Lecture 6 — Integrity & Basic Encryption

Integrity คือการที่ของยังเป็นชิ้นเดิม ไม่ถูกแก้ ไม่ถูกแทน และได้มาจากสองทางเท่านั้น — ฮาร์ดแวร์กั้นไว้ หรือ เข้ารหัสมันไว้ ข้อมูลที่ออกจากเครื่องไปแล้ว เช่นอยู่ในแฟลชไดรฟ์ ในอีเมล หรือในแพ็กเก็ตบนสาย ไม่มีฮาร์ดแวร์ตัวไหนคุ้มครองอีก จึงเหลือทางเดียว

เนื้อหามาจากสไลด์ Chapter 6 ทั้ง 47 หน้า คำนิยาม ชื่ออัลกอริทึม ปี ชื่อคน และตัวอย่างรหัสทุกชุดมาจากสไลด์จริง ส่วนคำอธิบาย รูป และกล่องที่ติดป้าย "เสริม" เขียนขึ้นใหม่

ตัวอย่างรหัสสี่ชุดในหน้านี้ถอดออกมาแล้วตรวจซ้ำด้วยโปรแกรมทุกชุด ผลตรงกับที่สไลด์เขียนไว้

สามตัวเดิมตอบคำถามเกี่ยวกับ คน ทั้งหมด

Authentication ถามว่าคุณคือใคร Authorization ถามว่าคุณทำอะไรได้ Auditing ถามว่าใครทำอะไรไปแล้วบ้าง

Integrity ถามคำถามที่ต่างออกไป คือถามเกี่ยวกับ ของ — ไฟล์ชิ้นนี้ยังเป็นชิ้นเดิมอยู่ไหม ข้อความนี้ระหว่างทางถูกแก้หรือเปล่า

และนี่คือเหตุผลที่มันมาทีหลัง เพราะสามตัวแรกจะเชื่อถือได้ก็ต่อเมื่อของที่มันทำงานด้วย — ตารางสิทธิ์ ไฟล์รหัสผ่าน ตัว log เอง — ยังไม่ถูกแก้ ถ้า integrity พัง ทั้งสามตัวข้างบนพังตามทันที

สามข้อนี้ไม่ใช่คำถามเชิงปรัชญา มันคือรายการสิ่งที่ต้องตัดสินใจก่อนออกแบบระบบ

ทุกครั้งที่ตอบว่า "ไว้ใจ" เรากำลังบอกว่าถ้าสิ่งนั้นโกหก ระบบทั้งระบบพัง โดยไม่มีอะไรจับได้

ตัวอย่างที่ชัดที่สุดคือตัวประมวลผล ถ้าตัวประมวลผลถูกฝังคำสั่งลับไว้ ระบบปฏิบัติการที่รันอยู่บนมันไม่มีทางรู้เลย เพราะทุกอย่างที่ระบบปฏิบัติการเห็น ก็เห็นผ่านตัวประมวลผลตัวนั้น

รูปแบบนี้ยังอยู่ เช่น สคริปต์ที่ก๊อปมาจากอินเทอร์เน็ตแล้ววางลง terminal ให้รันด้วยสิทธิ์ผู้ดูแลระบบ ซึ่งเครื่องมีกลไกป้องกันครบทุกอย่าง แต่ผู้ใช้ยกสิทธิ์ให้เองทั้งก้อน

Sandbox เริ่มจากโค้ดหนึ่งชิ้นที่เราไม่ไว้ใจ แล้วล้อมกรอบรอบมัน ข้างในกรอบทำอะไรก็ได้ ข้างนอกกรอบห้ามแตะ

Domain เริ่มจากระบบทั้งระบบ แล้วซอยเป็นเขต ๆ ทุกเขตถูกจำกัดเท่ากันหมด ไม่มีเขตไหนพิเศษกว่าเขตไหน เช่นแต่ละโพรเซสมีหน่วยความจำของตัวเองที่โพรเซสอื่นมองไม่เห็น

ผลลัพธ์คล้ายกันคือของข้างในออกมาข้างนอกไม่ได้ แต่ตอนออกแบบคิดคนละแบบ กล่องนี้เป็นคำอธิบายเสริม

Trust ≠ Secure — ไว้ใจ ไม่เท่ากับ ปลอดภัย

ลายเซ็นตอบได้แค่คำถามเดียวคือ ใครเป็นคนเขียน มันไม่ได้ตอบว่าโค้ดนั้นเขียนดีหรือเปล่า

Microsoft เซ็นโค้ดที่มีช่องโหว่มาแล้วนับไม่ถ้วน ลายเซ็นไม่ได้ผิด เพราะมันไม่เคยสัญญาว่าโค้ดจะไม่มีบั๊ก มันสัญญาแค่ว่าโค้ดมาจากคนคนนี้จริง และไม่ถูกแก้ระหว่างทาง

ซึ่งถ้าสังเกตให้ดี สองอย่างที่ลายเซ็นสัญญานั้นคือ authentication กับ integrity พอดี ไม่ใช่ security ทั้งก้อน

