Гигабайты власти

Характеризуя изобретенный метод вскрытия А5, Шамир выразился так: «Это весьма сложная идея, реализуя которую мы наступаем на многих фронтах, чтобы накопить несколько небольших преимуществ, но сложенные все вместе они дают большой выигрыш». Если чуть более подробно, то новый метод атаки использует тонкие слабости в структуре регистров сдвига, необратимый механизм их движения, а также частые перезагрузки регистров, применяемые в GSM. Развивая потенциал балансировки «время-память», ученые создали два родственных вида атак, реализуемых на персональном компьютере с увеличенным объемом внешней памяти. Для успеха первой атаки требуется выходная последовательность алгоритма А5/1 в течение первых двух минут разговора – тогда ключ вычисляется всего за секунду (но в реальных условиях получить для анализа эти две минуты крайне проблематично). Вторая атака требует выход А5/1 всего за две секунды, но на вычисление ключа тогда затрачивается несколько больше времени – несколько минут. Все расчеты были подтверждены реальными вычислительными экспериментами. Попутно следует отметить, что факт реальной длины ключа не в 64, а лишь в 54 бита криптографами не использовался.

Теперь будем делать по-другому?

К началу 2000-х годов уже почти все эксперты в области защиты информации (спецслужбы, как обычно, воздерживаются от комментариев) сошлись во мнении, что разработка мер безопасности для широко используемых систем в тайне от общественности – это в корне порочный путь. Единственный способ гарантировать надежную безопасность – это честно дать возможность проанализировать систему защиты всему сообществу специалистов.

Поначалу создалось впечатление, что данную истину (хотя бы отчасти) признали и в консорциуме GSM. Процитированный в самом начале главы Джеймс Моран, ведающий безопасностью GSM, прокомментировал вскрытие всех криптоалгоритмов системы так: «Когда эти шифры разрабатывались в 1989 году, широкая публикация алгоритмов не была распространенным подходом. Однако, создаваемые ныне алгоритмы будут опубликованы для предварительного их изучения» [DM99].

Летом 2002 года, когда появилось широко анонсированное известие о введении в систему GSM нового криптоалгоритма А5/3, могло показаться, что обещания открытого процесса обсуждения действительно выполняются [NR02]. Про этот реально качественный алгоритм сообществу криптографов академии и индустрии было известно практически все – фактически, это алгоритм Kasumi, созданный рабочей группой 3GPP (3rd Generation Partnership Project) для сетей мобильной связи следующего, третьего поколения. Шифр Kasumi, в свою очередь, построен на основе сильного, еще в 1990-е годы всесторонне исследованного криптоалгоритма MISTY известного японского криптографа Мицуро Мацуи…

Но на этом вся открытость, похоже, и закончилась. Новая спецификация в GSM, именуемая GPRS и обеспечивающая длительное подключение мобильного телефона к Интернету, имеет в своем арсенале новое семейство криптоалгоритмов под общим названием GEA. Про конструкцию этих шифров, по сути дела, известно лишь то, что они не имеют никакого отношения к алгоритмам А5/1 и А5/2. Да еще изменен порядок классификации: GEAO – никакого шифрования (одни нули), GEA1 – экспортный (ослабленный) вариант, GEA2 – обычная стойкость, GEA3 – фактически, тот же вариант, что А5/3. Про стойкость GEA1 и GEA2 неизвестно ничего, поскольку по состоянию на конец 2003 года никто их в открытом сообществе криптографов не видел [GR03].

Тот же принцип сокрытия информации консорциум GSM сохранил и в отношении новых версий алгоритма COMF128 (практической реализации АЗ-А8 в SIM-модулях). Известно лишь то, что имеются две версии секретного алгоритма под названиями COMF128-2 и COMF128-3, призванные решить проблемы, выявленные в первой, вскрытой версии. В частности, COMF128-3 уже не делает принудительное обнуление 10 битов в сеансовом ключе [FQ03].

Так что в целом, как можно видеть, ситуация с «безопасностью по-страусиному» практически не изменилась.

Тяжелое наследие

В период с 2000 по середину 2003 года сколь-нибудь серьезных происшествий в области дальнейшей компрометации GSM более не происходило. Точнее, кое-что, конечно, случалось – вспомним, например, «моментальное» клонирование SIM-карты в IBM – но в прессу и широкое публичное обсуждение эти новости уже не просачивались, оставаясь в материалах и кулуарах научных конференций. Однако к лету 2003 года группа израильских криптографов из института Technion – Элад Баркан, Эли Бихам и Натан Келлер – отыскала серьезнейшую, неведомую прежде слабость в системе защиты GSM. В подготовленной авторами работе, «Мгновенное вскрытие защищенных коммуникаций GSM только по шифртексту» [ВВОЗ], было показано, что эту брешь можно весьма эффективно эксплуатировать для проведения реальных атак самого разного рода – от прослушивания открытых и шифрованных разговоров до подделки SMS (коротких текстовых сообщений) или динамического клонирования телефонов жертв, т.е. звонков якобы с номера жертвы.