เหตุใดการปฏิบัติตามข้อกำหนด FIPS 140-2 จึงเป็นข้อโต้แย้ง

ฉันกำลังอ่านความคิดเห็นของบทความเกี่ยวกับการดำเนินการใหม่ที่เสนอของ /dev/สุ่ม ใน Linux ทุกวันนี้ และมีคนตั้งข้อสังเกตว่าต้องแก้ไขใหม่ถึง 43 ครั้งและยังไม่ได้แพตช์ของคุณ ความคิดเห็นเล็กน้อยในบรรทัดและ ดูเหมือนว่ามีคนบอกเป็นนัยว่าการใช้งานใหม่นี้จะเป็นไปตาม FIPS 140-2และนี่คือความขัดแย้งกับ "ผู้พัฒนาโมดูลเคอร์เนล VPN ที่มีชื่อเสียงรายหนึ่ง" ซึ่ง "จงใจใช้อัลกอริทึมที่ไม่ได้รับการอนุมัติจาก NIST เท่านั้น" มี "ความคิดเห็นที่ชัดเจนต่อการปฏิบัติตามข้อกำหนด FIPS ที่จำเป็นสำหรับกรณีการใช้งานของรัฐบาล"

ทำไมถึงเป็นเช่นนี้? ข้อโต้แย้งเกี่ยวกับการปฏิบัติตาม FIPS 140-2 คืออะไร

ฉันจะเพิ่มไปยัง คำตอบอื่น ๆ: เดอะ กฎการรับรอง FIPS 140-2 สำหรับ RNG มีข้อบกพร่อง; และประกาศการเปลี่ยนแปลง FIPS 140-2 2 (ธ.ค. 2545) ได้นำส่วนการทดสอบตัวเองออก. พวกมันถูกตีออกจากมาตรฐานอย่างแท้จริง ปล่อยให้เป็นสุญญากาศ ดังนั้น FIPS 140-2 จึงกำหนดให้ไม่มีการทดสอบแหล่งเอนโทรปีที่น่าพอใจทางเทคนิค ซึ่งไม่เคยทำมาก่อน และนั่นคือปัญหา มันกำหนดเงื่อนไขการเข้ารหัสลับที่ได้รับการอนุมัติเท่านั้น (ซึ่งตอนนี้ฉันไม่มีการจองทางเทคนิคที่ Dual_EC_DRBG เลิกใช้แล้ว)

เดิมกำหนดการทดสอบไว้ 4 แบบ (โมโนบิต โปกเกอร์ รัน และลองรัน) ตามความต้องการของผู้ปฏิบัติงาน (ที่ระดับ 3) หรือในการเปิดเครื่องแต่ละครั้ง (ระดับ 4) โดยจำเป็นต้องมีการดำเนินการด้วยตนเองหากการทดสอบล้มเหลว นั่นผิดด้วยเหตุผลหลายประการ:

• ระดับการยอมรับนั้นเข้มงวดมาก (มากกว่าที่เคยเป็นมา FIPS 140-1). แม้จะมีเครื่องกำเนิดไฟฟ้าที่สมบูรณ์แบบ แต่การทดสอบในสนามก็ยังล้มเหลวด้วยความน่าจะเป็นที่มาก โดยได้รับคำสั่งให้ดำเนินการโดยมนุษย์ สิ่งนี้เป็นที่ยอมรับไม่ได้ในบางแอปพลิเคชัน รวมถึง OS, TPM, สมาร์ทการ์ด สิ่งใดก็ตามที่ดำเนินการโดยไม่มีใครดูแลไม่สามารถเป็นระดับ 4 ได้ และจำเป็นต้องมีการบิดเบี้ยวในระดับ 3 เพื่อพิสูจน์ว่า "ความต้องการของผู้ปฏิบัติงาน"
• ไม่ได้ระบุว่าการทดสอบเหล่านี้ควรดำเนินการกับแหล่งเอนโทรปีที่ไม่มีเงื่อนไข ดังนั้นจึงเป็นการดึงดูดที่จะทำการทดสอบตัวเลขสุ่มเป็นเอาต์พุตโดยบล็อกการปรับสภาพ ซึ่งทำให้การทดสอบส่วนใหญ่ไม่มีจุดหมาย: หากแหล่งเอนโทรปีที่ไม่มีเงื่อนไขล้มเหลวหรือกลายเป็นเอนโทรปีต่ำ การทดสอบเอาต์พุตแบบมีเงื่อนไขจะไม่จับสิ่งนั้น เว้นแต่การปรับสภาพจะมีข้อบกพร่องทางทฤษฎีอย่างมาก
• ระดับการยอมรับของการทดสอบบางอย่าง (โดยเฉพาะอย่างยิ่งการทดสอบ monobit และการทดสอบโป๊กเกอร์ในระดับที่น้อยกว่า) นั้นมีความเอนเอียงเล็กน้อย ซึ่งเป็นเรื่องปกติอย่างสมบูรณ์และไม่เป็นอันตรายสำหรับแหล่งที่มาของเอนโทรปีที่ไม่มีเงื่อนไข ตามด้วยการปรับสภาพการเข้ารหัสที่เหมาะสม จะทำให้เกิดอัตราการปฏิเสธที่สูงอย่างน่าใจหาย . ดังนั้นจึงเป็นไปไม่ได้เลยที่จะใช้การทดสอบกับวัสดุที่ต้องการการทดสอบ

