อธิบาย AES-256-GCM และ PBKDF2 จำนวน 600,000 รอบ

รายการคุณสมบัติของตู้เซฟรูปภาพเต็มไปด้วยตัวเลข: AES-256, GCM, 600,000 รอบ, PBKDF2 ตัวเลขเหล่านี้ถูกเขียนไว้ราวกับว่าตอบคำถามได้หมด และผู้อ่านส่วนใหญ่ก็ข้ามไป ซึ่งก็เข้าใจได้ แต่ควรสละเวลาสักสิบนาที การรู้ว่าแต่ละตัวทำอะไรช่วยให้คุณแยกข้อความกล่าวอ้างที่เฉพาะเจาะจงออกจากข้อความที่ฟังดูน่าประทับใจได้ หน้านี้อธิบายแต่ละคำแบบเข้าใจง่าย จากนั้นในส่วนที่ 8 จะอธิบายว่าการเข้ารหัสป้องกันอะไรไม่ได้ ส่วนที่สองนั้นคือส่วนที่เปลี่ยนการตัดสินใจ

1. ฉบับย่อ

2. AES-256 คืออะไร

AES ย่อมาจาก Advanced Encryption Standard (มาตรฐานการเข้ารหัสขั้นสูง) เป็นวิธีการเข้ารหัสที่สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ (NIST) เผยแพร่ในปี 2001 หลังการแข่งขันแบบเปิดที่ใช้เวลาหลายปี ไม่ใช่ความลับและไม่มีใครเป็นเจ้าของ การออกแบบเปิดเผยต่อสาธารณะ ผู้เชี่ยวชาญในมหาวิทยาลัยและภาคอุตสาหกรรมศึกษามานานกว่ายี่สิบปี และยังไม่พบวิธีที่ใช้ได้จริงในการเจาะวิธีการฉบับเต็ม

256 คือขนาดกุญแจเป็นบิต การลองกุญแจทุกตัวที่เป็นไปได้ในขนาดนั้นหมายถึงการค้นหา 2 ยกกำลัง 256 ความเป็นไปได้ นี่ไม่ใช่เรื่องที่รอให้คอมพิวเตอร์เร็วขึ้นแล้วจะทำได้ แต่ไกลเกินกว่าที่การคำนวณทั่วไปจะไปถึงได้มาก ในทางปฏิบัติ นี่คือเหตุผลที่ตัววิธีการเข้ารหัสเองแทบไม่เคยเป็นส่วนที่ล้มเหลว

นั่นคือเหตุผลที่ “เราใช้ AES-256” บอกอะไรน้อยกว่าที่ฟังดู ซึ่งเกือบจะเป็นแค่ขั้นต่ำ คำถามที่น่าสนใจคือเข้ารหัสอะไร ใช้งานอย่างไร และสร้างกุญแจอย่างไร

3. GCM เพิ่มอะไรให้

การเข้ารหัสเพียงลำพังรักษาความลับของข้อมูล: หากไม่มีกุญแจก็อ่านไม่ได้ แต่การเข้ารหัสอย่างเดียวไม่ได้รับประกันว่าข้อมูลสมบูรณ์ และบอกไม่ได้ว่าสิ่งที่คุณเปิดคือสิ่งที่ใส่เข้าไป

ช่องโหว่นี้มีอยู่จริง หากใช้วิธีที่ไม่ตรวจสอบ คนที่แก้ไขไฟล์ที่จัดเก็บไว้ได้สามารถเปลี่ยนข้อมูลที่ถูกเข้ารหัสได้ เมื่อเปิดจะได้ข้อมูลที่ต่างออกไปและผิด โดยไม่มีข้อผิดพลาดแจ้งเตือน คุณได้ข้อมูลกลับมา แต่ไม่ใช่ข้อมูลที่ใส่เข้าไป และไม่มีอะไรบอกคุณ

GCM เพิ่มการตรวจสอบเข้ามา โดยสร้างค่าตรวจสอบควบคู่กับข้อมูลที่ถูกเข้ารหัส และค่านั้นจะถูกตรวจทุกครั้งที่เปิดข้อมูล จากเอกสารความปลอดภัยของเราเอง:

นี่คือรายละเอียดที่มีประโยชน์ที่สุดที่ควรมองหาในรายการคุณสมบัติ เพราะเป็นจุดที่เห็นความเฉพาะเจาะจง “AES-256” ระบุชื่อวิธีการ “AES-256-GCM” ระบุทั้งวิธีการและวิธีใช้งาน และนั่นคือจุดที่การตรวจจับการแก้ไขมีอยู่หรือไม่มี

