מחקר: החדירה של סוכנות NSA לתוכנות ההצפנה של RSA עמוקה מכפי שחשבו עד כה

חברת האבטחה RSA אימצה לא רק כלי הצפנה אחד שפותח בסוכנות ה-NSA, כפי שהיה ידוע עד כה, אלא שניים – על פי ידיעה של סוכנות הידיעות רויטרס (Reuters). המשמעות היא שיכולתה של סוכנות הריגול לצותת לתקשורת באינטרנט גבוהה מכפי שסברו עד כה, על פי דוח שפרסמו חוקרים משורה של אוניברסיטאות בארצות הברית.

בחודש דצמבר דיווחה רויטרס כי ב-NSA שילמו ל-RSA סכום של 10 מיליון דולרים כדי שתקבע כברירת מחדל בתוכנותיה, שזוכות לאימוץ נרחב באינטרנט ובחבילות אבטחה, מערכת הצפנה שפותחה על ידי ה-NSA. המערכת, שמכונה Dual Elliptic Curve ויוצרת מספר אקראי, כללה דלת אחורית שאיפשרה לסוכני ה-NSA לפצח את ההצפנה.

כעת חושפים חוקרים מאוניברסיטת ג'ונס הופקינס, אוניברסיטת וויסקונסין, אוניברסיטת אילינוי ומוסדות אקדמיים נוספים, כי גילו כלי נוסף של ה-NSA, מלבד Dual Elliptic Curve, אשר מתבסס על הפרצה בתוכנות RSA.

הכלי החדש בו מדובר, תוסף בשם Extended Random שמיועד לאתרי אינטרנט מאובטחים, יכול לפצח את ההצפנה של Dual Elliptic Curve בקצב מהיר פי עשרות אלפים. למרות שהכלי Extended Random אינו נפוץ במיוחד, הרי שהגילוי החדש שופך אור נוסף על עומק החדירה של הסוכנות לכלי ההצפנה שמציעה חברת RSA, הנמצאת כיום בבעלותה של חברת האחסון EMC.

בחברת RSA לא הכחישו את ממצאי החוקרים. בתגובתה ציינה RSA כי החברה לא שילבה במודע דלתות אחוריות במוצריה, והוסיפה כי הכלי Extended Random, שלא זכה לפופולאריות רבה, הוסר מתוכנות ההגנה של RSA כבר לפני שישה חודשים.

"היה עלינו לגלות חשדנות רבה יותר ביחס למניעים של ה-NSA" מסר סאם קארי, מנהל הטכנולוגיה הראשי של RSA. "בטחנו בהם משום שהם מופקדים על הביטחון של הממשל של ארצות הברית ושל התשתיות הקריטיות שלה". קארי סירב לומר האם הממשל שילם ל-RSA כדי שתשלב את הכלי Extended Random בחבילת האבטחה BSafe, אשר כוללת גם את Dual Elliptic Curve.

דוברת ה-NSA סירבה להגיב על המחקר ולהתייחס למניעי הסוכנות שהובילו לפיתוח של Extended Random.