สองประเด็นสุดท้ายยังคงอยู่กับปัญหาในภายหลัง SP 800-22 รายได้ 1a การทดสอบทางสถิติของ NIST สำหรับ RNG สำหรับแอปพลิเคชันเข้ารหัส (ซึ่งตามความเข้าใจที่จำกัดของฉัน ตอนนี้ใช้ระหว่างการรับรอง) คณิตศาสตร์ของการทดสอบไม่เป็นไร แต่ตามที่กล่าวไว้ข้างต้น การทดสอบมีความละเอียดอ่อนมาก ดังนั้นจึงใช้ไม่ได้กับแหล่งกำเนิดเอนโทรปีจริงที่ไม่มีเงื่อนไข (การทดสอบมักจะล้มเหลว) จึงใช้ได้เฉพาะที่เอาต์พุตของแหล่งกำเนิดที่มีเงื่อนไข ดังนั้นจึงไม่สามารถตรวจจับข้อบกพร่องของแหล่งที่มาได้หากการปรับสภาพดี และเป็นไปไม่ได้ที่จะตรวจหาตัวสร้างแบ็คดอร์ที่เก่งกาจจากเอาต์พุตเพียงอย่างเดียว

ดังนั้นการทดสอบเหล่านี้จึงล้มเหลวและให้การประกันที่ดีว่าวัสดุที่ทดสอบนั้นแยกแยะได้จากการสุ่ม หรือประสบความสำเร็จและให้การประกันความปลอดภัยที่ชัดเจน แม้ว่าเอนโทรปีของแหล่งที่มาจะมีจำกัดมาก หรือการปรับสภาพมีประตูหลัง ซึ่งทั้งสองอย่างสามารถเปิดโอกาสให้มีการโจมตีได้ .

เจ้าหน้าที่ของ NIST มีความสามารถ และมีเหตุผลที่จะสงสัยว่าจุดประสงค์ที่แท้จริงของการทดสอบเหล่านี้คือการให้ภาพลวงตาของความปลอดภัยหรือไม่ นั่นจะสอดคล้องกับประวัติศาสตร์อันยาวนานของสหรัฐฯ ที่แอบแฝง crypto ที่อ่อนแอลงอย่างแข็งขัน:

• ที่ประณีตและยาวนานนับทศวรรษ การประนีประนอมของ Swiss Crypto AG บริษัทที่ขายเครื่องเข้ารหัสที่อ่อนแอโดยเจตนา
• DES: สิ่งพิมพ์ของ NSA ซึ่งไม่เป็นความลับอีกต่อไป ยอมรับว่าคีย์นี้เป็นคีย์ 56 บิตซึ่งเป็นผลมาจากการต่อรองระหว่างนักออกแบบที่ต้องการคีย์ 64 บิต (อย่างน้อย: ลูซิเฟอร์ การออกแบบมีตัวเลือกสำหรับคีย์ 128 บิต); และ NSA พยายามกำหนด 48 บิตเพื่อลดการแคร็ก ดู นี้.
• Dual_EC_DRBG กล่าวถึงในคำตอบอื่น ๆ : ความพยายามโดยเจตนา (และประสบความสำเร็จในเวลา) เพื่อฟิลด์ RNG อย่างกว้างขวางด้วยการออกแบบสาธารณะและพารามิเตอร์ที่ปลอดภัยยกเว้นเจ้าหน้าที่ของสหรัฐอเมริกา (หรือใครก็ตามที่จัดการเพื่อเปลี่ยนรหัสสาธารณะ ซึ่งเกิดขึ้น).