สมมติ sandbox เป็นแค่โปรแกรมตรวจตัวหนึ่ง ที่ดักทุกครั้งที่โค้ดแปลกหน้าขอเปิดไฟล์ ถ้าโปรแกรมตรวจกับโค้ดนั้นเป็นโค้ดเครื่องที่รันด้วยสิทธิ์ระดับเดียวกันในหน่วยความจำเดียวกัน โค้ดนั้นก็เขียนทับโปรแกรมตรวจให้ตอบว่า "อนุญาต" ทุกครั้งได้

sandbox ที่บังคับด้วยซอฟต์แวร์ เช่น JVM ที่ตรวจ Java applet จึงแข็งแรงได้แค่เท่ากับของที่อยู่ข้างใต้มัน ต้องมีของที่ซอฟต์แวร์แก้ไม่ได้มากั้นไว้ชั้นล่างสุด

Segmentation แบ่งตามความหมายของข้อมูล ช่องหนึ่งคือโค้ด อีกช่องคือข้อมูล อีกช่องคือ stack ขนาดแต่ละช่องไม่เท่ากัน เพราะขึ้นกับว่าของข้างในใหญ่แค่ไหน

Page แบ่งตามขนาดตายตัว ทุกช่องเท่ากันหมด เช่นช่องละ 4 KB โดยไม่สนใจว่าข้างในเป็นอะไร

ระบบสมัยใหม่ใช้ page เป็นหลักเพราะจัดการง่ายกว่า และวางหน้าใดหน้าหนึ่งไว้ตรงไหนของหน่วยความจำจริงก็ได้ กล่องนี้เป็นคำอธิบายเสริม

สองวงที่เหลือไม่ได้ไร้ประโยชน์ แต่ต้นทุนของมันไม่คุ้ม

ระบบปฏิบัติการต้องย้ายไปมาระหว่างวงบ่อยมาก และการข้ามวงแต่ละครั้งมีราคาเป็นเวลาที่เสียไป ยิ่งใช้หลายวง โค้ดยิ่งซับซ้อน และยิ่งผูกติดกับสถาปัตยกรรมเดียว

ที่สำคัญกว่านั้นคือ ระบบปฏิบัติการที่อยากรันได้บนหลายสถาปัตยกรรมต้องใช้เท่าที่ทุกสถาปัตยกรรมมีเหมือนกัน ซึ่งก็คือสองวง

บทนี้ให้ไว้แค่ชื่อ tagged memory คำอธิบายข้างล่างเขียนขึ้นใหม่

Ring และ tagged memory ทำงานได้เพราะข้อมูลอยู่ในหน่วยความจำของเครื่องที่เราคุมตัวประมวลผลอยู่

พอข้อมูลออกจากเครื่องไปแล้ว ตัวประมวลผลตัวนั้นไม่เกี่ยวข้องอีกต่อไป ไฟล์ในแฟลชไดรฟ์ถูกเสียบเข้าเครื่องไหนก็ได้ แพ็กเก็ตวิ่งผ่านเราเตอร์ของใครก็ได้

integrity จึงต้องเดินทางไปกับตัวข้อมูลเอง แทนที่จะฝากไว้กับเครื่องที่มันเคยอยู่ และเครื่องมือที่ทำแบบนั้นได้คือการเข้ารหัส

หัวข้อ Hardware Integrity ในบทนี้ประกาศไว้ว่าจะพูดเรื่อง Physical Tamper Resistance คือการทำให้อุปกรณ์ทนต่อการงัดแงะทางกายภาพ แต่บทนี้ไม่ได้ลงรายละเอียดต่อ

โดยย่อคือการออกแบบให้ตัวเครื่อง ลบความลับของตัวเองทิ้งเมื่อถูกเปิด ตัวอย่างที่เห็นได้คือชิปในบัตรเครดิต โมดูลฮาร์ดแวร์ที่เก็บกุญแจ และเครื่อง ATM ซึ่งมีเซ็นเซอร์ตรวจแรงดัน อุณหภูมิ และแสง ถ้ามีคนพยายามแกะ กุญแจข้างในจะถูกล้างก่อนที่ใครจะอ่านได้

ย่อหน้าที่สองเป็นคำอธิบายเสริม

พันแถบหนังรอบแท่งไม้ที่มีเส้นผ่านศูนย์กลางเฉพาะ แล้วเขียนข้อความตามยาวของแท่ง พอคลายแถบหนังออก ตัวอักษรจะกระจายไม่เรียงกัน อ่านไม่รู้เรื่อง

ผู้รับต้องมีแท่งไม้ ขนาดเดียวกัน จึงจะพันกลับแล้วอ่านได้ ขนาดของแท่งไม้จึงทำหน้าที่เป็นกุญแจ

เหตุผลอยู่ที่คำว่า ตายตัว

ถ้า e กลายเป็น R ทุกครั้งโดยไม่มีข้อยกเว้น ความถี่ของ e ในภาษาอังกฤษก็ย้ายไปอยู่กับ R ทั้งก้อน

