Beveiligingsexpert Schneier: quantumcryptografie nutteloos

Volgens cryptografie-guru Bruce Schneier is quantumcryptografie zo goed als nutteloos. Hij bestrijdt dat de doorbraak van de uitwisseling van quantumsleutels tot een onkraakbare beveiliging gaat leiden.

Het idee achter quantumencryptie is dat de ontvanger met zekerheid kan weten of de communicatie is afgeluisterd, aangezien Heisenbergs onzekerheidsprincipe bewijst dat een meting aan een quantumsysteem onmiskenbaar voor een aantoonbare verstoring van dat systeem zorgt. Vorige week werden via een commercieel netwerk in Wenen voor het eerst met quantumtechnieken gegenereerde sleutels succesvol gedistribueerd. Daarop verschenen berichten in de media dat de onkraakbare beveiliging van gegevens binnen handbereik is. Volgens Bruce Schneier is dit echter overtrokken. "Ik zie hier geen commerciële waarde in. Ik geloof niet dat het een beveiligingsprobleem oplost dat oplossing behoeft. Ik geloof niet dat dit het waard is om voor te betalen en ik kan me buiten een paar technofielen niemand voorstellen die de technologie aanschaft of uitrolt", aldus Schneier.

Volgens hem worden systemen niet op magische wijze onkraakbaar, omdat het quantum-gedeelte de zwakke punten niet aanpakt. De problemen zouden niet bij encryptie liggen omdat de huidige encryptie- en authenticatie-algoritmen en sleuteluitwisselingprotocollen al voldoende beveiliging bieden. "Cryptografie is het enige onderdeel van de beveiliging dat we op orde hebben", meent Schneier, die daar aan toevoegt dat er ernstiger beveiligingsproblemen zijn waar we ons zorgen over moeten maken. De zwakke schakels in de beveiligingsketen zouden veel meer bij computer- en netwerk-beveiliging en de gebruikersinterface liggen. Volgens Schneier heeft het meer zin om de aandacht daarop te vestigen en hij denkt daarom dat quantumcryptografie geen toekomst heeft.

Reacties (35)

Ergens krijg ik het gevoel dat, als ik die man zijn uitleg lees, hij probeert deze optie weg te duwen om die die hij zelf ontwikkelt heeft meer naar voren te kunnen duwen.

Volgens mij gaat het hem niet om de veiligheid, maar om de verkoop van zijn patenten.


Verder is de logica achter quantumcryptografie best goed en zeker niet nutteloos. het hangt er vanaf hoe je het implementeert. Je kan simpelweg quantumcryptografie gebruiken op het eerste accespoint en alle toegang weigeren als er iets fout gaat.

Verder is het de taak van de personen die de beveiliging opstellen om ervoor te zorgen dat men voor dat punt niet aan de andere gegevens kan.

Ergens krijg ik het gevoel dat, als ik die man zijn uitleg lees, hij probeert deze optie weg te duwen om die die hij zelf ontwikkelt heeft meer naar voren te kunnen duwen.

Ik zie hem in het artikel nergens Blowfish (het security algoritme dat hij ontworpen heeft) pushen....

Volgens mij gaat het hem niet om de veiligheid, maar om de verkoop van zijn patenten.

Blowfish is niet gepatenteerd, royalty-free en gratis te gebruiken.

Verder is de logica achter quantumcryptografie best goed en zeker niet nutteloos. het hangt er vanaf hoe je het implementeert. Je kan simpelweg quantumcryptografie gebruiken op het eerste accespoint en alle toegang weigeren als er iets fout gaat.

Verder is het de taak van de personen die de beveiliging opstellen om ervoor te zorgen dat men voor dat punt niet aan de andere gegevens kan.

Je maakt precies de fout die iedereen maakt en waar Schneier voor waarschuwt: een technische oplossing bedenken zonder eerst over het probleem na te denken. Het probleem is niet de techniek, zolang je een van de 'veilige' encryptie methoden gebruikt en zorgt dat je tegen de tijd dat die gekraakt kunnen worden overgestapt bent op een langere key of een betere encryptietechniek zijn alle encryptietechnieken die alleen brute force gekraakt kunnen worden veilig genoeg.

Verder is het de taak van de personen die de beveiliging opstellen om ervoor te zorgen dat men voor dat punt niet aan de andere gegevens kan.

Duh. Dat is nu juist het punt dat hij aanhaalt: de probleem van de point-to-point transfer is opgelost en praktisch niet kraakbaar zolang er geen quantum computers zijn (50 jaar?)

De zwakke schakel is altijd de infrastructuur erom heen.

Wat voor zin heeft het dan om net het opgeloste probleem nog beter op te lossen?

