Криптография — фундамент без трещин

Криптография — фундамент без трещин

— Насколько сложно быть разработчиком и производителем криптографических решений, в чём специфика этой области деятельности?

— Как и любая сфера деятельности, неотъемлемой частью которой являются глубокие научные исследования, криптографическая отрасль, во‑первых, развивается вокруг крайне небольшого круга экспертов — ​как правило, одновременно математиков, инженеров и специалистов по информационной безопасности в одном лице, — ​а во‑вторых, из-за весьма серьёзного порога вхождения в неё встречается порой с некоторыми трудностями понимания со стороны смежных отраслей. В связи с этим криптографам необходимо не только безукоризненно делать свою работу и разрабатывать лучшие решения, не только действовать на опережение, но ещё и вовремя рассказывать представителям смежных отраслей как о появившихся наработках, так и об актуальных угрозах. При этом ни в коем случае нельзя допускать снобизма в отношении специалистов в других областях, которые, разумеется, не могут и не должны сами отслеживать задачи криптографической отрасли. Таким образом, здесь на нас лежат два уровня ответственности: за стойкость самих разрабатываемых криптографических решений и за содействие внедрению этих решений в прикладных областях. 

На плечах разработчика криптографических решений лежит ответственность не только за качество собственных продуктов, но и за обеспечение безопасности страны, граждан, организаций, за выработку сбалансированных решений в диалогах с регуляторами, за научные исследования, необходимые как для улучшения существующих разработок, так и для создания принципиально новых механизмов защиты. 

Напрашиваются два примера такой ответственности: сертификаты безопасности (TLS-сертификаты) и постквантовая криптография. 

Криптографическая отрасль много лет указывала на опасность зависимости от зарубежных удостоверяющих центров в части выдачи TLS-сертификатов для защиты веб-сайтов, задолго до появления федеральных законов, поручений Президента и соответствующих нормативных актов создавала решения, позволяющие обеспечить независимость в данном вопросе и ликвидировать проблему в случае принятия иностранными организациями решения об отзыве сертификатов. Разработчиками криптосредств создавались, стандартизировались в России и за рубежом протоколы защиты соединений на основе российских алгоритмов, а также прорабатывались вопросы о переходе на отечественные сертификаты безопасности (как с российскими алгоритмами, так и, в качестве временного решения, с зарубежными) для веб-сайтов. Предприятиями отрасли осуществлялась также и поддержка Национального удостоверяющего центра (НУЦ), в том числе распространение его корневых сертификатов, — ​и всё это задолго до появления нормативной базы, обязывающей осуществлять такое распространение. И теперь, когда происходят отзывы TLS-сертификатов зарубежными УЦ, в том числе GlobalSign, мы видим, что эта многолетняя подготовка была не зря, и наша отрасль в серьёзной степени готова к решению возникших проблем. 

На более раннем этапе, но по аналогичному сценарию развивается история с постквантовой криптографией. При этом в данном случае речь не о политических аспектах, а об угрозе фундаментальной, физико-математической природы. Независимо от прогнозов появления полномасштабного квантового компьютера и сомнений в перспективах его появления, вряд ли найдётся грамотный специалист, который с уверенностью скажет, что такой компьютер точно не появится. Другими словами, отрасль, возможно, и не уверена в том, что в ближайшие годы он будет создан, но, увы, не может быть уверена и в обратном — ​а значит, конечно, обязана готовиться к худшему, не допуская перспективы такого развития событий, при котором вся существующая криптография с открытым ключом (а значит, вся массовая криптография, включая отрасль электронной подписи и защиту соединений в Интернете) окажется полностью уязвимой. Поэтому необходимо работать на опережение, думая о безопасности страны, работать задолго до появления нормативных актов, предписывающих применять те или иные постквантовые алгоритмы. Недопустимо считать, что всю эту работу должны сделать ФСБ России и иные регуляторы: это всегда общая задача, общая ответственность, общая работа. В связи с этим сейчас одновременно с решением задач по синтезу и анализу постквантовых алгоритмов идут активные работы, связанные с определением порядка их встраивания в криптографические протоколы и действующие процедуры по работе с сертификатами, а также с их реализацией. Выработка решений, позволяющих избежать рисков перехода на постквантовые алгоритмы благодаря гибридным схемам (опирающимся одновременно на классические алгоритмы на основе эллиптических кривых и на постквантовые), без нарушения логики работы протоколов, обязана вестись одновременно с выбором самих алгоритмов — ​как раз этим сейчас и занята криптографическая промышленность. 

