צופן סימטרי

בקריפטוגרפיה, הצפנה סימטרית (symmetric encryption) או צופן סימטרי הוא אלגוריתם הצפנה שבו משתמשים במפתח הצפנה יחיד הן להצפנה של הטקסט הקריא והן לפענוח של הטקסט המוצפן. בפועל המפתח הוא בדרך כלל סוד משותף לשנים או יותר משתתפים ובדרך כלל מתאים לכמות מוגבלת של נתונים. הסיבה שהצופן נקרא סימטרי היא כי נדרש ידע שווה של חומר סודי (מפתח) משני הצדדים.
צופן סימטרי מקבל טקסט קריא ומפתח הצפנה ובעזרתו ממיר את הטקסט הקריא לטקסט מוצפן שאינו מובן לאיש ואותו הוא שולח ליעדו. בצד המקבל אלגוריתם הפענוח מבצע את הפעולה ההפוכה, הוא מקבל את הטקסט המוצפן ואותו מפתח הצפנה שבו השתמש השולח ומשחזר את הטקסט המקורי. כדי שהפענוח יצליח המפענח חייב להחזיק במפתח פענוח מתאים שמאפשר את הפיכת פעולת ההצפנה. לאור זאת על השולח להעביר את מפתח ההצפנה לידיעת המקבל בערוץ בטוח כלשהו כמו במפגש אישי, על ידי שליח מהימן או באמצעות פרוטוקול שיתוף מפתח קריפטוגרפי. מציאת ערוץ בטוח להעברת המפתח היא בעיה בפני עצמה שנדונה רבות והיא נקראת בעיית הפצת מפתחות.
הדרישה שיהיה מפתח אחד משותף לשולח והמקבל היא התכונה העיקרית המבדילה בין הצפנה סימטרית להצפנה אסימטרית שבה מפתח הפענוח שונה ממפתח ההצפנה. שמות אחרים להצפנה סימטרית הם הצפנת מפתח-יחיד (single-key), הצפנת מפתח פרטי (private-key) או הצפנת מפתח סודי (secret key).

היסטוריה

צופן סימטרי קיים בקריפטוגרפיה מראשית ימיה. הצפנים הקלאסיים מוגדרים כצפנים סימטריים. לדוגמה: צופן החלפה, צופן קיסר, צופן ויז'נר, צופן היל ופנקס חד-פעמי, הם צפנים סימטריים כאשר , כלומר ההצפנה והפענוח נעשים באמצעות אותו מפתח לעיתים באותה טרנספורמציה או בטרנספורמציה הופכית. אלגוריתם DES הוא דוגמה לצופן הסימטרי המודרני הראשון שפותח. הפונקציה ליצירת מפתח הפענוח מכינה את בתי המפתח בסדר הפוך. ההצפנה נקראת סימטרית, מאחר שכל שנדרש הוא ידיעת המפתח הסודי. כאשר המפתח הסודי ידוע, תהליך הפקת מפתח הפענוח הוא פונקציה פשוטה.
דוגמאות לצופנים סימטריים מודרניים נוספים: Twofish, MARS, סרפנט, AES, Blowfish, CAST5, RC4, RC6, DES וכן IDEA.

