Projekt cybercrypt@gov, czyli jak Policja planuje łamać hasła przestępców

dodał 19 lipca 2018 o 20:24 w kategorii Info, Krypto  z tagami: • • • •
Projekt cybercrypt@gov, czyli jak Policja planuje łamać hasła przestępców

W opublikowanym niedawno najnowszym konkursie Narodowego Centrum Badań i Rozwoju znalazło się kilka ciekawych zadań z obszaru cyberbezpieczeństwa. Jednym z nich jest projekt łamania haseł przestępców.

Na projekt zwrócił nam uwagę Wykopowicz PiersiowkaPelnaZiol. Faktycznie, wczoraj NCBiR ogłosił konkurs 9/2018, w którym znalazło się kilka ciekawych zadań. Na pierwszy ogień weźmiemy chyba najciekawsze, czyli cybercrypt@gov.

Dobra nazwa podstawą sukcesu

Każdy project manager wie, że dobra nazwa projektu gwarantuje przynajmniej początkowy sukces. Spójrzmy zatem na to, czym jest cybercrypt@gov. Zacytujmy autorów zadania:

Przedmiotem projektu będzie pozyskanie i rozwój technologii niezbędnej do stworzenia rozproszonego, skalowalnego, wysokowydajnego systemu służącego przełamywaniu zabezpieczeń kryptograficznych.

Mamy zatem do czynienia z systemem, który ma łamać zabezpieczenia kryptograficzne. Trzeba jednak zagłębić się w dokument, by zrozumieć, jaki konkretnie pomysł na ten system mają twórcy konkursu. Pomijamy całą ideologię, jak wpisuje się w różne górnolotne cele i jak będzie walczył z terroryzmem. Sprawdźmy, co i jak chce łamać Policja.

No dobrze, nie do końca pominiemy ideologię. Nie możemy bowiem pominąć zdania

Niepokoi coraz szersza dostępność i skuteczność dostępnych bezpłatnie algorytmów szyfrujących.

Nieśmiało zwracamy uwagę, że bezpłatne, skuteczne algorytmy szyfrujące są szeroko dostępne od kilkudziesięciu lat. Ale do rzeczy.

Jak ma działać system

Wygląda na to, że ktoś wpadł na pomysł, by zamiast – kupować gotowe platformy sprzętowe umożliwiające profesjonalne łamanie funkcji kryptograficznych – zatrudnić do tego tysiące stacji roboczych, które po nocach nudzą się na komisariatach. Skąd mamy takie wnioski? A stąd:

Kolejnym krokiem powinno być połączenie w sieć obliczeniową komputerów ogólnego zastosowania, spoza wydzielonych, objętych tajemnicą służbową komputerów. Skalowalność oznacza, że w każdym momencie, można dołączyć lub odłączyć, z zachowaniem odpowiednich procedur, dowolną liczbę komputerów bez zachwiania integralności prowadzonych obliczeń. Wydajność obliczeniowa może być w ciągły sposób podnoszona przez dołączanie kolejnych komputerów. Najważniejszą cechą tak zdefiniowanego systemu jest „naturalny” proces zwiększania mocy obliczeniowej. Odbywa się on podczas każdej kolejnej wymiany zamortyzowanego sprzętu, co stanowi najważniejszą zaletę w stosunku do systemów opartych o pracę specjalistycznego dedykowanego sprzętu, który starzeje się bardzo szybko wymagając niezwykle kosztownej wymiany.

Wymiana zamortyzowanego sprzętu w Policji? Niech policjanci czytający ten artykuł napiszą nam w komentarzach, ile lat mają ich służbowe komputery.

Wykonane zostać powinno zdecentralizowane i skalowalne narzędzie, o bardzo wysokiej efektywności wykorzystania posiadanej mocy obliczeniowej, pozwalające na podjęcie skutecznych prób odszyfrowania danych przy użyciu mocy obliczeniowej aplikacji klienckich, które powinno być przystosowane do działania w oparciu o już istniejącą infrastrukturę informatyczną Policji.