ในภาษาอังกฤษ e เป็นตัวที่พบบ่อยที่สุด ตัวที่โผล่บ่อยที่สุดในข้อความที่เข้ารหัสแล้วจึงเป็น e แทบจะแน่นอน จากนั้นก็ไล่ตัวถัดไปทีละตัว

กุญแจไม่ได้ถูกเดา มันถูกอ่านออกมาจากตัวข้อความเอง และนี่คือเหตุผลที่รหัสสองแบบในส่วนที่ 6 ต้องทำให้ ตัวอักษรเดียวกันเข้ารหัสออกมาไม่เหมือนกัน

โจทย์คือข้อความนี้

Gur fbyhgvba gb gur pvcure vf gur anzr nhoerl juvpu jnf qvssvphyg gb fbyir
orpnhfr yvfgf bs cgbyrzl pbafgryyngvbaf jrer vapbafvfgrag. Vg gbbx frireny
snvyrq nggrzcgf orsber svaqvat n jbexnoyr yvfg.

นับตัวอักษรในข้อความนี้ทั้ง 165 ตัว ตัวที่พบบ่อยที่สุดคือ r 21 ครั้ง ตามด้วย g 19 ครั้ง ถ้าเดาว่า r คือ e ซึ่งพบบ่อยที่สุดในภาษาอังกฤษ ระยะห่างคือ 13 ตำแหน่ง และ g ก็เลื่อน 13 ตำแหน่งได้ t ซึ่งพบบ่อยอันดับสองพอดี

การเลื่อนตัวอักษรทุกตัวไปเท่ากันเป็นรหัสแทนที่แบบตายตัวแบบหนึ่ง เรียกว่ารหัส Caesar เพราะ Julius Caesar เคยใช้แบบเลื่อน 3 ตำแหน่ง ส่วนตาราง SECURITY ข้างบนก็เป็นรหัสตระกูลเดียวกันอีกแบบ การนับตัวอักษรในย่อหน้าก่อนและเรื่องการเลื่อน 3 ตำแหน่งเป็นคำอธิบายเสริม ข้อความนี้คือ ROT13 ซึ่งเลื่อน 13 ตำแหน่ง ถอดได้เป็น

The solution to the cipher is the name aubrey which was difficult to solve
because lists of ptolemy constellations were inconsistent. It took several
failed attempts before finding a workable list.

ลองทายก่อน: ถ้าเอาข้อความที่ถอดแล้วไปเลื่อน 13 ตำแหน่งอีกรอบ จะได้อะไร

คำตอบคือได้ข้อความรหัสชุดข้างบนคืนมา ROT13 มีคุณสมบัติที่ทำให้จำง่าย คือ เข้ารหัสกับถอดรหัสเป็นการกระทำเดียวกัน เพราะเลื่อนไป 13 สองครั้งเท่ากับเลื่อนไป 26 ซึ่งวนกลับมาที่เดิม

ไฟล์ติดตั้งขนาดหลายกิกะไบต์ถูกวางไว้ที่ mirror site ทั่วโลก ซึ่งเจ้าของซอฟต์แวร์ไม่ได้คุมเครื่องพวกนั้น ผู้ใช้ที่ดาวน์โหลดจาก mirror จะรู้ได้ยังไงว่าไฟล์ไม่ถูกแก้ระหว่างทาง

เทียบกับต้นฉบับทีละไบต์ก็ต้องโหลดต้นฉบับมาอีกรอบ ซึ่งถ้าโหลดต้นฉบับได้ ก็ไม่ต้องใช้ mirror ตั้งแต่แรก ที่ต้องการคือ ของชิ้นเล็ก ๆ ที่แทนทั้งไฟล์ได้

หน้าที่รวมรายชื่อการเข้ารหัสยุคใหม่เขียนกำกับ hash ไว้ว่า short input > long output คือเข้าสั้นออกยาว

แต่หน้าถัดมาที่อธิบาย hash โดยตรงเขียนว่า input may vary in size, output is a fix-length value คือเข้ายาวเท่าไหร่ก็ได้ ออกยาวคงที่

ข้อความหลังถูกต้อง SHA-256 ให้ผลยาว 256 บิตเสมอ ไม่ว่าจะป้อนไฟล์ 5 ไบต์หรือ 5 กิกะไบต์เข้าไป ยกมาบอกไว้เพราะถ้ากลับไปอ่านสไลด์เองจะเจอทั้งสองข้อความ

คำถาม Collision? ตอบได้ด้วยการนับ

ข้อมูลเข้ายาวเท่าไหร่ก็ได้ แปลว่าข้อมูลเข้าที่เป็นไปได้มีจำนวนไม่จำกัด

ข้อมูลออกยาวคงที่ เช่น 256 บิต แปลว่าข้อมูลออกที่เป็นไปได้มีจำนวนจำกัด คือ 2 ยกกำลัง 256 ค่า

