Dane dobrze wymieszane
-
- 21.03.2005
Program oferuje możliwość nadpisania obszarów zajmowanych dotychczas przez pliki źródłowe ciągami pseudolosowo wybranych bajtów oraz możliwość powtórzenia tej operacji do 35 razy. Jeśli po takiej operacji niepowołana osoba będzie chciała odczytać zawartość dysku, zamiast oryginalnych plików zobaczy jedynie przypadkowe ciągi znaków. Gdy podejmiemy decyzje odnośnie do kompresji i wymazywania, możemy przystąpić do szyfrowania.
Klikając przycisk Szyfruj, użytkownik jest proszony o wczytanie klucza. Jeśli przy generowaniu zaznaczona była opcja Wpisz klucz dwukrotnie, obowiązkowym krokiem jest ponowne wczytanie klucza dla weryfikacji. Jeśli opcja ta była wyłączona, dwukrotne wczytywanie klucza nie jest obowiązkowe, ale możliwe. Gdy poprawność klucza zostanie zweryfikowana, można przystępować do szyfrowania danych.
Kierunek: spaghetti
Pliki z listy są szyfrowane i umieszczane w jednym archiwum we wskazanym miejscu. Istnieje możliwość wskazania domyślnej lokalizacji zaszyfrowanych archiwów. Archiwum może zostać zapisane jako plik ciągły lub jako seria plików o określonej objętości. Autor poszedł w ślad twórców aplikacji do kompresji i przygotował kilka zdefiniowanych opcji do wybrania (m.in. dyskietka 1,44 MB, płyta CD o pojemności 700 lub 800 MB, DVD 4,7 GB i kilka innych).
Generowanie klucza w VMPC Data Security opiera się na analizie ruchów wskaźnika myszy na wyznaczonym polu
Szyfrowanie pliku danych programu Outlook o objętości ok. 650 MB z kluczem o maksymalnej długości i maksymalnym zakresie znaków (cyfry oraz małe i duże litery) zajmie ok. 3 min (bez kompresowania). Deszyfrowanie plików jest proste. Po wciśnięciu przycisku Wczytaj i wskazaniu plików archiwum użytkownik wczytuje klucz i wciska przycisk Deszyfruj. Deszyfracja trwa nieco krócej niż szyfrowanie.
Praca z tekstem jest jeszcze łatwiejsza. Po przełączeniu się w tryb Teksty do okna programu przez schowek systemowy wkleja się tekst, który jest automatycznie filtrowany do czystego ASCII. Potem następuje (tak jak w przypadku plików) wczytanie klucza i wykonanie operacji szyfrowania na tekście. Zaszyfrowany tekst należy zaznaczyć i skopiować do schowka, a następnie wkleić do wiadomości-mail. Deszyfrowanie tekstu polega na zaznaczeniu go, skopiowaniu przez schowek do programu, wczytaniu klucza i wciśnięciu jednego przycisku.
Jeśli osoba po drugiej stronie zna klucz, odczyta plik za pośrednictwem programu VMPC Data Security. Jeśli adresat nie posiada programu, Bartosz Żółtak oferuje darmowy program dedykowany do deszyfracji wiadomości e-mail zaszyfrowanych VMPC Data Security.
Klucz może zostać przesłany na nośniku kurierem lub np. faksem, choć w tym drugim przypadku konieczne będzie, niestety, zwykłe przepisywanie.
To dopiero początek?
Trzeba powiedzieć, że program jest nadzwyczaj wygodny. Przewidziano w nim wiele opcji, które po chwili użytkowania wydają się oczywiste i naturalne, a przecież program istnieje zaledwie kilka miesięcy. Co więcej, aplikacja jest niewielka i bardzo szybka. W dużej mierze dlatego, że kluczowe moduły programu zostały stworzone w asemblerze - tylko interfejs użytkownika powstał za pomocą Borland Delphi.
Niewykluczone, że w przyszłości program umożliwi wykorzystanie szyfrów innych niż VMPC. Sam algorytm VMPC - ze względu na swoją wydajność - zostanie być może zastosowany w rozwiązaniach innych niż aplikacje biurkowe, na ten temat Bartosz Żółtak na razie jednak nic nie mówi. Więcej informacji o programie można znaleźć na stronie internetowej VMPC pod adresem:http://www.VMPCfunction.com/dsp.htm .
Szyfr AES, który jest obecnie międzynarodowym standardem szyfrowania w biznesie, został wyłoniony jako jeden z kilkudziesięciu kandydatów zgłoszonych do konkursu, który rozpoczął się w 1997 r. Przez ponad cztery lata (do 2001 r.) setki zespołów z całego świata pracowały nad złamaniem każdego z kandydatów. Poświęcono na to tysiące godzin pracy najtęższych głów - matematyków i kryptologów.
W rezultacie złamanych zostało kilkadziesiąt szyfrów, które w momencie zgłaszania do konkursu sprawiały wrażenie całkowicie odpornych i doskonale zaprojektowanych. Reakcja była zwykle taka: "No tak, o tym nie pomyśleliśmy...". Pod koniec konkursu powstała obszerna biblioteka opisująca różne techniki ataków na szyfr AES, który w końcu konkurs wygrał. Biblioteka ta opisywała, jak AES krok po kroku nie poddawał się kolejnym atakom.
Taka biblioteka musi towarzyszyć każdemu produktowi zabezpieczającemu, niezależnie od tego, czy jest to szyfr, sejf, czy drzwi antywłamaniowe. Samo zapewnienie producenta nie wystarczy. Jeśli produkt posiada bibliotekę testów, wyniki pokazują, że producent nie tylko wiedział o istnieniu różnych technik ataków, ale udowodnił, że jego produkt (szyfr) jest na nie odporny.
Szyfr VMPC, który jest podstawą bezpieczeństwa programu VMPC Data Security, nie posiada takiej dokumentacji. Bartosz Żółtak, autor programu, na swojej stronie odważnie szafuje zapewnieniami o odporności algorytmu czy złożoności obliczeniowej 2^900, ale nie przedstawia żadnych niezależnych dowodów na to, że szyfr jest faktycznie odporny na baterię ataków znanych współczesnej kryptologii.
Jedyna dotychczas opublikowana niezależna analiza szyfru VMPC została przedstawiona przez Aleksandra Maksimowa, studenta szwedzkiego uniwersytetu w Lund. Maksimow opisał atak umożliwiający odróżnienie ciągu bitów generowanego przez VMPC od ciągu danych losowych (tzw. distinguisher).
Uznawane obecnie za bezpieczne szyfry nie dają się odróżnić od danych losowych, niezależnie od objętości próbki zaszyfrowanych danych. Jeśli nowy szyfr zaczyna swoją karierę od znalezienia distinguishera, nie wróży mu to najlepiej na przyszłość. Wobec faktu, że nie ma niezależnych analiz dowodzących bezpieczeństwa VMPC, szermowanie zapewnieniami o tym, że szyfr jest "nie do złamania", jest co najmniej ryzykowne.
Dysponujemy obecnie szybkimi i darmowymi szyframi, takimi jak 3DES czy AES, które są zbadane nieporównywalnie lepiej niż VMPC. Mało kto decyduje się promować własny szyfr, bo jest to drogie, czasochłonne i ryzykowne. Trend jest odwrotny - potentaci tacy jak m.in. Check Point i RSA zrezygnowali z promowania niektórych własnych algorytmów na rzecz AES i 3DES.
Paweł Krawczyk
