Алгоритм квантово-устойчивой криптографии, который рассматривался для включения в официальный стандарт США, был снят с рассмотрения после того, как модель безопасности Anthropic помогла обнаружить уязвимость, сделавшую его непригодным.
Снятый с рассмотрения алгоритм известен как HAWK. Это схема цифровой подписи, предназначенная для защиты от будущих атак с использованием квантовых компьютеров. HAWK прошёл два раунда тестирования NIST (Национального института стандартов и технологий) по оценке безопасности алгоритмов PQC (постквантовой криптографии) путём широкомасштабных испытаний. HAWK находился в третьем раунде тестирования, которое как раз предназначено для выявления тех самых типов уязвимостей, которые помог обнаружить Mythos.
После того как Anthropic в понедельник объявила о результатах, разработчик HAWK во вторник заявил, что отзывает алгоритм.
Ещё до этого события Anthropic превозносила результаты двух криптографических задач, которые она поставила перед своей моделью ИИ Mythos. Модель обнаружила слабости в математических задачах, лежащих в основе HAWK, и, отдельно, в широко используемом шифре AES.
Несмотря на снятие HAWK, сложно сказать, насколько отчёт компании является маркетинговой шумихой, но полученные результаты всё же заслуживают внимания, поскольку они могут сигнализировать о важных прорывах во взломе криптографии, имеющей решающее значение для конфиденциальности и безопасности.
Прежде чем углубляться в результаты, сделаем несколько оговорок.
Во-первых, результаты являются инкрементальными. Они не взламывают ни одну из криптосистем, на которые кто-либо полагается сегодня. Вместо этого они выявляют методы, позволяющие умеренно сократить объём работы, необходимой для преодоления этих систем.
Во-вторых, тестируемые криптосистемы были ослабленными версиями тех, что описаны в их официальных спецификациях. Такие «экземпляры-задачи» предоставляются авторами спецификаций для использования при независимом экспертном рецензировании. Использование ослабленных версий в тестировании является стандартной практикой, однако реальные версии в производственных условиях значительно надёжнее.
В-третьих, даже с учётом улучшения, лежащие в основе «примитивы» — то есть математические задачи, образующие базовые строительные блоки криптосистем, — остаются безопасными, по крайней мере пока.
И наконец, обе атаки используют методы, которые, вероятно, были бы неосуществимы за пределами тестовых сред.
HAWK мёртв
Anthropic сообщила, что её модель Mythos — которая в настоящее время остаётся доступной только для избранной группы доверенных пользователей — смогла продвинуть атаки против двух криптосистем. Первая система — HAWK, схема цифровой подписи, предназначенная для защиты от будущих атак квантовых компьютеров. На данный момент HAWK прошёл два раунда тестирования NIST (Национального института стандартов и технологий) по оценке безопасности алгоритмов PQC (постквантовой криптографии) путём широкомасштабных испытаний. В настоящее время HAWK находится в третьем раунде тестирования и всё ещё далёк от утверждения в качестве официального стандарта.
Тем не менее результаты против HAWK важны. Примерно за 60 часов работы и при вычислительных затратах около 100 000 долларов исследователь Anthropic, не имеющий опыта в криптографии, с помощью Mythos улучшил самую известную существующую атаку на алгоритм, фактически вдвое сократив её ключевую стойкость.
Математика, на которой основывается безопасность HAWK, — это сложность задачи изоморфизма решёток, которая, в отличие от наиболее используемых сегодня схем цифровой подписи, считается защищённой от атак с использованием квантовых вычислений. Наиболее известная атака классических вычислений для решения этой задачи работает путём нахождения так называемых симметрий автоморфизмов. Mythos вывел ранее неизвестный метод нахождения таких симметрий, который вдвое сократил ключевую стойкость HAWK. Эту слабость можно смягчить, удвоив размер ключа, но дополнительные вычисления делают HAWK менее привлекательным и могут полностью вывести его из гонки.
Мэттью Грин, профессор Университета Джонса Хопкинса и эксперт по криптографии, отметил, что впечатляющим в этом открытии была опора на несколько существующих методов, которые ранее никому не приходило в голову объединить.
«Что особенно тревожно (и поэтому так подходит для ИИ), так это то, что атака не изобретает принципиально новой математики, — написал Грин. — Она просто расширяет набор инструментов, которые валялись без дела и были хорошо известны, и даёт хороший результат».