ของไม่จำกัดถูกยัดลงในช่องที่จำกัด จึงต้องมีของคนละชิ้นที่ตกลงช่องเดียวกันแน่นอน นั่นคือ Collision (การชนกันของค่า hash) คือข้อมูลสองชิ้นที่ต่างกันแต่ได้ค่า hash เดียวกัน

collision จึงไม่ใช่บั๊ก มันเลี่ยงไม่ได้ คำถามที่แท้จริงคือ หามันเจอง่ายแค่ไหน ถ้ามีใครสร้างไฟล์สองไฟล์ที่ hash ตรงกันได้ตามใจ hash ตัวนั้นก็ใช้ตรวจ integrity ไม่ได้อีก

คนมักคิดว่า hash ของไฟล์ตรงกับที่หน้าดาวน์โหลดบอก แปลว่าไฟล์เป็นของแท้ ซึ่งไม่จริงเสมอไป

ความเชื่อนี้ดูถูก เพราะการคำนวณไม่ได้ผิด ไฟล์กับค่าที่ประกาศตรงกันจริง ๆ

แต่วิธีนี้ทำงานได้ก็ต่อเมื่อ ช่องทางที่ประกาศค่า hash เชื่อถือได้กว่าช่องทางที่ส่งไฟล์ ถ้าค่า hash ถูกวางไว้บนหน้าดาวน์โหลดหน้าเดียวกันกับไฟล์ คนที่แก้ไฟล์ได้ก็แก้ค่า hash ให้ตรงกับไฟล์ปลอมได้ด้วย การตรวจจึงไม่มีความหมาย

ส่วนนี้ยังโยงกลับไปที่ Trust ≠ Secure ในส่วนที่ 2 ด้วย เพราะสุดท้ายเราไว้ใจว่าเว็บที่ประกาศค่านั้นยังไม่ถูกยึด

แต่ละตำแหน่งคือการบวกตัวอักษรสองตัวเข้าด้วยกันแบบวนรอบ โดยให้ A เท่ากับ 0

• ตำแหน่งที่ 1 — C เท่ากับ 2 บวก L เท่ากับ 11 ได้ 13 ซึ่งคือ N
• ตำแหน่งที่ 2 — O เท่ากับ 14 บวก U เท่ากับ 20 ได้ 34 ซึ่งเกิน 26 จึงลบ 26 เหลือ 8 ซึ่งคือ I

RC4 คือ stream cipher ที่เคยถูกใช้ใน SSL, WEP และ WPA

ปัจจุบัน RC4 ถือว่าอ่อนเกินไป TLS ห้ามใช้แล้ว และหันไปใช้ AES-GCM เป็นหลัก โดยมี ChaCha20-Poly1305 ซึ่งสร้างจาก CHACHA ในรายชื่ออัลกอริทึมท้ายบทนี้เป็นอีกทางเลือก ส่วน Wi-Fi เลิกใช้ WEP และ WPA แล้วเปลี่ยนไปใช้ WPA2 ที่เข้ารหัสด้วย AES ย่อหน้านี้เป็นข้อมูลเสริม

ทุกรูปเข้ารหัส hello ก้อนละ 1 ตัวอักษร กล่อง E คือตารางแทนที่ชุดเดียวกับส่วนที่ 4 หาตัวในแถวบนแล้วอ่านตัวใต้มัน เช่น E(h) ได้ Y

a b c d e f g h i j k l m n o p q r s t u v w x y z
S E C U R I T Y A B D F G H J K L M N O P Q V W X Z

วงกลม ⊕ คือ บวกตัวอักษรแบบวนรอบ แบบ Vigenère ใช้เลขตามนี้ ผลรวมที่เกิน 25 ให้ลบ 26

a  b  c  d  e  f  g  h  i  j  k  l  m  n  o  p  q  r  s  t  u  v  w  x  y  z
0  1  2  3  4  5  6  7  8  9  10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

AES ที่ใช้จริงทำงานแบบเดียวกันแต่ก้อนใหญ่กว่ามาก อยู่ในหัวข้อ "ของจริง — AES ทำงานกับ byte ไม่ใช่ตัวอักษร"

คนมักคิดว่า nonce ไม่ใช่ความลับ ใช้ซ้ำก็ไม่เสียหาย ซึ่งผิด

ความเชื่อนี้ดูถูก เพราะ nonce ถูกส่งไปกับข้อความให้ใครก็เห็นได้อยู่แล้ว เหมือน IV

แต่ ห้ามใช้ nonce ซ้ำกับกุญแจเดิม เพราะ nonce เดิมแปลว่า keystream เดิม ส่ง hello กับ world ด้วย nonce c ทั้งคู่ h กลายเป็น J และ w กลายเป็น Y คนดักฟังเอา Y ลบ J ได้ 15 ซึ่งเท่ากับ w ลบ h พอดี keystream หายไปจากสมการ ใครรู้หรือเดาได้ว่าข้อความแรกขึ้นต้นด้วย h ก็ได้ w ของข้อความที่สองทันทีโดยไม่ต้องรู้กุญแจ OFB ที่ใช้ IV ซ้ำก็พังแบบเดียวกัน

