Hotbilden mot kryptering: sårbarheter, bakdörrar och kvantdatorer

Skillnaden blir tydlig om man jämför med hur IT-säkerhet i övrigt är uppbyggd. I ett IT-system byggs säkerheten normalt i lager. Brandvägg, intrångsdetektering, loggning och övervakning samverkar, och brister ett lager kan ett annat fånga upp angreppet. Ett krypterat meddelande som har skickats iväg går inte att återkalla. En brandvägg som inte håller mot en ny typ av hot går däremot att byta ut, och skadan stannar där.

– Har jag krypterat något och skickat ut det, och det sedan visar sig att krypteringen inte var bra, så kan jag byta apparat, mekanism eller algoritm. Men det jag skickade ut är redan ute, säger Jens.

Ett meddelande som inte går att knäcka idag kanske kan knäckas om två år, eller om tio. Den som samlar på sig krypterad trafik nu kan alltså vänta ut utvecklingen. Angreppssättet brukar kallas harvest now, decrypt later: samla krypterad text idag, dekryptera när metoderna finns. Skyddet måste därför vara rätt från början.

Attack utan spår

Ett kryptosystem som har knäckts ser ut att fungera precis som vanligt.

– Om ett kryptosystem inte håller måttet, och någon sitter och läser det jag har skickat ut, det vet jag ju aldrig. Det finns inget som indikerar på att systemet är knäckt, säger Jens.

Ett intrång i ett IT-system märks däremot förr eller senare. Information försvinner, system slutar fungera och aktiviteten lämnar spår i loggarna. Ett tydligt exempel på skillnaden är andra världskriget, när de allierade kunde läsa tysk trafik krypterad med Enigma utan att Tyskland förstod det. Apparaterna gjorde precis vad de skulle, men systemet var inte tillräckligt säkert. Resten stod handhavandet för: upprepade nyckelinställningar, förutsägbara formuleringar och slarvigt valda nycklar.

Fyra ytor att angripa

Hotbilden kan delas in efter vad en angripare faktiskt riktar in sig på.

Det första är metoden, alltså algoritmen eller kryptosystemet i sig. Här står skyddet idag förhållandevis starkt. Öppna algoritmer som granskas av oberoende experter, testas i flera omgångar och antas som standarder gör det svårt att gömma matematiska svagheter. Standardiseringsarbetet drivs i stor utsträckning av NIST, den amerikanska standardiseringsmyndigheten.

Det andra är implementationen. Rätt algoritm kan implementeras fel. En produkt kan använda en godkänd metod och ändå innehålla brister i konstruktion, hårdvara eller kod. Det är därför kryptoprodukter granskas betydligt hårdare än de flesta andra IT-produkter.

Det tredje är nyckelhanteringen. Nycklar skapas, distribueras, används och destrueras, ofta i processer som ligger delvis utanför själva systemet och som kräver mänsklig hantering. Där finns utrymme för både misstag och slarv.

Det fjärde är handhavandet. Ett system som används på fel sätt kan bli möjligt att knäcka även om allt annat är korrekt. Enigma är ett exempel på hur ytorna hänger ihop: svagheten i konstruktionen blev användbar först i kombination med hur maskinerna hanterades.

Bakdörrar

Utöver oavsiktliga fel finns en hotkategori som är särskilt förknippad med kryptoområdet: avsiktligt inbyggda svagheter.

Det kanske mest kända exemplet är Crypto AG, det schweiziska kryptoföretaget som under decennier sålde utrustning till stora delar av världen och samtidigt ägdes av amerikansk och västtysk underrättelsetjänst. Kunderna trodde att de skyddade sin kommunikation. I praktiken lämnade de över den. Företaget har svenska rötter. Crypto AG växte fram ur Boris Hagelins kryptomaskintillverkning i Stockholm, AB Cryptoteknik. Hagelin flyttade till Schweiz 1948 och grundade Crypto AG fyra år senare.

Bakdörrar behöver dock inte planteras i en produkt. De kan planteras i standarden. Enligt Snowden-dokumenten har den amerikanska underrättelsetjänsten NSA placerat personer i standardiseringsarbete i syfte att få igenom en standard som innehöll en svaghet, utan att övriga deltagare förstod det.

