Шифрование в каналах связи компьютерной сети. Памятка по созданию безопасного канала связи

5. Шифрование в каналах связи компьютерной сети

Одной из отличительных характеристик любой компьютерной сети является ее деление на так называемые уровни, каждый из которых отвечает за соблюдение определенных условий и выполнение функций, которые необходимы для общения между собой компьютеров, связанных в сеть. Это деление на уровни имеет фундаментальное значение для создания стандартных компьютерных сетей. Поэтому в 1984 году несколько международных организаций и комитетов объединили свои усилия и выработали примерную модель компьютерной сети, известную под названием

OSI (Open Systems Interconnection).
OSI разносит коммуникационные функции по уровням. Каждый из этих уровней функционирует независимо от ниже- и вышележащих. Он может непосредственно общаться только с двумя соседними уровнями, но полностью изолирован от прямого обращения к следующим уровням. Модель OSI выделяет семь уровней: верхние три служат для связи с конечным пользователем, а нижние четыре ориентированы на выполнение коммуникационных функций в реальном масштабе времени.
В теории шифрование данных для передачи по каналам связи компьютерной сети может осуществляться на любом уровне модели OSI. На практике это обычно делается либо на самых нижних, либо на самых верхних уровнях. Если данные шифруются на нижних уровнях, шифрование называется канальным. Если шифрование данных выполняется на верхних уровнях, то оно зовется сквозным. Оба этих подхода к шифрованию данных имеют свои преимущества и недостатки.

Канальное шифрование

При канальном шифровании шифруются абсолютно все данные, проходящие через каждый канал связи, включая открытый текст сообщения, а также информацию о его маршрутизации и об используемом коммуникационном протоколе (рис.5.3.4.1). Однако в этом случае любой интеллектуальный сетевой узел (например, коммутатор) будет вынужден расшифровывать входящий поток данных, чтобы соответствующим образом его обработать, и снова зашифровывать, чтобы передать на другой узел сети.
Тем не менее канальное шифрование представляет собой очень эффективное средство защиты информации в компьютерных сетях. Поскольку шифрованию подлежат все данные, движущиеся от одного узла сети к другому, у криптоаналитика нет никакой дополнительной информации о том, кто служит источником передаваемых данных, кому они предназначены, какова их структура и так далее. А если еще позаботиться и о том, чтобы, пока канал простаивает, передавать по нему случайную битовую последовательность, сторонний наблюдатель не сможет даже сказать, где начинается и где заканчивается текст передаваемого сообщения.
Не слишком сложной является и работа с ключами. Одинаковыми ключами следует снабдить только два соседних узла сети связи, которые затем могут менять используемые ключи независимо от других пар узлов.
Самый большой недостаток канального шифрования связан с тем, что данные приходится шифровать при передаче по каждому физическому каналу компьютерной сети. Отправка информации в незашифрованном виде по какому-то из каналов ставит под угрозу обеспечение безопасности всей сети в целом. В результате стоимость реализации канального шифрования в больших сетях может оказаться чрезмерно велика.
Кроме того, при использовании канального шифрования дополнительно потребуется защищать каждый узел компьютерной сети, через который проходят передаваемые по сети данные. Если абоненты сети полностью доверяют друг другу, и каждый ее узел размещен в защищенном от проникновения злоумышленников месте, на этот недостаток канального шифрования можно не обращать внимание. Однако на практике такое положение встречается чрезвычайно редко. Ведь в каждой фирме есть конфиденциальные данные, знакомиться с которыми могут только сотрудники одного определенного отдела, а за его пределами доступ к этим данным необходимо ограничивать до минимума.

Сквозное шифрование

При сквозном шифровании криптографический алгоритм реализуется на одном из верхних уровней модели OSI. Шифрованию подлежит только содержательная часть сообщения, которое требуется передать по сети. После зашифрования к ней добавляется служебная информация, необходимая для маршрутизации сообщения, и результат переправляется на более низкие уровни с целью отправки адресату.
Теперь сообщение не требуется постоянно расшифровывать и зашифровывать при прохождении через каждый промежуточный узел сети связи. Сообщение остается зашифрованным на всем пути от отправителя к получателю (рис. 5.3.4.2).
Основная проблема, с которой сталкиваются пользователи компьютерных сетей, где применяется сквозное шифрование, связана с тем, что служебная информация, используемая для маршрутизации сообщений, передается по сети в незашифрованном виде. Опытный крипто-аналитик может извлечь для себя массу полезной информации, зная, кто, с кем, как долго и в какие часы общается через компьютерную сеть. Для этого ему даже не потребуется быть в курсе предмета общения.
По сравнению с канальным сквозное шифрование характеризуется более сложной работой с ключами, поскольку каждая пара пользователей компьютерной сети должна быть снабжена одинаковыми ключами, прежде чем они смогут связаться друг с другом. Вдобавок, поскольку криптографический алгоритм реализуется на верхних уровнях модели OSI, приходится также сталкиваться со многими существенными различиями в коммуникационных протоколах и интерфейсах в зависимости от типов компьютерных сетей и объединяемых в сеть компьютеров. Все это затрудняет практическое применение сквозного шифрования.

Комбинированное шифрование

Комбинация канального и сквозного шифрования данных в компьютерной сети обходится значительно дороже, чем канальное или сквозное шифрование по отдельности. Однако именно такой подход позволяет наилучшим образом защитить данные, передаваемые по сети. Шифрование в каждом канале связи не позволяет противнику анализировать служебную информацию, используемую для маршрутизации. А сквозное шифрование уменьшает вероятность доступа к незашифрованным данным в узлах сети.
При комбинированном шифровании работа с ключами ведется раздельно: сетевые администраторы отвечают за ключи, используемые при канальном шифровании, а о ключах, применяемых при сквозном шифровании, заботятся сами пользователи.

Аппаратное шифрование
Большинство средств криптографической защиты данных реализовано в виде специализированных аппаратных устройств. Эти устройства встраиваются в линию связи и осуществляют шифрование всей передаваемой по ней информации. Преобладание аппаратного шифрования над программным обусловлено несколькими причинами.
Во-первых, аппаратное шифрование обладает большей скоростью. Криптографические алгоритмы состоят из огромного числа сложных операций, выполняемых над битами открытого текста. Современные универсальные компьютеры плохо приспособлены для эффективного выполнения этих операций. Специализированное оборудование умеет делать их гораздо быстрее.
Во-вторых, аппаратуру легче физически защитить от проникновения извне. Программа, выполняемая на персональном компьютере, практически беззащитна. Вооружившись отладчиком, злоумышленник может скрытно внести в нее изменения, чтобы понизить стойкость используемого криптографического алгоритма, и никто ничего не заметит. Что же касается аппаратуры, то она обычно помещается в особые контейнеры, которые делают невозможным изменение схемы ее функционирования. Чип покрывается сверху специальным химическим составом, и в результате любая попытка преодолеть защитный слой этого чипа приводит к самоуничтожению его внутренней логической структуры. И хотя иногда электромагнитное излучение может служить хорошим источником информации о том, что происходит внутри микросхемы, от этого излучения легко избавиться, заэкранировав микросхему. Аналогичным образом можно заэкранировать и компьютер, однако сделать это гораздо сложнее, чем в случае миниатюрной микросхемы.
И, в-третьих, аппаратура шифрования более проста в установке. Очень часто шифрование требуется там, где дополнительное компьютерное оборудование является совершенно излишним. Телефоны, факсимильные аппараты и модемы значительно дешевле оборудовать устройствами аппаратного шифрования, чем встраивать в них микрокомпьютеры с соответствующим программным обеспечением.
Даже в компьютерах установка специализированного шифровального оборудования создает меньше проблем, чем модернизация системного программного обеспечения с целью добавления в него функций шифрования данных. В идеале шифрование должно осуществляться незаметно для пользователя. Чтобы добиться этого при помощи программных средств, шифрование должно быть упрятано глубоко в недра операционной системы. С готовой и отлаженной операционной системой безболезненно проделать это не так-то просто. Но даже любой непрофессионал сможет подсоединить шифровальный блок с одной стороны к персональному компьютеру и к внешнему модему с другой.
Современный рынок аппаратных средств шифрования информации предлагает потенциальным покупателям три разновидности таких средств - самодостаточные шифровальные модули (они самостоятельно выполняют всю работу с ключами), блоки шифрования в каналах связи и шифровальные платы расширения для установки в персональные компьютеры. Большинство устройств первого и второго типа являются узко специализированными, и поэтому, прежде чем принимать окончательное и бесповоротное решение об их приобретении, необходимо досконально изучить ограничения, которые при установке накладывают эти устройства на соответствующее “железо”, операционные системы и прикладное программное обеспечение. А иначе можно выбросить деньги на ветер, ни на йоту не приблизившись к желанной цели. Правда, иногда выбор облегчается тем, что некоторые компании торгуют коммуникационным оборудованием, которое уже имеет в своем составе предустановленную аппаратуру шифрования данных.
Платы расширения для персональных компьютеров являются более универсальным средством аппаратного шифрования и обычно могут быть легко сконфигурированы таким образом, чтобы шифровать всю информацию, которая записывается на жесткий диск компьютера, а также все данные, пересылаемые на его гибкий диск и в последовательные порты. Как правило, защита от электромагнитного излучения в шифровальных платах расширения отсутствует, поскольку нет смысла защищать эти платы, если аналогичные меры не предпринимаются в отношении всего компьютера в целом.

