Amatører og Pros Vie å bygge ny Crypto Standard

Den femten år gamle Peter Schmidt-Nielsen tilbrakte bare en måned arbeidet med hans innlevering, men han mener han har kommet opp med noe "uvanlig og nytt." Ikke bry deg om at han står overfor noen av verdens mest kjente kryptografer.

Schmidt-Nielsen er en av mer enn 60 deltakere i det som forventes å være en fireårig konkurranse for å velge en ny hashingalgoritme som vil bidra til å låse seg Kryptografien som brukes av alt fra nettbaserte betalingssystemer for å sikre e-post til kildekoden management tools.

Konkurransen, sponset av National Institute of Standards and Technology (NIST), håper å finne en ny kryptografisk hash-algoritme å erstatte SHA-2 (Secure Hash Algorithm - 2) algoritmen som NIST publiserte for åtte år siden. Fristen for SHA-3 innsendinger var 31. oktober, og NIST håper å kutte feltet ned til 15 eller 20 deltakere innen august. Det er da det harde arbeidet med å hamre bort på innsendingene og banker løs eventuelle feil vil virkelig begynne.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Schmidt-Nielsen og andre gjør sitt arbeid ubetalt, konkurrerer hovedsakelig for prestisje og spenningen av å se sitt arbeid analysert av sine jevnaldrende. "Jeg synes det er massevis av moro," sa Schmidt-Nielsen, som først kom inn i kryptografi i en alder av 13 år. "Det vil være veldig fascinerende å se at algoritmen min blir helt revet fra hverandre."

Også i løp er berømte kryptografer som Bruce Schneier, BTs sjefsikkerhetsansvarlig og Ron Rivest, som oppfant den mye brukte MD5 hash-algoritmen.

Men hva er en hashalgoritme uansett?

Hashing er dataprat for å finne en måte å ta en melding - en e-post, for eksempel - og representerer den med et unikt nummer som ser ut til å være tilfeldig. Hashing ble utviklet som en måte å redusere databehandling på når programmer gjør ting som å skanne filer for å se om de har blitt endret. Det er mye raskere å sammenligne to hashverdier enn å skanne gjennom hele filene for endringer.

I en kryptografisk hash blir nummeret kryptert, og skaper en digital signatur som kan verifiseres ved hjelp av kryptering med offentlig nøkkel. I praksis brukes disse digitale signaturene til å bekrefte at et nettsted egentlig er nettstedet det hevder å være, eller at en e-postmelding er fra personen som hevder å ha sendt den, og at den ikke har " har blitt manipulert underveis.

Fra og med 2004 fant forskere ledet av Shandonguniversitetets Wang Xiaoyun svakheter i MD5 og SHA-1-hashalgoritmer. De oppdaget at det var lettere enn det hadde vært antatt å opprette to tall som har samme hashverdi. I kryptografisk parlanse kalles dette en kollisjon, og det regnes som en veldig dårlig ting fordi den undergraver integriteten til kryptografisk system.

"Det er gjort alle nervøse", sa Rivest, en ingeniør- og datavitenskapelig professor ved Massachusetts Institute of Teknologi. Han ledet laget som sendte MD6-algoritmen i NISTs konkurranse.

Nostradamus-hacket viste bare hvorfor folk var nervøse: Forskere var i stand til å lage forskjellige.pdf-filer som delte samme hashverdi ved hjelp av MD5. For å illustrere hvorfor dette er et problem, publiserte de hashverdien av pdf-filen som inneholder navnet på deres valg fra USAs presidentvalg i 2008, og opprettet deretter pdfs med navnene til hver enkelt kandidat, som alle delte samme hash.

Det skulle nesten ikke være mulig å gjøre under en sikker hashalgoritme.

Hvis Nostradamus-folkene kunne bruke kollisjoner til å utføre sitt angrep, ville kriminelle til slutt kunne lage falske digitale signaturer og gjøre phoney-websider ser ut akkurat som for For eksempel, www.bankofamerica.com?

Må være en dag, sier Bill Burr, en leder med NISTs Security Technology Group. "SHA-1 er ikke så ødelagt i øyeblikket vi tror at folk kan gjøre sammenstøtene, men vi forventer kollisjonen en dag," sa han. "Begrepet her er at vi har en dike og dike lekker, og vi er så redd for at vi virkelig kunne få en flom."

Selv om den siste SHA-2-algoritmen "sannsynligvis forblir sikker i overskuelig fremtid", har den begrensninger og er basert på gamle kryptografiske teknikker, sa Schneier, som sammen med andre har sendt inn en hashingalgoritme som heter Skein. "Jeg tror det er god grunn til å gjøre det."

Å plukke den nye hashalgoritmen vil ikke bli gjort over natten. NISTs Burr sier at han ikke forventer å ha en SHA-3-vinner frem til 2012, og det kan ta et tiår til at algoritmen blir allment vedtatt, sa han.

Men konkurranser som NISTs kommer ikke sammen hver dag, og Burr sier at han er imponert over innleveringene. Mange av dem, inkludert Rivests MD6-innsending, benytter seg av nye multi-prosessor-datamaskiner som nå er tilgjengelige og kan være raskere enn dagens algoritmer.

"Det er bare utrolig mye arbeid som har gått inn i noen av disse forslagene," Burr sa. "Noen av dem ser fantastisk ut, noen av dem ser ut som om de kanskje ble gjort av et 13 år gammelt barn, og det er alt i mellom."