3.4 Digital signatur, hash og PKI

En kort verdi med fast lengde, regnet ut fra innholdet i en fil eller melding.

Tre egenskaper gjør den nyttig:

1. Samme innhold gir alltid samme verdi. Verdien kan derfor sammenlignes.
2. Endres innholdet med så mye som ett bit, endres verdien fullstendig. Det er dette som avslører endringer.
3. Verdien kan ikke regnes tilbake til innholdet. Funksjonen går bare én vei.

Lengden er fast uansett hvor stort innholdet er: en tekst på tre bokstaver og en fil på 900 MB gir hash-verdier av nøyaktig samme størrelse.

Målet den tjener: integritet.

Den faste feilslutningen: å tro at en hash skjuler innholdet. Den gjør ikke det. Fila er nøyaktig like lesbar med hash-verdi som uten — hash-verdien er noe som kommer i tillegg. Dette er felle #9.

Å kontrollere at en signatur er ekte, ved å bruke avsenderens offentlige nøkkel.

Mottakeren gjør to ting og sammenligner:

1. Regner ut hash-verdien av meldingen slik den ble mottatt.
2. Dekrypterer signaturen med avsenderens offentlige nøkkel, og får ut hash-verdien slik den var da den ble signert.

Stemmer de to? Da er meldingen uendret, og den kom fra den som eier den private nøkkelen.

Stemmer de ikke? Da er enten meldingen endret underveis, eller signaturen laget av noen andre. Hvilken av delene, kan man ikke se — og det trenger man heller ikke: begge deler betyr at meldingen ikke skal stoles på.

Et dokument som binder en offentlig nøkkel til en identitet — et navn, et domene, en virksomhet.

Sertifikatet er selv signert av en betrodd tredjepart, en sertifikatutsteder. Signaturen gjør at sertifikatet ikke kan forfalskes uten utstederens private nøkkel.

Når nettleseren din kobler seg til en nettbank, får den bankens sertifikat. Den kontrollerer utstederens signatur, og hvis den stemmer, vet den at den offentlige nøkkelen faktisk tilhører banken.

Problemet sertifikatet løser: at en offentlig nøkkel i seg selv ikke sier noe om hvem den tilhører. Uten sertifikater ville en angriper kunne levere sin egen nøkkel og utgi seg for hvem som helst — nettopp mellommannsangrepet fra kap. 3.2.

Den faste feilslutningen: å tro at et sertifikat krypterer noe. Det gjør det ikke. Det bekrefter en tilhørighet, og krypteringen skjer med nøkkelen sertifikatet bekrefter.

Systemet av sertifikatutstedere, sertifikater og regler som gjør det mulig å stole på offentlige nøkler i praksis.

Forkortelsen står for public key infrastructure, og den glosses her fordi den brukes i oppgavetekster.

De tre delene du bør kunne:

1. Utstederne kontrollerer identiteten til den som ber om et sertifikat, og signerer det.
2. Tillitskjeden går fra en rot-utsteder som nettleseren stoler på i utgangspunktet, ned til det enkelte sertifikatet.
3. Tilbaketrekking gjør at et sertifikat kan erklæres ugyldig før det utløper — for eksempel hvis den private nøkkelen kommer på avveie.

Svakheten i systemet er at det hviler på tillit til utstederne. Blir en utsteder kompromittert, kan angriperen få utstedt sertifikater i andres navn.

Den praktiske konsekvensen: en sertifikatadvarsel i nettleseren betyr at denne kjeden ikke går opp. Da skal du ikke klikke deg forbi.

En svakhet i programvare som er ukjent for leverandøren, og som det derfor ikke finnes noen rettelse for.

Navnet kommer av at leverandøren har hatt null dager på seg til å lukke hullet når det først blir utnyttet.

Hvorfor den er farlig: alle de vanlige tiltakene forutsetter at svakheten er kjent. Sikkerhetsoppdateringer hjelper ikke mot noe som ikke er oppdaget, og antivirus kjenner ikke igjen et angrep ingen har sett før.

Det som fortsatt virker, er tiltak som ikke avhenger av å kjenne trusselen: minste privilegium, overvåking av unormal oppførsel, og segmentering som begrenser skaden.

Den faste feilslutningen: å tro at et oppdatert system er trygt mot alt. Oppdatering lukker de kjente hullene, og det er svært mye — men ikke alt.

Et program med en skjult skadelig funksjon, pakket inn i noe som ser nyttig ut.

Brukeren installerer det frivillig, i den tro at det er et spill, et verktøy eller en oppdatering. Den skadelige delen kjører i bakgrunnen.

Kjennetegnet er innpakningen, ikke hva skaden består i. En trojaner kan inneholde en tastelogger, en bakdør eller et løsepengevirus.

Skillet mot virus og orm: viruset fester seg til en vertsfil, ormen sprer seg selv over nett. Trojaneren gjør ingen av delene — den blir båret inn av brukeren selv. Hele skadevaretypologien behandles sist i denne delen.