Программное шифрование
Любой криптографический алгоритм может быть реализован в виде соответствующей программы. Преимущества такой реализации очевидны: программные средства шифрования легко копируются, они просты в использовании, их нетрудно модифицировать в соответствии с конкретными потребностями.
Во всех распространенных операционных системах имеются встроенные средства шифрования файлов. Обычно они предназначены для шифрования отдельных файлов, и работа с ключами целиком возлагается на пользователя. Поэтому применение этих средств требует особого внимания: во-первых, ни в коем случае нельзя хранить ключи на диске вместе с зашифрованными с их помощью файлами, а во-вторых, незашифрованные копии файлов необходимо стереть сразу же после шифрования.
Конечно, злоумышленник может добраться до компьютера и незаметно внести нежелательные изменения в программу шифрования. Однако основная проблема состоит отнюдь не в этом. Если злоумышленник в состоянии проникнуть в помещение, где установлен компьютер, он вряд ли будет возиться с программой, а просто установит скрытую камеру в стене, подслушивающее устройство в телефон или датчик для ретрансляции электромагнитного излучения в компьютер. В конце концов, если злоумышленник может беспрепятственно все это сделать, сражение с ним уже проиграно, даже не начавшись.

Сжатие и шифрование
Алгоритмы сжатия данных очень хорошо подходят для совместного использования с криптографическими алгоритмами. На это есть две причины:

• При вскрытии шифра крипто-аналитик более всего полагается на избыточность, свойственную любому открытому тексту. Сжатие помогает избавиться от этой избыточности.
• Шифрование данных является весьма трудоемкой операцией. При сжатии уменьшается длина открытого текста, и тем самым сокращается время, которое будет потрачено на его шифрование. Надо только не забыть сжать файл до того, как он будет зашифрован, а не после. После шифрования файла при помощи качественного криптографического алгоритма полученный шифртекст сжать не удастся, поскольку его характеристики будут близки к характеристикам совершенно случайного набора букв. Кстати, сжатие может служить своеобразным тестом для проверки качества криптографического алгоритма: если шифртекст поддается сжатию, значит, этот алгоритм лучше заменить на более совершенный.

Канальное шифрование

Сквозное шифрование

Характеристика криптографических методов

Практически все применяемые криптографические методы связаны с разбиением сообщения на большое число частей (или знаков) фиксированного размера, каждая из которых шифруется отдельно, если не независимо. Это существенно упрощает задачу шифрования, так как сообщения обычно имеют различную длину.
Можно выделить три основных метода шифрования : поточный, блочный и с применением обратной связи.
Будем считать, что каждая часть или каждый знак сообщения шифруется отдельно в определенном порядке.

Выделяются следующие четыре характерных признака криптографических методов.

1. Операции с отдельными битами или блоками.
2. Зависимость или не зависимость функции шифрования от результатов шифрования предыдущих частей сообщения.
3. Зависимость или независимость шифрования отдельных знаков сообщения от их положения в тексте. Например, при поточном шифровании, различные знаки сообщения шифруются с учетом их положения в сообщении. Это свойство называется позиционной зависимостью или независимостью шифра.
4. Симметрия или асимметрия функции шифрования. Это важное свойство определяет существенное различие между обычными симметричными (одноключевыми) криптосистемами и асимметричными двухключевыми (криптосистемами с открытым ключом). Основное различие между ними состоит в том, что в асимметричной криптосистеме знание ключа шифрования (или расшифрования) недостаточно для раскрытия соответствующего ключа расшифрования (или шифрования).

Основные характеристики криптосистем

Типы криптосистем	Операции с битами или блоками	Зависимость/ независимость от знаков сообщения	Позиционная зависимость/ независимость	Симметрия/ асимметрия
Поточного шифрования		не зависит		симметричная
Блочного шифрования		не зависит	не зависит	симметричная или несимметричная
	биты или блоки		не зависит	симметричная

В криптосистеме, обладающей свойством зависимости функции шифрования от знаков сообщения, может иметь место размножение ошибок. Если, например, при передаче будет искажен бит шифртекста, то после расшифрования открытый текст может содержать большее количество искаженных битов. Ошибки типа "вставка" и "выпадение" могут также привести к катастрофическому размножению ошибок при дешифровании.
Поточные шифры. Поточное шифрование состоит в том, что биты открытого текста складываются по модулю 2 с битами псевдослучайной последовательности.
К преимуществам поточных шифров относятся отсутствие размножения ошибок , простая реализация и высокая скорость шифрования .
Недостатком является необходимость передачи информации синхронизации перед заголовком сообщения, которая должна быть принята до расшифрования любого сообщения. Это связано с тем, что если два различных сообщения шифруются на одном и том же ключе, то для расшифрования этих сообщений должна использоваться одна и та же псевдослучайная последовательность. Такое положение может создать опасную угрозу криптостойкости системы и поэтому часто используется дополнительный, случайно выбираемый ключ сообщения, который передается в начале сообщения и используется для модификации ключа шифрования. В результате разные сообщения будут шифроваться с использованием различных последовательностей.
Поточные шифры широко применяются в военных системах и других системах, близких к ним по назначению, для шифрования данных и преобразованных в цифровую форму речевых сигналов. До недавнего времени такие применения были преобладающими для данного метода шифрования. Это объясняется, в частности, относительной простотой конструирования и реализации генераторов хороших шифрующих последовательностей. Но главным фактором, конечно, остается отсутствие размножения ошибок в поточном шифре.
Так как для передачи данных и речевых сообщений в тактических сетях связи используются каналы сравнительно невысокого качества, любая криптографическая система, увеличивающая и без того высокую частоту ошибок, неприменима. В таких случаях обязательно применение криптосистемы, не размножающей ошибки.
Однако размножение ошибок может быть и положительным явлением. Пусть, например, зашифрованные данные должны передаваться по каналу с очень низкой вероятностью ошибки (например, 10 5) и весьма важно, чтобы данные принимались совершенно точно. Это типичная ситуация для вычислительных сетей, где ошибка в единственном бите может привести к катастрофическим последствиям, и поэтому канал связи должен быть очень надежным. В такой ситуации одна ошибка настолько же опасна, как 100 или 1000 ошибок. Но 100 или 1000 ошибок могут быть обнаружены легче, чем одна ошибка. Следовательно, в данном случае размножение ошибок уже не является недостатком шифра.
Стандартным методом генерирования последовательностей для поточного шифрования является метод, применяемый в стандарте шифрования данных DES в режиме обратной связи от выхода.
Блочные шифры. Для блочного шифрования открытый текст сначала разбивается на равные по длине блоки, затем применяется зависящая от ключа функция шифрования для преобразования блока открытого текста длиной т бит в блок шифртекста такой же длины. Важное свойство блочного шифрования состоит в том, что каждый бит блока шифртекста является функцией всех (или почти всех) битов соответствующего блока открытого текста, и никакие два блока открытого текста не могут быть представлены одним и тем же блоком шифртекста. Алгоритм блочного шифрования может использоваться в различных вариантах. Четыре режима шифрования в стандарте DES фактически применимы к любому блочному шифру.

Эти режимы получили следующие названия:

• режим прямого шифрования, или шифрования с использованием электронной книги кодов ЕСВ (Electronic code book),
• шифрование со сцеплением блоков шифртекста СВС (Cipher block chaining),
• шифрование с обратной связью от шифртекста CFB (Cipher feedback),
• шифрование с обратной связью от выхода OFB (Output feedback).