Anthropic пояснила:
Для нахождения атаки Claude Mythos Preview работал полуавтономно в агентной обвязке, с occasional человеческим руководством и нетекническими указаниями. Mythos нашёл атаку после обширного обзора литературы для понимания текущего состояния дел, а также существенных математических рассуждений и вычислительных экспериментов. После обнаружения атаки Mythos реализовал сквозной конвейер верификации, чтобы убедить себя — и человека-оператора — в корректности атаки.
Для нахождения улучшенного метода Mythos развернул два отдельных агента, которые работали в значительной степени независимо. Первоначально один из них отверг метод как неработоспособный. Второй нашёл способ заставить его работать. В итоге агенты работали в унисон, пока не пришли к соглашению, что улучшенная атака эффективна. (Как и в случае с описанием атаки на AES далее в этой статье, методология атаки на HAWK была упрощена. Полные подробности см. в посте Anthropic или в двух более длинных статьях, посвящённых атакам на HAWK и AES соответственно.)
Софи Шмиг, эксперт по PQC из Google, заявила, что в HAWK уже подозревали слабости, которые со временем будут обнаружены. Тем не менее метод сокращения ключевой стойкости вдвое, найденный с помощью Mythos, сделал алгоритм-кандидат менее конкурентоспособным по сравнению с существующими схемами цифровой подписи PQC, такими как ML-DSA и FN-DSA.
«По сути, с этой статьёй HAWK мёртв», — написала она.
Меньше драмы, но всё равно довольно изящно
Атака на AES дала менее драматичные результаты. Она основана на улучшении, найденном с помощью Mythos, для выполнения атаки «встреча посередине» (meet-in-the-middle), которая используется для получения ключа при модели угрозы с выбранным открытым текстом — это самая известная существующая атака на AES. Метод подаёт в криптосистему большие объёмы известного открытого текста и анализирует зашифрованный вывод на предмет подсказок, которые при достаточном количестве входных данных в конечном итоге раскрывают неизвестный ключ. Ранее самая известная атака «встреча посередине» на AES требовала примерно 2105 открытых текстов — число, достаточно большое, чтобы сделать метод неосуществимым.
Mythos помог найти новый метод «встреча посередине», который опирается на Möbius Bridge — более сложный алгоритм снятия отпечатков, используемый в атаках «встреча посередине». Используя его, Грин сказал, что код, созданный Mythos, смог сократить количество необходимых входных данных до 289. В Anthropic заявили, что такая экономия может сократить время, необходимое для подобных атак, в 200–800 раз.
Возможность получить такое количество входных данных делает атаку недостижимой за пределами лаборатории. Кроме того, фактическое ускорение неизвестно, поскольку тестируемый ослабленный алгоритм AES использовал только 7 раундов. Соответствующий спецификации AES, по словам Грина, использует 10, 12 или 14 раундов в зависимости от размера ключа.
Anthropic тщательно и явно перечисляет большинство этих оговорок. В блоге за понедельник, однако, утверждается, что результаты всё же являются значимыми и могут в конечном счёте принципиально нарушить процесс криптоанализа, то есть состязательного тестирования криптосистем.
«Сообщество кибербезопасности сейчас сталкивается с тем фактом, что языковые модели способны обнаруживать так много ошибок, что стандартные человеческие процессы (например, триаж уязвимостей, верификация и исправление) с трудом за ними поспевают, — написала Anthropic. — Мы прогнозируем, что то же самое вскоре произойдёт и в академических криптографических исследованиях. Поскольку языковые модели всё чаще автономно генерируют новые исследовательские результаты, исследователи-люди могут стать узким местом при изучении и проверке этих результатов на техническую достоверность, новизну и полезность».
В отчёте Anthropic не упоминается, использовали ли её исследователи Mythos для атаки на более проверенные криптосистемы, такие как криптография на эллиптических кривых и RSA. Улучшения атак на эти системы были бы более впечатляющими. Добившись наиболее впечатляющего результата на алгоритме, который всё ещё находится в зачаточном состоянии, неясно, какое реальное преимущество дал Mythos. Невозможно узнать, насколько близки были исследователи, использующие обычные методы криптоанализа, к обнаружению той же атаки.
В конечном счёте урок из этого исследования прост. Криптоанализ с помощью ИИ остаётся непроверенным, а провайдеры этих платформ заинтересованы в преувеличении своих достижений. В то же время появляется всё больше свидетельств того, что LLM могут обеспечить значительные преимущества в поиске криптографических слабостей. Было бы ошибкой полагать, что LLM когда-нибудь не сыграют важную роль в гонке между защитой и компрометацией наших наиболее важных активов.
Заголовок и текст этой статьи были обновлены, чтобы отразить отзыв HAWK.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Dan Goodin