ביטחון לעומת יעילות

פנקס חד-פעמי נחשב מושלם מהיבט תאורטי אם משתמשים בו נכון, אף על פי שהוא מכיל מספר חסרונות. אבל הבעיה העיקרית שבו היא שהוא אינו פרקטי כיוון שיש להכין פנקס חדש המכיל מספרים אקראיים בכמות מספקת בכל פעם שצריכים להצפין משהו ובימינו שצריך להצפין כמויות עצומות של מידע הדבר פשוט בלתי אפשרי. מצד שני אפשר להתפשר על מחולל פסאודו-אקראי קריפטוגרפי "שמותח" גרעין אקראי אמיתי קצר שהוא המפתח הסודי במקרה זה, למחרוזת פסאודו-אקראית ארוכה לפי הצורך ולהשתמש בה במקום בפנקס החד-פעמי כדי להצפין את המסר. כאן מוותרים על סודיות מושלמת בתמורה ליעילות כיוון שהמחרוזת הזו אינה באמת אקראית כי היא נוצרה באמצעות אלגוריתם דטרמיניסטי.
קיים קשר הדוק בין מחוללים פסאודו-אקראיים לבין צפנים סימטריים. אף על פי שלא ניתנה הוכחה פורמלית לכך שמחולל פסאודו-אקראי קיים (מוכח באופן תאורטי) קיימים כיום מועמדים טובים שחלקם שרדו את מבחן הזמן. קיימות שתי שיטות עיקריות לבניית מחולל פסאודו-אקראי הממחישות היטב את הקונפליקט הקיים בקריפטוגרפיה בין ביטחון ליעילות.
השיטה הראשונה היא שיטת אד הוק המכילה אוסף של פעולות ערבוב מסובכות המותאמות היטב לביצוע יעיל במחשב ואשר נראה על פניו שקשה "להתיר" או "לפרום" אותן. למרבה הפלא דווקא הצפנים המודרניים הנפוצים ביותר בראשם AES הם לא יותר מאשר אוסף פעולות אד הוק שאינן מוכחות תאורטית ובכל זאת דומה שמעשית בשטח הן מספקות את המטרה ולמרות קריפטואנליזה אינטנסיבית במשך שנים רבות לא נמצאו דרכים יעילות לפצח אותן.
השיטה השנייה היא שימוש בפונקציה המבוססת על בעיה מתמטית ידועה היטב כבעיה קשה שאין לה פתרון יעיל (אם כי אין הוכחה שלא קיים פתרון כזה). ישנן כמה שיטות כאלו כמו מחולל BBS המבוסס על בעיית פירוק לגורמים, אך המכנה משותף שלהן הוא שהן אינן מעשיות ולכן לא משתמשים בהן כיום.

יתרונות וחסרונות

יתרונותיה של מערכת הצפנה סימטרית הם יעילותה וכוח המחשוב הזעום הדרוש ליישומה. להשגת ביצועים מרביים, מרבית האלגוריתמים הסימטריים ניתנים ליישום בחומרה על גבי שבבים ייעודיים. אחד ההיבטים החשובים בהערכת טיב אלגוריתם סימטרי, היא יכולת היישום בחומרה. על כן שמים דגש על פשטות ושימוש במספר מוגבל של פעולות אריתמטיות בסיסיות כדי לחסוך בזמן עיבוד יקר. בגרסאות ממוטבות, משתמשים בטבלאות איחזור (lookup table) במקום פעולות מתמטיות מורכבות, מה שמאפשר ביצועים טובים יותר. למשל אפשר ליישם את AES באמצעות טבלה אחת בגודל 4 קילובייט. לעומת זאת, מערכת א-סימטרית בדרך כלל מיישמת אריתמטיקה מודולרית במספרים בסדר גודל של אלפי ספרות והיא צורכת זמן עיבוד יקר ועל כן איטית ביותר. אפשר לומר שמערכת סימטרית מהירה יותר ממערכת א-סימטרית בפקטור של 10 לפחות.
החסרון העיקרי בצופן סימטרי היא העובדה שאם פונקציית ההצפנה דטרמיניסטית הרי שמתקבלים בלוקים מוצפנים זהים בכל פעם שמצפינים בלוקים קריאים זהים עם אותו מפתח. עובדה זו כשלעצמה עלולה להוות חיסרון כי מעט מידע נחשף לעיני המתקיף, דבר שרצוי למנוע. ישנן דרכים לעקוף בעיה זו על חשבון יעילות שיטות אילו נקראות מצבי הפעלה.
חיסרון נוסף של הצפנה סימטרית הוא העובדה שהטקסט המוצפן אינו מאומת. כלומר אין דרך למקבל לדעת אם לא נעשה שינוי כלשהו בטקסט המוצפן במהלך ההעברה אם בגלל תקלת תקשורת או בגלל שינוי זדוני שנעשה על ידי המתקיף על מנת לשבור את מערכת ההצפנה. מסיבה זו רצוי להוסיף שיטת אימות שתספק למקבל ערובה שהמידע שהתקבל אותנטי. מערכות הצפנה מודרניות משתמשות בשילוב של כלים האמורים כדי להבטיח סודיות ואותנטיות כאחד.