4. Nonce และข้อผิดพลาดคลาสสิก

การเข้ารหัสทุกครั้งในระบบ GCM ใช้ nonce ซึ่งหมายถึงตัวเลขที่ใช้ครั้งเดียว ไม่จำเป็นต้องเป็นความลับ แต่ต้องไม่ซ้ำกันสำหรับกุญแจหนึ่งๆ

หากใช้ nonce ซ้ำกับกุญแจเดียวกัน การป้องกันของ GCM จะพังลงอย่างรุนแรง นี่ไม่ใช่กรณีที่เกิดขึ้นยาก แต่เป็นวิธีที่พบบ่อยที่สุดที่ระบบจริงซึ่งใช้ GCM ถูกเจาะ และเกิดจากการลัดขั้นตอนในการสร้างระบบ ไม่ใช่จากจุดอ่อนใดของ AES

มีสองวิธีที่ถูกต้องในการทำให้แน่ใจว่าไม่ซ้ำเลย วิธีแรกคือตัวเลขสุ่มใหม่สำหรับการเข้ารหัสทุกครั้ง ซึ่งเป็นสิ่งที่ Obscura Photo Vault ทำกับไฟล์เดี่ยว: ตัวเลขสุ่มขนาด 96 บิตใหม่ทุกครั้ง พร้อมค่าตรวจสอบขนาด 128 บิต อีกวิธีคือตัวนับที่พิสูจน์ได้ว่าไม่ซ้ำ ซึ่งเป็นสิ่งที่รูปแบบสำหรับวิดีโอขนาดใหญ่ของเราใช้ โดยรวมตัวเลขสุ่มที่เลือกต่อไฟล์เข้ากับหมายเลขชิ้น จึงไม่มีสองชิ้นในไฟล์ใดที่ใช้ nonce เดียวกัน

ไม่มีวิธีใดถูกต้องกว่ากัน สิ่งที่สำคัญคือแอปเลือกวิธีใดวิธีหนึ่งอย่างตั้งใจ นั่นคือสิ่งที่เอกสารการออกแบบที่เผยแพร่แสดงให้เห็นได้ แต่รายการคุณสมบัติทำไม่ได้

5. รหัสผ่านของคุณคือจุดอ่อน

กุญแจขนาด 256 บิตมีความสุ่ม 256 บิต แต่รหัสผ่านของคุณไม่ได้มีขนาดนั้น แม้วลีรหัสผ่านที่ดีก็มีราว 60 ถึง 80 บิต และรหัสผ่านทั่วไปมีน้อยกว่านั้นมาก หากใช้รหัสผ่านเป็นกุญแจโดยตรง ขนาดกุญแจที่ใหญ่มากก็ไม่มีความหมาย ผู้โจมตีจะเดารหัสผ่าน ไม่ใช่กุญแจ

กระบวนการแปลงรหัสผ่านเป็นกุญแจคือสะพานเชื่อม PBKDF2 นำรหัสผ่านและ salt ผ่านฟังก์ชันเข้ารหัสซ้ำแล้วซ้ำเล่าตามจำนวนครั้งที่กำหนด เพื่อสร้างกุญแจ จุดประสงค์ของการทำซ้ำคือต้นทุน คุณสร้างกุญแจครั้งเดียวต่อการปลดล็อกและแทบไม่รู้สึกถึงเวลาราวหนึ่งวินาทีที่ใช้ ผู้โจมตีที่ทดสอบการเดานับล้านครั้งต้องจ่ายต้นทุนนั้นทุกครั้ง

นี่คือตัวเลขที่ควรมองหา และเป็นตัวเลขที่ถูกละไว้บ่อยที่สุด แอปอาจบอกได้อย่างไม่ผิดว่าใช้ AES-256 แต่แปลงรหัสผ่านของคุณเป็นกุญแจในขั้นตอนเดียว ซึ่งจะทำให้เปิดช่องให้การเดาแบบออฟไลน์ที่กระบวนการนี้มีไว้ป้องกันพอดี

6. ทำไมต้อง 600,000

ตัวเลขนี้ไม่ได้ตั้งขึ้นลอยๆ และไม่ใช่ตัวเลขของเรา OWASP Password Storage Cheat Sheet ซึ่งเป็นเอกสารอ้างอิงสาธารณะที่ใช้กันแพร่หลายที่สุดในเรื่องนี้ แนะนำ PBKDF2 กับ HMAC-SHA-256 จำนวน 600,000 รอบขึ้นไป ซึ่งเป็นจำนวนที่ Obscura Photo Vault ใช้กับรหัสผ่านตู้เซฟ

