محققان همواره در حال تلاش برای پیشرفت در زمینه فنون و الگوریتم‌های مختلف رمزنگاری هستند تا بتوانند امنیت داده ها را در برابر تهدیدات و مخاطرات فعلی و آتی تضمین کنند. در این مطلب از فراست به بررسی داغ‌ترین حوزه‌های پژوهشی این حوزه مهم امنیت سایبری می‌پردازیم.
الگوریتم‌های رمزنگاری از نظر محاسباتی بسیار پیچیده هستند و معمولاً حتی کارشناسان و متخصصان نیز به سختی آنها را درک می‌کنند. به هر حال باید توجه داشت که مقابله با مخاطرات امنیتی، حفاظت از حریم خصوصی افراد و تضمین صحت و یکپارچگی داده ها تا حدود زیادی مستلزم شناخت و پیاده سازی درست این الگوریتم ها است.
نقش بی بدیل الگوریتم‌های رمزنگاری در حاکمیت فضای سایبر باعث شده کارشناسان امنیتی بیش از پیش به دنبال توسعه و پیاده سازی آنها در راهکارهای حفاظت از داده ها باشند. متخصصان و دانشمندان همواره در حال تلاش برای بهبود این الگوریتم‌ها و ایجاد استانداردهای لازم در این خصوص هستند. رویکردهای جدیدی که در این حوزه شکل گرفته امکان حفاظت از تمامی داده ها را با استفاده از پروتکل‌های پیچیده و الگوریتم‌های قوی فراهم می‌کند. ابزارهای نوین ارایه شده می توانند قابلیت‌های حفاظت از حریم خصوصی را با برنامه‌های کاربردی ترکیب کرده تا مقاومت آنها را در برابر حملات مخرب به خصوص حملاتی که ممکن است با استفاده از رایانه‌های کوانتومی اجرا شوند، افزایش دهند.
دنیای نسبتاً جوان و تازه کار رمز ارزها هم فرصت‌های جدیدی را برای امن سازی تراکنش های مالی و سایر فرایندهای کاری دیجیتال ایجاد کرده است. تلاش برای ثبت همیشگی و دائم تعاملات با کمک فناوری بلاک‌چین نیز جزو حوزه‌های داغ علوم رایانشی دنیای فناورانه امروز است. با وجود این نوآوری‌ها پایه‌های اصلی الگوریتم های رمزنگاری به این شرط که در پیاده‌سازی آنها دقت کافی وجود داشته باشد همچنان می تواند پایدار، قوی و امن باقی بماند. استانداردهایی که چندین دهه سابقه دارند، باعث شده‌اند سازمان‌ها بتوانند بدون نیاز به ایجاد تغییرات اساسی در پروتکل‌ها همچنان از همان روش‌های قدیمی استفاده نمایند.
الگوریتم‌های رمزنگاری استانداردی همچون الگوریتم هش امن (SHA[1]) و استاندارد رمزنگاری پیشرفته (AES[2]) با دقت زیاد و تحت نظارت مؤسسه ملی استانداردها و فناوری آمریکا (NIST) طراحی شده و در برابر حملات سایبری مقاومت بسیار زیادی دارند. البته پیشرفت فناوری تغییراتی را در بعضی از این الگوریتم ها ایجاد کرده است؛ مثلاً SHA1 تقریباً دیگر منسوخ و SHA256 جایگزین آن شده است. با این حال باید به این نکته توجه داشت که تاکنون استفاده از این الگوریتم های قدیمی منجر به وقوع هیچ رخداد امنیتی فاجعه باری نشده است.
رمزنگاری مقاوم در برابر رایانش کوانتومی
نگرانی از نقض پروتکل‌ها و الگوریتم‌های امنیتی با استفاده از قدرت رایانش کوانتومی در آینده موجب شده محققان به دنبال بهبود هر چه بیشتر الگوریتم‌های رمزنگاری برای مقابله با حملات سایبری باشند. طرح تازه ای که از سوی مؤسسه NIST در حال اجرا می باشد قصد دارد مجموعه‌ای جدید از الگوریتم‌های مقاوم در برابر رایانش کوانتومی را طراحی کند.
NIST در اواخر سال 2016 میلادی از برگزاری یک مسابقه سه مرحله ای خبر داد. در این مسابقه 69 الگوریتم ارایه شد که در نهایت از بین آنها 26 و سپس 15 الگوریتم انتخاب شدند. در حال حاضر 7 مورد از این 15 الگوریتم به مرحله نهایی راه یافته و 8 مورد باقیمانده نیز به عنوان راهکارهای جایگزین در نظر گرفته شده اند که برای کاربردهای خاص مناسب بوده یا هنوز به کار، مطالعه و زمان بیشتری برای رشد و تکامل نیاز دارند.
