Ataque de clave relacionada

En criptografía , un ataque de clave relacionada es cualquier forma de criptoanálisis en la que el atacante puede observar el funcionamiento de un cifrado con varias claves diferentes cuyos valores se desconocen inicialmente, pero donde el atacante conoce alguna relación matemática que las conecta. Por ejemplo, el atacante podría saber que los últimos 80 bits de las claves son siempre los mismos, aunque al principio desconozca cuáles son esos bits.

KASUMI es un cifrador de bloques de ocho rondas y 64 bits con una clave de 128 bits. Está basado en MISTY1 y fue diseñado para constituir la base de los algoritmos de confidencialidad e integridad de la red 3G .

Mark Blunden y Adrian Escott describieron ataques diferenciales de clave relacionada en cinco y seis rondas de KASUMI. ^{[ 1 ]} Los ataques diferenciales fueron introducidos por Biham y Shamir. Los ataques de clave relacionada fueron introducidos por primera vez por Biham. ^{[ 2 ]} Los ataques diferenciales de clave relacionada se discuten en Kelsey et al. ^{[ 3 ]}

Un ejemplo importante de un protocolo criptográfico que falló debido a un ataque de clave relacionada es Wired Equivalent Privacy (WEP), utilizado en redes inalámbricas Wi-Fi . Cada adaptador de red Wi-Fi y punto de acceso inalámbrico en una red protegida por WEP comparte la misma clave WEP. El cifrado utiliza el algoritmo RC4 , un cifrado de flujo . Es esencial que la misma clave nunca se use dos veces con un cifrado de flujo. Para evitarlo, WEP incluye un vector de inicialización (IV) de 24 bits en cada paquete de mensaje. La clave RC4 para ese paquete es el IV concatenado con la clave WEP. Las claves WEP deben cambiarse manualmente y esto suele ocurrir con poca frecuencia. Por lo tanto, un atacante puede asumir que todas las claves utilizadas para cifrar paquetes comparten una única clave WEP. Este hecho expuso a WEP a una serie de ataques que resultaron devastadores. El más sencillo de entender se basa en el hecho de que el IV de 24 bits solo permite algo menos de 17 millones de posibilidades. Debido a la paradoja del cumpleaños , es probable que de cada 4096 paquetes, dos compartan el mismo vector de inicialización (IV) y, por lo tanto, la misma clave RC4, lo que permite atacarlos. Ataques más devastadores aprovechan ciertas claves débiles en RC4 y, finalmente, permiten recuperar la clave WEP. En 2005, agentes del FBI demostraron públicamente la capacidad de hacerlo con herramientas de software ampliamente disponibles en aproximadamente tres minutos.

Una forma de prevenir los ataques de claves relacionadas es diseñar protocolos y aplicaciones de manera que las claves de cifrado nunca tengan una relación simple entre sí. Por ejemplo, cada clave de cifrado se puede generar a partir del material de clave subyacente mediante una función de derivación de clave .

Por ejemplo, el protocolo Wi-Fi Protected Access (WPA), que reemplaza a WEP , utiliza tres niveles de claves: clave maestra, clave de trabajo y clave RC4. La clave maestra WPA se comparte con cada cliente y punto de acceso, y se utiliza en un protocolo llamado TKIP ( Protocolo de Integridad de Clave Temporal ) para generar nuevas claves de trabajo con la frecuencia suficiente para contrarrestar los métodos de ataque conocidos. Estas claves de trabajo se combinan con un vector de inicialización (IV) más largo, de 48 bits, para formar la clave RC4 de cada paquete. Este diseño imita el enfoque de WEP lo suficiente como para permitir su uso con tarjetas de red Wi-Fi de primera generación, algunas de las cuales implementaban partes de WEP en hardware. Sin embargo, no todos los puntos de acceso de primera generación son compatibles con WPA.

Otro enfoque más conservador consiste en emplear un cifrado diseñado para prevenir por completo los ataques de clave relacionada, generalmente mediante la incorporación de un esquema de claves robusto . Una versión más reciente de Wi-Fi Protected Access, WPA2, utiliza el cifrado de bloques AES en lugar de RC4, en parte por este motivo. Existen ataques de clave relacionada contra AES , pero a diferencia de los que se producen contra RC4, su implementación es poco práctica, y las funciones de generación de claves de WPA2 pueden ofrecer cierta seguridad frente a ellos. Muchas tarjetas de red antiguas no son compatibles con WPA2.