Уверен, мы сможем решить все возникающие задачи по этим направлениям своевременно, у нас всё для этого есть.

— Существует мнение, что отечественные криптографические продукты востребованы в большей степени благодаря государственному регулированию — ​насколько это соответствует действительности?

— С одной стороны, область информационной безопасности — ​и криптография в особенности — ​конечно, развиваются в плотном контакте с государственным регулированием, это нормально и правильно. Когда появляются те или иные угрозы, когда создаются новые технологии обеспечения защиты, когда разрабатываются новые информационные системы, требования по криптографической защите неизбежно детализируются или расширяются, этим занимаются регуляторы, в первую очередь ФСБ России, Банк России и Минцифры. И такие требования, создаваемые и уточняемые взвешенно, в плотном контакте как с криптографической промышленностью, так и с владельцами информационных систем, и становятся в итоге формальными основаниями для применения криптографических средств. В этом смысле, конечно, востребованность криптографических решений неразрывно связана с государственным регулированием. Но если этап обсуждений требований проводится с участием экспертов всех заинтересованных сторон, то такие формальные основания становятся как раз разумным итогом достигнутого консенсуса, проекцией реально необходимой потребности, отражаемой в сухом остатке в документах. А возможность закрыть эти потребности, выполнить все стоящие перед промышленностью задачи — ​именно это означает высочайший уровень развития нашей криптографической отрасли.

Необходимо подчеркнуть, что востребованность и высокий уровень нашей области вовсе не являются лишь эксплуатацией задела советских времён. Криптографическая школа нашей страны являлась и является сильнейшей в мире, современная российская криптография продолжает развиваться безусловно достойно, опираясь на достижения прошлого, именно приумножая их, а не стагнируя. Достаточно вспомнить, как в последние годы решались задачи по созданию протоколов для мобильной подписи или систем электронного голосования: эти темы не существовали в советской повестке, но были блестяще закрыты уже современной школой.

Современные российские криптографические разработки, начиная с теоретических результатов и оканчивая прикладными решениями, по многим направлениям действительно являются передовыми, прорывными: криптографические протоколы и решения для мобильной электронной подписи, для дистанционного электронного голосования и конфиденциальных вычислений, для защиты платежных систем и биометрических данных, для доверенного функционирования в системах виртуализации и контейнеризации — ​в каждом из этих направлений именно нашими криптографами получены великолепные научные результаты, которые в итоге внедрены как в документы области стандартизации и криптосредства, так и в прикладные решения. Отдельно необходимо отметить, что ряд прорывных решений в России связан с необходимостью обеспечивать криптографическую защиту в условиях массового применения, в том числе при функционировании на зарубежных аппаратных компонентах и операционных системах, то есть в так называемом слабодоверенном окружении, предположения о безопасности которого могут быть лишь ограниченными. Математические и инженерные подходы, разработанные для обеспечения защиты даже в таких условиях, позволяют радикально увеличить запас прочности систем.

Какие примеры законченных масштабных информационных систем можно привести, говоря про исходную потребность в криптографии? Разумеется, логично начать с тех систем, которые в принципе не могли бы существовать вне максимальных гарантий криптографической защиты, заложенных в их фундамент: системы биоэквайринга, биометрической идентификации и аутентификации на транспорте, платформа цифрового рубля, системы электронного документооборота всех основных государственных органов и крупных коммерческих организаций, Федеральная система дистанционного электронного голосования. Каждая из них предоставляет удобство переноса в электронный вид тех или иных процессов, который не смог бы состояться без полного доверия к безопасности. Разумеется, таких систем кратно больше: фактически все серьёзные информационные системы, для которых вопросы безопасности являются важными, разрабатываются с учётом аспектов криптографической защиты.

Конечно, о криптографии не так часто вспоминают, думая о самих системах, — ​но это именно потому, что она остаётся надёжным фундаментом без трещин и без рисков повлиять на устойчивость всего прекрасного здания, построенного на нём.

— По вашему мнению, насколько российским криптографам важно сейчас учитывать опыт иностранных коллег? Что это даёт?

