Czas jest względny. Kryptografia żyje w eterycznym świecie abstrakcyjnych maszyn obliczeniowych: są maszyny, które mogą wykonywać operacje. Większe maszyny mogą wykonywać operacje szybciej. Nie ma zegara, który możesz wymusić; czas fizyczny nie ma znaczenia. Innymi słowy, jeśli napastnik chce uzyskać Twój plik wcześniej, musi po prostu kupić szybszy komputer.

Teraz nadal można się postarać. Mogą Cię zainteresować łamigłówki związane z blokadą czasową. Chodzi o to, aby móc utworzyć problematyczną instancję, która jest łatwa do zbudowania, ale droga do otwarcia, której koszt można skonfigurować. Rozwiązanie znalezione przez Rivesta, Shamira i Wagnera (według mojej wiedzy jest to jedyna znana dotychczas praktyczna łamigłówka z blokadą czasową) działa tak:

• Wygeneruj losowy moduł RSA n = pq gdzie p i q to duże liczby pierwsze (a także p = 3 mod 4, i q = 3 mod 4).
• Wygeneruj losowy x modulo n.
• Dla jakiejś liczby całkowitej w , zdefiniuj e = 2 ^w i oblicz y = x^e mod n.
• Hash y with jakaś funkcja skrótu, dająca ciąg K , którego używasz jako klucza do zaszyfrowania pliku, który chcesz zablokować czasowo.
• Publikuj x , n , w i zaszyfrowany plik. Odrzuć p , q , y i K.

Trudne Chodzi o to, że obliczenia y , ogólnie rzecz biorąc, mają koszt, który jest proporcjonalny do w : jest to ciąg w modularnych kwadratów. Jeśli w jest rzędu miliardów lub więcej, będzie to kosztowne. Jednak gdy znane są czynniki p i q , to można obliczyć e modulo p-1 i q-1 , co będzie dużo krótsze, a obliczenie y można wykonać w ciągu kilku milisekund.

Oczywiście nie gwarantuje to wydania w określonym dniu ; raczej gwarantuje minimalny wysiłek , aby odblokować zagadkę. Konwersja między wysiłkiem a datą zależy od tego, jak bardzo starają się atakujący ...

Opisana powyżej łamigłówka z blokadą czasu ma kilka fajnych cech, w szczególności jest odporna na równoległość. Jeśli spróbujesz złamać jedną taką łamigłówkę i masz dwa komputery, nie osiągniesz prędkości szybciej niż to, co mógłbyś zrobić na jednym komputerze.

W nieco podobnym kontekście, ta łamigłówka blokująca czas jest używana w funkcji mieszania haseł Makwa, kandydacie do trwającego PHC. Podczas haszowania haseł potrzebujesz konfigurowalnego wysiłku otwierania (aczkolwiek w znacznie krótszym czasie, zwykle mniej niż sekunda).

Jeśli nie chcesz angażować strony trzeciej, Ty (strona szyfrująca plik) możesz po prostu zwolnić klucz, aby odszyfrować plik w docelowym dniu.

Widziałem to w przypadku wideo wydania gier. Klienci mogą wcześniej pobrać zaszyfrowaną kopię gry. Następnie, gdy nadejdzie czas wydania, firma po prostu wypuszcza klucz. W ten sposób ludzie mogą zacząć grać natychmiast po wydaniu gry, bez konieczności czekania na pobranie.

Ostrożnie umieść statek kosmiczny nadający klucz deszyfrujący na orbicie wokół czarnej dziury. Siła grawitacji opóźni przekaz do odpowiedniego czasu.

Lub możesz po prostu postąpić jak normalni ludzie i umieścić kluczowy statek kosmiczny nadający odpowiednią liczbę lat świetlnych od zamierzonej publiczności.

Użyj tajnego udostępniania, aby podzielić prywatny klucz szyfrowania na N części, sparametryzowanych, aby umożliwić rekonstrukcję klucza z K lub większą liczbą części, gdzie K < = N . Najlepiej zrobić to za pomocą CRM, jak opisano na następującej stronie:

http://en.wikipedia.org/wiki/Secret_sharing

Następnie wyślij każdą część niezależnym serwisom, które zgadzają się publikować w określonym terminie w przyszłości.

Aż do K-1 usług może "uszkodzić" poprzez wcześniejsze opublikowanie bez wpływu na schemat.

Aż do NK usług może nie zostać opublikowanych w ogóle, również bez wpływu na schemat.

