Bullrun_(NSA計畫)

Bullrun（風格化表達為 **BULLRUN**）是一個高度機密的計畫，用於破解在線通信和數據的加密，該計畫由美國國家安全局（NSA）運行。在英國政府通訊總部（GCHQ）中類似計畫的代號為 Edgehill。根據《衛報》披露的 BULLRUN 分類指南（BULLRUN classification guide），該計畫使用多種方法，包括計算機網絡利用、攔截 、行業關係與其他情報界實體的協作以及先進的數學技術。

愛德華・斯諾登在 2013 年洩漏了有關該計畫存在的信息。盡管斯諾登的文檔沒有包含有關確切的密碼分析功能的技術信息，因為斯諾登沒有獲得此類信息的許可訪問權，但它們確實包含了 2010 GCHQ 演示文稿，其中聲稱「此前已丟棄的大量的網際網路加密數據，現在可以被利用」。在美國情報官員的要求下，新聞界還對斯諾登文件中發現的有關該程序的許多技術細節進行了審查。在斯諾登泄漏的所有計畫中，「Bullrun 破密計畫」是至洩漏時的成本最高的計畫。斯諾登聲稱，自 2011 年以來，用於 Bullrun 的成本總計 8 億美元。披露的文件顯示，Bullrun 試圖「擊敗特定網絡通信技術中，所使用的加密」。

## 命名和權限

根據 NSA 的《BULLRUN 分類指南》，BULLRUN 不是敏感的限制訪問訊息（SCI）受控制系統或限制訪問訊息，但必須在所有其他分類和傳播標記之後的分類行中顯示代碼字。 此外，建議使用特殊控制的信息標簽進一步限制有關特定密碼成功的任何細節（除了標記為「最高機密 // 特殊情報（Top Secret//SI））； 可能的 BULLRUN ECI 標簽的非排他性列表為：APERIODIC，AMBULANT，AUNTIE，PAINTEDEAGLE，PAWLEYS，PITCHFORD，PENDLETON，PICARESQUE 和 PIEDMONT，這些標簽的含義沒有任何細節。

只有五眼聯盟（FVEY）的高層人員才能訪問該計劃，包括美國國家安全局（NSA）、以及英國政府通信總部（GCHQ）、加拿大通信安全機構（CSE）、澳大利亞信號局（ASD）、紐西蘭政府通信安全局（GCSB）的信號情報機搆。 在代理機搆繼續嘗試對其進行解密的同時，無法無限期保留當前技術無法解密的信號。

## 方法

通過由 NSA 設計的 Clipper 晶片 ，該晶片使用 Skipjack 算法，刻意保留有後門，並使用各種專門設計的法律，例如通信協助執法法（CALEA），數字空間電子安全法（CESA）和對加密軟體出口的限制（如伯恩斯坦訴美國的證據）。美國政府已公開在 1990 年代曾試圖確保其獲得通信和解密的能力，特別是諸如密鑰託管，對後門的委婉說法之類的技術措施，遭到批評而且收效甚微。

美國國家安全局（NSA）鼓勵安全技術製造商向其披露產品或加密密鑰的後門，以便 NSA 可以訪問加密的數據。然而，出於對加密技術的廣泛採用的擔心，NSA 也開始秘密地影響和削弱基本的加密安全性。並試圖通過協議、法律力量或網路攻擊獲取後門。

根據 Bullrun 的一份簡報文件，該機搆已成功滲透到安全套接字層和虛擬專用網 （VPN）。《紐約時報》報道宣稱：「到了 2006 年，通過破解保護性的 VPN，該局已攻破了三家外國航空公司、一個旅行預訂系統、一個外國政府的核心部門，以及另一個外國政府網際網路服務的通訊系統。到了 2010 年，英國反制加密的 Edgehill 計劃已成功破解了 30 個目標的 VPN，而且設立了再破解 300 個的目標」