GCM ย่อมาจาก Galois/Counter Mode เข้ารหัสแบบ CTR แล้วแนบ tag ที่คำนวณจากผลลัพธ์ทั้งหมดด้วยกุญแจ ผู้รับคำนวณซ้ำ ถ้าไม่ตรงก็ปฏิเสธทั้งข้อความ

โหมดอื่นในหัวข้อนี้ให้แค่ความลับ ไม่ได้บอกว่าข้อมูลถูกแก้หรือไม่ GCM จึงเป็นโหมดหลักของ TLS สมัยใหม่ กล่องนี้เป็นคำอธิบายเสริม

E ของ AES ทำตัวเหมือนตาราง SECURITY ข้างบน ต่างกันที่มีแถวให้เปิด 2¹²⁸ แถวแทน 26 และกุญแจเป็นตัวเลือกว่าจะใช้ตารางไหน ก้อนเดิมกับกุญแจเดิมจึงได้ผลลัพธ์เดิมทุกครั้ง เหมือน E(h) ได้ Y ทุกครั้ง

คนมักคิดว่า เข้ารหัสด้วย AES แล้ว ข้อมูลไม่รั่วแน่นอน ซึ่งผิดถ้าเลือกโหมดผิด

ความเชื่อนี้ดูถูก เพราะ AES เองยังไม่มีใครเจาะได้จริง

แต่ ECB รั่วกับ AES เหมือนที่รั่วกับตัวอักษร ถ้าเอารูปภาพมาเข้ารหัสด้วย aes-256-ecb แล้วมองผลลัพธ์เป็นรูปอีกที รูปเดิมยังเห็นเป็นเงา เพราะพื้นที่สีเดียวกันคือก้อนที่เหมือนกัน ขอบวัตถุจึงยังอยู่ครบ

อัลกอริทึมไม่ได้ผิด โหมดต่างหากที่ผิด ข้อมูลรั่วผ่านการซ้ำ

ปัญหานี้ฟังดูเล็กแต่ใหญ่มาก

ใครก็สร้างกุญแจคู่หนึ่งขึ้นมา แล้วประกาศว่า public key ดอกนี้เป็นของธนาคารได้ ตัวกุญแจไม่มีชื่อเจ้าของเขียนอยู่ในตัวมันเอง มันเป็นแค่ตัวเลขก้อนหนึ่ง

การเข้ารหัสจึงย้ายปัญหาความไว้ใจ ไม่ได้ลบมันทิ้ง เดิมต้องส่งกุญแจลับให้ถึงมืออีกฝ่ายอย่างปลอดภัย ตอนนี้ต้องรู้ให้ได้ว่า public key ดอกนี้เป็นของใครจริง

สิ่งที่มาแก้ข้อนี้คือ certificate ซึ่งบทนี้บอกไว้ว่าจะกลับมาพูดถึงในเรื่อง PKI (Public Key Infrastructure ระบบที่รับรองว่า public key เป็นของใคร) ทีหลัง

หลักที่จำง่ายคือ เซ็นก่อน แล้วค่อยปิดผนึก

เหมือนจดหมาย กระดาษที่เซ็นชื่อคือชั้น Bob's Priv และซองคือชั้น Alice's Pub เซ็นชื่อบนกระดาษแล้วค่อยใส่ซอง ไม่ใช่ใส่ซองแล้วเซ็นบนซอง เพราะซองถูกเปลี่ยนได้

อุปมานี้ใช้ไม่ได้ตรงที่ ซองจริงใครก็ฉีกอ่านได้ แต่ชั้น Alice's Pub มีแต่ Alice ที่เปิดได้

คนส่วนใหญ่คิดว่าการเข้ารหัสปลอดภัย ซึ่งประโยคสุดท้ายข้างบนบอกว่าไม่จริงเสมอไป

ความเชื่อนี้ดูถูก เพราะวันนี้คนที่ไม่มีกุญแจเปิดข้อความที่เข้ารหัสดีแล้วไม่ออกจริง ๆ

แต่การเข้ารหัสไม่ได้ทำให้ข้อความอ่านไม่ได้ มันทำให้ข้อความ อ่านไม่คุ้ม ในกรอบเวลาที่มีความหมาย

เงื่อนไขคำว่าคุ้มเปลี่ยนได้ตลอด เพราะกำลังประมวลผลเพิ่มขึ้นทุกปี ของที่เข้ารหัสวันนี้แล้วถูกเก็บไว้ อาจถูกเปิดอ่านได้ในสิบปีข้างหน้า

และนี่คือเหตุผลที่หัวข้อถัดไปต้องมี

Quantum Computing โจมตี คณิตศาสตร์ ที่อยู่ใต้ public key คือทำให้การแยกตัวประกอบจำนวนเฉพาะ ซึ่งเป็นฐานของ RSA และ discrete logarithm ซึ่งเป็นฐานของ DSA แก้ได้เร็วขึ้นมาก จึงกระทบทั้งสองตัวโดยตรง แต่กระทบ hash และ symmetric น้อยกว่ามาก