Uważam, że aby właściwie zaprojektować swój system, musisz zdefiniować, co oznacza „czas” w Twoim kontekście i dlaczego wybrałeś określony czas . Zakładając, że Twoja wiadomość ma zostać odszyfrowana 29 sierpnia 1997 r. O godzinie 02:14, jaka jest różnica między momentem przed a chwilą po ostatecznym terminie? Dlaczego konkretnie ta data? Możesz wykorzystać to wydarzenie jako element swojego programu.

Na przykład, jeśli spodziewasz się, że Skynet stanie się samoświadomy w tym dniu w pytaniu i chcesz, aby wiadomość została odszyfrowana dopiero po tym, jak Skynet stanie się samoświadomy, kluczem deszyfrującym może być „skynet_became_self_aware”. Jest mało prawdopodobne, aby został brutalnie wymuszony, zwłaszcza że zawiera słowo spoza słownika. Jednak staje się bardzo prawdopodobne, że zostanie wypróbowany po wystąpieniu zdarzenia, zwłaszcza jeśli istnieją zautomatyzowane systemy próbujące go brutalnie wymusić, które dodają słowo „skynet” do swoich słowników w odpowiednim czasie.

Ten schemat nie jest doskonały, ponieważ szansa na brutalne wymuszenie klucza nadal istnieje, a nawet po dacie mogą nie być używane odpowiednie zasoby w celu jego złamania. Ten schemat ma jednak tę dodatkową zaletę, że jeśli wydarzenie, którego datę wybierzesz nastąpi wcześniej lub później niż oczekiwano , wiadomość nie zostanie odszyfrowana zbyt późno / zbyt wcześnie.

Jeśli jedyną zaufaną stroną jesteś Ty i nie możesz zagwarantować, że będziesz dostępny, gdy treść wiadomości ma zostać upubliczniona, możesz zamiast tego zbudować urządzenie (fizyczne lub wirtualne), które automatycznie klucz publiczny w wymaganym czasie, a następnie ukryj urządzenie.

Łatwym sposobem byłoby zakupienie wirtualnego serwera od Amazon lub którejkolwiek z setek innych firm - być może kilku serwerów w innych krajach - pod innym tożsamość, której nie można prześledzić do tożsamości osoby, która opublikowała wiadomość. Najlepiej byłoby kupić ten serwer kilka lat przed opublikowaniem wiadomości. Te serwery po prostu siedzą i czekają, nic nie robiąc (być może obsługują niewinnie wyglądający serwer e-mail lub FTP) do określonej daty, a następnie publikują klucz odszyfrowywania wieloma kanałami publicznymi, aby spełnić Twoją definicję upublicznienia informacji. "

Nikt nawet nie wiedziałby, że te serwery istnieją, więc nikt ich nie szuka; a ich cel może być na tyle zaciemniony, że nikt, kto natknie się na nie przypadkowo, nie zdaje sobie sprawy, do czego służą. Istnieje wiele milionów serwerów podłączonych do Internetu - twoje są po prostu zagubione w szumie.

To wystarczy, chyba że opinia publiczna zostanie uznana za na tyle ważną, że podjęto by ogólnoświatowy wysiłek zlokalizować klucz na skalę, która zainspiruje rządy do przeprowadzenia zaawansowanej analizy ruchu na każdym serwerze wirtualnym i fizycznym, który wszedł w tryb online w ciągu ostatniej dekady, a następnie ręcznego zbadania wszystkich plików i kodu każdego z (milionów) podejrzanych plików, wyszukując dla ukrytych informacji.

W takim przypadku możesz jeszcze bardziej ukryć urządzenie. Jeśli naprawdę chcesz zrobić to w stylu Jamesa Bonda, umieść wiadomość na taśmie podłączonej do krótkofalowego nadajnika radiowego z rezerwową baterią na Antarktydzie (gdzie może zostać zakopany w śniegu) lub w odległej Brazylii dżungli (gdzie może zostać uszkodzony przez zwierzęta) lub na dnie oceanu, z chemicznie napompowaną poduszką powietrzną, która wypłynie na powierzchnię w określonym dniu i czasie (gdzie może korodować - może Lake Superior jest bezpieczniejsze? ) lub zakopane płytko pod ziemią, z anteną przypominającą peryskop.

Oczywiście trudność i koszt każdej z tych opcji zależą od tego, jak długo chcesz ukryć urządzenie. Jeśli minęło sto lat, prawdopodobnie zmieniły się protokoły internetowe, a cokolwiek bardziej złożonego niż analogowe radio krótkofalowe może być niewykonalne. (I może się zdarzyć, że nikt już też nie słucha fal krótkich.) Jeśli to tylko kilka miesięcy, twoim urządzeniem może być po prostu przedpłacony smartfon podłączony do zewnętrznej baterii i upuszczony w umiarkowanie nieznanym miejscu. Na rynku jest już wiele zdalnych czujników opartych na komórkach, które automatycznie wykonują połączenie telefoniczne lub połączenie internetowe, gdy spełnione są pewne kryteria, więc byłoby to prawie niewykrywalne - dla operatora telefonii komórkowej wyglądałoby to jak kolejny te coraz bardziej wszechobecne urządzenia.

