it-swarm-id.com

Seberapa amankah enkripsi 256-bit yang digunakan dalam transaksi bank?

Sebagian besar bank menggunakan enkripsi 128-bit atau 256-bit. Apa artinya ini? Apakah ini berarti bahwa kunci yang digunakan dalam SSL panjangnya 128-bit atau apa?

Jika panjangnya kunci SSL maka kunci RSA 128 bit mudah didekripsi. Situs rsa sendiri merekomendasikan kunci yang memiliki panjang 1024 bit atau lebih.

14
Ashwin

Anda dapat mengabaikan pernyataan tentang 128 dan 256 bit. Ini adalah pernyataan pemasaran yang dimaksudkan untuk terdengar mengesankan, tetapi sebenarnya itu hanya berarti bahwa mereka menggunakan SSL dengan cara yang tidak sepenuhnya bodoh.

(Ini berarti kunci simetris menggunakan kunci 128-bit atau 256-bit. Ini memastikan bahwa sandi simetris bukan merupakan tautan terlemah dalam rantai. Namun karena sandi simetris bukanlah tautan terlemah dalam rantai, maka risiko akan terutama di tempat lain, jadi Anda tidak boleh terlalu terjebak dalam arti kekuatan 128- atau 256-bit.Ini hanya berarti mereka belum memilih konfigurasi bodoh yang membuat kunci simetris mudah pecah. berarti bahwa kunci RSA adalah 128 bit atau 256 bit; seperti yang Anda katakan, kunci RSA 128-bit atau 256-bit akan benar-benar tidak aman.)

Ada banyak tulisan tentang topik ini di situs ini. Saya sarankan Anda membaca Apakah mengunjungi situs web HTTPS di hotspot publik aman? . Lihat juga entri blog QotW # 3: Apakah koneksi SSL yang dibuat berarti suatu garis benar-benar aman? . Dan baca Apakah mengakses rekening bank di internet benar-benar aman? dan Apakah koneksi ssl yang dibuat berarti garis benar-benar aman . Melakukan pencarian di situs ini akan menemukan banyak informasi - cobalah!

23
D.W.

Panjang kunci asimetris (seperti dalam RSA) dan panjang kunci sandi (seperti pada AES, RC4) sangat berbeda. Kunci RSA yang digunakan dalam kriptografi asimetris publik-swasta harus 1024-bit atau lebih besar. AES, RC4 dan kunci sandi lainnya harus 128 bit atau lebih besar. Apa bedanya? RSA secara luas membuat semua orang tahu kunci publik N dan e, di mana N adalah produk dari dua bilangan prima besar. Jika Anda dapat memasukkan faktor nomor komposit N, Anda dapat memperoleh kunci pribadi dan mendekripsi pesan apa pun yang dienkripsi dengan kunci publik.

Anjak adalah masalah sulit yang tidak dapat dilakukan dalam waktu polinomial pada komputer non-kuantum, tetapi ada trik dari teori bilangan ke bilangan faktor yang lebih baik daripada kekuatan kasar naif. Secara sepele ketika mencari faktor N, daripada mencoba setiap bilangan bulat antara 1 dan N, Anda bisa melewati semua angka genap kecuali 2, atau mencoba membaginya dengan faktor prima atau berhenti ketika Anda mencapai sqrt (N), daripada mencoba untuk membagi oleh setiap faktor antara 1 dan N. Dalam teknik dunia nyata seperti metode kurva eliptik dapat faktor ~ angka komposit 260-bit dalam beberapa menit pada satu cpu.

AES dan RC4 di sisi lain adalah sandi simetris. Mereka hanya perlu beberapa tombol angka acak untuk mendekripsi pesan. Jadi untuk memaksa-paksa kunci cipher 128 bit Anda harus mencoba sebagian besar dari 2128 ~ 1038 tombol yang berbeda sampai Anda menemukan salah satu yang berfungsi. Jadi, jika Anda dapat memeriksa satu triliun (10 ^ 12) kunci per detik, dibutuhkan ~ 10 ^ 19 tahun sebelum Anda memeriksa sebagian besar kunci. Perhatikan kunci 256-bit akan menjadi 2 ^ 128 kali lebih sulit untuk di-brute-force (butuh 10 ^ 57 tahun).

Jadi ketika saya masuk ke situs perbankan dan klik pada informasi https di google-chrome saya melihat:

Koneksi Anda ke home.ingdirect.com dienkripsi dengan enkripsi 128-bit.

Koneksi menggunakan TLS 1.0.

Koneksi dienkripsi menggunakan RC4_128, dengan MD5 untuk otentikasi pesan dan RSA sebagai mekanisme pertukaran kunci.

Jika saya kemudian klik pada informasi sertifikat terperinci, dan pergi ke bidang sertifikat "Kunci Publik Subjek" Saya melihat bahwa mereka menggunakan modulus 2048-bit (N modulus dua bilangan prima besar).

9
dr jimbob

Bukan hanya keamanan enkripsi yang harus Anda perhatikan, tetapi juga implementasinya. Ada beberapa serangan di luar sana yang menghindari keamanan ssl sama sekali.

Presentasi Blackhat tentang mengalahkan SSL

perangkat lunak SSLStrip

6
woozle

Ini adalah kunci simetris AES/RC4 yang panjangnya 256bit.

Kriptografi asimetris seperti RSA sangat lambat dan membutuhkan kunci yang sangat besar yang didasarkan pada produk-produk bilangan prima yang sangat besar sehingga hanya digunakan untuk pertukaran awal kunci enkripsi simetris dan menyetujui algoritma yang digunakan dan semacamnya.

Setelah pertukaran kunci awal, koneksi menggunakan semua algoritma enkripsi simetris dengan ukuran kunci yang lebih kecil (yang bisa lebih kecil karena dapat berupa sembarang bit/nomor acak, tidak ada persyaratan bilangan prima yang besar ini).

5
ewanm89

Ini sebenarnya skema enkripsi hybrid. 128 dan 256 bit mengacu pada kunci sandi simetris seperti AES. Kunci RSA yang merupakan cipher kunci publik atau asimetris menggunakan seperti 2048 bit.

Jadi skema yang digunakan adalah: RSA-2048-with-AES-256-CTR Kunci RSA-2048 digunakan untuk mengenkripsi kunci AES-256. Tetapi data transaksi aktual dienkripsi dengan kunci AES-256.

0
WAR10CK