AES-256-GCM e 600.000 iterazioni di PBKDF2, spiegati

Gli elenchi di funzioni delle app cassaforte per foto sono pieni di numeri: AES-256, GCM, 600.000 iterazioni, PBKDF2. Vengono presentati come se chiudessero la questione, e la maggior parte dei lettori giustamente li salta. Meritano dieci minuti. Sapere cosa fa ciascuno ti permette di distinguere un’affermazione precisa da una che suona solo bene. Questa pagina spiega ogni termine con parole semplici. Poi, nella sezione 8, spiega da cosa la crittografia non protegge. È questa seconda parte che cambia le decisioni.

1. La versione breve

2. Cos’è AES-256

AES sta per Advanced Encryption Standard. È un metodo di crittografia pubblicato dal National Institute of Standards and Technology degli Stati Uniti nel 2001, dopo una gara pubblica durata diversi anni. Non è segreto e non appartiene a nessuno. Il progetto è pubblico. Esperti di università e aziende lo studiano da più di vent’anni e non hanno trovato alcun modo pratico per violare il metodo completo.

Il 256 è la dimensione della chiave in bit. Provare tutte le chiavi possibili di quella dimensione significa esplorare 2 alla 256 possibilità. Non è questione di aspettare computer più veloci. È molto al di là di qualsiasi cosa i computer normali potranno mai raggiungere. In pratica, è per questo che il metodo in sé non è quasi mai la parte che cede.

Proprio per questo «usiamo AES-256» ti dice meno di quanto sembri. È quasi il minimo. Le domande interessanti sono cosa viene cifrato, come viene usato il metodo e come viene creata la chiave.

3. Cosa aggiunge GCM

La crittografia da sola mantiene segreti i dati: senza la chiave non si possono leggere. Da sola, però, non promette che i dati siano integri. Non può dirti che quello che stai aprendo è quello che era stato messo dentro.

Questa lacuna è reale. Con un metodo che non controlla, chi può modificare il file salvato può alterare i dati cifrati. Aprendolo si otterrebbero dati diversi e sbagliati, senza alcun errore. Riavresti dei dati. Solo che non sono quelli che erano entrati, e niente te lo dice.

GCM aggiunge il controllo. Insieme ai dati cifrati produce un valore di controllo, che viene verificato ogni volta che i dati vengono aperti. Dal nostro documento sulla sicurezza:

È la cosa più utile da cercare in un elenco di funzioni, perché è lì che si vede la precisione. «AES-256» indica un metodo. «AES-256-GCM» indica un metodo e un modo di usarlo, ed è lì che il controllo contro le manomissioni c’è oppure no.

4. I nonce e l’errore classico

Ogni cifratura in un sistema GCM usa un nonce, cioè un numero usato una sola volta. Non deve essere segreto. Deve essere unico per una data chiave.

Se ripeti un nonce con la stessa chiave, la protezione di GCM crolla in modo grave. Non è un caso raro. È il modo più comune in cui sono stati violati sistemi reali che usano GCM, e nasce da scorciatoie nel modo in cui sono stati costruiti, non da una debolezza di AES.

Ci sono due modi corretti per assicurarsi che non si ripeta mai. Il primo è un numero casuale nuovo per ogni cifratura. È quello che fa Obscura Photo Vault per i singoli file: un nuovo numero casuale da 96 bit ogni volta, con un valore di controllo da 128 bit. Il secondo è un contatore che, dimostrabilmente, non si ripete mai. È quello che usa il nostro formato per i video grandi. Combina un numero casuale scelto per ogni file con il numero del pezzo, così nessun pezzo di nessun file condivide un nonce con un altro.

Nessuno dei due approcci è più corretto dell’altro. Conta che l’app ne abbia scelto uno consapevolmente. È il genere di cosa che un documento tecnico pubblicato mostra e un elenco di funzioni no.

5. La tua password è l’anello debole

Una chiave da 256 bit ha 256 bit di casualità. La tua password no. Anche una buona frase segreta ne ha forse da 60 a 80, e una password tipica molto meno. Se la password venisse usata direttamente come chiave, l’enorme dimensione della chiave non conterebbe. Un attaccante proverebbe a indovinare le password, non le chiavi.

