谷歌開(kāi)發(fā)量子安全密鑰

GK IMAGES/ALAMY

在量子計算機能夠破解當前標準之前，有一場(chǎng)更新網(wǎng)絡(luò )安全基礎設施的競賽正在進(jìn)行?，F在，谷歌開(kāi)發(fā)了一種量子彈性的方式來(lái)實(shí)現FIDO2安全密鑰標準，這是一種越來(lái)越流行的身份驗證方法，被用作密碼的替代品。

安全密鑰，如密碼，可以幫助用戶(hù)證明自己的身份，以便向數字服務(wù)進(jìn)行身份驗證。但與密碼不同的是，安全密鑰不太可能被泄露，因為它們是為執行身份驗證而構建的物理設備。它們有U盤(pán)大小，當用戶(hù)需要進(jìn)行身份驗證時(shí)，它們可以插入筆記本電腦等輔助設備。安全密鑰可以抵御網(wǎng)絡(luò )釣魚(yú)攻擊，因為它們有兩個(gè)方向：一是幫助用戶(hù)驗證服務(wù)，二是向服務(wù)驗證用戶(hù)。由于身份驗證是在一個(gè)設計成難以妥協(xié)的獨立設備上進(jìn)行的，因此這些密鑰通常非常安全。

Kudelsky Security的量子安全研究員Tommaso Gagliardoni說(shuō)：“只要你有一個(gè)支持FIDO2身份驗證的網(wǎng)站，你就可以使用你的安全密鑰。使用它的人仍然很少，但在安全專(zhuān)業(yè)人員中，我認為它們已經(jīng)越來(lái)越普遍了?！?/p>

據悉，服務(wù)正在慢慢增加對安全密鑰的支持，首先是谷歌、微軟和Facebook等大型運營(yíng)商。其中的缺點(diǎn)包括它們的成本——大多數其他形式的身份驗證都是免費的——以及用戶(hù)可能將安全密鑰放錯地方，需要更換它們。

公鑰密碼學(xué)是一種通過(guò)提供身份證明邏輯來(lái)使用數字簽名驗證用戶(hù)和服務(wù)，從而使安全密鑰成為可能的技術(shù)。這項技術(shù)也使安全密鑰容易受到量子攻擊，因為目前所有形式的公鑰密碼術(shù)都很容易被量子計算機破解。

谷歌的執行（https://security.googleblog.com/2023/08/toward-quantum-resilient-security-keys.html）使用了美國國家標準與技術(shù)研究所（NIST）去年批準（https://csrc.nist.gov/News/2022/pqc-candidates-to-be-standardized-and-round-4）的一種后量子密碼算法進(jìn)行標準化。該算法名為Dilithium，是專(zhuān)門(mén)為數字簽名設計的。由于Dilithium還不是官方標準，在現實(shí)世界中也沒(méi)有長(cháng)期使用，谷歌采取了一種混合方法，將傳統的公鑰密碼算法與Dilithim相結合進(jìn)行身份驗證。

Gagliardoni表示，谷歌最大的貢獻是找到了一種優(yōu)化Dilithium算法的方法，使其能夠在內存和處理能力有限的典型安全密鑰硬件上運行。他說(shuō)：“如果你采用NIST發(fā)布的量子電阻方案，并試圖將其放入硬件中，它將不起作用，因為它需要太多內存?！?/p>

為了讓它發(fā)揮作用，谷歌減少了Dilithium應該運行的內存量。

管理無(wú)密碼身份驗證標準的FIDO聯(lián)盟標準開(kāi)發(fā)高級總監David Turner表示，安全密鑰的量子后更改預計將帶來(lái)挑戰。為了創(chuàng )建更安全的連接，新算法可能會(huì )增加身份驗證協(xié)議的復雜性，并需要更長(cháng)的時(shí)間來(lái)處理身份驗證。

Gagliardoni說(shuō)，谷歌的實(shí)施仍然缺乏對側信道攻擊的保護。這就是黑客通過(guò)直接物理訪(fǎng)問(wèn)安全密鑰來(lái)破壞密碼的地方。一種典型的側通道攻擊可能涉及黑客闖入目標的酒店房間，侵入他們放在桌子上無(wú)人看管的安全鑰匙，竊取目標的數字簽名，一切都在目標不知情的情況下進(jìn)行。谷歌的實(shí)施忽略了這些類(lèi)型的本地威脅，只關(guān)注遠程攻擊——這是有道理的，因為很難將量子計算機偷偷帶進(jìn)酒店房間。

據悉，這是通過(guò)谷歌的安全密鑰開(kāi)源項目OpenSK發(fā)布的。

許多依賴(lài)公鑰密碼的平臺很快需要向后量子算法過(guò)渡，特別是處理高度敏感的加密信息和壽命長(cháng)的重要服務(wù)（如衛星）的平臺。壽命長(cháng)的服務(wù)和數據很容易受到量子攻擊，即使威脅需要幾十年才能實(shí)現。安全密鑰可以使用多年，但只是剛剛流行起來(lái)，所以它們是過(guò)渡的早期選擇。

在未來(lái)的幾年里，還會(huì )有更多這樣的轉變，包括谷歌最近在Chrome瀏覽器（https://blog.chromium.org/2023/08/protecting-chrome-traffic-with-hybrid.html）中的傳輸層安全方面的工作。