En criptografía, el nivel de seguridad es una medida de la fuerza que logra una primitiva criptográfica , como un cifrado o una función hash . El nivel de seguridad generalmente se expresa como un número de " bits de seguridad" (también fuerza de seguridad ), [1] donde n -bit de seguridad significa que el atacante tendría que realizar 2 n operaciones para romperlo, [2] pero se han propuesto otros métodos que modelan más de cerca los costos para un atacante. [3] Esto permite una comparación conveniente entre algoritmos y es útil cuando se combinan múltiples primitivas en un criptosistema híbrido , por lo que no hay un eslabón más débil claro. Por ejemplo, AES -128 ( tamaño de clave de 128 bits) está diseñado para ofrecer un nivel de seguridad de 128 bits, que se considera aproximadamente equivalente a un RSA que utiliza una clave de 3072 bits.
En este contexto, el nivel de seguridad de la reivindicación de seguridad o el nivel de seguridad objetivo es el nivel de seguridad que un primitivo fue diseñado inicialmente para alcanzar, aunque a veces también se utiliza "nivel de seguridad" en esos contextos. Cuando se encuentran ataques que tienen un costo menor que la reivindicación de seguridad, se considera que el primitivo está dañado . [4] [5]
Los algoritmos simétricos suelen tener una exigencia de seguridad estrictamente definida. Para los cifrados simétricos , normalmente es igual al tamaño de la clave del cifrado, equivalente a la complejidad de un ataque de fuerza bruta . [5] [6] Las funciones hash criptográficas con un tamaño de salida de n bits suelen tener un nivel de seguridad de resistencia a colisiones n /2 y un nivel de resistencia a preimagen n . Esto se debe a que el ataque de cumpleaños general siempre puede encontrar colisiones en 2 n/2 pasos. [7] Por ejemplo, SHA-256 ofrece una resistencia a colisiones de 128 bits y una resistencia a preimagen de 256 bits.
Sin embargo, existen algunas excepciones. Phelix y Helix son cifrados de 256 bits que ofrecen un nivel de seguridad de 128 bits. [5] [8] Las variantes SHAKE de SHA-3 también son diferentes: para un tamaño de salida de 256 bits, SHAKE-128 proporciona un nivel de seguridad de 128 bits tanto para la resistencia a colisiones como a preimagen. [9]
El diseño de la mayoría de los algoritmos asimétricos (es decir, la criptografía de clave pública ) se basa en problemas matemáticos claros que son eficientes para calcular en una dirección, pero ineficientes para revertir por parte del atacante. Sin embargo, los ataques contra los sistemas de clave pública actuales son siempre más rápidos que la búsqueda por fuerza bruta del espacio de claves. Su nivel de seguridad no se establece en el momento del diseño, sino que representa un supuesto de dureza computacional , que se ajusta para que coincida con el mejor ataque conocido actualmente. [6]
Se han publicado varias recomendaciones que estiman el nivel de seguridad de los algoritmos asimétricos, que difieren ligeramente debido a las diferentes metodologías.
La siguiente tabla contiene ejemplos de niveles de seguridad típicos para los tipos de algoritmos que se encuentran en la sección 5.6.1.1 de la Recomendación para la gestión de claves SP-800-57 del NIST de EE. UU. [16] : Tabla 2
Según la recomendación del NIST, una clave de un nivel de seguridad determinado solo debe transportarse bajo protección utilizando un algoritmo de nivel de seguridad equivalente o superior. [14]
El nivel de seguridad se proporciona para el costo de descifrar un objetivo, no para el costo amortizado de un grupo de objetivos. Se necesitan 2 128 operaciones para encontrar una clave AES-128, pero se requiere la misma cantidad de operaciones amortizadas para cualquier cantidad m de claves. Por otro lado, descifrar m claves ECC utilizando el método rho requiere sqrt( m ) veces el costo base. [15] [17]
Se considera que una primitiva criptográfica está rota cuando se descubre que un ataque tiene un nivel de seguridad menor al anunciado. Sin embargo, no todos estos ataques son prácticos: la mayoría de los ataques demostrados actualmente requieren menos de 2 40 operaciones, lo que se traduce en unas pocas horas en una PC promedio. El ataque demostrado más costoso contra funciones hash es el ataque 2 61.2 contra SHA-1, que llevó 2 meses en 900 GPU GTX 970 y costó 75 000 dólares (aunque los investigadores estiman que solo se necesitaron 11 000 dólares para encontrar una colisión). [18]
Aumasson traza la línea divisoria entre ataques prácticos e imprácticos en 280 operaciones y propone una nueva terminología: [19]
{{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite book}}: Mantenimiento de CS1: otros ( enlace ){{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite journal}}: Requiere citar revista |journal=( ayuda )