از آنجا که محققان سعی دارند حملات واقعی را از سوی سیستم‌هایی اجرا کنند که هنوز وجود خارجی ندارند (یا تعداد آنها چندان زیاد نیست) بنابراین فرایند انتخاب این الگوریتم‌ها کمی سخت است. برای مثال ممکن است الگوریتم RSA که از اولین روش های رمزنگاری بوده و به صورت گسترده برای تأمین انتقال داده از آن استفاده می شود، با تعداد زیادی از این منابع رایانشی قابل هک باشد.
محققان در سال 2012 خبر از استفاده موفق از یک رایانه کوانتومی برای تجزیه عدد 21 به ضرب 3 و 7 دادند، دو عددی که چندان بزرگ نیستند. عده زیادی تصور می‌کنند دستیابی به دقت کافی برای تجزیه اعداد بزرگ زمان زیادی می‌برد و با توجه به اینکه دسترسی به فناوری ابر در مقایسه با رایانش کوانتومی آسان تر است بنابراین به نظر می‌رسد استانداردهای مختلفی مثل RSA بیشتر از سوی فناوری ابر تهدید می‌شوند.
تمرکز اصلی مسابقه برگزار شده توسط مؤسسه NIST الگوریتم‌هایی هستند که در برابر الگوریتم Shor مقاوم باشند. الگوریتم Shor پرکاربردترین روش برای حمله رایانه‌های کوانتومی به الگوریتم‌هایی مثل RSA محسوب می‌شود. ماشین‌های کوانتوم می‌توانند شکل و فرم‌های مختلفی داشته باشند و هیچ شخصی هم نمی داند که چه الگوریتم‌ها یا طراحی‌هایی برای آنها عرضه خواهد شد.
با این وجود محققان معتقدند بعضی از طراحی‌های مقاوم در برابر رایانش کوانتومی همچنان مفید خواهند بود. یک کارشناس رمزنگاری معتقد است که امکان پیاده‌سازی آسان امضای دیجیتال بر اساس توابع هش در محیط‌های سخت‌افزاری و نرم‌افزاری اختصاصی با پردازنده‌های کم قدرت‌تر وجود دارد. به گفته او: «تأیید این موضوع فقط احتیاج به ماشین‌های ساده و توابع هش دارد. این موضوع باعث شده چنین کاری برای پیاده‌سازی های سخت‌افزاری بسیار مناسب باشد؛ هر چند مقاومت این روش‌ها در برابر رایانش کوانتومی صرفاً بر اساس تابع هش و نه سایر الگوریتم‌های مقاومی که مجهز به توابع ریاضی جدید هستند، مشخص خواهد شد».
NIST اعلام کرده با توجه به شیوع بیماری کرونا ممکن است مرحله نهایی این مسابقه کمی زمان بر شود اما با این حال امیدوار است که در سال 2022 میلادی الگوریتم‌های استاندارد جدیدی برای رمزنگاری معرفی شوند.
رمزنگاری هم‌ریختی
اقدام مهم بعدی محققان، کار کردن به صورت مستقیم با داده‌های رمزنگاری شده، آن هم بدون نیاز به دسترسی به کلید است. امروزه اطلاعات زیادی در بسترهای ابری ذخیره شده‌اند و ممکن است این محیط به اندازه محیط‌های درون سازمانی قابل اطمینان نباشد. اگر الگوریتم‌ها برای کار با داده‌ها نیاز به رمزگشایی نداشته باشند می‌توان همزمان با توزیع کار در بین ماشین‌های مختلف، اسرار امنیتی را نیز حفظ کرد.
مدتها است که عملیات های محدودی را می توان بر روی داده‌های رمزنگاری شده اجرا کرد. برای مثال در فصل چهاردهم کتاب «پایگاه داده‌های نیمه شفاف» به بررسی سیستم‌های ساده‌ای پرداخته شده که فقط از اضافه کردن داده‌ها پشتیبانی می‌کنند و امکان دستکاری آنها وجود ندارد.
در یک دهه اخیر ظهور الگوریتم‌هایی که برای انجام کارهای مختلف مورد استفاده قرار می گیرند، باعث جلب توجه زیاد به این حوزه شده است. اولین دور از رمزنگاری کاربردی یا رمزنگاری هم‌ریختی، از نظر محاسباتی سنگین است و هنوز مناسب کاربردهای روزمره نیست چرا که حتی انجام محاسبات ابتدایی با این روش چندین روز، هفته یا ماه زمان می‌برد.
