acestor teste este să ofere acea iluzie de securitate. Acest lucru ar fi în concordanță cu o istorie lungă a SUA care furnizează activ criptografii slăbite:

• Elaborat și lung de decenii compromis al Swiss Crypto AG firmă, care vindea mașini de cifrat slăbite în mod deliberat.
• DES: o publicație NSA, acum declasificată, recunoaște că cheia sa pe 56 de biți este rezultatul unei negocieri între designeri care doresc 64 de biți (cel puțin: Lucifer designul avea o opțiune pentru chei pe 128 de biți); și NSA, încercând să impună 48 de biți pentru a ușura cracarea; vedea acest.
• Dual_EC_DRBG menționată în celălalt răspuns: o încercare deliberată (și la un moment dat succes) de a difuza pe scară largă un RNG, cu un design și parametri publici, care era sigur, cu excepția autorităților americane (sau a oricui a reușit să schimbe cheia publică, care s-a întâmplat).

Puteți face cea mai bună alegere posibilă în toate cazurile dacă nu trebuie să respectați FIPS 140-2. Dacă trebuie să respectați FIPS 140-2, puteți face numai ce este mai bun aprobat alegere. Astfel, conformitatea cu FIPS 140-2 nu vă permite niciodată să faceți alegeri mai bune și uneori vă obligă să faceți alegeri mai proaste.

Să presupunem că trebuie să alegeți între două opțiuni, dintre care una este aprobată de FIPS 140-2, iar cealaltă este în general considerată alegerea mult mai sigură de către comunitatea criptografică. Pe care ar trebui să alegi?

Răspunsul este că ar trebui să alegeți cu siguranță pe cel care este considerat mult mai sigur dacă nu trebuie să aveți conformitate cu FIPS 140-2. În acest caz, trebuie să utilizați cel conform.

Este perfect bine să folosiți metode aprobate de FIPS 140-2 atunci când au sens.Singura diferență pe care o face conformitatea cu FIPS 140-2 este că vă obligă să faceți alegeri mai proaste în unele cazuri.

Gândurile mele sunt prea lungi pentru a comenta, așa că le voi încheia ca răspuns...

Există unele probleme serioase cu celelalte două răspunsuri, în măsura în care unii dintre noi au interpretat greșit ce este un test de aleatorie. Ca puncte: -

1. „Neîncredere în orice algoritm cripto care iese din NIST”. Nu există algoritmi generați de NIST în FIPS. Cu siguranță nimic din complexitatea Dual_EC_DRBG. Runs și teste de poker nu sunt algoritmi proprietari ai Departamentului de Comerț al SUA (NIST). Sunt caracteristici matematice ale unei distribuții uniform aleatoare. Dacă presupun că numărul așteptat de unități ar trebui să fie de ~50%, asta mă face un subversiv? Nici extinderea mediei de 0,5 cu $n$ abateri standard. $\mathcal{N}(\mu, \sigma^2)$ este forma standardizată pentru acea distribuție și nu m-aș aștepta la ceva mai puțin incomplet. Verificarea blocurilor de ieșire repetate (testul generator de numere aleatoare continue) nu este o subversiune, este de bun simț.

2. Pot oferi acest test FIPS ca dovadă:-

$cat /dev/urandom | rngtest
rngtest 5
Copyright (c) 2004 de Henrique de Moraes Holschuh
Acesta este software gratuit; consultați sursa pentru condițiile de copiere. NU există garanție; nici măcar pentru VANTABILITATE sau ADEPTEREA PENTRU UN ANUMIT SCOP.

rngtest: pornește teste FIPS...
rngtest: biți primiți de la intrare: 8310580032
rngtest: FIPS 140-2 succese: 415198
rngtest: Eșecuri FIPS 140-2: 331
Rngtest: FIPS 140-2(2001-10-10) Monobit: 41
Rngtest: FIPS 140-2(2001-10-10) Poker: 53
Rngtest: FIPS 140-2 (2001-10-10) Rulări: 123
rngtest: FIPS 140-2(2001-10-10) Pe termen lung: 115
rngtest: FIPS 140-2(2001-10-10) Executare continuă: 0
rngtest: viteza canalului de intrare: (min=10.703; avg=1976.720; max=19073.486) Mibits/s
rngtest: viteza testelor FIPS: (min=75.092; avg=199.723; max=209.599) Mibits/s
rngtest: Timp de rulare a programului: 43724402 microsecunde

Rata de eșec este p=0,0008. Este foarte comparabil cu pragul p=0,001 din suita de teste SP800 STS și cu cel mai greu:-

NOTĂ BINE: Evaluarea (evaluările) pentru rngs poate fi, de fapt, completă
  incorectă sau înșelătoare. În special, ar trebui să apară valori p „slabe”.
  un test la o sută, iar valorile p „Eșuate” ar trebui să apară la un test în
  o mie -- asta înseamnă p. Folosește-le pe propriul tău risc! Fii avertizat!

Deci nu aparent controversat.

3. „Nu este specificat că aceste teste ar trebui să fie efectuate pe sursa de entropie necondiționată”. Desigur că nu. Este corect. Nimeni nu are caracteristici statistice pentru distribuțiile sursei de entropie necondiționate. Ele vin în toate formele și locațiile. Unele dintre ele nu au nici măcar nume matematice (probă dublă de log normal, cadă MOD $x$ e.t.c.) Putem rula numai teste statistice standardizate pe rezultatul final condiționat.

4. „Este imposibil să detectezi un generator cu ușă în spate competent doar din ieșirea lui”. Din nou, desigur. Nu aceasta este intenția de ex. Testare de pornire FIPS. Ai nevoie de programatori și criptografi pentru asta. FIPS automatizează pur și simplu testarea aleatoriei și stabilește linii directoare pentru programarea de securitate de bază, cum ar fi fără șir de caractere literal pentru control și cod relocabil. Toate foarte normale.

Prin urmare, FIPS 140 nu este chiar atât de controversat. A spune acest lucru este echivalent cu a spune că NIST a făcut ușă în spate distribuția Normală, sau că dieharder este inutil. FIPS nu este grozav la câteva lucruri. Și testarea blocurilor de 20.000 de biți se potrivește perfect la capătul de jos al scalei pentru testarea aleatoriei, chiar mai jos ent (500.000 de biți).