„Honey Encryption” – păcălește infractorii de date cu o nouă tehnologie de criptare/decriptare

Ari Juels, un cercetător independent ce a lucrat în trecut ca Chief Scientist la RSA consideră că o piesă importantă din domeniul criptografic lipsește – șiretlicurile.

“Decoys and deception are really underexploited tools in fundamental computer security”, susține Juels.

Si nici că nu aș putea fi mai deacord cu el. Ca o paranteză, la începutul lunii ianuarie am avut o prezentare introductivă cu privire la honeypot-uri susținută la Talks #32 iar în viitorul apropiat voi mai discuta despre acest subiect.

Împreună cu Thomas Ristenpart de la University of Wisconsin, au dezvoltat un nou sistem de criptare ce oferă datelor criptate un strat suplimentar de protecție servind date incorecte pentru fiecare încercare greșită de a ghici parola sau cheia de criptare. Dacă atacatorul ghicește într-un final răspunsul corect, datele reale ar trebui să fie pierdute printre informațiile falsificate.

Această nouă abordare, denumită ca Honey Encryption, ar putea fi foarte prețioasă având în vedere faptul că numeroase containere de informații confidențiale ajung să cadă în mâinile unor criminali cibernetici. Spre exemplu, aș putea să vă reamintesc de situația din octombrie 2013 când peste 150 de milioane de conturi și parolele aferente de la Adobe au fost furate.

În momentul în care datele criptate sunt obținute, infractorii folosesc diverse aplicații software ce încearcă printr-o tehnică cunoscută în limbajul de specialitate ca brute force, să ghicească parola. Sistemele de criptare convenționale oferă un răspuns simplu: da sau nu, cheia greșită producând un conținut nedeslusibil.

Honey Encryption generează pentru fiecare parolă greșită date false făcând mult mai dificilă ghicirea informațiilor reale. Spre exemplu, dacă un atacator ar folosi o aplicație cu ajutorul căreia să încerce 10,000 de parole pentru a decripta un container cu conturi bancare, pentru fiecare tentativă ei vor primi conturi bancare cu cifre false.

“Each decryption is going to look plausible. The attacker has no way to distinguish a priori which is correct.”, sustine Juels.

Juels și Ristenpart vor prezenta la conferința de criptografie Eurocrypt de anul acesta un document despre Honey Encryption. Juels mai lucrează și la construirea unui sistem bazat pe honey encryption pentru a proteja datele stocate în managerele de parole precum LastPass sau Dashlane.

Inițiativa, pe cat de interesantă mi se pare, pe atât de provocatoare va fi pentru că realizarea unor date suficient de asemănătoare ca un atacator să nu le poate distinge de cele reale, va fi destul de problematică având în vedere faptul că noi stocăm date din cele mai diverse în containerele criptate.

Mai multe detalii aici.