Основное преимущество прямого блочного шифрования (electronic code book) состоит в том, что в хорошо сконструированной системе блочного шифрования небольшие изменения в шифртексте вызовут большие и непредсказуемые изменения в соответствующем открытом тексте и наоборот .
Вместе с тем, применение блочного шифра в этом режиме связано с серьезными недостатками. Первый из них состоит в том, что вследствие фиксированного характера шифрования даже при сравнительно большой длине блока, например 50-100 бит , возможен криптоанализ "со словарем" в ограниченной форме .
Ясно, что блок такого размера может повториться в сообщении вследствие большой избыточности в типичном тексте на естественном языке. Это может привести к тому, что идентичные блоки открытого текста длиной т бит в сообщении будут представлены идентичными блоками шифртекста, что дает криптоаналитику некоторую информацию о содержании сообщения.
Другой потенциальный недостаток этого шифра связан с размножением ошибок (это одна из проблем для всех видов шифров, за исключением поточных). Результатом изменения только одного бита в принятом блоке шифртекста будет неправильное расшифрование всего блока. Это, в свою очередь, приведет к появлению от 1 до т искаженных бит в восстановленном исходном тексте.
Вследствие отмеченных недостатков, блочные шифры редко применяются в указанном режиме для шифрования длинных сообщений. Однако, в финансовых учреждениях, где сообщения часто состоят из одного или двух блоков, блочные шифры (в частности, алгоритм DES) широко применяются в этом простом варианте. Поскольку такое применение связано с возможностью частой смены ключа шифрования, вероятность шифрования двух идентичных блоков открытого текста на одном и том же ключе очень мала. Наиболее часто блочные шифры применяются в системах шифрования с обратной связью от шифртекста.
Возможно также образование смешанных (гибридных) систем поточного и блочного шифрования с использованием лучших свойств каждого из этих шифров. В таких системах поточное шифрование комбинируется с псевдослучайными перестановками. Открытый текст сначала шифруется как при обычном поточном шифровании, затем полученный шифртекст разбивается на блоки фиксированного размера. В каждом блоке производится псевдослучайная перестановка под управлением ключа (предпочтительны различные перестановки для отдельных блоков).
Порядок следования этих двух операций может быть изменен на обратный без влияния на основные свойства системы. В результате получается шифр, не размножающий ошибки, но обладающий дополнительным свойством, которого нет у поточного шифра. Это свойство заключается в том, что перехватчик не знает, какому биту открытого текста соответствует бит шифртекста. Благодаря этому зашифрованное сообщение становится более сложным и трудным для раскрытия. Но следует отметить, что это уже не подлинный блочный шифр, в котором каждый бит шифртекста является функцией только одного, а не всех битов открытого текста.
Криптосистема с открытым ключом должна быть системой блочного шифрования, оперирующей с блоками довольно большой длины. Это обусловлено тем, что криптоаналитик, знающий открытый ключ шифрования, мог бы предварительно вычислить и составить таблицу соответствия блоков открытого текста и шифртекста. Если длина блоков мала (например, 30 бит), то число возможных блоков будет не слишком большим (при длине 30 бит это 2 30 -10 9 ) и может быть составлена полная таблица, дающая возможность моментального дешифрования любого зашифрованного сообщения с использованием известного открытого ключа.
Было предложено много различных криптосистем с открытым ключом, наиболее известной из которых является система RSA (Rivest, Shamir, Adleman). Криптостойкость этой системы основана на трудности разложения больших чисел на простые сомножители и выборе для ключей шифрования и расшифрования двух больших простых чисел.
Известно, что алгоритм RSA не может быть применен для шифрования с большой скоростью. Наиболее оптимизированная программная реализация этого алгоритма оказывается низкоскоростной, а несколько аппаратных реализации обеспечивают скорость шифрования от 10 до 100 Кбит/с (при использовании простых чисел порядка 2 7 ,что представляется минимальной длиной для обеспечения требуемой криптостойкости). Это значит, что применение системы RSA для блочного шифрования ограничено, хотя применение ее для распределения ключей, аутентификации и формирования цифровой подписи представляет интересные возможности. Некоторые известные в настоящее время криптоалгоритмы с открытым ключом допускают более высокую скорость шифрования, чем алгоритм RSA. Однако они пока не являются настолько популярными.
Системы шифрования с обратной связью. Системы шифрования с обратной связью встречаются в различных практических версиях. Как и в системах блочного шифрования, сообщения разбиваются в них на ряд блоков, состоящих из т бит, и для преобразования этих блоков в блоки шифртекста, которые также состоят из т бит, используются специальные функции. Однако, если в блочном шифре такая функция зависит только от ключа, то в шифрах с обратной связью она зависит как от ключа, так и от одного или более предшествующих блоков шифртекста. Такое общее определение шифрования с обратной связью включает в себя как частные случаи большое количество различных типов практически применяемых систем.
Применение криптосистем блочного шифрования с обратной связью дает ряд важных преимуществ . Первое и самое значительное - возможность использования их для обнаружения манипуляций с сообщениями, производимых активными перехватчиками. При этом используется факт размножения ошибок, а также способность таких систем легко генерировать код аутентификации сообщений MAC (message aithentication code). Второе преимущество состоит в том, что шифры СТАК, применяемые вместо блочных шифров, не требуют начальной синхронизации . Это значит, что если начало сообщения пропущено при приеме, то оставшаяся часть его может быть успешно расшифрована (после успешного приема следующих один за другим t бит шифртекста. Отметим также, что системы шифрования с обратной связью используются не только для шифрования сообщений, но также и для их аутентификации.
Криптосистемам блочного шифрования с обратной связью свойственны определенные недостатки . Основной из них - размножение ошибок , т.е. один ошибочный бит при передаче может вызвать от 1 до sm + i ошибок в расшифрованном тексте. Таким образом, требование увеличения t для повышения криптостойкости противоречит системным требованиям, связанным с размножением ошибок. Другой недостаток состоит в том, что разработка и реализация систем шифрования с обратной связью часто оказываются более трудными, чем для систем поточного шифрования. Хотя системы шифрования с обратной связью различных типов находят широкое применение уже в течение многих лет, специальных алгоритмов для таких систем очень мало. В большинстве случаев опубликованные алгоритмы получены из алгоритмов блочного шифрования, преобразованных для специальных применений.
Первый вывод, который можно сделать из проведенного анализа, состоит в том, что в большинстве практических криптосистем применяются алгоритмы или поточного шифрования, или шифрования с обратной связью. Большинство криптосистем поточного шифрования использует алгоритмы для коммерческого сектора (в том числе, алгоритмы, являющиеся собственностью фирм или отдельных пользователей) или секретные правительственные алгоритмы. Такое положение, видимо, сохранится еще в ближайшие годы.
Возможно также, что большинство систем шифрования с обратной связью будет основано на применении алгоритмов блочного шифрования в специальном варианте, в частности, наиболее известного алгоритма блочного шифрования DES. О других методах шифрования можно сказать, что, несмотря на быстрый рост публикаций по криптосистемам с открытым ключом, только одна из них, - система RSA, выдержала испытание временем.
Но алгоритм этой системы связан с серьезными ограничениями в реализации и поэтому не подходит для некоторых криптографических применений. Конечно, можно определенно утверждать, что криптосистемы с открытым ключом оказали значительное влияние на технику шифрования данных. Они находят все возрастающее применение, в основном, для формирования цифровых подписей или для управления ключами в обычных криптосистемах (таких, как ключ шифрования ключей).
Потенциальным пользователям криптографии представляется возможность выбирать между системами поточного шифрования и системами шифрования с обратной связью (возможно, основанными на применении алгоритмов блочного шифрования). Однако имеются определенные области применения, например, финансовые операции, где возможно использование методов прямого блочного шифрования (" electronic codebook"). Выбор криптоалгоритма в значительной мере зависит от его назначения. Некоторые данные, которыми можно руководствоваться при выборе типа шифрования, приведены в таблице.

Факторы, влияющие на выбор криптосистемы

Типы криптосистем	Размножение ошибок	Аутентификация	Наличие криптоалгоритмов	Скорость выполнения операций
Поточного шифрования			Стандартных алгоритмов нет. Имеются собственные алгоритмы фирм или пользователей
Блочного шифрования (с секретным ключом шифрования/ расшифрования			Алгоритм DES; собственные алгоритмы фирм или пользователей
Блочного шифрования с открытым ключом			Алгоритм RSA и немногие другие
С обратной связью от шифртекста			Просто разрабатываются на основе алгоритмов блочного шифрования

Решающими факторами при выборе являются: тип шифруемых данных, требуемые функции криптографической защиты, характеристики используемого канала связи. К характеристикам данных, влияющим на выбор типа криптосистемы, относится требуемая скорость шифрования. Например, при низкой скорости возможно применение криптосистемы RSA, для которой при аппаратной "быстрой” реализации достижима скорость 10-100 Кбит/ с (не приемлемая для многих применений).
Системы блочного шифрования в программном варианте относятся к низкоскоростным, но в аппаратном варианте, например, с алгоритмом DES, могут работать со скоростями до 10 Мбит/с. Если требуются более высокие скорости, то лучшим кандидатом может быть система поточного шифрования с высоким быстродействием как в программном, так и в аппаратном вариантах.
В случае если необходимо обеспечить аутентификацию сообщений, рекомендуется применять либо системы с обратной связью от шифртекста, либо системы с открытым ключом. Если имеющийся канал связи относится к каналам, подверженным ошибкам, такой системой является поточное шифрование.

Давайте на секунду задумаемся, как бы выглядел хакерский телефон ?
Какие бы функции у него были, чем он был бы нафарширован из железа и из ПО.
А пока посмотрим, что есть на рынке, какие штучные решения уже реализованы, что можно у них подсмотреть.

Позволю себе похвастаться новой трубкой немного лирики перед суровыми ИБэшными терминами и концепциями.

Тяжесть - это хорошо. Тяжесть - это надежно.

Да, это телефон спиз Snatch (DEXP Ixion XL145). Мои земляки из Владивостока взяли и грамотно спизд переработали/переосмыслили Highscreen Zera S Power (спилили сзади углы, добавили отделку «под кожу», удвоили количество ядер с 4 до 8, проапгрейдили камеру с 5 до 8 МП).

Как связан этот телефон с ИБ?

Во-первых, он мне достался методом «мягкой» соц.инженерии. Но об этом пока не могу написать.

Во-вторых, мне теперь будет проще снимать видео и фото шпионских девайсов.

(к статье про детекторы жучков, индикаторы поля и легальные эмуляторы «жучков»)

Вот например так верещит акустический сейф:

Для справки, Dexp Snatch стоит 7 500 рублей (хотя в линейке Dexp есть модели с большой батарейкой и за 4 500, и за 14 000 рублей), а акустический сейф стоит около 10.000 рублей.

Я очень уважаю долгоиграющие телефоны. Всегда пользовался старенькими ксениумами. Видать, у владивостокчан это в крови - лень каждый день подзаряжаться, вот они и запилили целую линейку из 10 моделей с мощными батареями. Батарейка на 4000 mAh (6-8 видеозаписей докладов с DEF CON) и корпус толще сантиметра. (Рядом старый, добрый, верный телефон «для взяток», который служит мне фонариком уже более 5 лет.)

Глядя на Бориса хер попадешь Бритву, я прихожу к мысли, что очень часто простой и грубый метод может быть действенным. Например, защититься от скрытного включения микрофона, можно тем, что тупо поставить механический тумблер включения\выключения микрофона.

Справа на самой верхней фотке - умный чехол для телефона «Кокон» (акустический сейф), который мне дали поиграться в компании Detector Systems, когда я брал у них охапку индикаторов поля и эмуляторов жучков. (Скоро будет обзор.)
Акустический сейф - изделие предназначенное для защиты речевой информации циркулирующей в местах пребывания владельца сотового телефона в случае его активизации с целью прослушивания через каналы сотовой связи. Защита обеспечивается путем автоматического акустического зашумления тракта передачи речевой информации при попытке негласной дистанционной активации микрофона трубки сотового телефона. Изделия «Ладья» и «Кокон» прошли сертификационные испытания по требованиям Гостехкомиссии РФ (Сертификаты №№ 697, 698) и могут использоваться в выделенных помещениях до 1-ой категории включительно.