צופן בלוקים לעומת צופן זרם

לאור העובדה שאפשר להפעיל צופן בלוקים בכל אחד ממצבי ההפעלה המדמים צופן זרם כמו OFB או CTR, עולה השאלה מה עדיף צופן בלוקים או צופן זרם? היתרונות של צופן זרם הם בפשטות ויעילות. צופן זרם מהיר בערך פי שניים מצופן בלוקים, אך למעט מקרים קיצוניים כמו חומרה מוגבלת משאבים, זה לא מהווה יתרון משמעותי. מאידך צופן זרם מוכר פחות טוב מצופן בלוקים שלו היסטוריה עשירה. בעוד שקיים מבחר של צפני בלוקים הנחשבים לבטוחים ויעילים, צפני זרם נוטים להיות חלשים יותר, נשברים בתדירות גבוהה יותר והאמון בהם חלש. הבדל נוסף נובע מרגישות צפני זרם לשימוש לא ראוי. ידוע ששימוש בזרם פסאודו-אקראי פעמיים להצפנת נתונים שונים מביא לשבירה מוחלטת של הצופן, עובדה שנוצלה לא אחת כדי לשבור מערכות הצפנה. צופן בלוקים אינו רגיש לבעיה זו. אפשר לייצר עם צופן בלוקים רצפים פסאודו-אקראיים בלתי תלויים בכל אורך רצוי.

יכולת הבחנה

באופן כללי בכל המודלים האמורים שבירת הצופן תקרא מוצלחת אם המתקיף מסוגל להבחין בין טקסטים מוצפנים שהוצפנו על ידי האלגוריתם אותו הוא מעוניין לשבור לבין מחרוזות אקראית סתמיות באותו אורך. עובדה זו מצביעה על אקראיות ירודה ובדרך כלל עם מידע זה יש אפשרות לשבור את הצופן ולכן במקרה כזה הוא מוגדר כפרוץ. לסוג כזה של התקפה קוראים התקפת הבחנה, מסיבה זו כל צופן טוב חייב להכיל את התכונה שנקראת "אי יכולת הבחנה" (indistinguishability) והיא מתוארת בצורת משחק המנוהל בין המתקיף לבין האורקל. הגרסאות השונות של המודלים המתוארים נבדלות ביכולת המתקיף או במילים אחרות ברמת הגישה שלו לאורקל. למשל במשחק הבסיסי המתקיף שולח לאורקל מספר מוגבל של בלוקים קריאים של טקסט כלשהו לפי בחירתו. האורקל בוחר מפתח הצפנה סודי ומטיל מטבע, בכל הטלת מטבע הוא בוחר בין אחת משתי אפשרויות, באחת הוא מחזיר למתקיף טקסט מוצפן שהוא תוצאת הצפנה של הבלוק שקיבל ובשנייה הוא מחזיר מחרוזת אקראית אמיתית. אם לאחר קבלת כל הבלוקים "המוצפנים" מהאורקל ביכולתו של המתקיף להכריע לגבי כל בלוק שקיבל האם הוא הצפנה של הבלוק המקורי המתאים ששלח קודם לכן או שהוא ערך אקראי חסר משמעות, בהסתברות גבוהה באופן משמעותי מחצי הרי שההתקפה הצליחה והצופן לא יהיה בטוח לשימוש.
הצפנים הקלאסיים סבלו בעיקר מהתקפות סטטיסטיות המנצלות את יתירות השפה לשבירתן. הצפנה מודרנית אינה סובלת מחסרון זה עקב העובדה שנעשה שימוש ביחידות מידע גדולות (128 סיביות ומעלה) כך שמספר הצירופים האפשרי אסטרונומי, עובדה המאלצת את המתקיף לנתח כמות עצומה של טקסטים. מלבד זאת קיימות שיטות לביטול יתירות הצופן כמו הוספת אקראיות מכוונת. הצפנה סימטרית מודרנית רגישה באופן כללי לקריפטואנליזה דיפרנציאלית וקריפטואנליזה ליניארית, שתיהן שיטות התקפה רבות עוצמה כנגד סוגים רבים של צפנים סימטריים. מלבד פנקס חד-פעמי, לא ידוע על אלגוריתם בלתי שביר. כל אלגוריתם ניתן לשבירה עם די זמן וכוח חישוב. השאיפה העיקרית היא ששבירת הצופן לא תהיה קלה במידה ניכרת מכוח גס דהיינו ניסיון לנחש את המפתח הסודי על ידי ניסוי כל המפתחות האפשריים. להלן פירוט השיטות העיקריות להתקפת צפנים סימטריים:

עקרון קרקהופס

בעבר נטו מפתחי אלגוריתמים קריפטוגרפיים לשמור בסוד את פרטי האלגוריתם. אולם כיום מקובל לאמץ את עקרון קרקהופס הקובע ששמירת אלגוריתם הצפנה בסוד אינה מהווה חלופה לביטחונו. באנלוגיה למנעול צירופים, הסתמכות אך ורק על מנגנון נעילה סודי, אינה חכמה כיוון שאם נחשף המנגנון המנעול כולו הופך לחסר תועלת. מאידך אם התגלה צירוף סודי אחד, יש צורך רק להחליפו באחר ואין צורך בקניית מנעול חדש. גם בעת המודרנית הוכרזו מספר אלגוריתמי הצפנה כסודיים. אלגוריתם Skipjack שפותח על ידי NSA נשמר בסוד עד 1998. צופן זרם RC4 היה סוד מסחרי כשהומצא ב-1987 על ידי רונלד ריבסט במעבדות RSA. אולם בדרך כלשהי הצליח מישהו להנדס לאחור את האלגוריתם ופרטיו דלפו באופן אנונימי לרשת האינטרנט והפכו במהרה לנחלת הכלל.

ביקורת ציבורית

בקריפטוגרפיה מודרנית, אלגוריתמים מוצלחים הם כאלו שזכו לביקורת הציבור, במיוחד לעיון מדוקדק של פרטיהם בידי אנליסטים ומומחי הצפנה מסביב לעולם. אלגוריתם AES הוא דוגמה טובה לאלגוריתם שנבחר בקפידה מבין מספר מועמדים טובים, לאחר תחרות פתוחה שאורגנה על ידי NIST שנמשכה כמספר שנים ובה נבחנו מועמדים רבים על ידי מספר מומחים מסביב לעולם. אחת לפרק זמן מפרסמת הקהילה הקריפטוגרפית ממצאים חדשים שהתגלו על ידי אנליסטים, מומחי אבטחת מידע ומתכנני מערכות לגבי טיבם וחוסנם של אלגוריתמים נפוצים ובעיקר כאלו שזכו להיות חלק מתקן רשמי. הביקורת המתמדת מספקת לציבור סוג של ביטחון בכך שהאלגוריתמים הפופולריים שהדיעה הרווחת לגביהם שהם בטוחים ונעשה בהם שימוש מאסיבי, הם אכן כאלה וכן שלא התגלו בהם דלתות סתרים או פרצות.

נוהלי אבטחה

למעשה, הדעה הרווחת היא שמרבית האלגוריתמים הידועים שזכו לביקורת ובדיקה של מומחים והוגדרו כבטוחים, אכן בטוחים. הסיבה שמערכות רבות נפרצו לא נבעה מליקויים באלגוריתמים שעליהם התבססו, אלא בשל כשלים או שגיאות אנוש באופן יישום אותם אלגוריתמים, שנבעו בין היתר מבורות, רשלנות או אי הקפדה על נוהלי בטיחות. יותר קל להשיג מידע באמצעות ציתות, מתן שוחד או גניבת מפתחות מאשר לפרוץ אלגוריתם. במערכת אבטחה, צריך לוודא שהמערכת אינה חדירה או מדליפה מידע עקיף המסכן את בטיחותה. כמו מידע תזמון (timing). בגרסת WAP (פרוטוקול אבטחה סלולרי) המקורית לדוגמה, התגלתה פרצה בטיחותית חמורה שנבעה מאופן יישום אלגוריתם RC4 וגרמה לדליפת מידע שאיפשר לפרוץ את המערכת בקלות.