作為 Bullrun 的一部分，NSA 還積極於「將漏洞插入到目標使用的商業加密系統，IT 系統，網絡和端點通信設備中」。《紐約時報》報導稱，隨機數生成器 Dual\_EC\_DRBG 包含了來自 NSA 的後門，這將使 NSA 可以依靠該隨機數生成器來破壞加密。儘管在標準發布後不久就知道 Dual\_EC\_DRBG 是一種不安全且緩慢的隨機數生成器，並且在 2007 年發現了潛在的 NSA 後門，並且沒有這些缺陷的替代品已經通過認證並得到廣泛使用，但是 RSA Security 在 2013 年 9 月之前，繼續在 BSAFE Toolkit 和 Data Protection Manager 這兩項產品中使用 Dual\_EC\_DRBG。雖然 RSA Security 否認有意向 BSAFE 插入後門程序，但沒有解釋為何在 2006 年和 2007 年發現 Dual\_EC\_DRBG 的缺陷明顯後，仍然繼續使用。有報導宣稱，2013 年 12 月 20 日，RSA 接受了 NSA 的 1000 萬美元付款，將隨機數生成器設置為默認值。

到 2010 年，NSA 已開發出針對網際網路加密流量的「開創性的手段」。GCHQ 的一份文件警告說，「這些手段是信號情報項目中最脆弱的一部分，不慎披露這一簡單的「事實」可能會警醒對手，並立即導致該手段的無效化。」 另一份內部文件指出，「它們不存在『必要知悉』」。包括布魯斯・施奈爾和克里斯多福・索霍安在內的許多專家紛紛猜測，這是指對 RC4 的成功攻擊，這種 1987 年的加密算法仍在至少 50% 的 SSL/TLS 的流量中使用，並考慮到 RC4 有數個已知的弱點，這是一個合理的途徑。其他人則猜測，NSA 已獲得破解 1024 位 RSA 和迪菲 - 赫爾曼密鑰交換公鑰的能力。一組研究人員指出，一些非一次性的 1024 位素數在迪菲 - 赫爾曼密鑰交換的實現中廣泛重用，且 NSA 對這些素數進行了預先計算，以利用它們來實時的攻破加密。

## 影響

在 BULLRUN 的啟示之後，包括 FreeBSD 和 OpenSSL 在內的一些開源項目已經不願（完全）信任基於硬體的加密原語 。

許多其他軟體項目，公司和組織也對安全性和加密過程進行了評估。例如，Google 將其 TLS 證書的密鑰長度增加了一倍，從 1024 位增加到 2048 位。

NSA 後門的揭露和標準的故意複雜化，導致了讓它們參加標準化機搆的強烈反對。在披露之前，鑒於 NSA 在這些委員會中的存在，鑒於其在加密方面的專業知識，NSA 的參與被視為一個優勢。

有人猜測，NSA 知道了心臟出血漏洞，該漏洞導致主流網站容易遭受密碼盜竊的侵害，但並未透露此信息以便為自己利用。

## 詞源

「BULLRUN」這個名字取自美國南北戰爭的第一場重大戰役 - 第一次牛奔河之役（First Battle of Bull Run）。它的前身「Manassas」（馬納沙斯），是出自該戰役的另一個稱呼，也是主戰場所在。「EDGEHILL」來自埃奇希爾戰役（Battle of Edgehill），這是英國內戰的第一場戰役。

## 另請參見

* HTTPS
* IPsec
* 大規模監控
  * 美國的大規模監控
* 稜鏡計畫
* 特定入侵行動辦公室
* 傳輸層安全性協定
* Voice over IP

## 參考來源

## 外部連結

* https://www.eff.org/deeplinks/2013/09/crucial-unanswered-questions-about-nsa-bullrun-program（頁面存檔備份，存於網際網路檔案館）
* https://www.nytimes.com/interactive/2013/09/05/us/documents-reveal-nsa-campaign-against-encryption.html?（頁面存檔備份，存於網際網路檔案館）
* https://www.schneier.com/blog/archives/2013/10/defending\_again\_1.html（頁面存檔備份，存於網際網路檔案館）
* Cryptography Opening Discussion: Speculation on "BULLRUN"（頁面存檔備份，存於網際網路檔案館） John Gilmore
* https://www.cs.auckland.ac.nz/~pgut001/pubs/crypto\_wont\_help.pdf（頁面存檔備份，存於網際網路檔案館）