HEMMELIG MELDING til Bob:
  krypter med    ->  Bobs OFFENTLIGE dekrypter med  ->  Bobs PRIVATE

DIGITAL SIGNATUR fra Alice:
  signer med     ->  Alices PRIVATE valider med    ->  Alices OFFENTLIGE

Hemmelighold bruker mottakerens nøkler. Signering bruker avsenderens.

Kontrollen på eksamen: i hver operasjon brukes bare ett nøkkelpar. Blander et alternativ begge parters nøkler, er det galt.

En digital signatur gir integritet, autentisitet og uavviselighet — men ikke konfidensialitet.

Meldingen sendes i klartekst, og signaturen kommer i tillegg. Alle kan lese meldingen, og de må kunne det: uten tilgang til innholdet kan de ikke regne ut hash-verdien og kontrollere signaturen.

Dette er felle #4, og den er fagets mest testede enkeltinnsikt. Vil du ha begge deler, må du signere og kryptere.

1. Samme innhold gir alltid samme verdi — derfor kan verdier sammenlignes.
2. Ett endret bit gir en helt annen verdi — derfor avsløres endringer.
3. Verdien kan ikke regnes tilbake — funksjonen går bare én vei.

Lengden er fast uansett innholdets størrelse: tre bokstaver og 900 MB gir like store hash-verdier.

Målet den tjener: integritet. Aldri konfidensialitet.

Asymmetrisk kryptering er treg, og hash-verdien er liten uansett hvor stor meldingen er.

Derfor signeres hash-verdien i stedet for innholdet: en signatur på en fil på 900 MB tar like kort tid som på en tekstmelding.

Konstruksjonen virker fordi hash-verdien er følsom: endres meldingen med ett bit, stemmer ikke lenger den signerte verdien med den mottakeren regner ut.

Mottakeren gjør to ting og sammenligner:

1. Regner ut hash-verdien av meldingen slik den ble mottatt.
2. Dekrypterer signaturen med avsenderens offentlige nøkkel, og får hash-verdien slik den var ved signering.

Stemmer de to, er meldingen uendret og fra rett avsender.

Stemmer de ikke, kan man ikke se hvilken av delene som sviktet — og det trengs heller ikke: begge betyr at meldingen ikke skal stoles på.

Vil du ha både hemmelighold og bevis for avsender, må to operasjoner gjøres:

1. signer med    ->  din egen PRIVATE nøkkel
2. krypter med   ->  mottakerens OFFENTLIGE nøkkel

Mottakeren gjør det motsatte i motsatt rekkefølge: dekrypterer med sin private, og validerer med din offentlige.

Til sammen er fire nøkler i bruk, to fra hvert nøkkelpar. Rekkefølgen «signer først, krypter etterpå» gjør at også signaturen er skjult for utenforstående.

Et dokument som binder en offentlig nøkkel til en identitet, og som selv er signert av en betrodd utsteder.

Problemet det løser: en offentlig nøkkel sier ingenting om hvem den tilhører. Uten sertifikater kunne en angriper levert sin egen nøkkel og utgitt seg for hvem som helst.

Den faste feilslutningen: å tro at sertifikatet krypterer. Det bekrefter en tilhørighet; krypteringen skjer med nøkkelen det bekrefter.

Den betrodde tredjeparten som kontrollerer identiteten til den som ber om et sertifikat, og signerer det med sin egen private nøkkel.

Nettleseren din har en liste over rot-utstedere den stoler på i utgangspunktet, og kontrollerer hvert sertifikat mot en kjede opp til en av dem.

Svakheten: hele systemet hviler på tillit til utstederne. Blir en utsteder kompromittert, kan angripere få sertifikater i andres navn.

Systemet av sertifikatutstedere, sertifikater og regler som gjør det praktisk mulig å stole på offentlige nøkler. Forkortelsen står for public key infrastructure.

Tre deler å kunne: utstederne som kontrollerer og signerer, tillitskjeden fra rot-utsteder ned til det enkelte sertifikatet, og tilbaketrekking som gjør at et sertifikat kan erklæres ugyldig før det utløper.

Tilbaketrekking er nødvendig nettopp fordi private nøkler kan komme på avveie.

Sertifikatet svarer på «snakker jeg med den jeg tror?», ikke på «kan jeg stole på dem?».

En svindler kan skaffe seg et fullt gyldig sertifikat til sitt eget domene. Et domene som ligner på et kjent navn, kan ha sitt eget gyldige sertifikat.

Den faste distraktoren: at HTTPS eller hengelåsen gjør en nettside «trygg». Riktig formulering: forbindelsen er sikret og motparten identifisert.

Nettleserens melding om at tillitskjeden ikke går opp — sertifikatet er utløpt, selvsignert, utstedt til et annet navn, eller signert av en ukjent utsteder.