Ett dokumenterat fall är slumptalsgeneratorn Dual EC DRBG, som bygger på elliptiska kurvor och standardiserades av NIST 2006. Generatorn använder två fasta punkter på kurvan, och den som känner till sambandet mellan dem kan förutsäga kommande tal efter att ha sett en liten mängd utdata. Redan 2007 visade forskare att en sådan bakdörr var konstruerbar. Algoritmen förblev ändå förvald i ett av marknadens mest spridda kryptobibliotek, vilket innebar att den som inte aktivt valde något annat fick den på köpet. Efter Snowden-dokumenten 2013 avrådde NIST inom några dagar från algoritmen, och 2015 ströks den formellt ur standarden. Fallet visar samtidigt ett generellt problem inom modern kryptologi. Mycket få personer har kompetens att bedöma om ett kryptosystem faktiskt är säkert, samtidigt som mycket många är beroende av att bedömningen är rätt.

– Det är både snyggt jobbat och ganska brutalt. Man deltar i en standardiseringskommitté med motsatt syfte mot vad kommittén ska göra, och ingen upptäcker det, säger Jens.

Att bakdörrar är svåra att upptäcka hänger ihop med att moderna kryptosystem är komplexa. De innehåller mycket elektronik och ofta hundratusentals rader kod. Det är en av anledningarna till att de flesta länder reglerar hur kryptosystem får användas för att skydda nationell säkerhet, och ställer särskilda krav på kryptoleverantörer, bland annat på säkerhetsklassad personal och på granskning av produkterna.

Jämför man med historien har tyngdpunkten förskjutits.

– Historiskt hade vi svaga metoder, men själva apparaten var det oftast inget fel på. Enigma gjorde ju rätt. Idag är det nästan tvärtom. Vi har god koll på metoderna, men mindre koll på de här komplexa apparaterna, säger Jens.

Kvantdatorer 

Det enskilt största kommande hotet mot dagens kryptosystem är kvantdatorer.

En vanlig dator arbetar med bitar som är antingen ett eller noll. En kvantdator arbetar med qubitar, som kan befinna sig i båda tillstånden samtidigt. Det bygger på kvantfysikaliska egenskaper som bara består så länge partiklarna är helt isolerade från omvärlden, vilket för de flesta av dagens plattformar kräver vakuum och temperaturer nära absoluta nollpunkten. Det är därför kvantdatorer är extremt svåra att bygga.

Kvantdatorer finns idag, men inte i en storlek och stabilitet som räcker för att knäcka kryptering. Konstruktionsprinciperna är däremot kända.

Hotet gäller framför allt de asymmetriska algoritmerna, som används för nyckelutbyte i de flesta system. Knäcks nyckelutbytet har angriparen nyckeln, och därmed innehållet.

Eftersom kvantdatorerna ännu inte finns är det rimligt att fråga varför uppgraderingar ska göras idag. Svaret ligger i tidsaspekten.

– Har man en hemlighet får man fundera på hur länge den ska vara hemlig. Är det identiteten på till exempel en underrättelseofficer så är det kanske livslång hemlighetsstämpling. Skickar man den med ett kryptosystem som inte är kvantsäkert, och det senare kommer en kvantdator, då går informationen att forcera medan den fortfarande är känslig, säger Jens.

Forskare inom området brukar tala om att en tillräckligt kraftfull kvantdator kan finnas om tio till femton år. Information som ska vara skyddad längre än så behöver alltså skyddas kvantsäkert redan idag.

Standarderna finns på plats. NIST fastställde de första algoritmerna för kvantsäker kryptering i augusti 2024, med ytterligare en algoritm vald 2025 för att bredda den matematiska grunden. Arbetet med att införa dem i befintliga system pågår, och är omfattande.

Hotbilden mot kryptering har alltid rört sig. Någon konstruerar ett system, någon annan hittar ett sätt att bryta det, och ett nytt system tar vid. Det som förändras är inte principen, utan vilka resurser och vilken tidshorisont angriparen har.

Om Tutus 

Tutus är ett svenskt cybersäkerhetsföretag som erbjuder helhetslösningar inom informations- och nätverkssäkerhet, med särskilt fokus på kryptering och säker kommunikation. Sedan 1992 har vi utvecklat avancerade lösningar för samhällsviktiga verksamheter med höga säkerhetskrav – med produkter godkända för hantering av säkerhetsskyddsklassificerad information upp till Begränsat hemlig på nationell nivå samt EU Restricted och Nato Restricted.