Czyli nie będzie to zakup nowego sprzętu (pomijając całą, niemałą przecież infrastrukturę zarządzającą), a wykorzystanie sprzętu policyjnego. Ile z policyjnych komputerów ma karty graficzne pozwalające na cokolwiek oprócz obsługi Windowsa? Pozostawimy to pytanie bez odpowiedzi.

Co ma robić system

Na początku myśleliśmy, że może chodzi o próby łamania kryptografii komunikatorów używanych przez terrorystów, ale cel jest bardziej przyziemny i realistyczny.

Przewiduje się, że projektowany system powinien pozwalać na przełamywanie haseł opartych m.in. o MD4, MD5, SHA1, SHA-224, SHA-256, SHA384, SHA-512, SHA-3 (Keccak), NetNTLMv1, NetNTLMv1+ESS, NetNTLMv2, sha256crypt, sha512crypt a także próbę przełamania zabezpieczeń programów m.in, office 2007,2010,2013, PDF, KeePass, 7-zip, Rar oraz powszechnie stosowanych aplikacji szyfrujących (truecrypt, veracrypt, bitlocker).

Czyli w praktyce chodzi o zaszyfrowane dyski, przechwytywane przy okazji łapania przestępców. Faktycznie, jeśli przestępca już coś zaszyfrował, jest to dla policji problemem. Czy spięte w jedną globalną sieć wszystkie policyjne PC-ty podołają zadaniu? Hmmm…

Co trzeba zatem zrobić

Zestaw zadań wygląda w tym projekcie następująco:

Celami szczegółowymi projektu będzie:

  • opracowanie wydajnych algorytmów przetwarzania rozproszonego,
  • opracowanie metod wydajnego przetwarzania danych przy użyciu procesora oraz kart graficznych,
  • opracowanie prototypu aplikacji serwerowej,
  • opracowanie prototypu aplikacji klienckiej,
  • opracowanie prototypu aplikacji służącej pozyskiwaniu danych z plików,
  • zaprojektowanie całościowej struktury systemu informatycznego.

Łącznie suma miesięcy potrzebnych na realizację poszczególnych zadań wynosi 188 (czyli prawie 16 lat), ale zakładamy, że część da się wykonywać równolegle. Niestety nie wskazano, którą część, ale czas realizacji projektu oszacowano na 4 lata.

Czy można zrobić to inaczej

Śmiemy twierdzić, że wiemy, jak skrócić projekt do 3 miesięcy i ograniczyć tysiąckrotnie (lub milionkrotnie?) budżet projektu, jednocześnie znacznie zwiększając skuteczność łamania hashy haseł przestępców, nie zajeżdżając i tak już wysłużonych policyjnych komputerów. Zamiast odkrywać koło od nowa i tworzyć algorytmy przetwarzania rozproszonego, wystarczy kupić Brutalisa.

Za 22 000 dolarów można dostać całkiem sprawne urządzenie łamiące hashe z bardzo dużą wydajnością. Jego producenci robią także maszyny na indywidualne zamówienia, o dużo większej mocy. Urządzenie jest od razu skonfigurowane, przetestowane i gotowe do działania. Jest tylko jeden minus tego rozwiązania – nie wyżywi się przy nim całkiem spora grupa polskich firm, ekspertów i urzędników…

Będziemy patrzeć

Obiecujemy przyglądać się temu konkursowi i raportować postępy prac. Obawiamy się tylko, że będzie z tym zbyt dużo roboty.

PS. Tak przy okazji, dlaczego nie zajmie się tym Narodowe Centrum Kryptologii? I co się stało z projektem NCBiR z 2011, który zakładał powstanie narodowego centrum kryptografii i dekryptażu? Sukces był tak wielki, że teraz Policja musi budować swoje systemy rozproszone?

Podobne wpisy