Сотовый телефон помещается внутрь «Кокона». В случае негласной дистанционной активизации телефона в режим прослушивания единственным демаскирующим признаком является изменение напряжённости электромагнитного поля (т.е.передатчик сотового телефона несанкционированно включается на передачу). Это изменение фиксируется индикатором поля, входящим в состав изделия, который даёт команду на автоматическое включение акустического шумогенератора. При этом происходит зашумление всего тракта передачи речевой информации таким образом, что на приёмном конце отсутствуют какие либо признаки речи.

Технические характеристики:

• Уровень шума в точке размещения микрофона сотового телефона: не менее 100 Дб
• Эффективный спектр шумового сигнала: 250 - 4000 Гц
• Время непрерывной работы от одного комплекта батарей: не менее 6 месяцев
• Питание изделия «Кокон»: литиевая батарея CR 2032
• Время непрерывной работы от одного комплекта батарей: не менее 2 месяцев

История

Первые упоминания противоборства спецслужб и «хакеров» в области телефонии появились в 1993-1995.

ZRTP (2006)

Криптографический протокол согласования ключей шифрования, используемый в системах передачи голоса по IP-сетям (VoIP). ZRTP описывает метод получения ключей по алгоритму Диффи - Хелмана для организации Secure Real-time Transport Protocol (SRTP). ZRTP осуществляет согласование ключей в том же потоке RTP, по которому установлена аудио/видео связь, то есть не требует отдельного канала связи. Разработан Филипом Циммерманом (Phil Zimmermann, автор Pretty Good Privacy), Джоном Калласом (Jon Callas) и Аланом Джонстоном (Alan Johnston) в 2006 году. Описание протокола было подано в IETF 5-го марта 2006.

2009
Карстен Нол (Karsten Nohl), член немецкой хакерской группы CCC (Chaos Computer Club), объявил на конференции группы 28 декабря, что ему удалось взломать алгоритм кодирования данных в сетях GSM.

Карстен Нол (Karsten Nohl), основатель компании Security Research Labs, заявил об обнаружении уязвимости SIM-карт со стандартом шифрования DES (Data Encryption Standard). Это устаревший стандарт, который, впрочем, используется большим количеством производителей, и сотни миллионов SIM-карт поддерживают именно DES. Так вот, данная уязвимость позволяет при отсылке на телефон фейкового сообщения от оператора связи получить 56-битный ключ в ответном сообщении (ответ отсылается автоматически, и около 25% DES-карт подвержены такому «обману»).

(Небольшая и не сильно хардкорная заметка, которая промелькивала на Хабре)

Прослушивание мобильных телефонов и их защита

Как операторы защищают свои сети

При разработке технологии GSM, а так же на стадии ее внедрения, учитывались все требования от контролирующих гос. органов к уровню обеспечения защиты. Именно из-за этих требований во многих странах мира запрещена продажа и покупка специального оборудования, навроде мощных шифраторов, криптооборудования, скремблеров, а так же - уж очень защищенные технологии для публичной связи. А вот операторы мобильной связи сами обеспечивают защиту своих радиоканалов, используя методы шифрования сигнала. При шифровании используются очень сложные алгоритмы. Каким именно криптоалгоритмом будет осуществляться шифрование выбирается на этапе, когда устанавливается соединение между базовой станцией и самим абонентом. Степень вероятности возникновения утечки информации об абоненте с оборудования оператора, как заверили журналистов сотрудники МТС, что она равна практически нулю. Почему к нулю, спросили мы - а все из-за сложности и контроля за доступом к объектам и оборудованию оператора.

Как можно «слушать» мобильные телефоны?

Всего есть два метода прослушки абонентов - это активный метод, и пассивный метод. При пассивном прослушивании абонента нужно использовать очень дорогостоящее оборудование и иметь специально обученных работников. При наличии денег (читайте - большИх денег) на «черном рынке» можно приобрести специальные комплексы, используя которые можно прослушивать разговоры любого абонента в радиусе до 500 метров. Спросите, почему нужно иметь большие деньги? Ответ прост - цена одного такого комплекта стартует от нескольких сотен тысяч евровалюты. Как выглядит такой комплект - видно на следующем фото. В сети существует множество сайтов, где вы можете ознакомиться с описанием и принципом работы таких комплектов и систем прослушивания.

Как убеждают производители подобных систем прослушивания, их системы могут отслеживать GSM-разговоры в режиме реального времени, потому что принцип работы оборудования основан на доступе к SIM-карте абонента мобильной связи, или прямо к базе данных самого оператора сотовой связи. Хотя, если такого доступа у тех, кто вас слушает нет, они могут прослушивать все ваши разговоры с некоторой задержкой. Величина задержки зависит от уровня шифрования канала связи, который использует тот или иной оператор. Подобные системы так же могут быть и мобильными центрами для обеспечения прослушивания и отслеживания передвижения объектов.

Вторым способом прослушки является активное вмешательство прямо в эфире на процесс аутентификации и протоколы управления. Для этого используются специальные мобильные комплексы. Такие мобильные системы, которые, по сути, являются парой специально модифицированных телефонов и ноутбук, несмотря на свою внешнюю простоту и малогабаритность, тоже являются недешевым удовольствием - их цена варьируется от пары десятков тысяч и до нескольких сотен тысяч американских долларов. И опять же - работать на таком оборудовании могут только специалисты высокой квалификации в области связи.

Атака на абонента осуществляется по следующему принципу: поскольку, комплекс является мобильным и находится к абоненту на близком расстоянии - до 500 метров, - он «перехватывает» сигналы для установления соединения и передачи данных, заменяя собой базовую станцию оператора. По сути, сам комплекс становится «мостом-посредником» между ближайшей базовой станцией и самим абонентом.

После «захвата» таким образом нужного абонента мобильной связи этот комплекс фактически может выполнить любую функцию управления над перехваченым каналом: например, соединить прослушиваемого с любым необходимым для тех, кто слушает номером, понизить алгоритм криптошифрования или вообще отключить это шифрование для конкретного сеанса связи и т.д.

Как примерно выглядит подобный комплекс - видно на фото ниже.

image

Как поделились специалисты, 100% определить что телефон абонента прослушивается именно в этот момент - невозможно. Но, можно получить косвенные подтверждения, которые могут указывать, что существует такая вероятность. В недалеком прошлом некоторые модели мобильных (а именно - кнопочные телефоны) имели в своем функционале специальный символ-иконку в виде замочка. Если замок был закрыт, значит, сигнал идет в зашифрованном виде, и наоборот - если замок открыт… ну вы сами все поняли.

А вот уже в телефонах за последние 5-6 лет такой функции нет… А жаль. Хотя, для некоторых моделей смартфонов предусмотрены специальные приложения, которые будут сигнализировать владельцу телефона об конфигурации используемых настроек именно в текущем сеансе связи. Один из вариантов - уведомление пользователя о том, в каком режиме передается его разговор - с использованием алгоритмов шифрования или же открыто. Ниже перечислено несколько из подобных приложений:

EAGLE Security

Является одним из мощнейших приложений для защиты вашего мобильного от прослушки. Эта программа предотвращает любые подключения к ложным базовым станциям. Для определения достоверности станции используется проверка сигнатур и идентификаторов станции. Помимо этого, программа самостоятельно отслеживает и запоминает расположение всех базовых станций и при выявлении, что какая-то база движется по городу, или ее сигнал время от времени пропадает с места ее расположения - такая база помечается как ложная и подозрительная и приложение уведомит об этом владельца телефона. Еще одна из полезных функций программы - возможность показать, какие из установленных на телефоне приложений и программ имеют доступ к видеокамере и микрофону вашего телефона. Там же есть функция отключения (запрещения) доступа любого не нужного вам ПО к камере.

Эта программа отличается от предыдущей и ее основной функцией является отслеживание любой подозрительной активности в сети, в том числе и при использовании SMS, которые могут отправляться без разрешения владельца телефона. Приложение в режиме реального времени оценивает, насколько ваша сеть является защищенной и какой используется алгоритм шифрования в этот момент и еще много чего.

Android IMSI-Catcher Detector

Это приложение так же помагает защитить ваш смартфон от любых подключений к псевдо-базам. Единственный минус этой программы - вы не найдете его в Google Play и если захотите все же его установить - вам придется повозиться с этой процедурой.

CatcherCatcher

Программа CatcherCatcher, как и его аналоги выше, занимается выявлением ложных базовых станций, которые злоумышленники (или спец. службы?) используют как промежуточные «мосты-посредники» между абонентом и настоящей базовой станцией.

Обзор решений по защите телефонных переговоров
(Некоторые материалы взяты из рекламных буклетов, так что здравый скептицизм и комментарии приветствуются)

TopSec GSM, созданный на основе телефона Siemens S35 немецкой фирмой Rohde & Swartz, обеспечивает «полную защиту трафика».

Аппарат представляет собой обычный телефон Siemens S35, модернизированный специальным крипто-чипом. Шифрование включается специальной опцией в меню телефона. В защищенном режиме телефон может работать как со вторым телефоном TopSec, так и с ISDN-телефоном ELCRODAT 6-2 той же фирмы.

Защита обеспечивается шифрованием трафика со 128-битным ключом, а сеансовый ключ вычисляется с помощью 1024-битного ключа, что обеспечивает дополнительную защиту. Отличительной особенностью данного телефона является то, что зашифрованные пакеты создаются в нем таким образом, что они прозрачно воспринимаются и передаются по сетям GSM, как и обычные GSM-пакеты.

Цена такого телефона: $2700. Такая высокая цена, тем не менее, не помешала высокой популярности TopSec GSM. Так, Бундесвер (вооруженные силы Германии) заключил контракт на поставку таких телефонов для собственных нужд.