با این وجود می توان گفت که تلاش محققان در حال به ثمر رسیدن است و کم کم شاهد پیاده‌سازی کاربردی این الگوریتم‌ها هستیم. برای مثال شرکت IBM جعبه ابزار رمزنگاری “Fully Homomorphic Encryption” را برای سیستم عامل‌های macOS، iOS، اندروید و لینوکس ارایه کرده است. این کد، حاوی مثال‌هایی از جستجو در رکوردهای بانکی با حفظ حریم خصوصی برای جلوگیری از تقلب است.
شرکت مایکروسافت هم کتابخانه خودش را با رویکردی متفاوت منتشر کرده که تنها برای ترکیب عملیات های دستکاری و اضافه کردن مفید است و امکان جستجو در آن وجود ندارد. اگرچه ممکن است از این کتابخانه در کاربردهای حسابداری استفاده شود ولی برای کارهایی که نیاز به جستجو در بین داده‌ها دارند، اصلاً مناسب نیست.
حفظ حریم خصوصی
با توجه به اینکه هدف از حفظ حریم خصوصی، محافظت از اطلاعات شخصی افراد است پس می توان از الگوریتم‌های آن به همراه رمزنگاری استفاده کرد. لازم به ذکر است محاسبات این الگوریتم‌ها با یکدیگر تفاوت دارند. ابزارهای تأمین حریم خصوصی فقط امکان سخت‌تر شدن تشخیص ارتباط بین داده‌ها و مالکان آنها را فراهم می کنند. در این حالت داده‌ها نه در یک وضعیت خاص بلکه در دریایی از نویزهای اطلاعاتی گم می‌شوند.
شرکت های مایکروسافت و گوگل به تازگی از ابزارهای کد منبع بازی که کاربران می‌توانند از آنها برای کار با این الگوریتم‌ها استفاده کنند، رونمایی نموده اند. ابزارهای مایکروسافت، شامل مواردی هستند که بهترین روش برای حفاظت از حریم خصوصی کاربران را در منابع داده ای مبتنی بر SQL فراهم می‌کنند. البته ابزارهایی نیز برای افزودن قابلیت‌های اضافی به داده‌های ذخیره و تحلیل شده در پلتفرم آژور که امکان رایانش ابری را برای ایجاد، توسعه و مدیریت برنامه‌های کاربردی فراهم می کنند، در نظر گرفته شده است. کتابخانه‌های گوگل نیز می‌توانند با شمارش عناصر و محاسبه میانه و انحراف معیار، نتایج محاسبات ساده را از یک منبع داده استخراج کنند. قوی‌ترین نسخه از این کتابخانه به زبان ++C نوشته شده اما قرار است به زودی نسخه‌هایی از آن هم برای جاوا و زبان Go ارایه شود.
فناوری بلاک‌چین
یکی از مهمترین حوزه‌های رمزنگاری، ارزهای مجازی همچون بیت‌کوین و اتریوم و همچنین بلاک‌چین‌های آنها است. طبیعتاً این زیست بوم وابستگی زیادی به الگوریتم‌های رمزنگاری دارد. معمولاً شرکت‌هایی که رمزارزها یا سازوکارهای حاکمیتی این حوزه را طراحی می‌کنند به دنبال روش‌های نوینی برای استفاده از الگوریتم‌های مختلف هستند. بعضی از این شرکت‌ها حتی در پی راه‌اندازی صندوق سرمایه گذاری نیز می باشند. شایان ذکر است تمامی این شرکت ها به دنبال بهترین روش استفاده از قدرت محاسباتی الگوریتم‌ها جهت ایجاد سیستم‌هایی هستند که بتوانند به آنها اطمینان کنند.
یکی از فعال‌ترین حوزه‌های تمرکز حفظ حریم خصوصی، ترکیب اثبات دانایی صفر در بلاک‌چین است. در اولین پروتکل‌های این حوزه از امضای دیجیتال برای احراز هویت تراکنش‌ها استفاده می‌شد که همه تراکنش‌های امضا شده با یک کلید را به یکدیگر متصل می‌کرد. به تازگی نسخه‌های کارآمدتری از اثبات دانایی صفر مثل ZK-Snark طراحی شده که به تأیید تراکنش ها بدون نیاز به وجود اطلاعات در رابطه با هویت کاربران کمک می‌کنند. ابزارهایی مثل Zokrates تنها یک نمونه از تلاش توسعه دهندگان برای پیاده‌سازی حریم خصوصی و احراز هویت در بلاک‌چین هستند.
[1] Secure Hash Algorithm
[2] Advanced Encryption Standard