Ключевая деривационная функция - Key derivation function

В криптография, а функция деривации ключа (KDF) это криптографическая хеш-функция который порождает один или несколько секретные ключи из секретного значения, такого как главный ключ, пароль, или кодовая фраза используя псевдослучайная функция.[1][2] KDF можно использовать для преобразования ключей в более длинные ключи или для получения ключей требуемого формата, например, для преобразования элемента группы, который является результатом Обмен ключами Диффи – Хеллмана в симметричный ключ для использования с AES. Криптографические хеш-функции с ключом являются популярными примерами псевдослучайных функций, используемых для вывода ключей.[3]

Использование KDF

  • В сочетании с несекретными параметрами для получения одного или нескольких ключей из общего секретного значения (что иногда также называют «диверсификацией ключей»). Такое использование может помешать злоумышленнику, который получает производный ключ, узнать полезную информацию либо о входном секретном значении, либо о любом из других производных ключей. KDF также может использоваться, чтобы гарантировать, что производные ключи имеют другие желательные свойства, такие как предотвращение «слабых ключей» в некоторых конкретных системах шифрования.
  • Самый распространенный[нужна цитата ] использование KDF - это хеширование паролей подход к проверка пароля, как используется пароль файл или теневой пароль файл. KDF обладают характеристиками, желаемыми для «хеш-функции пароля», хотя изначально они не были предназначены для этой цели.[нужна цитата ] Несекретные параметры называются "соль " в контексте.
В 2013 г. Конкурс по хешированию паролей было объявлено о выборе нового стандартного алгоритма хеширования паролей. 20 июля 2015 года конкурс завершился и Аргон2 был объявлен окончательным победителем. Особого признания получили четыре других алгоритма: Catena, Lyra2, Makwa и yescrypt.[4]
  • Как составляющие многопартийности протоколы согласования ключей. Примеры таких ключевых функций деривации включают: KDF1, определенный в IEEE Std 1363-2000, и аналогичные функции в ANSI X9.42.
  • Чтобы получить ключи из секретных паролей или парольных фраз.
  • Чтобы получить ключи разной длины из предоставленных: одним из примеров KDF, предназначенных для этой цели, является HKDF.
  • Ключевое растяжение и усиление ключа.

Растяжка ключей и усиление ключей

Основная статья: Ключевое растяжение

Функции получения ключей также используются в приложениях для получения ключей из секретных паролей или парольных фраз, которые обычно не имеют желаемых свойств, которые можно использовать непосредственно в качестве криптографических ключей. В таких приложениях, как правило, рекомендуется, чтобы функция вывода ключа была намеренно медленной, чтобы помешать атака грубой силой или же словарная атака на вводимое значение пароля или ключевой фразы.

Такое использование может быть выражено как DK = KDF (ключ, соль, итерации), куда DK производный ключ, KDF ключевой вывод функция, ключ оригинальный ключ или пароль, соль случайное число, которое действует как криптографическая соль, и итерации относится к количеству итерации подфункции. Производный ключ используется вместо исходного ключа или пароля в качестве ключа к системе. Значения соли и количества итераций (если оно не зафиксировано) сохраняются с хешированным паролем или отправляются как открытый текст (незашифрованный) с зашифрованным сообщением.[5]

Сложность атаки методом перебора увеличивается с количеством итераций. Практическим ограничением количества итераций является нежелание пользователей мириться с ощутимой задержкой при входе в компьютер или просмотре расшифрованного сообщения. Использование соль не позволяет злоумышленникам предварительно вычислить словарь производных ключей.[5]

Альтернативный подход, называемый ключевое укрепление, расширяет ключ случайной солью, но затем (в отличие от растяжения ключа) надежно удаляет соль.[6] Это вынуждает как злоумышленника, так и законных пользователей выполнить поиск солевого значения методом перебора.[7] Хотя в статье, посвященной растяжению клавиш[8] ссылаясь на эту более раннюю технику и намеренно выбрав другое название, термин «усиление клавиш» теперь часто (возможно, неправильно) используется для обозначения растяжения клавиш.

История

Первый[нужна цитата ] была вызвана намеренно медленная (растягивающая) функция получения ключа на основе пароля "склеп "(или" crypt (3) "после его страница руководства ), и был изобретен Роберт Моррис в 1978 году. Он зашифрует константу (ноль), используя первые 8 символов пароля пользователя в качестве ключа, выполнив 25 итераций модифицированного DES алгоритм шифрования (в котором 12-битное число, считываемое с компьютерных часов реального времени, используется для нарушения вычислений). Полученное 64-битное число кодируется как 11 печатных символов и затем сохраняется в Unix файл паролей.[9] Хотя в то время это было большим достижением, увеличение скорости процессора после PDP-11 Эра сделала возможными атаки методом перебора криптовалюты, а достижения в области хранения сделали 12-битную соль неадекватной. Дизайн функции crypt также ограничивает пароль пользователя до 8 символов, что ограничивает пространство ключей и делает надежным парольные фразы невозможно.[нужна цитата ]