Чуть более модная версия от той же фирмы - беспроводная гарнитура.

Краткое описание:
TopSec Mobile является устройством для шифрования голоса, которое может быть подключено к любому мобильному телефону с помощью интерфейса Bluetooth. TopSec Mobile обеспечивает конфиденциальность и защиту от прослушивания телефонной связи в любой точке мира.

Особенности:

• Подключение к телефону пользователя по Bluetooth интерфейсу
• TopSec Mobile работает практически со всеми современными мобильными телефонами
• Может также использоваться с модемами и спутниковыми телефонами с интерфейсом Bluetooth
• Не может быть идентифицирован мобильным оператором
• Шифрование голоса с помощью Advanced Encryption Standard (AES), 256-битный ключ

Устройство использует сочетание асимметричного 1024-разрядного и симметричного 128-разрядного шифрования для обеспечения высокого уровня защиты.

Для установки защищенного соединения пользователю после набора номера нужно просто нажать кнопку с надписью crypto («шифрование»). Другой абонент также должен использовать телефон TopSec GSM - или стационарный телефон, оснащенный аналогичным оборудованием, такой как модель ELCRODAT 6-2 ISDN компании Rohde & Schwarz. Эта компания стала продавать такие устройства после приобретения отдела аппаратного шифрования у компании Siemens Information & Communication Mobile.

Телефон TopSec GSM работает в двух диапазонах частот - 900 и 1800 МГц, благодаря чему его можно использовать в любом регионе, где доступны сети GSM 900/1800. Компания продает новые модели во многих странах мира по цене около 3 тыс. долл.

Минус этого подхода - наличие выделенного сервера управления звонками, между зарегистрированными на сервере абонентами. Но это необходимое условие построения распределенных систем взаимодействия:

без комментариев, кроме разве что прикольно, что создают «свой AppStore» для безопасных приложений

Трубки России

Скремблер
(Тем временем в СССР России)



«GUARD Bluetooth » от компании ЛОГОС.
Процитирую Лукацкого :

Исконно совковое устройство. Дизайна нет как такового. Гарнитуры намертво «вшита» в устройство и заменить ее можно только вместе с устройством. Зато гарантируется защита переговоров - устройство подключается по Bluetooth к передатчику - компьютеру или телефону (про защиту Bluetooth-канала с помощью E0 ни слова не сказано). Устройство не тестировал, но в сети можно найти его обзор. Внешний вид «GUARD Bluetooth» в сравнении с тем же TopSec Mobile дает очень хорошее представление о том, как соотносятся отечественные и западные СКЗИ (и по внешнему виду, и по удобству работы, и по функционалу). Зато для работы данного устройства не требуется никакой внешний сервер - возможна работа «точка-точка».

Описание от пользователя
Описание от производителя

Референт PDA
Программно-аппаратный комплект для защиты переговоров в сетях GSM
Программно-аппаратный продукт “Референт-PDA” разработан для устройств типа смартфон (коммуникатор), работающих под управлением операционной системы Windows Mobile 2003/2005. «Референт PDA» позволяет предотвратить прослушивание переговоров, ведущихся между двумя коммуникаторами. Комплект состоит из SD/miniSD - модуля, программного обеспечения и смартфона Qtek-8500.

Интерфейс программы содержит: наборное поле, кнопки управления вызовом, кнопку отмены ввода последней цифры и индикатор, который отображает набираемый номер, номер вызывающего абонента при входящем вызове, состояния при установлении соединения и т.п.
Запуск программы осуществляется автоматически при подключении SD/miniSD - модуля «Референт ПДА», при этом на экране коммуникатора в правом нижнем углу появляется значок индикации запуска программы в фоновый режим. Для вызова другого абонента в защищённом режиме необходимо нажать на значок индикации, и далее произвести в открывшейся программе «Референт ПДА» те же действия, что и при обычном вызове. При поступлении звонка от другого комплекта Референт ПДА вместо программы «телефон» автоматически открывается интерфейс программы «Референт ПДА», далее все действия как при обычном звонке.

В процессе установления соединения производится обмен специальной информацией для взаимной аутентификации устройств и формирования сеансового ключа.
Приём и осуществление незащищенного голосового вызова производится с помощью стандартного программного обеспечения коммуникатора.

Основным отличием изделия от аналогов является использование низкоскоростного канала передачи данных (до 1600 бод), что позволяет работать при слабом GSM сигнале (в местах плохого приёма), в роуминге, при использовании различных операторов и т.п.

Назовем его просто «телефон»



(Этот мобильник я «отжал» у Кости, который представляет Hideport.com)

Фишки - механический контроль акустики (кнопка вкл/выкл для микрофона), контроль целостности корпуса (скрытая сигнализация при попытке проникнуть внутрь трубы)

Вроде бы у этой штуковины есть средство выхода в другие сети (кабельный модем, аналоговый/цифровой модем, радиомодем, спутниковый терминал или GSM-модем). Но про это мне еще предстоит разузнать.

Проник я и на производство телефонов для спецслужб, разрешили сделать пару фоток:

крохи подробностей

Работает такой телефон в четырех диапазонах (850, 900, 1800 и 1900 МГц), у него абонентский принцип шифрования, алгоритм сжатия речи класса ACELP 4800 бит/с, хорошее, высокое качество речи; алгоритм шифрования – известный в России стандарт, ГОСТ 28147 1989 года выпуска. Вследствие того, что здесь идет полное шифрование, требуется криптографическая синхронизация, поэтому прежде чем начать говорить, нужно подождать 10 секунд, пока установится соединение. У телефона также есть сертификат ФСБ.

Сбоку на корпусе кнопочка, включающая крипторежим. Время разговоров в закрытом режиме – 4 часа, а в открытом – 4,5, и разница объясняется тем, что в закрытом режиме в телефоне начинает работать script-процессор.

Телефоны, которые реализуют это дополнительное шифрование, могут работать как с национальным оператором (МТС, Мегафон), так и, если вы путешествуете, с международным; в Латинской Америке это 850/1900, а в Европе и Азии – 900/1800. И в международных сетях телефон будет функционировать при условии, что там не только есть роуминг, но и что оператор поддерживает сервис передачи данных BS26T. Криптокнопка позволяет переключить телефон либо в режим шифрования, либо в рабочий режим, из которого вы можете позвонить на обычный аппарат – побеседовать с друзьями, с семьей и так далее.

Абонентский способ шифрования

К сожалению, стандарт GSM разрабатывался таким образом, чтобы нельзя было установить в телефон собственный алгоритм шифрования, обеспечивая непрерывную полосу гарантированной защиты.

На коммутаторах используют транскодеры, которые делают следующее: когда вы произносите слова в микрофон вашего телефона, в телефоне работает вокодер, он сжимает речь, создавая поток размером 12 кбит. Этот поток в зашифрованном виде доходит до базовой станции, где расшифровывается и дальше в сжатом виде доходит до коммутатора. На коммутаторе он разжимается, создавая поток в 64 кбит, – это делается в том числе и для того, чтобы органы безопасности могли вас слушать. Дальше поток снова сжимается и поступает второму абоненту мобильной связи. И вот если взять и зашифровать канал от абонента до абонента, то разжатие и сжатие потока на коммутаторе не позволит расшифровать поступающую информацию. Отключить этот транскодер, к сожалению, невозможно при работе в речевом тракте, поэтому чтобы обеспечить абонентский способ шифрования (а это необходимо для гарантированной защиты от всех и вся), мы вынуждены использовать канал передачи данных. В стандарте GSM есть сервис BS26T для передачи данных на достаточно низкой скорости – 9600 бит/с. В этом случае транскодер отключается, и у вас фактически получается прямая, без дополнительных преобразований, линия связи. Низкоскоростная, правда.

Соответственно, чтобы передать речь, ее надо сжать, и довольно сильно, – уже не как стандартную GSM, в 12 кбит, а еще сильнее, до скорости 4,8 кбит/с. Затем она шифруется, и вся эта шифрованная информация свободно проходит через любые коммутаторы мира – если вы находитесь в Латинской Америке, а другой человек – где-нибудь на Дальнем Востоке, вы пройдете через массу различных коммутаторов и какой-то другой аппаратуры, но если вы установили канал передачи данных, эта связь будет работать.

И ни в одной точке мира ни одна спецслужба, ни один ваш противник не сможет вас подслушать, потому что речь шифруется в вашем телефоне, а расшифровывается только у собеседника. Но для функционирования такого принципа передачи шифрованной речи необходимо, чтобы операторы поддерживали сервис BS26T.

Практически все операторы мира его поддерживают, однако часть Латинской Америки, Азии и Австралия составляют исключение. Для защиты от навязывания специальных SMS, которые ставят ваш телефон на аудиомониторинг, нужно отлично разбираться в схемотехнике аппарата и его программном обеспечении.

Очень важны в такой технике ключи, они загружаются в телефон с диска при помощи компьютера, нельзя только, чтобы он был подключен к интернету; если у него есть Wi-Fi, он все время должен быть заблокирован. Сеансовый ключ для шифрования формируется из двух ключей: фиксированного, который грузится с диска с помощью компьютера (этот ключ меняется один раз в год), и случайного, он вырабатывается телефоном на каждый сеанс связи. Случайный ключ каждый раз меняется, а предыдущие ключи после разрыва соединения физически стираются из памяти, поэтому вы можете быть абсолютно спокойны: даже восстановив фиксированный ключ, никто не сможет воспроизвести ваши разговоры.

Генерация ключей и подключение новых пользователей

StealthPhone
Подержал в руках StealthPhone Touch

Видел и вот эту модельку


В качестве алгоритма шифрования используется симметричный алгоритм шифрования гарантированной стойкости Tiger, являющийся собственной разработкой компании.