Nie jestem do końca pewien, czy ten artykuł o szyfrowaniu z blokadą czasową został zainspirowany tą dyskusją, ale byłoby to najbardziej formalne rozwiązanie pytania „Jak zbudować szyfrowanie z blokadą czasową? ”, co jest przeformułowaniem„ Jak chronić dane, aby można je było odszyfrować dopiero po określonej dacie? ”

Ale teraz przejdźmy do szczegółów, jak to działa .

Zasadniczo konstruuje się zegar odniesienia przy użyciu obliczeń dostępnych publicznie (takich jak obliczenia Bitcoin). Tak więc, o ile rozumiem, zależy to od łańcucha bloków Bitcoin , aby osiągnąć określony rozmiar (rośnie co 10 minut, względnie dokładnie). W takiej sytuacji „szyfrowanie świadków” umożliwi każdemu odszyfrowanie danych (gdzie łańcuch bloków zawiera pewnego świadka, który jest dostępny tylko wtedy, gdy łańcuch osiągnie określony rozmiar). Ponieważ niemożliwe jest złamanie schematów szyfrowania świadka i bycie szybszym niż cała sieć bitcoin (działająca obecnie ponad 300PHash / s), jest mało prawdopodobne, aby osoba atakująca była w stanie uzyskać odszyfrowane dane ( który może być kluczem) przed wygaśnięciem blokady czasowej.

Można również zauważyć, że ten schemat nie wiąże się z wysokimi kosztami (podróże kosmiczne), nie wymaga zaufanej trzeciej strony (nie musisz ufać sieci Bitcoin), a strona szyfrująca nie musi być dostępna w czasie odszyfrowywania, a strony z wysokimi zasobami obliczeniowymi mają niewiele szanse na wcześniejsze poznanie sekretu .

Można również przeczytać ten artykuł, stosując podobne podejście i ograniczając bezpieczeństwo do podzbioru problemu, który uważa się za być trudne.

Zaszyfruj plik bardzo długim kluczem, podziel go na części i przekaż każdą część zaufanej osobie wraz z instrukcjami, aby nie oddawać wspomnianej części przed podaną datą. Możesz dodać trochę nadmiarowości, oddając każdą część większej liczbie osób, na wypadek gdyby jeden z nich miał zostać uderzony przez autobus.

Oczywiście sieć komputerów może to zrobić tak samo, jak ludzie. W rzeczywistości algorytm retargetowania trudności oparty na czasie w Bitcoinie, chociaż służy innemu celowi, opiera się na podobnych zasadach. Nie wiem jednak, czy rzeczywiście istnieje jakiś program do tego celu.

W artykule cytowanym w pytaniu (co jest bardzo interesujące, pomimo sporadycznej niezgrabnej gramatyki) przedstawiono hipotetyczne podejście, polegające na użyciu oprogramowania zawierającego zaszyfrowany ładunek, wyzwalającego jakąś zewnętrzną wartość, taką jak artykuł prasowy, i pozwolić ludziom na całym świecie uruchamiać go do czasu wykonania ładunku. Nie spełnia to wymogu „publicznie znanej daty / godziny”, ale przesłanka jest dobrym punktem wyjścia. Usługa rozproszona, podobnie jak TOR / Bitcoin, może być uruchamiana w trybie P2P przez wiele osób na całym świecie wyłącznie w celu utrzymania zależnych od czasu wersji kluczy. Jest to znane jako bizantyjska tolerancja błędów (inaczej problem bizantyjskich generałów, patrz http://en.wikipedia.org/wiki/Byzantine_fault_tolerance, aby uzyskać pełne wyjaśnienie), ale w tym przypadku chronione byłoby przedwczesne ujawnienie informacji, więc nie jest to aplikacja bezpośrednia, ale styczna, która wymagałaby nowego zestawu technik.

Ostrożne kodowanie można wykorzystać do stworzenia schematu, w którym każdy użytkownik posiada jeden malutki kawałek klucza, wielu użytkowników ma nadmiarowe kopie poszczególnych elementów, a istnieje silny sposób zapobiegania przedwczesnemu „zbieraniu”, w tym unikaniu złośliwego oprogramowania i obsłudze wielu platform (gdzie klucze są celowo dzielone równo między użytkowników korzystających Windows, IOS, Android, OS X, Linux itp.)