Side-Channel Attacks ไม่โจมตีอัลกอริทึมเลย แต่ดู ร่องรอยที่การทำงานทิ้งไว้ เช่นเวลาที่ใช้ ไฟที่กิน หรือเสียงที่เกิด แล้วเดากุญแจจากตรงนั้น อัลกอริทึมที่พิสูจน์แล้วว่าแข็งแรงก็ยังแพ้ทางนี้ได้ถ้าเขียนโค้ดไม่ระวัง

Machine Learning Attacks ใช้โมเดลหาแบบแผนในผลลัพธ์ที่ควรจะดูเหมือนสุ่ม ซึ่งเป็นการวิเคราะห์ทางสถิติในรูปแบบที่แรงกว่าเดิมมาก

Post-Quantum Cryptography คืออัลกอริทึม public key ชุดใหม่ ที่สร้างบนโจทย์คณิตศาสตร์ซึ่งเชื่อว่าคอมพิวเตอร์ควอนตัมก็แก้ได้ไม่เร็ว

Blockchain คือบันทึกที่แต่ละก้อนเก็บค่า hash ของก้อนก่อนหน้า ถ้าแก้ก้อนเก่า hash ที่ก้อนหลังจากนั้นเก็บไว้จะไม่ตรงกันทันที จึงเกี่ยวกับ integrity ตรง ๆ

เครื่องหมายคำถามหลัง Blockchain เป็นของบทนี้เอง กล่องนี้เป็นคำอธิบายเสริม

ส่วนที่ 5 ถึง 8 ให้เครื่องมือมาสามชิ้น และแต่ละชิ้นเก่งคนละอย่าง

• Hash เร็วที่สุด แต่ส่งความลับไม่ได้ และไม่รู้ว่าใครเป็นคนย่อย
• Symmetric เร็ว แต่ต้องส่งกุญแจถึงกันก่อน และไม่บอกว่าใครเป็นคนเขียน
• Public Key แจกกุญแจง่ายและบอกได้ว่าใครเขียน แต่ช้าที่สุด

ไม่มีชิ้นไหนใช้เดี่ยว ๆ แล้วพอ ของจริงจึงเป็นการต่อกัน โดยให้แต่ละชิ้นทำเฉพาะสิ่งที่มันเก่ง

คนมักคิดว่า ข้อความที่มีลายเซ็นดิจิทัลถูกเข้ารหัสแล้ว คนอื่นอ่านไม่ได้ ซึ่งไม่จริง

ความเชื่อนี้ดูถูก เพราะการเซ็นคือการล็อกด้วย private key ซึ่งฟังเหมือนการเข้ารหัส แต่ของที่ถูกล็อกคือค่าย่อย และดอกที่เปิดคือ public key ซึ่งใครก็มี

ลายเซ็นดิจิทัล ไม่ได้ปิดบังข้อความ ในรูปที่ 9 ข้อความเดินทางไปพร้อมลายเซ็นเป็นข้อความธรรมดาที่ใครดักอ่านก็อ่านออก ที่มันรับประกันคือข้อความไม่ถูกแก้ และคนเซ็นเป็นเจ้าของ private key จริง

ถ้าต้องการปิดบังด้วย ต้องห่อชั้นนอกเพิ่มอีกชั้น ซึ่งก็คือแบบ A ในส่วนที่ 8

สังเกตว่าลำดับนี้เป็นคำตอบของทุกข้อจำกัดที่สะสมมาตั้งแต่ส่วนที่ 6

ปัญหาจำนวนกุญแจ หายไป เพราะเซิร์ฟเวอร์มีกุญแจคู่เดียวสำหรับผู้ใช้ทุกคนในโลก

ปัญหาการส่งกุญแจ หายไป เพราะกุญแจสมมาตรถูกสุ่มขึ้นใหม่ต่อการเชื่อมต่อ แล้วส่งไปในซองที่มีแต่เซิร์ฟเวอร์เปิดได้

ปัญหาความช้า หายไป เพราะ public key ถูกใช้แค่ครั้งเดียวกับของชิ้นเล็ก คือกุญแจหนึ่งดอก ส่วนข้อมูลจริงทั้งหมดวิ่งด้วยกุญแจสมมาตรที่เร็วกว่า

สิ่งเดียวที่ยังค้างคือจังหวะที่ 2 — เราจะรู้ได้ยังไงว่า public key ที่ส่งมานั้นเป็นของ chula.ac.th จริง นั่นคืองานของ certificate ซึ่งบทนี้ยกไปพูดในเรื่อง PKI

บ้านที่ขโมยทุบกระจกเข้าไปคือระบบที่ integrity แตก ตัวบ้านคือระบบ และกระจกคือส่วนของระบบที่ต้องคงสภาพเดิม