Длина ключа составляет 256 бит.

Алгоритм относится к классу синхронных потоковых шифров гаммирования. Синхронизация осуществляется с помощью вектора инициализации (синхропосылки), который передается (или хранится) в открытом виде вместе с шифротекстом. Длина синхропосылки варьируется от 4 до 12 байт и определяется контекстом использования шифратора.

Для приведения шифратора в рабочее состояние выполняется процедура его инициализации, на вход которой подается секретный ключ и синхропосылка. Выходом процедуры инициализации являются значения всех элементов состояния шифратора, определяющих его функционирование.

В качестве базового алгоритма вычисления кода аутентификации данных используется алгоритм HMAC-SHA256.

В системах Stealthphone и Stealthphone Tell используются эллиптические кривые длиной 384 бита (АНБ одобрило использование асимметричных криптографических алгоритмов на эллиптических кривых с длиной ключа 384 бита для обработки совершенно секретных документов).

еще чуть-чуть подробностей

Криптографические алгоритмы шифрования речи VoGSM
Для защиты речи в каналах передачи голоса GSM используется частотно-временное преобразование речевого сигнала гарантированной стойкости, устойчивое к двойному вокодерному преобразованию.

Основными элементами преобразования являются:

• Разбиение речевого сигнала на элементарные отрезки;
• Нелинейное преобразование над элементарными отрезками;
• Перестановка отрезков речи между собой;
• Обработка полученного сигнала для передачи через речевой кодек AMR и канал GSM.
• Параметры преобразований (количество и длина отрезков речевого сигнала) зависят от ключа.

Параметры нелинейного преобразования также определяются криптографическим ключом.
Суммарная алгоритмическая и системная (вносимая сотовой сетью) задержка не превышает 2.5 секунды.

Криптографические алгоритмы шифрования речи для программ IP-телефонии
Для обеспечения защиты речевой информации при использовании приложений IP-телефонии, включая Skype и Viber, используется частотно-временное преобразование речевого сигнала гарантированной стойкости, преобразующее передаваемую речь в речеподобный сигнал.

Преобразование включает:

• Гребёнку из N фильтров (банк фильтров);
• Дисперсионную линию задержки (фильтр со случайной фазочастотной характеристикой);
• Подстановку длины N.

Параметры преобразований (количество фильтров, параметры линии задержки) зависят от ключа.
Перестановка спектральных полос в гребёнке фильтров задаётся сеансовым ключом при установлении соединения.
Для динамического преобразования перестановка полос происходит 1 раз в 3–5 секунд.
Алгоритмическая задержка не превосходит 1 секунды. Полоса обрабатываемого речевого сигнала 300 – 3400 Гц. Минимальная длина подстановки N равна 24.

В зависимости от пропускной способности интернет-соединения, допускается несколько преобразований. Допустимая предельная задержка составляет 2 секунды. При неустойчивом или низкоскоростном интернет-соединении возможно использование алгоритма, не требующего синхронизации. Это обеспечивает быстрое вхождение в связь и устойчивость криптосоединения.

Но про то, как я ходил в гости к Stealthphone будет в другой статье.

Телефон-невидимка
Его не видно в интернетах, но он есть.

• Смена IMEI (идентификационного международного номера телефона)
• Защита от активных и пассивных комплексов (перехват переговоров и дистанционное управление телефоном и другие атаки на аппарат со стороны оператора или мобильного комплекса GSM)
• Удаления информации о звонках из памяти телефона (удаленная информация хранится в специальных отсеках памяти и доступна специалистам)
• Невозможность локализации телефона и его владельца (а также определения номера основного телефона и связанных с ним номеров других телефонов)

Дополнительные функции

Использование виртуального номера, для звонков

Вы можете использовать любую сим карту, любого оператора. Система автоматически привязывает номер сим карты к виртуальному номеру. Вам звонят на виртуальный номер и автоматически попадают на ваш телефон. При исходящем звонке, вы можете изменить свой номер на любой (например на свой виртуальный). Есть функция изменения голоса (при фонэкспертизе невозможно идентифицировать звонящего). Если даже ваш виртуальный номер поставят на контроль, то по этому номеру не будет никакой информации.

Из описания трубки

Ложные базовые станции

Специальное устройство, называющееся ловушка IMSI (уникального идентификатора, прописанного в SIM-карте, IMSI - International Mobile Subscriber Identity), притворяется для находящихся поблизости мобильных телефонов настоящей базовой станцией сотовой телефонной сети. Такого рода трюк возможен потому, что в стандарте GSM мобильный телефон обязан аутентифицировать себя по запросу сети, а вот сама сеть (базовая станция) свою аутентичность подтверждать телефону не должна.

Как только мобильный телефон принимает ловушку IMSI в качестве своей базовой станции, этот аппарат-ретранслятор может деактивировать включённую абонентом функцию шифрования и работать с обычным открытым сигналом, передавая его дальше настоящей базовой станции.
С помощью ловушек IMSI на телефон могут посылаться ложные звонки или SMS, например, с информацией о новой услуге ложного оператора, в которых может содержаться код активации микрофона мобильного устройства. Определить, что у находящегося в режиме ожидания мобильного телефона включён микрофон очень сложно, и злоумышленник спокойно может слышать и записывать не только разговоры по телефону, но и разговоры в помещении, где находится мобильный телефон.

Фальсификация идентификации личности

В последние годы все более популярным становится использование мобильного телефона как доказательства идентификации личности. Например, способом восстановления потерянного пароля учётной записи в Google является отправление SMS с подтверждением кода владельцу телефона. Некоторые банки используют похожую двухступенчатую аутентификацию, посылая коды на специальные мобильные номера для того, чтобы подтвердить личность клиента перед проведением транзакции. Были обнаружены мобильные версии троянов, которые могут перехватывать SMS сообщения с паролями, посланные банками, и разрушать двухступенчатую аутентификацию.
PDF)

Если рядом с вами (в районе 10 метров) есть мобильный телефон, ведите себя так, как будто вы в прямом эфире на первом канале.

Ну так что, будем делать опенсорсный DIY-телефон с сильной программной и аппаратной криптографией?

• Open Source
• механический контроль над приемниками-передатчиками
• встроенный светосзвуковой индикатор активности приемника-передатчика
• сильная криптография (железо и софт)
• контроль выбора базовой станции
• акустическая стеганография, маскировка факта шифрования
• контроль целостности корпуса телефона
• проверка на утечки по сторонним каналам

Что еще добавить?

Купите ли вы хакерский крипто-телефон за 1000$?

«Лаборатория Касперского» обнаружила мощный специализированный вирус, работавший незамеченным в сетях разных госорганизаций с 2011 года. Действия вируса были направлены на взлом зашифрованных каналов связи скомпрометированных систем. Специалисты по информационной безопасности определили наличие этого malware в сетях более 30 организаций разных стран.

Malware классифицируется, как ПО для кибершпионажа класса APT (Advanced Persistent Threat). Этой классификации соответствуют только самые сложные и длительные атаки кибершпионского ПО. APT malware являются также Equation , Regin , Duqu и Careto . ProjectSauron (кодовое название Strider) долго оставался незамеченным благодаря тому, что он находился в системе в качестве исполняемой библиотеки, загруженной в память контроллера домена в сети под управлением Microsoft Windows.

Скомпрометированная система считала библиотеку фильтром паролей, в результате чего ProjectSauron получал доступ к шифрованным данным в открытом виде. Разработчиком этого ПО, по мнению специалистов, обнаруживших его, является неизвестная кибергруппировка, которая несет ответственность за атаки на ключевые государственные предприятия в разных странах (РФ, Иран, Руанда). По мнению экспертов, стран и организаций, которые пострадали от вируса, гораздо больше, то, что известно - это только вершина айсберга. Основными объектами атак стали правительственные структуры, научно-исследовательские центры, центры вооруженных сил, телекоммуникационные компании, финансовые организации.

Основные характеристики ProjectSauron:

• Это не простой вирус, а модульная платформа, которая разработана для кибершпионажа;
• Платформа и ее модули используют продвинутые алгоритмы шифрования, включая RC6, RC5, RC4, AES, Salsa20;
• Для платформы разработано более 50 модулей-плагинов, расширяющих возможность центрального элемента;
• Создатели ProjectSauron при помощи этого ПО похищают ключи шифрования, файлы конфигурации и IP-адреса главных серверов сети, которые имеют отношения к защите информации на предприятии или в организации;
• Злоумышленники могут похищать данные даже из сетей, не подключенных к интернету. Это делается при помощи специальных USB-носителей. Похищенные данные размещаются в скрытой области, которая недоступна программным средствам ОС;
• ProjectSauron работает, по крайней мере, с 2011 года.

Вирус очень сложно обнаружить. Дело в том, что платформа модифицируется для каждой новой атаки. Сервера, доменные имена, IP адреса, которые прописывают злоумышленники для каждого экземпляра модифицированной платформы уникальны. Уникальны и подключаемые модули. У них неповторяющиеся названия, размеры файлов и прочие характеристики. Временные метки модулей соответствуют характеристикам системы, в которой вирус должен работать. Модули предназначены для самых разных целей, включая кражу документов, кейлоггинг, кражу ключей шифрования.

В сеть организации ProjectSauron внедряется тоже каждый раз по-разному. В ряде случаев злоумышленники изменили скрипты, которые используют администраторы сети предприятия для обновления легального ПО на компьютерах в локальной сетке. Загрузчик ProjectSauron очень небольшого размера, при установке на ПК он запускается с правами администратора, соединяется с уникальным IP адресом и загружает основной элемент ПО. Как уже говорилось выше, для работы платформы и ее модулей используется обширная сеть доменов и серверов, причем каждый элемент используется для определенной жертвы.