Il procedimento che trasforma una password in una chiave è il ponte. PBKDF2 prende la password e un salt e li fa passare in una funzione di rimescolamento ancora e ancora, per un numero stabilito di volte, per produrre una chiave. Lo scopo della ripetizione è il costo. Tu crei la chiave una volta per sblocco e noti appena il secondo che ci vuole. Un attaccante che prova milioni di tentativi paga quel costo per ognuno.

Questo è il numero da cercare, ed è quello che viene omesso più spesso. Un’app può dire con sincerità di usare AES-256 e intanto trasformare la tua password in una chiave in un solo passaggio. Resterebbe esposta proprio all’attacco offline per tentativi che questo procedimento esiste per impedire.

6. Perché 600.000

Il numero non è casuale, e non l’abbiamo scelto noi. L’OWASP Password Storage Cheat Sheet è il riferimento pubblico più usato su questo tema. Raccomanda PBKDF2 con HMAC-SHA-256 a 600.000 iterazioni o più. È il numero che Obscura Photo Vault usa per le password delle casseforti.

Vanno aggiunte due precisazioni oneste.

È un obiettivo che si sposta. Il numero di iterazioni raccomandato sale man mano che l’hardware diventa più veloce. La cifra attuale nasce da test sulle schede grafiche di oggi. Un numero che andava bene qualche anno fa oggi non basta, e quello di oggi non basterà per sempre. Considera un numero di iterazioni pubblicato come un dato legato a una data precisa.

Moltiplica la tua password. Non la sostituisce. Le iterazioni rendono ogni tentativo molto più costoso. Non cambiano il numero di tentativi necessari. Una password scelta da un piccolo insieme di possibilità resta debole anche dopo 600.000 iterazioni, perché a un attaccante basta passare in rassegna quel piccolo insieme. Il procedimento fa guadagnare tempo in proporzione a quanto la tua password era già difficile da indovinare.

Quindi il consiglio pratico per qualsiasi cassaforte crittografata è noioso ma giusto: usa una frase segreta lunga fatta di parole senza legami tra loro, e scrivila in un posto sicuro. In un’app in cui la chiave nasce davvero dalla tua password, quella copia scritta è l’unica copia che esiste. È l’argomento della nostra guida su cosa succede se dimentichi la password della cassaforte.

7. I salt

Un salt è un insieme di dati casuali mescolato alla password prima che diventi una chiave. Viene salvato accanto ai dati cifrati. Non è segreto, e non ha bisogno di esserlo.

Il suo compito è impedire agli attaccanti di prepararsi in anticipo. Senza salt, un attaccante potrebbe calcolare una sola volta le chiavi per un elenco di password comuni e poi riusare quell’elenco contro tutti gli utenti di un’app. Con un salt casuale diverso per ogni cassaforte, quel lavoro va rifatto da zero per ogni obiettivo. Non è più possibile condividere lo sforzo tra utenti.

Obscura Photo Vault usa un salt casuale da 32 byte per ogni cassaforte, salvato nell’intestazione del file della cassaforte stessa.

8. Da cosa niente di tutto questo ti protegge

Tutto ciò che hai letto finora riguarda i dati a riposo: file salvati nella memoria interna, non in uso. È una protezione reale e utile. Ma è anche limitata. La sezione 11 del nostro documento sulla sicurezza elenca cosa resta fuori. In parole semplici:

• Un telefono compromesso mentre la cassaforte è aperta. Per mostrarti una foto, l’app deve decifrarla. Quindi la chiave e la foto leggibile si trovano in memoria. Qualsiasi cosa sia in esecuzione dentro l’app in quel momento può raggiungerle entrambe. Nessuna crittografia a livello di app ripara un telefono compromesso.
• Chiunque conosca la tua password. La crittografia non sa distinguere il proprietario da qualcuno che lo ha visto digitarla, o a cui è stata detta.
• Screenshot, registrazione dello schermo e sguardi da sopra la spalla. Quello che è sullo schermo è già stato decifrato. È fuori da ciò che la crittografia copre.
• Copie che hai fatto altrove. L’originale ancora nel rullino, la versione che hai mandato in un messaggio, il backup nel cloud fatto prima di spostarla. Cifrare una copia non cambia niente per le altre.
• Il fatto che l’app esiste. La crittografia nasconde i contenuti. Non nasconde che c’è qualcosa da nascondere.

