Британское правительство заступилось за свой криптографический протокол

Центр правительственной связи Великобритании выступил в защиту разработанного им криптографического протокола MIKEY-SAKKE. Впервые за всю историю существования ЦПС опубликовал справочный документ и ответы на часто задаваемые вопросы по поводу протокола, подвергнувшегося серьезной критике со стороны специалистов в области безопасности.

Напомним, в прошлом месяце эксперт Университетского колледжа Лондона Стивен Мердок (Steven Murdoch) обнаружил в MIKEY-SAKKE бэкдор. По мнению исследователя, спецслужба намеренно оставила лазейку, обеспечив себе возможность перехвата передаваемых данных. Согласно документу консорциума 3GPP, Национальный центр технической помощи при Министерстве внутренних дел Великобритании в пользу MIKEY-SAKKE отказалось  от более защищенного протокола MIKEY-IBAKE, не позволявшего незаметно вести прослушку.

Согласно результатам исследования Мердока, проблема заключается в способе хранения ключей шифрования. Поскольку ключи обрабатываются на центральном сервере, к ним потенциально могут получить доступ злоумышленники.

Согласно опубликованной ЦПС информации, MIKEY-SAKKE специально разработан с целью обеспечения организациям безопасной связи с применением сквозного шифрования. У каждой компании, использующей продукт на базе MIKEY-SAKKE, есть собственный сервер управления ключами. В целях безопасности сервер может быть отключен от интернета. Все одобренные британским правительством продукты работают аналогичным образом.

Как поясняет ЦПС, ключи каждой организации хранятся на разных серверах, а не на одном. «Было бы неправильно предположить, будто существует некий тайный мастер-ключ или «бэкдор», предоставляющий ЦПС или другим сторонним лицам доступ к разговорам. Только владельцы отдельных систем могут расшифровать разговоры, если пожелают», - цитирует издание The Register пресс-службу британского правительства.

По мнению ИБ-эксперта Арнольда Яу (Arnold Yau), утверждать, будто в MIKEY-SAKKE присутствует бэкдор, несправедливо. протокол предназначен для развертывания в государственных и корпоративных организациях с учетом возможности для законного перехвата разговоров. «Примерно так же, как у компаний есть возможность читать переписку сотрудников, разница лишь в отсутствии шифрования электронных писем», - заявил Яу.

Мердок не ожидал такой реакции со стороны правительства на свое исследование. «В ответе ЦПС внимание сосредоточено на безопасности MIKEY-SAKKE, когда система правильно сконфигурирована и корректно функционирует. В моей же статье описываются потенциальные сценарии, когда из-за вредоносной активности что-то идет не так. В таких случаях неавторизованные третьи стороны могут получить доступ к передаваемым данным и обойти реализованные ЦПС меры безопасности», - отметил Мердок.