Сейчас специалисты по информационной безопасности обнаружили 28 доменов, привязанных к 11 IP адресам в США и странах Европы. Malware обладает развитыми возможностями сетевой коммуникации на основе стека наиболее распространных протоколов ICMP, UDP, TCP, DNS, SMTP и HTTP. Платформа использует протокол DNS для отправки на удаленный сервер в режиме реального времени данных по текущим операциям.

Для того, чтобы ProjectSauron оставался незамеченным продолжительное время, его разработчики сделали очень многое. Это, например, использование разных командно-контрольных серверов для разных экземпляров ПО. Уникальные домены и IP адреса, использование различных криптографических алгоритмов в разных случаях, работа с обычными протоколами и форматами сообщений. Признаков повторного использования доменов и серверов нет. Для каждой атакованной цели использовался уникальный алгоритм, что делало невозможным обнаружение других копий ПО после обнаружения одной из них по определенному индикатору. Единственный вариант идентификации этого ПО - структурные схожести кода.

В первую очередь, злоумышленников интересовала информация, которая относится к нестандартному криптографическому ПО. Такое программное обеспечение обычно создается для организаций, которым необходимо защищать свои каналы связи, включая общение голосом, e-mail, обмен документами. Известны форматы файлов, которые больше других интересуют создателей вируса. Это *.txt;*.doc;*.docx;*.ppt;*.pptx;*.xls;*.xlsx;*.vsd;*.wab;*.pdf;*.dst;*.ppk;*.rsa;*.rar;*.one;*.rtf;~WPL*.tmp;*.FTS;*.rpt;*.conf;*.cfg;*.pk2;*.nct;*.key;*.psw. Также их интересует информация следующих типов: .*account.*|.*acct.*|.*domain.*|.*login.*|.*member.*|.*user.*|.*name|.*email|.*_id|id|uid|mn|mailaddress|.*nick.*|alias|codice|uin|sign-in|strCodUtente|.*pass.*|.*pw|pw.*|additional_info|.*secret.*|.*segreto.*

Вирус может красть как документы, так и перехватывать нажатия клавиш, искать и отправлять своим создателям ключи шифрования со скомпрометированных систем и подключенных к ним накопителей. Сейчас известно, что ProjectSauron способен атаковать все современные версии ОС Microsoft Windows. Другие типы этого ПО, предназначенные для работы в среде прочих ОС, пока не обнаружены.

ProjectSauron при попадании в систему разворачивает вредоносные модули внутри каталога криптографического программного обеспечения компании и маскирует собственные файлы среди уже существующих. Загруженный вирус оставался в системе в спящем режиме, ожидая команды активации. Впоследствии ProjectSauron занимался выявлением ключей шифрования, конфигурационных файлов и адресов серверов, которые осуществляют шифрование сообщений между узлами сети.

Эксперты из «Лаборатории Касперского» предполагают, что стоимость подготовки кибершпионского ПО такого уровня составляет многие миллионы долларов США. Операция же подобного уровня может быть реализована только при активной поддержке целого государства. Вероятнее всего, для создания ProjectSauron привлекались различные группы специалистов.

Сейчас ПО «Лаборатории Касперского» умеет определять признаки наличия в системе ProjectSauron, с детектированием образцов этого malware как ProjectSauron как HEUR:Trojan.Multi.Remsec.gen.

Полный отчет по анализу вируса и его работы доступен по

«Практическая криптография». Книга эта невероятно интересная! Если вы интересуетесь криптографией, то просто обязаны держать ее на полке (в крайнем случае — скачать электронную версию), ровно как и любую другую книгу этих авторов, которую сможете найти.

Важно! Если перед вами стоит практическая задача, советую найти настоящего специалиста по криптографии, а не полагаться на бложик никому неизвестного программиста. Учтите также, что книга была написана в 2005 году и к тому моменту, когда вы найдете эту заметку, информация может устареть.

Есть несколько причин, по которой я взялся за написание этой памятки. Для начала, я хочу иметь под рукой краткую заметку по созданию безопасного соединения. Есть подозрения, что когда-нибудь она мне пригодится. Объем «Практической криптографии» — более 400 страниц, так что на краткое руководство оно не тянет. Тем не менее, ознакомиться с книгой стоит для понимания того, почему авторы предлагают то решение, а не иное. Другая причина создания этого поста — мой экземпляр книги начинает потихоньку разваливаться. Третья — информация в интернете доступна отовсюду, а не только у меня дома.

Объяснение таких понятий, как блочный шифр, функция хэширования, и тд в этом тексте вы не найдете. Обращайтесь к соответствующей литературе или Википедии. Если вы хотели бы увидеть в этом блоге посты из серии «основы криптографии», отпишитесь в комментариях — посмотрим, что тут можно сделать.

1. Постановка задачи

Есть пользователи А и Б, которые обмениваются сообщениями. Они могут использовать протокол TCP, UDP, электронную почту или чат — сейчас это не имеет значения. Есть злоумышленник Е, который может перехватывать, подменять и переставлять эти сообщения, заставлять их бесследно исчезнуть, а также слать сообщения от имени А и Б. Задача — помочь А и Б обмениваться сообщениями таким образом, чтобы Е не мог узнать их содержимого. Избавиться от Е никак нельзя.

2. Шифрование данных

В качестве алгоритма шифрования Шнайер и Фергюсон рекомендуют использовать AES (Rijndael с размером блока 128 бит ) с длиной ключа 256 бит в режиме CTR . В этом режиме максимальный размер одного сообщения составляет 16 · 2 32 байт. Вряд ли кого-то стеснит это ограничение. В крайнем случае можно разбить сообщение на части.

Для шифрования сообщения с номером i, имеющего размер L бит, необходимо вычислить L бит следующим способом:

b 1 , b 2 , …, b L = E K (0 || i || 0 ) || E K (1 || i || 0) ||
E K (2 || i || 0) || E K (3 || i || 0) || …

где функция E K (128 бит на выходе) — алгоритм шифрования, K (256 бит) — ключ шифрования, аргумент функции (128 бит) — шифруемые данные, а оператор || означает конкатенацию данных. После вычисления битов b 1 … b L складываем их по Жегалкину (исключающее ИЛИ, операция XOR, ⊕) с битами сообщения, в результате получаем зашифрованный текст. Для расшифровки нужно проделать точно такую же последовательность действий над шифротекстом.

Здесь важно обратить внимание на два момента. Во-первых, ключи шифрования при посылке данных от А к Б и от Б к А должны быть разными. Во-вторых, необходимо согласовать последовательность байт в аргументе функции E K . Порядок байт в 32-х разрядных числах может меняться в зависимости от архитектуры используемого процессора. Традиционно в сетевых протоколах и форматах файлов используется порядок байт от старшего к младшему .

3. Функция хэширования

В качестве функции хэширования авторы рекомендуют SHA-256 . Она используется при вычислении кодов аутентификации сообщений, а также при обмене ключами. В последнем случае применяется функция SHA d -256, определенная, как SHA256(SHA256(message)).

Допустим, мы успешно установили сеансовый ключ с помощью алгоритма Диффи-Хеллмана , в результате А и Б получили общий ключ К. Затем производится следующая последовательность действий:

// Избавляемся от алгебраической структуры ключа
K = SHA d -256(K)
// Строим 4 дочерних ключа:
// 1. Шифрование от А к Б
key_send_enc = SHA d -256(K || «Enc from A to B»)
// 2. Шифрование от Б к А
key_recv_enc = SHA d -256(K || «Enc from B to A»)
// 3. Аутентификация от А к Б
key_send_auth = SHA d -256(K || «Auth from A to B»)
// 4. Аутентификация от Б к А
key_recv_auth = SHA d -256(K || «Auth from B to A»)

4. Коды аутентификации сообщений

Каждое сообщение должно сопровождаться имитовставкой (MAC) . В качестве функции MAC Шнайер и Фергюсон рекомендуют использовать HMAC-SHA-256:

a i = HMAC K (i || L(x i) || x i || m i)
HMAC K (m) = SHA256{(K ⊕ 0x5c5c..5c) || SHA256[(K ⊕ 0x3636..36) || m]}

Здесь a i — код аутентификации i-го сообщения m i . HMAC K (m) представляет собой хэш-функцию, значение которой зависит не только от сообщения m, но и от ключа K. Как и в случае с шифрованием, в MAC должно использоваться два независимых ключа для А и Б. Как уже отмечалось, ⊕ — это операция побитового исключающего ИЛИ (она же XOR).

В «Практической криптографии» делается особый акцент на том, как важно производить аутентификацию не только сообщения m i , являющегося обычной последовательностью байт, но и его смысла. Пусть m i = a || b || c, то есть состоит из нескольких полей определенной длины. Представим, что после очередного обновления протокола размеры полей изменилось. Тогда, если злоумышленник Е сможет подменить версию протокола, сообщение будет интерпретировано неверно. Притом неважно как злоумышленнику удастся это сделать — безопасность одной части системы не должна зависеть от безопасности остальных.

Вот для чего нужна дополнительная информация x i , включающая в себя id протокола (сигнатуру, IP:порт получателя и отправителя), версию протокола, id сообщения, размер и имена полей сообщения. Притом информация x i должна быть закодирована таким образом, чтобы ее можно было однозначно декодировать. L(x i) в нашей формуле — это, очевидно, длина x i . К счастью, всего этого гемора можно избежать, просто передавая сообщения в XML-подобном формате данных, то есть таком, где дополнительная информация о смысле сообщения уже включена в само сообщение. Тут важно не забыть включить в каждое сообщение всю дополнительную информацию, перечисленную выше.

Что еще следует знать о MAC?