บ้านหลังนั้นมี authentication คือกุญแจประตู มี authorization คือใครเข้าห้องไหนได้ มี auditing คือกล้องวงจรปิด

แต่ขโมยไม่ได้ผ่านประตู เขาเปลี่ยนรูปร่างของตัวบ้าน กระจกที่เคยเป็นแผ่นเดียวกลายเป็นช่องทางเข้า

ทั้งสามระบบข้างบนยังทำงานปกติทุกอย่าง มันแค่ไม่เกี่ยวข้องอีกต่อไป เพราะสิ่งที่มันเฝ้าอยู่ไม่ใช่เส้นทางที่ถูกใช้

อุปมานี้ใช้ไม่ได้ตรงที่ กระจกแตกเห็นได้ทันทีด้วยตา แต่ไฟล์ที่ถูกแก้หน้าตาเหมือนเดิมทุกอย่าง ต้องมี hash หรือลายเซ็นดิจิทัลถึงจะรู้ว่ามันไม่ใช่ชิ้นเดิม

Tiger-Hash, CHACHA, SEAL, Blowfish, DES, 3DES และ DSA ปรากฏเป็นชื่อในรายการโดยไม่มีคำอธิบายต่อ คอลัมน์หมายเหตุของเจ็ดตัวนี้ และเรื่องที่ MD5 กับ SHA-1 หา collision ได้แล้ว จึงเป็นข้อมูลเสริม เขียนไว้ให้พอแยกออกว่าแต่ละตัวอยู่กลุ่มไหนและต่างจากเพื่อนในกลุ่มยังไง

Integrity

• Integrity คือสภาพของการเป็น whole, complete, unbroken, undivided กับคน และ unified and unimpaired กับข้อมูล
• บางครั้งเรียกว่า Authenticity จึงถูกนับเป็น A ตัวที่สี่ ต่อจาก Authentication, Authorization, Auditing
• คำถามหลักของบท: How can we preserve the integrity of data? และคำตอบคือ integrity ต้องมีฮาร์ดแวร์หนุน

Trust

• Trust คือ ฐานของทุกโมเดลความปลอดภัย — ไว้ใจตัวประมวลผล ผู้ใช้ หรือซอฟต์แวร์
• ระบบที่ไว้ใจทุกอย่าง: ระบบผู้ใช้เดียวไม่มีการป้องกัน (DOS, CP/M, Windows < NT), ระบบฝังตัว, มือถือรุ่นเก่า
• ลดความไว้ใจด้วยขอบเขต — Sandbox และ Domains (isolation)
• Sandbox มาจาก Java Applet ตัดสินใจด้วย code signing ไว้ใจแล้วรันสิทธิ์เต็ม ไม่ไว้ใจก็ถูกจำกัด
• ข้อสรุปของหัวข้อนี้คือ Trust ≠ Secure

ฮาร์ดแวร์

• สองกลุ่ม: electronic curtain ผ่าน Ring ที่แบ่งด้วย segmentation หรือ page และ tagged memory
• Ring มาจาก Multics (1960) วงในเข้าวงนอกได้ วงนอกเข้าวงในได้ทางเดียวคือ system call
• Intel x86 มี 4 ring ระบบปฏิบัติการส่วนใหญ่ใช้แค่ 0 กับ 3 · IBM OS/2 น่าจะเป็นตัวเดียวที่วาง device driver ไว้ที่ ring 1 และ 2
• บานพับของบท: ข้อมูลในแฟลชไดรฟ์ อีเมล และแพ็กเก็ต ไม่ได้มีฮาร์ดแวร์คุ้มครองเสมอไป

ยุคคลาสสิก

• Scytale กรีก 500 ปีก่อนคริสตกาล เป็น transposition cipher ใช้แท่งไม้กับแถบหนัง
• Monoalphabetic substitution ที่ Julius Caesar (50 BC) ใช้ — YRFFJ VJMFU คือ hello world
• จุดที่แตก: ถ้าข้อความยาวพอ นับความถี่ตัวอักษรแล้วแกะได้

Hash

• one-way function ไม่มีฟังก์ชันผกผัน · เข้ายาวเท่าไหร่ก็ได้ ออก ยาวคงที่ · มี collision แน่นอนเพราะของไม่จำกัดลงช่องจำกัด
• ใช้ตรวจ integrity เช่นยืนยันไฟล์จาก mirror site
• ถอดกลับไม่ได้ จึงบางทีไม่ถูกนับเป็นการเข้ารหัส

Symmetric

• Stream cipher — Vigenère (1467) ยืดกุญแจให้ยาวเท่าข้อมูล LUCKYLUCK + COMPUTING ได้ NIOZSECPQ · ตัวจริงคือ RC4 ใน SSL, WEP, WPA
• Block cipher — Wheatstone-Playfair (1854) ใช้หนักใน WWII ตาราง 5 × 5 จับคู่แล้วใช้มุม CO MP UT ER ได้ OW EO ZD GE
• ทั้งสองแบบแก้ปัญหาเดียวกัน คือ ตัวอักษรเดียวกันต้องเข้ารหัสออกมาไม่เหมือนกัน