คุณสามารถเลือกตัวเลือกที่ดีที่สุดได้ในทุกกรณี หากคุณไม่ต้องปฏิบัติตาม FIPS 140-2 หากคุณต้องปฏิบัติตาม FIPS 140-2 คุณก็ทำได้ดีที่สุดเท่านั้น ที่ได้รับการอนุมัติ ทางเลือก. ดังนั้นการปฏิบัติตามข้อกำหนด FIPS 140-2 จึงไม่เคยช่วยให้คุณเลือกได้ดีขึ้น และบางครั้งก็บังคับให้คุณเลือกที่แย่ลง

สมมติว่าคุณต้องเลือกระหว่างสองตัวเลือก ซึ่งหนึ่งในนั้นได้รับการอนุมัติจาก FIPS 140-2 และอีกตัวเลือกหนึ่งโดยทั่วไปถือว่าเป็นตัวเลือกที่ปลอดภัยกว่ามากโดยชุมชนการเข้ารหัส คุณควรเลือกแบบไหน?

คำตอบคือคุณควรเลือกอันที่ปลอดภัยกว่าอย่างแน่นอน เว้นเสียแต่ว่า คุณต้องปฏิบัติตาม FIPS 140-2 ในกรณีนั้น คุณต้องใช้ตัวที่สอดคล้องกัน

เป็นการดีอย่างยิ่งที่จะใช้วิธีการที่ได้รับอนุมัติ FIPS 140-2 เมื่อเหมาะสมข้อแตกต่างเพียงอย่างเดียวของการปฏิบัติตามข้อกำหนด FIPS 140-2 คือบังคับให้คุณเลือกตัวเลือกที่แย่กว่าในบางกรณี

ความคิดของฉันยาวเกินไปสำหรับการแสดงความคิดเห็นดังนั้นฉันจะสรุปเป็นคำตอบ ...

มีบางประเด็นที่ร้ายแรงกับคำตอบอีกสองข้อ ถึงขนาดที่พวกเราบางคนตีความหมายผิดว่าการทดสอบแบบสุ่มคืออะไร ดังหัวข้อย่อย:-

1. "ไม่ไว้วางใจอัลกอริทึมการเข้ารหัสใด ๆ ที่มาจาก NIST". ไม่มีอัลกอริทึมที่สร้างโดย NIST ใน FIPS แน่นอนว่าไม่มีความซับซ้อนของ Dual_EC_DRBG การทดสอบรันและโป๊กเกอร์ไม่ใช่อัลกอริทึมที่เป็นกรรมสิทธิ์ของกระทรวงพาณิชย์สหรัฐฯ (NIST) เป็นลักษณะทางคณิตศาสตร์ของการแจกแจงแบบสุ่มอย่างสม่ำเสมอ ถ้าฉันวางตัวว่าจำนวนที่คาดไว้ควรอยู่ที่ ~50% นั่นทำให้ฉันถูกโค่นล้มหรือไม่? ไม่ขยายค่าเฉลี่ยของ 0.5 ด้วย $n$ ส่วนเบี่ยงเบนมาตรฐาน $\mathcal{N}(\mu, \sigma^2)$ เป็นแบบฟอร์มมาตรฐานสำหรับการแจกแจงนั้น และฉันจะไม่คาดหวังสิ่งที่ไม่สมบูรณ์น้อยกว่านี้ การตรวจสอบบล็อกเอาต์พุตซ้ำ (การทดสอบตัวสร้างตัวเลขสุ่มอย่างต่อเนื่อง) ไม่ใช่การโค่นล้ม เป็นเรื่องปกติ