Det betyr at du ikke kan vite hvem du snakker med. Nettopp den situasjonen et mellommannsangrep skaper.

Derfor skal en slik advarsel ikke klikkes bort, særlig ikke på et åpent nett. Det er det ene stedet der kryptering alene ikke hjelper deg.

En hash-verdi oppgitt ved siden av en fil lar deg kontrollere at nedlastingen er bit for bit identisk med originalen.

Det beskytter mot: forvanskning underveis, avbrutte nedlastinger, endring hos en mellommann.

Det beskytter ikke mot: en angriper som kontrollerer selve nettsiden og kan endre både fila og den oppgitte verdien.

Løsningen på det siste er å signere hash-verdien: da kan ingen lage en gyldig verdi uten utgiverens private nøkkel.

En hash-verdi som stemmer, beviser at innholdet ikke er endret. Den sier ingenting om hva innholdet er.

Var det skadevare i fila fra starten, er den der fortsatt, og hash-verdien stemmer perfekt.

Dette er et fast alternativ i oppgaver om hash, og det er alltid galt: integritet handler om uendrethet, ikke om godhet.

At en hash-verdi ikke kan regnes tilbake til innholdet den ble laget av.

Dette er grunnen til at hash kan brukes til passordlagring: systemet lagrer hash-verdien i stedet for passordet, og kan kontrollere et innlogget passord uten noen gang å ha lagret det.

Mekanikken, og hvorfor hash alene ikke er nok uten salt, behandles i neste kapittel.

En svakhet som er ukjent for leverandøren, og som det derfor ikke finnes noen rettelse for.

Navnet kommer av at leverandøren har hatt null dager på seg til å lukke hullet.

Hvorfor den er farlig: sikkerhetsoppdateringer og antivirus forutsetter at svakheten er kjent. Det som fortsatt virker, er tiltak som ikke avhenger av å kjenne trusselen — minste privilegium, overvåking av unormal oppførsel, og segmentering.

Et program med en skjult skadelig funksjon, pakket inn i noe som ser nyttig ut.

Kjennetegnet er innpakningen, ikke hva skaden består i: en trojaner kan inneholde en tastelogger, en bakdør eller et løsepengevirus.

Skillet mot de andre typene: viruset fester seg til en vertsfil, ormen sprer seg selv over nett, og trojaneren blir båret inn av brukeren selv.

Mottakeren må regne ut hash-verdien av meldingen for å kunne sammenligne den med den signerte verdien.

Det forutsetter at mottakeren har hele meldingen i klartekst.

Derfor er det ikke en svakhet at en signert melding kan leses — det er en forutsetning for at kontrollen skal være mulig i det hele tatt. Vil du skjule innholdet, krypterer du i tillegg.

Validerer du med mottakerens nøkler i stedet for avsenderens, kontrollerer du ingenting — mottakerens nøkkelpar har ingen tilknytning til signaturen.

Og en «signatur» laget med avsenderens offentlige nøkkel ville vært verdiløs: alle har den nøkkelen, så hvem som helst kunne laget den.

Poenget med en signatur er at bare én person kan produsere den, og at alle kan kontrollere den.

En håndskrevet underskrift er den samme uansett hva dokumentet inneholder, og kan i prinsippet klippes og limes.

En digital signatur er regnet ut fra innholdet. Endres én bokstav i dokumentet, blir signaturen ugyldig.

Derfor gir den digitale signaturen både autentisitet og integritet, mens den håndskrevne bare peker på hvem som skrev under.

1. Signatur gir alt unntatt konfidensialitet — integritet, autentisitet og uavviselighet (felle #4).
2. Hemmelighold bruker mottakerens nøkler; signering bruker avsenderens (felle #5).
3. Hash gir integritet, aldri konfidensialitet (felle #9).

Tre setninger, og de avgjør praktisk talt hver eneste oppgave i sjangeren. Skriv dem i margen før du begynner.

Et mellommannsangrep går ut på at angriperen leverer sin egen offentlige nøkkel og utgir seg for motparten. Kryptering alene stopper det ikke — du får en pent kryptert forbindelse til feil part.

Sertifikatet binder nøkkelen til en identitet, og bindingen er signert av en utsteder nettleseren stoler på.

Angriperen kan ikke lage et gyldig sertifikat for bankens domene uten utstederens private nøkkel — og det er derfor angrepet stopper der.

At et sertifikat erklæres ugyldig før det utløper.

Den viktigste grunnen er at den private nøkkelen har kommet på avveie. Da må sertifikatet trekkes tilbake, ellers kan den som har nøkkelen, fortsette å opptre som eieren.

Dette er den praktiske grunnen til at en privat nøkkel på avveie er så alvorlig: den kan ikke «tas tilbake», bare erklæres ugyldig — og alt som ble signert i mellomtiden, er i tvil.