• Можно обрезать значение HMAC-SHA-256 до 16-и байт . Делать это не желательно, но такое решение лучше, чем использование HMAC-MD5 с целью уменьшить объем передаваемых данных.
• Рекомендуется сначала вычислять MAC, а затем производить шифрование сообщения вместе с MAC , а не наоборот.

5. Описание обмена сообщениями

Важно! Для каждого нового сеанса связи необходимо генерировать новые ключи шифрования и аутентификации.

Согласование ключей заслуживает написания отдельного поста, если не двух, потому сейчас мы его не рассматриваем.

Теперь А и Б обмениваются сообщениями в формате, подобном XML (либо следуют инструкциям, которые предусмотрены для иной ситуации, см пункт 4). Каждому сообщению присваивается уникальный 32-х битный номер. Нумерация сообщений начинается с единицы — так проще отследить момент, когда номера закончатся. Когда это произойдет, необходимо заново произвести согласование ключей. Можно использовать и 64-х битные номера сообщений, но тогда каждое сообщение станет на 4 байта длиннее. К тому же, время от времени следует производить обновление ключей, так что 32 бита — в самый раз.

Если для передачи данных используется протокол UDP, следует производить повторную посылку сообщения по некоторому таймауту в случае, если другая сторона на него не реагирует. При использовании TCP этого не требуется — транспортный уровень позаботиться о гарантированной доставке пакетов. Злоумышленник Е может нарушить сеанс связи между А и Б, испортив одно из сообщений или переставив пару сообщений местами. Но раз у нас есть «человек посередине», то он в любом случае может нарушить связь между А и Б. Отсюда вывод:

Не стоит тратить время на написание «своего TCP» поверх другого протокола — просто используйте протокол TCP. Если, конечно, в вашем приложении это возможно.

Когда пользователь А хочет послать сообщение m i , он вычисляет MAC этого сообщения a i согласно пункту 4. Затем он шифрует сообщение m i || a i , как это описано в пункте 2 и посылает пользователю Б следующее: i || m’ i || a’ i . После этого А увеличивает значение счетчика отправленных сообщений i на единицу.

Когда пользователь Б получает i || m’ i || a’ i , он расшифровывает m i и a i , проверяет код аутентификации. Сообщения с неверным MAC игнорируются (их мог отправить злоумышленник Е). Затем производится проверка значения i — если оно меньше ожидаемого номера сообщения, для определенности назовем его j, сообщение отбрасывается. В противном случае (i >= j) присваиваем j значение i + 1 и обрабатываем сообщение m i .

Здесь есть несколько моментов, на которых стоит заострить внимание. Во-первых, как уже отмечалось в пункте 2, номера сообщений следует передавать в порядке байт от старшего к младшему. Во-вторых, проверку номера сообщения можно было бы проводить и до расшифровки. Но в этом случае, если сообщение с неверным номером пошлет злоумышленник Е, будет обнаружена (а затем записана в логи) ошибка «неверный номер сообщения», когда на самом деле произошла ошибка «неверный код аутентификации сообщения». Криптографы в первую очередь беспокоятся о безопасности и корректной работе приложений, а не о производительности. Некоторым программистам есть чему у них поучиться.

К сожалению, в случае активного вмешательства злоумышленника Е в передачу данных, пользователь Б может получить лишь подмножество сообщений, отправленных А. Если обнаружена пропажа сообщений, то поведение пользователей должно зависеть от типа информации, которой они обмениваются. В одних случаях пропажа части сообщений может быть не критичной, в другой — требовать прекращения сеанса связи.

6. Заключение

Очень многие моменты не были рассмотрены в этом посте. Как А и Б согласуют сеансовые ключи связи? Откуда во время согласования ключей пользователю А известно, что он общается с Б, если по условию задачи Е может выдавать себя за кого угодно?

Дополнение: Эти вопросы рассматриваются в .

Не менее интересные вопросы — как правильно генерировать псевдослучайные числа? Как противодействовать тайминг-атакам? Что делать, если операционная система поместит запущенное приложение со всеми ключами в файл подкачки? с устаревшей парой RSA-ключей? Злоумышленник Е хоть и не знает содержимого сообщений, но знает их размер и время отправки — опасно ли это и как этому противостоять?

Мир информационной безопасности неописуемо интересен (хоть и сложен) и в этом блоге непременно появятся новые посты о криптографии. Если у вас есть ко мне вопросы, не стесняйтесь задать их в комментариях, постараюсь ответить.

Шифрование в каналах связи компьютерной сети

Одной из отличительных характеристик любой компьютерной сети является ее деление на так называемые уровни, каждый из которых отвечает за соблюдение определенных условий и выполнение функций, необходимых для общения между компьютерами, связанными в сеть. Это деление на уровни имеет фундаментальное значение для создания стандартных компьютерных сетей. Поэтому в 1984 г. несколько международных организаций и коми готов объединили свои усилия и выработали примерную модель компьютерной сети, известную под названием OSI (Open . Systems Interconnection - Модель открытых сетевых соединений).

Согласно модели OSI коммуникационные функции разнесены по уровням. Функции каждого уровня независимы от функций ниже- и вышележащих уровней. Каждый уровень может непосредственно общаться только с двумя соседними. Модель OSI определяет 7 уровней: верхние 3 служат для связи с конечным пользователем, а нижние 4 ориентированы на выполнение коммуникационных функций в реальном масштабе времени.

Теоретически шифрование данных для передачи по каналам связи компьютерной сети может осуществляться на любом уровне модели OSI. На практике" это обычно делается либо на самых нижних, либо на самых верхних уровнях. Если данные шифруются на нижних уровнях, шифрование называется канальным, а если на верхних, то такое шифрование называется сквозным. Оба этих подхода к шифрованию данных имеют свои преимущества и недостатки.

Канальное шифрование

При канальном шифровании шифруются абсолютно все данные, проходящие по каждому каналу связи, включая открытый текст сообщения, а также информацию о его маршрутизации и об используемом коммуникационном протоколе. Однако в этом случае любой интеллектуальный сетевой узел (например, коммутатор) будет вынужден расшифровывать входящий поток данных, чтобы соответствующим образом его обработать, снова зашифровать и передать на другой узел сети.

Тем не менее канальное шифрование представляет собой очень эффективное средство защиты информации в компьютерных сетях. Поскольку шифрованию подлежат все данные, передаваемые от одного узла сети к другому, у криптоаналитика нет никакой дополнительной информации о том, кто служит источником этих данных, кому они предназначены, какова их структура и т. д. А если еще позаботиться и о том, чтобы, пока канал простаивает, передавать по нему случайную битовую последовательность, сторонний наблюдатель не сможет даже сказать, где начинается и где заканчивается текст передаваемого сообщения.

Не слишком сложной является и работа с ключами. Одинаковыми ключами следует снабдить только два соседних узла сети связи, которые затем могут менять используемые ключи независимо от других пар узлов.

Самый большой недостаток канального шифрования заключается в том, что данные приходится шифровать при передаче по каждому физическому каналу компьютерной сети. Отправка информации в незашифрованном виде по какому-то из каналов ставит под угрозу обеспечение безопасности всей сети. В результате стоимость реализации канального шифрования в больших сетях может оказаться чрезмерно высокой.

Кроме того, при использовании канального шифрования дополнительно потребуется защищать каждый узел компьютерной сети, по которому передаются данные. Если абоненты сети полностью доверяют друг другу и каждый ее узел размещен там, где он защищен от злоумышленников, на этот недостаток канального шифрования можно не обращать внимания. Однако на практике такое положение встречается чрезвычайно редко. Ведь в каждой фирме есть конфиденциальные данные, знакомиться с которыми могут только сотрудники одного определенного отдела, а за его пределами доступ к этим данным необходимо ограничивать до минимума.

Сквозное шифрование

При сквозном шифровании криптографический алгоритм реализуется на одном из верхних уровней модели OSI. Шифрованию подлежит только содержательная часть сообщения, которое требуется передать по сети. После зашифрования к ней добавляется служебная информация, необходимая для маршрутизации сообщения, и результат переправляется на более низкие уровни с целью отправки адресату.

Теперь сообщение не требуется постоянно расшифровывать и зашифровывать при прохождении через каждый промежуточный узел сети связи. Сообщение остается зашифрованным на всем пути от отправителя к получателю.

Основная проблема, с которой сталкиваются пользователи сетей, где применяется сквозное шифрование, связана с тем, что служебная информация. используемая для маршрутизации сообщений, передается по сети в незашифрованном виде. Опытный криптоаналитик может извлечь для себя массу полезной информации, зная кто с кем, как долго и в какие часы общается через компьютерную сеть. Для этого ему даже не потребуется быть в курсе предмета общения.

По сравнению с канальным, сквозное шифрование характеризуется более сложной работой с ключами, поскольку каждая пара пользователей компьютерной сети должна быть снабжена одинаковыми ключами, прежде чем они смогут связаться друг с другом. А поскольку криптографический алгоритм реализуется на верхних уровнях модели OSI, приходится также сталкиваться со многими существенными различиями в коммуникационных протоколах и интерфейсах в зависимости от типов сетей и объединяемых в сеть компьютеров. Все это затрудняет практическое применение сквозного шифрования.

Комбинированное шифрование

Комбинация канального и сквозного шифрования данных в компьютерной сети обходится значительно дороже, чем каждое из них по отдельности. Однако именно такой подход позволяет наилучшим образом защитить данные, передаваемые по сети. Шифрование в каждом канале связи не позволяет противнику анализировать служебную информацию, используемую для маршрутизации. А сквозное шифрование уменьшает вероятность доступа к незашифрованным данным в узлах сети.

При комбинированном шифровании работа с ключами ведется так: сетевые администраторы отвечают за ключи, используемые при канальном шифровании, а о ключах, применяемых при сквозном шифровании, заботятся сами пользователи.