211service.com
Honungskryptering kommer att förvirra angripare med falska hemligheter
Ari Juels , en oberoende forskare som tidigare var chefsforskare på datasäkerhetsföretaget RSA, tycker att något viktigt saknas i kryptografin som skyddar vår känsliga data: knep.
Locke och bedrägeri är verkligen underutnyttjade verktyg inom grundläggande datorsäkerhet, säger Juels. Tillsammans med Thomas Ristenpart från University of Wisconsin har han utvecklat ett nytt krypteringssystem med en slingrig strimma. Det ger krypterad data ett extra skyddslager genom att servera falska data som svar på varje felaktig gissning av lösenordet eller krypteringsnyckeln. Om angriparen så småningom gissar rätt, bör den verkliga datan gå förlorad bland mängden av falska data.
Det nya tillvägagångssättet kan vara värdefullt med tanke på hur ofta stora krypterade förråd av känslig data hamnar i händerna på brottslingar. Omkring 150 miljoner användarnamn och lösenord togs från Adobes servrar i oktober 2013, till exempel.
Efter att ha fångat krypterad data använder brottslingar ofta programvara för att upprepade gånger gissa lösenordet eller den kryptografiska nyckeln som används för att skydda den. Konstruktionen av konventionella kryptografiska system gör det lätt att veta när en sådan gissning är korrekt eller inte: fel nyckel ger en förvrängd röra, inte en igenkännbar bit rådata.
Juels och Ristenparts tillvägagångssätt, känd som Honey Encryption, gör det svårare för en angripare att veta om de har gissat ett lösenord eller en krypteringsnyckel korrekt eller inte. När fel nyckel används för att dekryptera något som skyddas av deras system, genererar Honey Encryption-mjukvaran en bit falsk data som liknar den sanna informationen.
Om en angripare använde programvara för att göra 10 000 försök att dekryptera ett kreditkortsnummer, till exempel, skulle de få tillbaka 10 000 olika falska kreditkortsnummer. Varje dekryptering kommer att se rimlig ut, säger Juels. Angriparen har inget sätt att a priori urskilja vilket som är korrekt. Juels arbetade tidigare med Ron Rivest, R:et i RSA, för att utveckla ett system som heter Honung ord för att skydda lösenordsdatabaser genom att även fylla dem med falska lösenord.
Juels och Ristenpart kommer att presentera ett papper om honungskryptering på Eurokrypt kryptografikonferens senare i år. Juels arbetar även med att bygga ett system baserat på det för att skydda data som lagras av lösenordshanterartjänster som t.ex LastPass och Dashlane . Dessa tjänster lagrar alla en persons olika lösenord i krypterad form, skyddade av ett enda huvudlösenord, så att programvaran automatiskt kan skriva in dem på webbplatser.
Lösenordshanterare är ett välsmakande mål för kriminella, säger Juels. Han tror att många använder ett osäkert huvudlösenord för att skydda sin samling. Sättet de är konstruerade motverkar användningen av ett starkt lösenord eftersom du ständigt måste skriva in det – även på en mobil enhet i många fall.
Juels förutspår att om brottslingar fick tag i en stor samling av krypterade lösenordsvalv skulle de förmodligen kunna låsa upp många av dem utan alltför mycket problem genom att gissa på huvudlösenorden. Men om dessa valv var skyddade med Honey Encryption, skulle varje felaktigt försök att dekryptera ett valv ge ett falskt ett istället.
Hristo Bojinov, VD och grundare av det mobila mjukvaruföretaget Anfacto , som tidigare har arbetat med problemet med att skydda lösenordsvalv som säkerhetsforskare, säger att Honey Encryption kan hjälpa till att minska deras sårbarhet. Men han noterar att inte alla typer av data kommer att vara lätta att skydda på detta sätt eftersom det inte alltid är möjligt att känna till den krypterade informationen tillräckligt detaljerat för att producera trovärdiga förfalskningar. Inte alla autentiserings- eller krypteringssystem ger efter för att vara 'honung'.
Juels håller med, men är övertygad om att det vid det här laget har läckt ut tillräckligt många lösenordsdumpar på nätet för att göra det möjligt att skapa förfalskningar som exakt efterliknar samlingar av riktiga lösenord. Han arbetar för närvarande med att skapa den falska lösenordsvalvgeneratorn som behövs för att Honey Encryption ska kunna användas för att skydda lösenordshanterare. Denna generator kommer att dra på data från en liten samling av läckta lösenordshanterarvalv, flera stora samlingar av läckta lösenord och en modell av verklig lösenordsanvändning inbyggd i en kraftfull lösenordsknäckare.