Dit klinkt net alsof quantumcryptografie niet zou werken. Dat is natuurlijk onzin, wat deze man simpelweg aan wil geven is dat het niet zomaar overal voor geschikt is. Het is gewoonweg wat overdreven om bergen geld te stoppen in een dure quatumverbinding tussen twee lokaties als de zwakste schakel toch ergens anders ligt.

Bedenk wel: vooralsnog zijn er niet echt 'quantum netwerken'. Nu nog moeten twee partijen door één en hetzelfde glasvezeltje verbonden zijn. Die netwerken zijn wel in ontwikkeling, maar dat duurt nog even.

MAW: quantumcryptografie heeft maar beperkt nut in heel erg specifieke situaties. Ik zie het niet gebeuren dat je het kan gebruiken voor je VPN verbinding bijvoorbeeld omdat er een directe link nodig is tussen de twee partijen. Daarom heeft het niet veel nut. Misschien dat grote banken het onderling zouden kunnen gebruiken, maar dan houd het ook wel op. Hoewel: dan kan je eigenlijk ook net zo goed ouderwets met een koerier een symmetische key oversturen, dus ik snap eigenlijk ook niet waar het goed voor is.

Daar heeft hij wel een punt; de huidige gebruikte encryptie wordt pas binnen afzienbare tijd te kraken als quantum computers ooit uit de kinderschoenen komen. Het is wel moeilijker met quantumencryptie om een man-in-the-middle attack te plegen, maar dat voordeel verdwijnt op het moment dat de apparatuur betaalbaar wordt en iedereen het gebruikt.

Wat hij bedoelt is dat de meeste hackers (of crackers ) echt niet proberen om de encryptie te breken van een SSL verbinding.

Hij doelt denk ik op een persoon die een certificaat aanvraagt voor een online bankier programma en daarmee een phishing site kan maken. Puur omdat de certificaten autoriteit niet goed oplet! En het certificaat verstrekt aan een persoon die geen eigenaar is van de URL.

Als dan ook nog eens de DNS getweaked kan worden zijn (afhankelijk van de DNS hierachie) een hoop mensen de lu.. uhh, sigaar?

SSL certificaten werken alleen maar als het domein in het certificaat matcht met het domein in de url. Zelfs als een blackhat het certificaat in handen krijgt kan hij er geen phishing site mee opzetten, omdat de DNS niet bij hem uitkomt.

Om succesvol te opereren als MitM moet een en dezelfde blackhat a) het certificaat in handen krijgen (somehow) b) de DNS corrupten en c) een overtuigende kopie van de website opzetten (oh, en d) goed communiceren naar de echte website alsof je de gebruiker bent).

De gemiddelde phisher lukt c) al niet eens, zelfs als ze zich beperken tot http://www.paypal.com.daarhadeenslashmoetenstaan.nl stijl domeinen waarbij je a) en b) vervangt door het niet opletten van de gebruiker.

Heb je het stukje wel eerst gelezen? Het is met quantumencryptie niet mogelijk om een man-in-the-middle attack te plegen omdat je tijdens het meten van de data, de data zelf veranderd.

Een man-in-the-middle attack is wat anders dan afluisteren. Een man-in-the-middle attack houdt in dat je tussen A en B in gaat staan en voor A net doet alsof je B bent, en voor B net doet alsof je A bent. Aangezien jij de connecties in handen hebt kan je de ontvangen data gewoon doorsturen zonder dat ze erachter komen. Wat natuurlijk wel nodig is is dat je weet wat voor encryptie ze gebruiken en hoe ze een connectie onderhandelen. Dit is met quantumencryptie wat moeilijker aangezien je dan min-of-meer dezelfde apparatuur moet hebben.

Je hebt met quantumencryptie over grote afstanden tussenstations nodig, dus zou je als aanvaller de controle over zo'n tussenstation over kunnen nemen en het elektronische (niet-quantum) gedeelte uitlezen. Als tussenstations in de toekomst niet meer nodig zijn dan wordt het wat lastiger aangezien je er dan één zou moeten bouwen, maar zoals ik zei wordt dat met goedkopere apparatuur en massaal gebruik een stuk makkelijker.

[Reactie gewijzigd door Mitsuko op 17 oktober 2008 18:47]

Heb je enig idee wat quantumcryptografie is en wat het onzekerheidsprincipe daarmee te maken heeft? Het is ondanks het gebruik van quantumcryptografie wel degelijk mogelijk om een man-in-the-middle attack uit te voeren.

Ten eerste worden gegevens niet versleuteld met quantumverschijnselen, maar met een 'traditioneel' algoritme. De toegevoegde waarde van deze quantumtechnologie is dat men bij het uitwisselen van sleutels zeker kan zijn dat de communicatie tussen persoon A en persoon B niet wordt afgeluisterd. Dat maakt het niets moeilijker om een man-in-the-middle attack toe te passen, waarbij zowel persoon A als persoon B rechtstreeks met een aanvaller communiceren, in de overtuiging dat ze met elkaar praten.

