Vad är det med skurkar och deras val av krypton? Tidigare i våras kom det fram att maffiabossen Provenzano valde att använda ett urgammalt och busenkelt substitutionskrypto för att skydda sin kommunikation. Och som min bror brukar säga (på överdrivet fet Dalsländska: Det gick inte så bra för han.

Nu visar det sig att även Ariska brödraskapet gillar att använda om inte gamla och beprövade krypton så i alla fall gamla krypton. I en stor rätttegång i USA har det kommit fram vilka metoder för kommunikation som dom använder för kommunikation. Exempelvis:

• Lappar under stenar i rastområdet.


• Utbyte av information vid avlösning runt skurmoppen.


• Hemlig skrift där bläcket är ersatt av urin(!)


• Krypterade meddelanden.

Vad gäller det sista, krypteringen har man valt att använda Francis Bacons gamla bilateralkryptering. Väldigt fräckt och imponerande på 1600-talet, men kanske inte det säkraste i dag. Skall man vara petnoga, och det skall man i det här läget, är denna metod snarare steganografi än kryptering.

Frågan jag ställer mig är varför man väljer dessa typer av algoritmer. I fallet Provenzano kan det helt enkelt vara att han hittat på metoden själv – metoden i fråga är en som hittats på många, många gånger. Men Bacons metod är troligtvis för invecklad för att det skall vara hittepå. Så varför denna metod? Finns det en social förklaring, att dom misstror modern teknologi – att döma av användning av mobiltelefoner (med kontantkort) verkar den förklaringen inte gälla all teknik.

En förklaring kan vara att metoden skall kunna utföras med papper och penna och att metoden skall kunna läras in på ett par minuter. Men hur hittade dom Bacons metod?

Ett säkrare val hade naturligtvis varit kryptot Solitaire – utvecklat av Bruce Schneier för Neal Stephenson till boken Cryptonomicon. I boken använder huvudpersonen kryptot (då kallat Pontifex) för att kommunicera hemligt i just fängelsemiljö. Kryptot är väsentligen ett strömkrypto där en kortlek används som PRNG.

Ja, Solitaire är inte speciellt säkert, men det är väldigt mycket bättre än metoderna som buset valt att använda. Vi kanske skall vara glada för det.

Här finns en ny sida som försöker samla information om sidoattacker.

Sidan tar upp alla möjliga typer av sidoattacker, inte bara tidsbaserade och effektbaserade, utan även Tempest/RÖS (Röjande Strålning), akustiska attacker(!) och mycket mer. Jag hade kanske inte klassat några av dessa som sidoattacker, men ok. Många intressanta länkar finns det där redan nu i alla fall.

Hur säker är en 128-bit lång kryptonyckel? Hur svårt är det att söka igenom designrymden för ett krypto med en så lång nyckel (och därmed hur stor sannolikhet är det att exempelvis NSA kan göra detta)? Dave Farber postade ett mycket intressant mail från Dave Callas på PGP som har en bra illustration:

Imagine a computer that is the size of a grain of sand that can test keys against some encrypted data. Also imagine that it can test a key in the amount of time it takes light to cross it. Then consider a cluster of these computers, so many that if you covered the earth with them, they would cover the whole planet to the height of 1 meter. The cluster of computers would crack a 128-bit key on average in 1,000 years.

Så varför fallerar krypton? Två anledningar:

1. Svagheter – I algoritmen, implementationen eller användningen.


2. Svaga nycklar.

Svagheterna är alla typer av attacker som på olika sätt kapar ned antalet kombinationer. Här hittar man mycket av den traditionella forskningen där olika metoder att undersöka algoritmer och implementationer förekommer.

Svaga nycklar kommer tillbaka till oss som människor. Skall du använda ett lösenord som bara använder dom normala tecknen på tangentbordet behöver du använda ett lösenord på minst 21-22 tecken, ett lösenord som är helt slumpmässigt (dina syskons samtliga namn duger inte). “2mYFk7…” osv i 16 tecken till. Lätt som en plätt att memorera, eller?

Detta visar helt enkelt att så länge som vi kan lita på kryptot i sig är det människan som är den svagaste länken. Mao, våra säkerhetssystem löser inte rätt problem – att underlätta för oss att använda bra lösenord och starka nycklar.