To prawie musiałoby działać jak odwrotność łańcucha bloków bitcoin, gdzie zamiast każdego użytkownika posiadającego możliwą do zweryfikowania kopię tego, co wydarzyło się w przeszłości, każdy użytkownik ma unikalny wycinek tego, co będzie się działo w przyszłości i tylko wtedy, gdy przyszłość zwraca się ku teraźniejszości, każdy blok jest wypuszczany na świat do konsumpcji. W tym przypadku można zastosować technikę cebulowania a la TOR, w której każdy fragment twojego tajnego klucza był wysyłany do zestawu użytkowników, transfigurowali go i wysyłali z zachowaniem tylko klucza tłumaczenia, a to kontynuowało N zaokrągla w górę. Każda warstwa mogłaby mieć swój własny losowy zegar, aby później przekazać materiał w dół, zbliżając się do źródła, w którym ostatni zegar odliczałby i wyzwalał zwolnienie kluczowych części, aby połączyć się w zestawie uzgodnionych partnerów i wysłać e-mailem, lub czegoś.

Jedynym brakującym elementem jest to, jak uniknąć masowej zmowy, takiej jak nagroda ustanowiona, aby zachęcić wystarczającą liczbę użytkowników do oddania kluczowego materiału w zamian za podział puli, ponieważ nie może należy założyć, że wielu z nich uważa, że ​​ich informacje zdeponowane mają wartość> 0, jeśli pozostaną nietknięte. Pożądany byłby sposób pełnego zaciemnienia materiału, tak aby każdy użytkownik miał jedną dużą porcję danych, nie wiedząc, które wycinki zdarzeń są pod jego opieką. To rzeczywiście interesujący problem.

Jak powiedzieli inni, nie można zapewnić odszyfrowania do określonej daty, ale przez określony wysiłek. Jeśli chodzi o algorytm jednego celu, wysiłek jest silnie powiązany z interesem stron próbujących go odblokować wcześniej, a zatem jest dość nieznany.

Więc najlepszym rozwiązaniem może być powiązanie układanki z dużo większym i obojętnym interesem . Najbardziej wykonalnym, który przyszedł mi do głowy w dzisiejszych czasach, jest łańcuch bloków Bitcoin. Ponieważ bitcoiny są rzeczywistością od kilku lat, a ich generowanie obejmuje dziś duże ilości sprzętu, mamy duże szanse, aby przewidzieć ich tempo generowania w rozsądnej perspektywie długoterminowej (może tygodni lub miesięcy).

Zastanawiam się, czy to może być zrobione. Potrzebne byłoby powiązanie między wygenerowanymi bitcoinami a potrzebnym kluczem. Nie możemy polegać na wygenerowaniu pojedynczego bitcoina, ale musimy użyć czegoś takiego jak małe n z poprzednio wybranej dużej ilości m możliwych bitcoinów, które zapewni odszyfrowanie. Jest to możliwe dzięki „tajnemu udostępnianiu” ( https://en.wikipedia.org/wiki/Secret_sharing). Ponieważ wartości hashe bitcoin zależą od wcześniej przeprowadzonych transakcji, skonstruowanie puzzli m , które pewnego dnia rozwiązałoby się za pomocą haszy bitcoinów, byłoby dość trudne.

Ostatecznie druga zasada termodynamiki staje na przeszkodzie. Spójrz na swój tekst jawny jako na system zamknięty; może tylko wzrosnąć w entropii.

Szyfrowanie informacji zwiększa jej entropię, ale posiadanie klucza to rekompensuje. Całkowita entropia klucza + zaszyfrowanego tekstu jest taka sama, jak entropia zwykłego tekstu.

Po zniszczeniu klucza całkowita entropia systemu wzrasta. Co oznacza, że ​​nigdy nie możesz wrócić (z wyjątkiem ogromnego wkładu energii poprzez moc obliczeniową brutalnej siły).

Oznacza to, że musisz zachować klucz; nie możesz go tymczasowo zniszczyć.

Oczywiście możesz ukryć klucz, zaszyfrować go ponownie, zachować u zaufanej osoby trzeciej itp. Jednak klucz zawsze musi być gdzieś .

Szyfruj za pomocą jednorazowego padu XOR i miej jakąś automatyzację do wysyłania szyfrowanego strumienia o wyznaczonej godzinie. Jednorazowe podkładki XOR są całkowicie odporne na ataki wzorcem, ponieważ nie ma wzoru.