Geen enkele cryptografie zal ooit werken zolang de mens aan de schakel blijft verbonden. Daarmee wil ik zeggen, zolang een ontwikkeld systeem aangeboden word aan derden verspreid het zich langzaam en zal er gauw genoeg een decrypter op staan. Feit blijft gewoon, iedereen is omkoopbaar voor de juiste prijs. De vraag op de lange termijn word dan ook steeds duidelijker, hoe lang willen we als bevolker van de aarde met elkaar omgaan ?

Zolang de mens voor geld en macht gevoelig is zal er nooit een bepaalde vorm van veiligheid mogelijk zijn, zeker niet in de hedendaagse vorm. Tot die tijd zullen we nooit nader tot elkaar kunnen komen en blijven we elkaar naar het leven staan, tot op de dag van vandaag. De geschiedenis wijst dit keer op keer uit, helaas en zijn we na zoveel duizenden jaren in de grondbeginselen nog steeds weinig veranderd.

Dat gaat natuurlijk niet op voor cryptografie tussen vertrouwde partijen. Voor een SSL verbinding wordt een sessie key gegenereerd die verzonden wordt met de public key van de andere partij. De andere partij kan hem dan decrypten. Om het nog wat veiliger te maken kun je meer uitwisselingen doen, maar dat moet je maar eens opzoeken.

Om hiet tussen te komen moet je iemand verleiden tot het accepteren van een public key die onjuist is. Zeker bij getekende certificaten wordt dat heel moeilijk, je hebt dan namelijk de private key van de CA nodig. Elke zichzelf respecterende CA staat offline en kan dus alleen met fysieke toegang gekraakt woden.

En AES256 zal ooit met brute force te kraken zijn natuurlijk. Alleen duurt het nog meer dan een eeuw voor we daar de apparatuur voor hebben. Dan is de data van nu waarschijnlijk niet relevant meer.

Bij encryptie van spelletjes heb je wel gelijk, maar daar komt de aloude DRM zwakheid om de hoek kijken, namelijk dat je de ontsleutelde versie op enig punt ter beschikking moet stellen - die ontsleutelde versie kopieer je dan uit memory of wat dan ook. Bovendien is daar maar een constante sleutel in gebruik.

Maar voor gewone encryptie, mits goed uitgevoerd en de wederpartijen zelf hun sleutels genereren en geheimhouden, kom je er echt niet tussen.

Ik ben het met Bruce Schneier eens dat het te vroeg is om al met de quantumencryptie-overwinningsvlag te zwaaien. Dit is echt nog allemaal kinderschoenenpaswerk, de implicaties van quantumtechnologie worden nog amper begrepen dus laat staan volledig beheerst.
Ik denk dat het nu nog waarschijnlijk vooral nog een geval is van "het werkt zolang je het maar zo gebruikt".

Maar ik denk ook dat het in de eerste instantie wel een grote beveiligingsverbetering kan zijn, maar wellicht niet de "mother of all encryptions" die men ons graag wil verkopen, daar is het gewoon nog te vroeg voor.

[Reactie gewijzigd door fevenhuis op 18 oktober 2008 01:29]

Nu heeft het inderdaad nog weinig nut maar ik denk dat dat in de toekomst anders zal zijn.
De ontwikkeling van computers gaat steeds door en dus komt er een punt waarop de huidige cryptografie achterhaald is.
Je kan dan verder gaan met het kat en muis spel door weer betere algoritmen te bedenken maar je kan ook overstappen op een ander systeem dat (zoals het er nu uit ziet) onfeilbaar is.
Ik denk dat deze man deze woorden in de toekomst terug gaat nemen.

Nu heeft het inderdaad nog weinig nut maar ik denk dat dat in de toekomst anders zal zijn.
De ontwikkeling van computers gaat steeds door en dus komt er een punt waarop de huidige cryptografie achterhaald is.

Enkel als er ooit quantum computers komen en daar zijn we nog minstens 30, 40 jaar van verwijderd (als het uberhaupt technisch haalbaar is.)

Het idee dat de techniek snel genoeg vooruit gaat om huidige algorithmen zoals AES te breken is belachelijk. Als het op dit moment 10^30 jaren kost om een exhaustive key check te doen om een code te kraken, dan heb je er niets aan dat het over 20 jaar in 10^29 kan...

Zoals Scheiner zegt: een veel groter probleem is de infrastructuur daarrond: hoe beveilig je de toegang tot de key zelf, of de toegang tot de niet geencrypteerde data.

Het aantal practische gevallen waarbij er toegang illegaal verschaft wordt aan een system dmv brute kracht is zo goed als onbestaande sinds men van DES-56 naar grotere key breedtes gegaan is.

