RSA 1977: jak trzej matematycy wymyślili szyfrowanie internetu

Wyzwanie, które miało zakończyć się porażką

W 1976 roku Whitfield Diffie i Martin Hellman opublikowali koncepcję, która brzmiała jak matematyczna fantazja: szyfrowanie bez konieczności wcześniejszej wymiany tajnego klucza między nadawcą a odbiorcą. Nazwali to kryptografią klucza publicznego, ale sami nie potrafili podać działającego przykładu takiego systemu.

Na MIT trójka badaczy - Ron Rivest, Adi Shamir i Leonard Adleman - postanowiła udowodnić, że pomysł Diffiego i Hellmana jest niewykonalny. Zamiast tego, po miesiącach prób i odrzuconych pomysłów, sami stworzyli działający algorytm. Legenda głosi, że kluczowe olśnienie przyszło Rivestowi w nocy, po powrocie z przyjęcia z lampką wina - rozwiązanie oparł na prostym, ale genialnym spostrzeżeniu dotyczącym liczb pierwszych.

Nazwa RSA to po prostu pierwsze litery ich nazwisk. W kwietniu 1977 roku opublikowali pracę, która na zawsze zmieniła sposób, w jaki chronimy dane cyfrowe.

Matematyka, która działa jak kłódka bez klucza

Istotą RSA jest prosty do wyobrażenia, ale trudny do złamania mechanizm: każdy użytkownik ma dwa klucze - publiczny, który może udostępnić całemu światu, i prywatny, który zachowuje wyłącznie dla siebie. Wiadomość zaszyfrowaną kluczem publicznym odbiorcy może odczytać tylko on, korzystając ze swojego klucza prywatnego.

To trochę jak wysłanie komuś otwartej kłódki. Nadawca zamyka nią paczkę, ale tylko właściciel kłódki ma pasujący klucz, by ją otworzyć. Bezpieczeństwo całego systemu opiera się na jednym fakcie matematycznym: łatwo jest pomnożyć przez siebie dwie ogromne liczby pierwsze, ale odwrócenie tego działania - czyli rozłożenie iloczynu z powrotem na czynniki pierwsze - zajmuje komputerom nieprzyzwoicie dużo czasu, jeśli liczby są odpowiednio duże.

• Klucz publiczny - można go udostępniać bez ograniczeń, służy do szyfrowania
• Klucz prywatny - pozostaje tajny, służy do odszyfrowania i podpisywania
• Bezpieczeństwo - opiera się na trudności faktoryzacji dużych liczb

Kryptografia jako broń - dosłownie

Rivest, Shamir i Adleman opatentowali algorytm i założyli firmę RSA Security, ale droga do powszechnego użycia nie była prosta. Amerykańskie prawo eksportowe traktowało wówczas silną kryptografię jako uzbrojenie podlegające tym samym ograniczeniom co broń palna czy technologie wojskowe.

Doprowadziło to do absurdalnych sytuacji - w latach 90. sprzedawano koszulki z wydrukowanym kodem źródłowym RSA w językach programowania, ponieważ tekst na koszulce był chroniony wolnością słowa, a nie prawem eksportowym dotyczącym oprogramowania. Wywóz takiej koszulki za granicę technicznie łamał inne przepisy niż eksport dyskietki z tym samym kodem.

Dopiero pod koniec lat 90. ograniczenia złagodzono, co otworzyło drogę do powszechnego zastosowania silnego szyfrowania w przeglądarkach, bankowości internetowej i komunikatorach na całym świecie.

RSA w Twojej przeglądarce - codziennie i niezauważalnie

Każdego dnia korzystasz z RSA dziesiątki razy, nawet o tym nie wiedząc. Algorytm ten (lub jego nowocześniejsze warianty) stoi za protokołem TLS, który odpowiada za bezpieczne połączenia HTTPS - tę samą kłódkę widoczną obok adresu strony w przeglądarce.

Certyfikaty SSL wykorzystywane przez firmowe strony internetowe i sklepy online, podpisy cyfrowe w dokumentach PDF, uwierzytelnianie serwerów pocztowych czy infrastruktura klucza publicznego (PKI) w firmowych sieciach - wszystko to w mniejszym lub większym stopniu wywodzi się z pomysłu sprzed niemal pięćdziesięciu lat.

Warto jednak wiedzieć, że era RSA powoli zbliża się do zmierzchu. Wystarczająco potężny komputer kwantowy mógłby złamać faktoryzację liczb, na której opiera się cały system - dlatego branża już dziś pracuje nad kryptografią postkwantową jako następcą.

Co historia RSA oznacza dla Twojej firmy

Zrozumienie, jak działa szyfrowanie klucza publicznego, to nie tylko ciekawostka - to podstawa świadomego zarządzania bezpieczeństwem firmy. Certyfikaty SSL na stronie firmowej, poprawnie skonfigurowana infrastruktura PKI czy podpisy cyfrowe w dokumentach to dziś standard, a nie dodatek.

Problemem wielu małych i średnich firm nie jest brak dostępu do tej technologii, ale jej niewłaściwe wdrożenie - wygasające certyfikaty, przestarzałe klucze o zbyt małej długości czy brak polityki zarządzania nimi. To właśnie takie luki najczęściej wykorzystują cyberprzestępcy.

Regularny audyt infrastruktury IT pozwala sprawdzić, czy szyfrowanie w Twojej firmie jest skonfigurowane zgodnie z aktualnymi standardami, zanim zrobi to za Ciebie ktoś niepowołany.