Aby to się udało, musisz

• stworzyć klucz samodzielnie i nie udostępniać go nikomu
• build sabotaż- dowodowa automatyzacja terminowego dostarczania
• ukrywa prawdziwy cel systemu czasowego dostarczania, upewniając się, że dobrze wykonuje on niezmiernie nudny, ale niezbędny cel infrastrukturalny, tak aby nikt nie próbował badać, odłączać, modyfikować lub użyj go ponownie
• zniszcz wszystkie kopie podkładki XOR poza odpornym na manipulacje systemem dostarczania czasowego

Pamiętaj, że aby być naprawdę manipulowanym dowód, że musi reagować na manipulacje, bardzo dokładnie szyfrując pad XOR. Na szczęście, ponieważ pady XOR zawierają losowe dane, nie ma sposobu, aby stwierdzić, czy doszło do autodestrukcji, czy nie.

Możesz dodatkowo ukryć podkładkę XOR steganograficznie, aby powstrzymać ciekawskich przed zastanawianiem się, dlaczego ktokolwiek miałby ukrywać wiele pozornie przypadkowe dane.

Zdaję sobie sprawę, że w tym podejściu są elementy zabezpieczania przez zaciemnienie. To nieuniknione; gdybym wiedział o takim systemie i chciał go zaatakować, zacząłbym od pozbawienia go zasilania i wylutowania wszystkiego, co wyglądało jak pamięć masowa, abym mógł zbadać zawartość, nie pozwalając mu reagować na manipulacje. Nawet wtedy można by osadzić UPS.

Świadomy atak zależy od a priori wiedzy o systemie, począwszy od jego istnienia. Jeśli tylko nadawca wie o jego istnieniu, może to być solidne. Powszechną strategią jest unikanie konstruowania przez jedną ze stron fragmentu wystarczająco dużego, by miał spójny cel.

Korzystając z niezupełnie zaufanych źródeł, można wysłać klucz odszyfrowywania pocztą tradycyjną do zaufanej strony. To nie daje pełnego zaufania stronie, ponieważ nie może publikować wcześnie, ale nie może w ogóle publikować, więc aby zminimalizować ryzyko, można użyć wielu zaufanych źródeł.

Aby zwiększyć opóźnienie czasowe, możesz użyć serwis internetowy, w którym można poprosić ich o wysłanie pocztówki spoza kraju (ale to naraziłoby ją na ataki człowieka w środku), na przykład http://mijnkaart.bpost.be/fotokaarten-maken dla głośników holenderskich, ale jestem pewien, że podobne usługi istnieją gdzie indziej.

Działa to w momencie wywołania zdarzenia.

Stwórz automatyzację (zobacz odpowiedź Petera Wone), która sprawdzi, czy masz w nazwie stronę Wikipedii. i wyzwala, jeśli tak.

Jest to oczywiście bardzo wrażliwy na wyzwalacz & działa tylko wtedy, gdy jesteś nieznany w momencie tworzenia.

Możesz rozwiązać oba problemy, uwzględniając warunek, że pewne informacje o wydarzeniu zawarte są we wpisie w Wikipedii.

Jestem pewien, że korzystając z Google można znaleźć kilka innych ciekawych wyzwalaczy

Możliwe byłoby zbudowanie systemu opartego na łańcuchu bloków, który zapewni każdemu blokowi w przyszłości dodatkowy ładunek, który musi rozwiązać górnik tego bloku.

Każdy blok może utworzyć klucz prywatny dla klucza publicznego, który jest znany z góry. Swoją wiadomość szyfrujesz kluczem symetrycznym, a następnie szyfrujesz ten klucz znanymi kluczami publicznymi z następnych 10000 bloków, które zostaną wydobyte .

Jeśli sieć gromadzi więcej mocy obliczeniowej, może spowodować dodatkowe problemy numeryczne do wydobywanych bloków, aby utrzymać czas generowania bloku wynoszący średnio 10 minut.

Jeśli sieć straci moc obliczeniową Jednak pomyślne zaszyfrowanie pliku zajmie więcej czasu.

Jedynym sposobem, w jaki możesz to zrobić, jest upewnienie się, że a) kontrolujesz kod, który wykonuje deszyfrowanie, oraz b) otrzymujesz datę z niezmiennego źródła. Na przykład, jeśli jako część odszyfrowania dołączysz wywołanie usługi sieciowej zegara atomowego (najlepiej zabezpieczonej, której nie można sfałszować). W tym momencie po prostu sprawdzasz datę i jeśli jest ona niższa od żądanej, nie zawracasz sobie głowy odszyfrowywaniem.