Хотя высокая пропускная способность является желательным свойством для хэш-функций общего назначения, обратное верно для приложений защиты паролей, в которых защита от взлома грубой силой является основной задачей. Растущее использование оборудования с массовым параллелизмом, такого как графические процессоры, FPGA и даже ASIC для взлома методом грубой силы, сделало выбор подходящих алгоритмов еще более критичным, поскольку хороший алгоритм должен не только обеспечивать определенную сумму вычислительных затрат не только на ЦП, но также не уступают преимуществам современных массово-параллельных платформ по соотношению цена / производительность для таких задач. Специально для этого были разработаны различные алгоритмы, в том числе bcrypt, зашифровать а совсем недавно Lyra2 и Аргон2 (последний является победителем Конкурс по хешированию паролей ). Масштабный Нарушение данных Эшли Мэдисон Примерно 36 миллионов хэшей паролей были украдены злоумышленниками, что свидетельствует о важности выбора алгоритма для защиты паролей. Хотя bcrypt использовался для защиты хэшей (что делало крупномасштабный взлом методом грубой силы дорогостоящим и отнимающим много времени), значительная часть учетных записей в скомпрометированных данных также содержала хеш-пароль, основанный на быстром универсальном MD5 алгоритм, который позволил взломать более 11 миллионов паролей за считанные недели.[10]

В июне 2017 года Национальный институт стандартов и технологий США (NIST) выпустил новую редакцию своих руководящих принципов цифровой аутентификации, NIST SP 800-63B-3,[11]:5.1.1.2 заявляя, что: «Верификаторы ДОЛЖНЫ хранить запомненные секреты [то есть пароли] в форме, устойчивой к атакам в автономном режиме. Запомненные секреты ДОЛЖНЫ быть обработаны и хешированы с использованием подходящей односторонней функции получения ключа. Функции получения ключа принимают пароль, соль, и фактор стоимости в качестве входных данных затем генерирует хэш пароля. Их цель состоит в том, чтобы сделать каждую попытку подбора пароля злоумышленником, который получил файл хеша пароля, дорогостоящим и, следовательно, дороговизной или непомерно высокой стоимостью атаки подбора пароля ».

Современные функции вывода ключей на основе паролей, такие как PBKDF2 (указано в RFC 2898 ), основаны на признанном криптографическом хэше, таком как SHA-2 используйте больше соли (как минимум 64 бита и выбирается случайным образом) и большое количество итераций. NIST рекомендует минимальное количество итераций 10 000.[11]:5.1.1.2 «Для особо важных ключей или для очень мощных систем или систем, где производительность, воспринимаемая пользователем, не критична, количество итераций может составлять 10 000 000».[12]:5.2

Рекомендации

  1. ^ Беззи, Микеле; и другие. (2011). "Конфиденциальность данных". Ин Камениш, Ян; и другие. (ред.). Управление конфиденциальностью и идентификацией на всю жизнь. Springer. С. 185–186. ISBN  9783642203176.
  2. ^ Калиски, Берт; RSA Laboratories. «RFC 2898 - PKCS # 5: Спецификация криптографии на основе пароля, версия 2.0». IETF.
  3. ^ Здзярски, Джонатан (2012). Взлом и защита приложений IOS: кража данных, взлом программного обеспечения и способы его предотвращения. O'Reilly Media. С. 252–253. ISBN  9781449318741.
  4. ^ «Конкурс по хешированию паролей»
  5. ^ а б «Соленый хеширование паролей - все правильно». CrackStation.net. Получено 29 января 2015.
  6. ^ Абади, Мартин, Т. Марк А. Ломас и Роджер Нидхэм. «Укрепление паролей». Центр исследования цифровых систем, Тех. Реп 33 (1997): 1997.
  7. ^ У. Манбер, "Простая схема создания паролей на основе односторонних функций, которые намного сложнее взломать", Компьютеры и безопасность, v.15, n.2, 1996, стр.171–176.
  8. ^ Безопасное применение ключей с низкой энтропией, Дж. Келси, Б. Шнайер, К. Холл и Д. Вагнер (1997)
  9. ^ Моррис, Роберт; Томпсон, Кен (3 апреля 1978 г.). «Защита паролем: история болезни». Bell Laboratories. Архивировано из оригинал 22 марта 2003 г.. Получено 9 мая 2011.
  10. ^ Гудин, Дэн (10 сентября 2015 г.). «Когда-то считавшиеся пуленепробиваемыми, более 11 миллионов паролей Эшли Мэдисон уже взломаны». Ars Technica. Получено 10 сентября 2015.
  11. ^ а б Грасси Пол А. (июнь 2017 г.). SP 800-63B-3 - Рекомендации по цифровой идентификации, аутентификации и управлению жизненным циклом. NIST. Дои:10.6028 / NIST.SP.800-63b.
  12. ^ Мельтем Сёнмез Туран, Элейн Баркер, Уильям Берр и Лили Чен (декабрь 2010 г.). SP 800-132 - Рекомендации по получению ключей на основе пароля, Часть 1: Приложения для хранения (PDF). NIST. Дои:10.6028 / NIST.SP.800-132.CS1 maint: несколько имен: список авторов (связь)

дальнейшее чтение