มีข้อควรระวังตามจริงสองข้อที่มาพร้อมกัน

เป็นเป้าที่ขยับตลอด จำนวนรอบที่แนะนำเพิ่มขึ้นเมื่อฮาร์ดแวร์เร็วขึ้น ตัวเลขปัจจุบันมาจากการทดสอบกับชิปกราฟิกในปัจจุบัน ตัวเลขที่ใช้ได้เมื่อหลายปีก่อนใช้ไม่ได้แล้วในตอนนี้ และตัวเลขวันนี้ก็จะใช้ไม่ได้ตลอดไป ให้ถือว่าจำนวนรอบที่เผยแพร่เป็นข้อความกล่าวอ้างที่มีวันที่กำกับ

ช่วยเสริมรหัสผ่านของคุณ แต่ใช้แทนไม่ได้ จำนวนรอบทำให้การเดาแต่ละครั้งมีต้นทุนสูงขึ้นมาก แต่ไม่ได้เปลี่ยนจำนวนครั้งที่ต้องเดา รหัสผ่านที่เลือกจากชุดตัวเลือกเล็กๆ ก็ยังอ่อนหลัง 600,000 รอบ เพราะผู้โจมตีแค่ไล่ไปตามชุดเล็กๆ นั้น กระบวนการนี้ช่วยซื้อเวลาได้ตามสัดส่วนของความยากในการเดารหัสผ่านของคุณ

ดังนั้นคำแนะนำในทางปฏิบัติสำหรับตู้เซฟแบบเข้ารหัสทุกตัวจึงน่าเบื่อแต่ถูกต้อง: ใช้วลีรหัสผ่านยาวๆ ที่ประกอบด้วยคำที่ไม่เกี่ยวข้องกัน และจดไว้ในที่ปลอดภัย ในแอปที่สร้างกุญแจจากรหัสผ่านของคุณจริงๆ สำเนาที่จดไว้นั้นคือสำเนาเดียวที่มีอยู่ ซึ่งอธิบายไว้ในคู่มือของเราเรื่องจะเกิดอะไรขึ้นหากคุณลืมรหัสผ่านตู้เซฟ

7. Salt

Salt คือข้อมูลสุ่มที่ผสมกับรหัสผ่านก่อนกลายเป็นกุญแจ จัดเก็บไว้คู่กับข้อมูลที่ถูกเข้ารหัส salt ไม่ใช่ความลับ และไม่จำเป็นต้องเป็นความลับ

หน้าที่ของ salt คือหยุดผู้โจมตีไม่ให้เตรียมการล่วงหน้า หากไม่มี salt ผู้โจมตีอาจคำนวณกุญแจของรายการรหัสผ่านทั่วไปไว้ครั้งเดียว แล้วนำรายการนั้นไปใช้ซ้ำกับผู้ใช้ทุกคนของแอป เมื่อมี salt สุ่มที่ไม่ซ้ำกันต่อตู้เซฟ งานนั้นต้องทำใหม่ตั้งแต่ต้นสำหรับเป้าหมายแต่ละราย การแบ่งปันความพยายามระหว่างผู้ใช้จึงเป็นไปไม่ได้

Obscura Photo Vault ใช้ salt สุ่มขนาด 32 ไบต์ต่อตู้เซฟ จัดเก็บไว้ในส่วนหัวของไฟล์ตู้เซฟเอง

8. สิ่งที่ทั้งหมดนี้ป้องกันไม่ได้

ทุกอย่างข้างต้นเกี่ยวกับข้อมูลที่จัดเก็บอยู่: ไฟล์ที่อยู่ในพื้นที่จัดเก็บและไม่ได้ถูกใช้งาน นั่นคือการป้องกันที่มีอยู่จริง และมีประโยชน์ แต่ก็แคบ ส่วนที่ 11 ของ เอกสารความปลอดภัย ของเราระบุสิ่งที่อยู่นอกขอบเขต พูดง่ายๆ คือ:

• โทรศัพท์ที่ถูกเจาะระบบขณะตู้เซฟเปิดอยู่ เพื่อแสดงรูปให้คุณดู แอปต้องถอดรหัสรูป กุญแจและรูปที่อ่านได้จึงอยู่ในหน่วยความจำ สิ่งใดก็ตามที่ทำงานอยู่ภายในแอปในขณะนั้นเข้าถึงได้ทั้งคู่ ไม่มีการเข้ารหัสระดับแอปใดแก้ปัญหาโทรศัพท์ที่ถูกเจาะได้
• ใครก็ตามที่มีรหัสผ่านของคุณ การเข้ารหัสแยกเจ้าของออกจากคนที่ดูเขาพิมพ์ หรือคนที่เจ้าของบอกรหัสให้ไม่ได้
• ภาพหน้าจอ การบันทึกหน้าจอ และการแอบมองข้ามไหล่ สิ่งที่อยู่บนหน้าจอถูกถอดรหัสแล้ว เรื่องนี้อยู่นอกขอบเขตที่การเข้ารหัสครอบคลุม
• สำเนาที่คุณทำไว้ที่อื่น ต้นฉบับที่ยังอยู่ในคลังรูปภาพ ฉบับที่คุณส่งไปในข้อความ ข้อมูลสำรองบนคลาวด์ที่ทำไว้ก่อนที่คุณจะย้าย การเข้ารหัสสำเนาหนึ่งไม่ได้ทำอะไรกับสำเนาอื่น
• การที่แอปมีอยู่ การเข้ารหัสซ่อนเนื้อหาได้ แต่ไม่ได้ซ่อนว่ามีบางอย่างที่ต้องซ่อน

เหตุผลที่ต้องพูดเรื่องนี้ในหน้าที่ส่วนใหญ่ว่าด้วยความแข็งแรงของส่วนประกอบพื้นฐาน ก็เพราะในความล้มเหลวจริง วิธีการเข้ารหัสแทบไม่เคยเป็นต้นเหตุ ต้นเหตุมักเป็นหนึ่งในห้าข้อข้างต้น

9. เรื่อง “ระดับทหาร”

วลีนี้ไม่มีความหมายทางเทคนิค มักหมายถึง AES ซึ่งเป็นมาตรฐานสาธารณะที่ใครก็ใช้ได้ และไม่ได้สงวนไว้สำหรับกองทัพ ระบบปฏิบัติการ เบราว์เซอร์ และแอปส่งข้อความหลักๆ ทุกตัวก็ใช้

ปัญหาไม่ใช่ว่าวลีนี้เป็นเท็จ แต่คือไม่ได้สัญญาอะไรเลย ไม่ได้ระบุวิธีการ วิธีใช้งาน ขนาดกุญแจ หรือกระบวนการแปลงรหัสผ่านเป็นกุญแจ ดังนั้นแอปที่เข้ารหัสทุกไฟล์ก็ใช้วลีนี้ได้อย่างไม่ผิด และแอปที่เข้ารหัสแค่การตั้งค่าก็ใช้ได้เช่นกัน

นี่ไม่ใช่การตำหนิตัววลีนี้เอง หน้ารายการหนึ่งอาจใช้วลีนี้และยังบอกอะไรบางอย่างกับคุณได้ สิ่งที่ทำให้ข้อความกล่าวอ้างมีประโยชน์กับคนที่พยายามตรวจสอบคือสิ่งที่ตามมาหลังจากนั้น ได้แก่ วิธีการ โหมด กระบวนการสร้างกุญแจ จำนวนรอบ และสิ่งที่ครอบคลุม หน้ารายการที่หยุดอยู่แค่วลีนั้นไม่ได้สัญญาอะไรเลย ส่วนหน้าที่ระบุสิ่งเหล่านั้นต่อจากวลีนั้นตรวจสอบได้ ไม่ว่าจะขึ้นต้นด้วยอะไร

10. คำถามที่พบบ่อย

AES-256-GCM หมายความว่าอะไร

AES คือวิธีการเข้ารหัสที่เผยแพร่เป็นสาธารณะ AES-256 คือรุ่นที่ใช้กุญแจขนาด 256 บิต GCM คือวิธีใช้งานที่ตรวจสอบด้วยว่าข้อมูลไม่ได้ถูกแก้ไข การตรวจสอบนั้นคือส่วนที่สำคัญที่สุดในการใช้งานประจำวัน ไฟล์ที่ถูกแก้ไขจะเปิดไม่ได้ แทนที่จะเปิดออกมาเป็นข้อมูลผิดๆ อย่างเงียบๆ

AES-256 กับ AES-256-GCM ต่างกันอย่างไร

แบบหลังระบุวิธีใช้งาน ไม่ใช่แค่ตัววิธีการเข้ารหัส GCM เพิ่มการตรวจจับการแก้ไข ข้อมูลที่ถูกแก้ไขจึงถูกจับได้เมื่อคุณเปิด แทนที่จะกลับมาผิดๆ อย่างเงียบๆ

