Zadní vrátka od NSA: Šifrování nemusí být bezpečné

Zdá se, že oddělení americké tajné služby NSA (National Security Agency), známé pod označením TAO (Tailored Access Operation), má zčásti přístup ke svatému grálu na internetu: k šifrování.

Podle nedávno zveřejněných dokumentů totiž NSA zabudovala zadní vrátka do šifrovacího standardu Dual EC DRBG, který slouží ke generování náhodných čísel. Ten je využíván například k tvorbě kryptografických klíčů a tím pádem umožňuje například odposlech HTTPS spojení zabezpečených nástrojem RSA BSafe. Už sama společnost RSA (zabývající se kryptografií) své zákazníky varovala před využíváním implicitně nastaveného generátoru náhodných čísel. Na problém už v roce 2007 upozorňovali dva výzkumní pracovníci společnosti Microsoft (Niels Ferguson a Dan Shumow), kteří si všimli nesrovnalostí v normě. Trvalo ale pět let, než se informace o celém rozsahu potenciálního rizika stala veřejně známou. Důvodem bylo i to, že tento standard, oficiálně vyvinutý Národním institutem pro normalizaci a technologie (NIST), také později ratifikovala Mezinárodní organizace pro normalizaci (ISO).

Šifrování je stále užitečné

„Šifrování je stále náš přítel,“ říká bezpečnostní expert Bruce Schneider. Ten doporučuje používání kryptografických nástrojů jako TrueCrypt a také využívaní protokolu HTTPS. I když ho teoreticky mohou tajné služby prolomit, může pomoci proti zločineckým gangům, kterým jde, podobně jako NSA, o data uživatelů. Někteří bezpečnostní experti navíc podotýkají, že není jasné, zda šifrovací odborníci zpravodajských služeb prolomili také robustnější šifrovací algoritmy. Experti proto doporučují otevřené standardy jako například Open SSL, jejichž kód je veřejně dostupný, a proto je do něj mnohem obtížnější ukrýt zadní vrátka.