— Опыт коллег необходимо учитывать всегда — ​и отечественных, и зарубежных. В любой отрасли важно учиться в том числе на чужих ошибках и успехах, но особенно важно это в тех сферах, где цена неверного выбора будет измеряться не в годах, а в десятилетиях: именно столько времени занимает полный переход на другую алгоритмическую базу в массовой криптографии, например.

Международные рабочие группы, технические комитеты и конференции, где можно продолжать черпать знания, в любое время должны оставаться источником информации для любого специалиста в области криптографии. Что же касается математической базы и фундаментальных исследований, то в любые времена они продолжаются с внимательным изучением результатов коллег по научной тематике независимо от места их работы. Кроме того, в части открытой криптографии важен и другой аспект — ​мы часто говорим об этом с коллегами по отрасли — ​когда зарубежные специалисты узнают о наших алгоритмах и подключаются к исследованиям с целью понизить стойкость наших механизмов, даже если делают это с целью дискредитировать их, мы получаем бесплатный криптоанализ, а это бесценно. Когда мы видим, например, как уважаемые исследователи из Израиля, потратившие много сил на исследование российского режима шифрования CTR-ACPKM (ставшего к тому времени уже международным стандартом ISO), выступают на FSE 2023 с докладом, в котором полученная ими верхняя оценка стойкости оказывается равной доказанной ранее нижней оценке, мы за счёт их ресурсов получаем важнейшие знания для российской криптографии: точную оценку стойкости режима. Так открытость и научная честность позволяют превращать чужие усилия в собственную силу.

Для решения практических задач массовой криптографии также необходимо отстаивать — ​а делать это можно только в рамках взаимодействия на международных площадках — ​принципы так называемой «криптографической гибкости», предполагающие, что все высокоуровневые криптографические протоколы должны обеспечивать возможность работы с различными криптографическими алгоритмами, а не только какими-то конкретными, зафиксированными изначально (как правило, увы, зарубежными). Кроме того, так как российские подходы к криптографической защите зачастую учитывают большее количество угроз, необходимо, чтобы в рамках высокоуровневых протоколов наши алгоритмы могли функционировать именно так, как нам требуется, причём будучи снабжёнными международно признанными идентификаторами. Для основных протоколов, таких как TLS и IPsec, эти задачи успешно решены, причём часть из них была решена уже после 2022 года — ​так что такие задачи удаётся решать даже в самые непростые времена.

Безусловно, взаимодействие с зарубежными коллегами невозможно без международных конференций, обеспечивающих равноправный научный диалог, честное и прозрачное обсуждение криптографических вопросов по существу. К сожалению, существующие международные научные конференции по криптографии не вполне соответствуют этим требованиям, в связи с чем вместе с российскими и зарубежными коллегами, имеющими по-настоящему серьёзный опыт международного взаимодействия в криптографии, в частности, по линии ISO/IEC, мы развиваем конференцию AgileCrypto. Её основная идея связана с упомянутой выше криптографической гибкостью, модульным подходом к разработке и анализу криптографических механизмов. Как мы указали в меморандуме конференции, она призвана объединить на международном уровне усилия специалистов-единомышленников для развития криптографических механизмов, функционирующих в парадигме криптографической гибкости, а главное, должна стать хорошей площадкой для диалога между различными криптографическими школами. В прошлом году мы провели AgileCrypto во Вьетнаме с участием без преувеличения выдающихся специалистов из России, Японии, Вьетнама и Индии, а в ноябре этого года планируем провести AgileCrypto 2026 в Индии, в Джайпуре, причём мы ожидаем дальнейшего расширения числа участников из числа наиболее авторитетных специалистов области. Конечно, такие мероприятия играют важную роль в усилении нашей криптографической школы на международной арене.

В завершение отмечу, что важно всеми способами продолжать отстаивать и приумножать авторитет российской криптографии: как в части математического аппарата, так и в прикладных областях. Это напрямую относится к контексту той самой ответственности экспертов, о которой мы говорили в начале: быть не просто участниками повестки, а теми, кто эту повестку формирует. Наша криптография должна быть мощнее всех, не смиряясь никогда с тем, чтобы оставаться на вторых ролях, быть такой, чтобы коллеги ориентировались на наши успехи и тянулись за нами.