ทำไมแอปตู้เซฟรูปภาพจึงใช้ PBKDF2 จำนวน 600,000 รอบ

รหัสผ่านสั้นและเดาได้ แต่กุญแจเข้ารหัสไม่ใช่ ดังนั้นรหัสผ่านต้องถูกแปลงเป็นกุญแจด้วยกระบวนการที่ช้าโดยตั้งใจ แต่ละรอบเพิ่มงานให้กับการเดาทุกครั้งของผู้โจมตี 600,000 รอบคือจำนวนที่ OWASP Password Storage Cheat Sheet แนะนำสำหรับวิธีนี้ คือ PBKDF2 กับ HMAC-SHA-256

การเข้ารหัส AES-256 ปลอดภัยไหม

AES-256 เป็นมาตรฐานสาธารณะ ผู้เชี่ยวชาญศึกษามานานกว่ายี่สิบปีและยังไม่พบวิธีที่ใช้ได้จริงในการเจาะวิธีการเข้ารหัสฉบับเต็ม ในแอปจริง ตัววิธีการเข้ารหัสแทบไม่เคยเป็นจุดอ่อน ข้อผิดพลาดในการใช้งาน รหัสผ่านที่เดาได้ หรือการที่มีคนเข้าถึงโทรศัพท์ขณะปลดล็อกอยู่ ล้วนเป็นปัญหาที่มีโอกาสเกิดมากกว่า

AES-256 ดีกว่า AES-128 ไหม

กุญแจที่ใหญ่กว่าให้ระยะเผื่อมากกว่า ทั้งสองแบบถือว่าปลอดภัยจากการลองกุญแจทุกตัวด้วยวิธีการและฮาร์ดแวร์ในปัจจุบัน ในทางปฏิบัติ การเลือกระหว่างสองแบบนี้แทบไม่มีโอกาสเป็นตัวตัดสินว่าแอปจะทนทานหรือไม่

“การเข้ารหัสระดับทหาร” หมายความว่าอะไร

ไม่มีความหมายทางเทคนิค มักหมายถึง AES ซึ่งเป็นมาตรฐานสาธารณะที่ใครก็ใช้ได้ และไม่ได้สงวนไว้สำหรับกองทัพ เพราะวลีนี้ไม่ได้ระบุวิธีการ โหมด หรือขนาดกุญแจ แอปที่เข้ารหัสทุกอย่างก็ใช้วลีนี้ได้ และแอปที่แทบไม่ได้เข้ารหัสอะไรเลยก็ใช้ได้เช่นกัน

คอมพิวเตอร์ควอนตัมเจาะ AES-256 ได้ไหม

ทางลัดควอนตัมที่ทราบกัน คืออัลกอริทึมของ Grover ซึ่งลดความแข็งแรงของกุญแจแบบนี้ลงประมาณครึ่งหนึ่ง สำหรับกุญแจขนาด 256 บิต ยังเหลือระยะเผื่อที่มากอยู่ นั่นคือเหตุผลหนึ่งที่กุญแจขนาด 256 บิตถูกมองว่าเป็นทางเลือกที่สมเหตุสมผลในระยะยาว การเข้ารหัสประเภทที่ใช้แลกเปลี่ยนกุญแจผ่านอินเทอร์เน็ตมีปัญหาเรื่องควอนตัมมากกว่า AES มาก

600,000 รอบทำให้ปลดล็อกช้าไหม

ใช้เวลาประมาณหนึ่งวินาทีบน iPhone รุ่นใหม่ ครั้งเดียวต่อการปลดล็อกหนึ่งครั้ง ความไม่สมดุลนี้แหละคือประเด็น ทำครั้งเดียวแทบไม่รู้สึก แต่ทำเป็นล้านครั้งก็หนักหนามาก

จำนวนรอบมากขึ้นหมายความว่าฉันใช้รหัสผ่านที่อ่อนลงได้ไหม

ไม่ได้ และนี่คือความเข้าใจผิดที่พบบ่อยที่สุด รอบที่มากขึ้นทำให้การเดาแต่ละครั้งมีต้นทุนสูงขึ้น แต่ไม่ได้ลดจำนวนครั้งที่ต้องเดารหัสผ่านที่อ่อน รหัสผ่านที่สั้นก็ยังอ่อนอยู่