Perché dirlo in una pagina che per il resto spiega quanto siano solidi i mattoni di base? Perché quando qualcosa va storto davvero, il metodo di crittografia non è quasi mai il problema. Di solito è uno dei cinque punti qui sopra.

9. Sul «livello militare»

L’espressione non ha alcun significato tecnico. Di solito si riferisce ad AES, che è uno standard pubblico che chiunque può usare e non è riservato ai militari. Lo usano tutti i principali sistemi operativi, browser e app di messaggistica.

Il problema non è che l’espressione sia falsa. È che non promette nulla. Non indica né un metodo, né un modo di usarlo, né una dimensione della chiave, né un procedimento per trasformare una password in una chiave. Quindi può usarla con sincerità un’app che cifra ogni file, e anche una che cifra solo le proprie impostazioni.

Non è una critica all’espressione in sé. Una scheda può usarla e dirti comunque qualcosa. Ciò che rende utile un’affermazione per chi vuole verificarla è quello che viene dopo: il metodo, la modalità, il procedimento per la chiave, il numero di iterazioni e cosa viene coperto. Una scheda che si ferma all’espressione non ha promesso nulla. Una che poi nomina queste cose si può verificare, qualunque sia la frase d’apertura.

10. Domande frequenti

Cosa significa AES-256-GCM?

AES è un metodo di crittografia pubblico. AES-256 è la versione con una chiave da 256 bit. GCM è un modo di usarlo che controlla anche che i dati non siano stati manomessi. Nell’uso di tutti i giorni è proprio questo controllo la parte più importante. Un file alterato si rifiuta di aprirsi, invece di mostrare in silenzio dati sbagliati.

Qual è la differenza tra AES-256 e AES-256-GCM?

Il secondo nome indica anche come si usa il metodo, non solo il metodo. GCM aggiunge un controllo contro le manomissioni: i dati alterati vengono scoperti quando li apri, invece di essere restituiti sbagliati senza alcun avviso.

Perché le app cassaforte per foto usano 600.000 iterazioni di PBKDF2?

Una password è corta e si può indovinare. Una chiave di crittografia no. Per questo la password va trasformata in una chiave con un procedimento lento di proposito. Ogni iterazione aggiunge lavoro a ogni tentativo di un attaccante. 600.000 iterazioni: è il numero che l’OWASP Password Storage Cheat Sheet raccomanda per questo metodo, PBKDF2 con HMAC-SHA-256.

La crittografia AES-256 è sicura?

AES-256 è uno standard pubblico. Gli esperti lo studiano da più di vent’anni e non hanno trovato alcun modo pratico per violare il metodo completo. Nelle app reali il metodo è raramente il punto debole. Un errore nel modo in cui viene usato, una password facile da indovinare o qualcuno che mette le mani sul telefono mentre è sbloccato sono tutti problemi più probabili.

AES-256 è meglio di AES-128?

La chiave più grande offre più margine. Entrambe sono considerate sicure contro il tentativo di provare tutte le chiavi con i metodi e l’hardware di oggi. In pratica, è molto improbabile che la scelta tra le due decida se un’app regge o no.

Cosa significa «crittografia di livello militare»?

Non ha alcun significato tecnico. Di solito si riferisce ad AES, che è uno standard pubblico che chiunque può usare e non è riservato ai militari. Siccome l’espressione non indica né un metodo, né una modalità, né una dimensione della chiave, può usarla un’app che crittografa tutto e anche una che non crittografa quasi niente.

I computer quantistici possono violare AES-256?

La scorciatoia quantistica nota, l’algoritmo di Grover, dimezza più o meno la forza di una chiave come questa. Per una chiave da 256 bit resta comunque un margine molto ampio. È uno dei motivi per cui le chiavi da 256 bit sono considerate una scelta sensata a lungo termine. Il tipo di crittografia usato per scambiare chiavi su Internet ha un problema quantistico molto più grande di AES.

600.000 iterazioni rendono lento lo sblocco?

Su un iPhone moderno ci vuole circa un secondo, una volta per ogni sblocco. Questa sproporzione è proprio lo scopo: quasi impercettibile se fatto una volta, paralizzante se fatto milioni di volte.

Più iterazioni significano che posso usare una password più debole?

No, ed è il malinteso più comune. Più iterazioni rendono ogni tentativo più costoso. Non riducono il numero di tentativi necessari per una password debole. Una password corta resta debole.