Uhm, uitgaande van x2 in 2 jaar (wat we met multicores voorlopig nog zeker best vol kunnen houden, zeker bij ultiem parelleliseerbare dingen als kraken), duurt het maar 7-8 jaar voordat we een factor 10 sneller zijin, geen 20.

Maar dat is mierenneuken.

Beveiliging van computersystemen is een moeilijk probleem. Het makkelijkste onderdeel daarvan is het beveiligen van communicatieverbindingen. De daarbij gebruikte cryptografie is goed begrepen en tamelijk goedkoop. Dan is het een verspilling van geld om in plaats daarvan een marginaal beter systeem te gebruiken. Een investering in andere onderdelen van het beveiligingssysteem ligt dan meer voor de hand.

Het enige nutteloze onderzoek in de geschiedenis is het onderzoek naar de nutteloosheid van onderzoeken.
Als deze heren echt een onkraakbare encryptie hebben gevonden, zal dat vroeger of later zijn waarde wel bewijzen.

Men moet inderdaad eens gaan kijken naar de zwakke schakels in beveiligingsketens. Hoeveel voorbeelden uit Groot-Brittannië hebben we al niet gekregen waar niet de techniek zorgt voor beveiligingslekken, maar de gebruiker zelf?

Een onkraakbare beveiliging bestaat toch per definitie niet?
En wat heb je aan deze beveiliging? Als ik het goed begrijp kan de derde man nog steeds de data lezen, alleen wéét de ontvanger dat er met de data gerommeld is. Heel leuk, maar ondertussen heeft #3 mooi de geheime informatie.

offtopic:
[quote]aangezien Heisenbergs onzekerheidsprincipe bewijst dat een meting aan een quantumsysteem onmiskenbaar voor een aantoonbare verstoring van dat systeem zorgt.[/quote]Doet me denken aan Digital Fortress van Dan Brown

onkraakbare beveiliging bestaat prima, is alleen niet praktisch toepasbaar; random 1 time pads met teken reeks net zo lang als het te coderen bericht bv.

Een paar keer hergebruiken van dezelfde random bytes zal ook niet zo veel uitmaken. Dan hoef je minder met random DVDs te slepen
Een goede random source is natuurlijk wel vereist, http://www.random.org/files/ bijv. Hoef je alleen nog een key af te spreken.

"Een paar keer hergebruiken" van een one time pad maakt nu juist wel heel veel uit. Daar zijn verschrikkelijk veel berichten door ontcijferd tijdens WOII.

Ook dingen als net-niet-random genoeg gegenereerde dingen, wanneer de secretaresses blijken net niet eerlijk te spelen met hun dobbelsteentjes als er te vaak hetzelfde uitkomt bijv.

Nou, nee, je weet tijdens het uitwisselen van de sleutels dat iemand heeft afgeluisterd, en daarnaast heeft de echte ontvanger de sleutels niet.

Dan ga je natuurlijk niet alsnog je data sturen,,,

Dit lijkt mij algemeen bekend.... hoef je geen expert voor te zijn om een dergelijke uitspraak te doen.

Hij heeft op zich wel gelijk dat de zwakke plekken in het besturingssysteem zitten en verwaarloosbaar zijn in het encryptiealgoritme, maar die lekken in besturingssystemen zullen er altijd in beperkte mate blijven aangezien die altijd aan verandering onderhevig zijn lijkt me.

[Reactie gewijzigd door alexvkan op 17 oktober 2008 19:09]

Hij heeft op zich wel gelijk dat de zwakke plekken in het besturingssysteem zitten en verwaarloosbaar zijn in het encryptiealgoritme, maar die lekken in besturingssystemen zullen er altijd in beperkte mate blijven aangezien die altijd aan verandering onderhevig zijn lijkt me.

Het laatste wat je zegt klopt ook met Schneier zijn mening: quantumcryptografie zal waardeloos blijven als het begin- en eindstation niet net zo goed beveiligd zijn.

Het enige wat volgens Schneier quantumcryptografie doet is de sterkste schakel in de ketting sterker maken. En elke ketting is zo sterk als zijn zwakste schakel...

[Reactie gewijzigd door The Zep Man op 17 oktober 2008 20:52]

Veiligheid is een schijn. Je kunt alleen je best doen om zoveel mogelijk de veiligheid te garanderen, maar zelfs dan is het gebaseerd op de kennis van vandaag. Wat er morgen mogelijk is weet niemand.
En de factor mens is de meest onbetrouwebare. Computers maken geen fouten, maar wel die mensen die het beheren of programeren.

Maar wat Schneier bedoelt is dat tijdelijke sessies moeilijk te kraken zijn op korte duur en op lange termijn waardeloos zijn. Maar wat er aan de kant van de verstuurder of ontvanger gebeurt...