Mode of Operation

• Mode of operation คือวิธีหั่นข้อความเป็นก้อนแล้วส่งเข้า block cipher ต่างกันที่ IV, padding, chaining, feedback
• ECB ส่งแต่ละก้อนเข้า E แยกกัน ก้อนซ้ำได้ผลซ้ำ ลายเดิมยังอยู่ ก้อนละตัวอักษรก็คือรหัสแทนที่ตัวอักษร hello → YRFFJ
• CBC บวกต้นฉบับกับ ผลลัพธ์ก้อนก่อนหน้า แล้วเข้า E ก้อนแรกใช้ IV ซึ่งต้องสุ่มใหม่ทุกครั้ง · PCBC ผสมทั้งต้นฉบับและผลลัพธ์ ความเสียหายลามจนจบ
• CFB / OFB ให้ E ผลิต keystream มาบวกกับต้นฉบับ = ใช้ block cipher เป็น stream cipher · CFB วนผลลัพธ์กลับ OFB วน keystream กลับ
• CTR ส่ง nonce + ตัวนับ เข้า E ไม่ต้องรอก้อนก่อนหน้า ทำพร้อมกันได้ · ห้ามใช้ nonce ซ้ำกับกุญแจเดิม · GCM คือ CTR ที่ตรวจได้ว่าข้อมูลถูกแก้
• AES ก้อนละ 16 byte กุญแจ AES-128 ยาว 16 byte · ผสมด้วย XOR แทนการบวกตัวอักษร · ECB กับ CBC ต้อง padding ก้อนสุดท้าย

Public Key

• ปัญหาเรื่องขนาด: อาจารย์กับนิสิต 100 คนต้องใช้ 100 ดอก เพราะกุญแจดอกเดียวแปลว่าใครก็เขียนแทนได้
• สร้างจากจำนวนเฉพาะ ได้กุญแจหนึ่งคู่ ล็อกด้วยดอกหนึ่ง เปิดด้วยอีกดอก
• เก็บแค่ private key ส่วน public key แจกได้ แต่ ยังไม่มีอะไรยืนยันตัวตนของเจ้าของ public key ซึ่งเป็นงานของ certificate
• โจทย์ Bob กับ Alice: เซ็นก่อนแล้วค่อยปิดผนึก คือ ((message)Bob's Priv)Alice's Pub
• ความเร็ว: public key ช้าที่สุด เพราะใช้เลขยกกำลัง · block/stream เร็วกว่า เพราะใช้ตรรกะ · hash เร็วที่สุด

การเข้ารหัสให้อะไร

• ถ้าจัดการกุญแจดี ได้ทั้ง authentication และ authorization แต่ อ่อนต่อการวิเคราะห์ทางสถิติ และกำลังประมวลผลที่มากพอเจาะได้ทุกอย่าง
• ความท้าทายยุคนี้: quantum computing, machine learning attacks, side-channel attacks, กำลังประมวลผลที่เพิ่มขึ้น และงานวิจัยฝั่งรับคือ post-quantum cryptography กับ blockchain?
• cryptography เป็นสาขาที่ dynamic ผสมคณิตศาสตร์ วิทยาการคอมพิวเตอร์ และความปลอดภัย จึง ต้องเรียนรู้ต่อเนื่อง

Security Protocol

• คือ การรวมอัลกอริทึมหลายตัวเข้าด้วยกัน เพื่อรวมข้อดีและข้อเสีย
• Digital signature — ผู้รับตรวจความเป็นต้นฉบับของ ข้อความธรรมดา ได้ รวม ความเร็วของ message digest กับ ความยืดหยุ่นเรื่องจำนวนของ public key และ ไม่ได้ปิดบังข้อความ
• HTTPS/SSL/TLS — ขอหน้าเว็บ, รับ public key กับ certificate, ส่งกุญแจสมมาตรที่ล็อกด้วย public key ของเซิร์ฟเวอร์, แล้วรับส่งข้อมูลด้วยกุญแจดอกนั้น
• มีแต่เซิร์ฟเวอร์ที่ถือ private key จึงมีแค่สองฝั่งที่รู้กุญแจสมมาตร

ข้อสรุปของบท

• Integrity ต้องการฮาร์ดแวร์หนุน หรือการเข้ารหัส อย่างใดอย่างหนึ่ง
• ฮาร์ดแวร์บวกระบบปฏิบัติการคือฐานของ integrity ซึ่งคือฐานของความปลอดภัย
• กล่องที่ integrity แข็งแรง เก็บของข้างในไว้ในสภาพเดิมได้เป็นปี ๆ
• ไม่มี integrity ที่สมบูรณ์แบบ การถูกเจาะระบบส่วนใหญ่คือการที่ integrity แตก
• เรื่องที่ยังไม่ได้ลง: key management (ไปต่อที่ PKI), การหา collision ของ hash ได้จริง, post-quantum encryption, elliptic-curve cryptography