2. ฉันสามารถเสนอการทดสอบ FIPS นี้เป็นหลักฐานได้หรือไม่:-

$cat /dev/urandom | ทดสอบ
rngtest 5
ลิขสิทธิ์ (c) 2004 โดย Henrique de Moraes Holschuh
นี่เป็นซอฟต์แวร์ฟรี ดูแหล่งที่มาสำหรับเงื่อนไขการคัดลอก ไม่มีการรับประกัน ไม่แม้แต่สำหรับการค้าหรือความเหมาะสมสำหรับวัตถุประสงค์เฉพาะ

rngtest: กำลังเริ่มการทดสอบ FIPS...
rngtest: บิตที่ได้รับจากอินพุต: 8310580032
rngtest: FIPS 140-2 สำเร็จ: 415198
rngtest: FIPS 140-2 ล้มเหลว: 331
rngtest: FIPS 140-2(2001-10-10) Monobit: 41
rngtest: FIPS 140-2(2001-10-10) โป๊กเกอร์: 53
rngtest: FIPS 140-2(2001-10-10) เรียกใช้: 123
rngtest: FIPS 140-2(2001-10-10) ระยะยาว: 115
rngtest: FIPS 140-2(2001-10-10) รันต่อเนื่อง: 0
rngtest: ความเร็วช่องอินพุต: (ต่ำสุด=10.703; เฉลี่ย=1976.720; สูงสุด=19073.486)Mibits/s
rngtest: FIPS ทดสอบความเร็ว: (min=75.092; avg=199.723; max=209.599)Mibits/s
rngtest: เวลารันโปรแกรม: 43724402 ไมโครวินาที

อัตราความล้มเหลวคือ p=0.0008 ซึ่งเทียบได้กับเกณฑ์ p=0.001 ในชุดทดสอบ SP800 STS และของ Dieharder:-

หมายเหตุ: การประเมินสำหรับ rngs อาจสมบูรณ์
  ไม่ถูกต้องหรือทำให้เข้าใจผิด โดยเฉพาะอย่างยิ่ง ค่า p 'อ่อนแอ' ควรเกิดขึ้น
  หนึ่งการทดสอบในหนึ่งร้อย และค่า p ที่ 'ล้มเหลว' ควรเกิดขึ้นหนึ่งการทดสอบใน
  หนึ่งพัน -- นั่นคือสิ่งที่ p หมายถึง ใช้พวกเขาด้วยความเสี่ยงของคุณเอง! เตือน!

เห็นได้ชัดว่าไม่ขัดแย้ง

3. "ไม่ได้ระบุว่าการทดสอบเหล่านี้ควรรันบนแหล่งเอนโทรปีที่ไม่มีเงื่อนไข". ไม่แน่นอน ถูกต้อง. ไม่มีใครมีลักษณะทางสถิติสำหรับการแจกแจงแหล่งที่มาของเอนโทรปีที่ไม่มีเงื่อนไข พวกมันมาในทุกรูปแบบและทุกสถานที่ บางคนไม่มีชื่อทางคณิตศาสตร์ด้วยซ้ำ (ตัวอย่างสองครั้งของบันทึกปกติ, MOD ของอ่างอาบน้ำ $x$ ฯลฯ) เราสามารถเรียกใช้การทดสอบทางสถิติที่เป็นมาตรฐานกับผลลัพธ์สุดท้ายที่มีเงื่อนไขเท่านั้น

4. "เป็นไปไม่ได้ที่จะตรวจจับตัวสร้างแบ็คดอร์ที่เก่งกาจจากเอาต์พุตเพียงอย่างเดียว". อีกครั้งแน่นอน นั่นไม่ใช่ความตั้งใจของเช่น การทดสอบการเริ่มต้น FIPS คุณต้องมีโปรแกรมเมอร์และนักเข้ารหัสสำหรับสิ่งนั้น FIPS ทำการทดสอบการสุ่มโดยอัตโนมัติและกำหนดแนวทางสำหรับการเขียนโปรแกรมความปลอดภัยขั้นพื้นฐาน เช่น ไม่มีสตริงตามตัวอักษรสำหรับการควบคุม และรหัสที่ย้ายตำแหน่งได้ ทุกอย่างปกติมาก

ดังนั้น FIPS 140 จึงไม่ใช่เรื่องที่ถกเถียงกัน การพูดเช่นนั้นเท่ากับว่า NIST ทำการแจกแจงแบบปกติลับๆ หรือมิจฉาทิฐินั้นไร้ประโยชน์ FIPS ทำได้ไม่ดีนักในบางสิ่ง และการทดสอบบล็อก 20,000 บิตพอดีกับส่วนท้ายด้านล่างสุดของมาตราส่วนสำหรับการทดสอบแบบสุ่มด้านล่าง เอน (500,000 บิต)