|
رمز نكنيد، امن نيست!
17 آگوست 2004 - 27 مرداد 1383
بنابر اخبار رسيده بسياري از توابع رياضي به كار گرفته شده در
برنامه هاي امنيتي ، نقاط ضعف ناشناحته اي دارند.
هفته گذشته در اخبار گفته شد كه
Antoine Joux
، رياضيدان فرانسوي ، توانسته است يك مشكل را در الگوريتم
مشهور
MD5
كه معمولا در امضاي ديجيتالي به كار مي
رود، بيابد. پس از آن چهار محقق چيني طي
مقاله اي گزارش دادند كه راهي را براي شكستن الگوريتم
SHA-0
يا
Secure Hash Algorithm
يافته اند.
با وجودي كه نتايج ارائه شده هنوز خام و اوليه هستند اما نشان
از آن دارند كه هكرها مي توانند درهاي پشتي غيرقابل تشخيصي را
در كدهاي كامپيوتري بگنجانند يا يك امضاي ديجيتالي را جعل كنند
مگر اين كه الگوريتم جديدي با امنيت بيشتر مورد استفاده قرار
گيرد.
سومين خبر امروز و در كنفرانس
Crypto 2004
اعلام شد. دو محقق كه قرار بود روش هاي حمله به
SHA-0
را طي مقاله اي در اين سمينار ارائه كنند ، در ارائه خود گزارش
دادند كه نقاط ضعفي در
SHA-1
نيز يافته اند.
SHA-1
تا به حال يك الگوريتم امن به حساب مي آمد. گرچه ارائه آنها
بسيار ابتدايي بود اما الگوريتم مشهور
SHA-1
كه مورد استفاده زيادي پيدا كرده است را زير سئوال برد.
SHA-1
تا به حال به عنوان استاندارد طلايي و برترين الگوريتم رمز در
اين رده در برنامه هاي پرطرفداري مانند
PGP
و
SSL
به كار گرفته شده است.
SHA-1
يك خروجي 160 بيتي ارائه مي كند كه در مقايسه با خروجي 128
بيتي
MD5
امن تر است.
يكي از متخصصين رمزنگاري در ابن باره مي گويد:“ اگر بتوان دو
ورودي به تابع
Hash
را يافت كه خروجي آنها يكسان باشد، شما مي توانيد يكي را به
جاي ديگري استفاده كنيد و همين كافي است تا در دادگاه درباره
امضاي ديجيتالي ابهام ايجاد شود.“
متخصصان و كارشناسان كامپيوتر
MD5
،
SHA-0
و
SHA-1
را به عنوان الگوريتمهاي
Hash
مي شناسند كه ورودي هاي مختلفي از ايميل تا هسته سيستم عامل را
مي گيرند و يك خروجي يكتا به عنوان اثر انگشت توليد مي كند.
تغيير حتي يك حرف در ورودي به يك خروجي كاملا متفاوت مي
انجامد.
برنامه هاي امنيتي بر اين آثار انگشت يكتا تكيه مي كنند. اما
اگر يك هكر بتواند با يك ورودي ديگر همان خروجي را توليد كند ،
باعث مي شود كه يك نرم افزار كه در پشتي در آن قرار گرفته ، به
راحتي به عنوان نرم افزار سالم و امن دريافت و نصب شود. همچنين
يك فرد مي تواند با جعل امضاي ديجيتالي حساب كاربر ديگري را
خالي كند!
البته تا به حال الگوريتم صد در صد امني يافت نشده و لذا
متخصصان به دنبال الگوريتمهايي بوده اند كه زماني طولاني براي
شكستن آنها لازم باشد.
SHA-1
به همين دليل به كار گرفته شد، چون با روشهاي موجود قابل شكستن
نبود.
الگوريتم
SHA-1
يك روتين را 80 بار اجرا مي كند تا به يك خروجي يكتا دست يابد.
اما محققان اشاره كرده اند كه طي 36 بار اجرا توانسته اند
خروجي مشابه را توليد كنند كه در نتيجه سرعت يافتن خروجي مشابه
500 ميليون بار سريعتر مي شود و از نظر تئوري مي توان به امضاي
ديجيتالي مشابه با كمك يك شبكه از كامپيوترهاي سريع دست يافت.
الگوريتم
MD5
نيز كه در وب سرور
Apache
و همچنين ديتابيس
Sun Solaris
به كار گرفته شده با توجه به مشكلات يافت شده امن محسوب نمي
شود و لذا متخصصان توصيه كرده اند كه از آن استفاده نشود. |
