במשך יותר מ-25 שנה ניסו מומחי אבטחת מידע לפענח תעלומה שהעלתה חשד מטריד: האם סוכנות הביון האמריקנית (NSA) הטמיעה חולשת "דלת אחורית" באחד מתקני האבטחה החשובים של האינטרנט, באופן שיאפשר לה לעקוף מערכות הצפנה?
כדי להבין את משמעות הגילוי, צריך לחזור לשנת 2000: באותה שנה אימץ המכון הלאומי לתקנים וטכנולוגיה של ארה"ב (NIST) שורה של תקני אבטחה שהתבססו על שיטה מתמטית המשמשת בין היתר ליצירת חתימות דיגיטליות. מדובר בטכנולוגיה שמאפשרת לאמת את זהותם של גורמים המתקשרים ביניהם ולוודא שהמידע שהם מעבירים לא שונה בדרך. היא משמשת עד היום בשורה ארוכה של מערכות ושירותים דיגיטליים.
אלא שהיה פרט אחד שעורר חשד בקרב מומחי הצפנה - חלק מהמספרים שעליהם התבססו התקנים סופקו על ידי ה-NSA, מבלי שהסוכנות הסבירה כיצד בחרה אותם. החשש היה שהמספרים לא נבחרו באופן אקראי, אלא תוכננו כך שייצרו חולשה נסתרת שרק סוכנות הביון תדע לנצל.
במילים פשוטות, החשד היה שהאמריקנים סיפקו לעולם מנעול מתוחכם במיוחד, אבל שמרו לעצמם מפתח סודי שיאפשר להם לפתוח אותו בעת הצורך.
החששות התגברו במיוחד בשנת 2013, לאחר חשיפותיו של אדוארד סנודן על פעילות המעקב של ה-NSA וניסיונותיה להשפיע על מערכות הצפנה. אלא שלמרות שנים של מחקר ודיונים בקהילת אבטחת המידע, איש לא הצליח להסביר באופן משכנע כיצד נוצרו אותם מספרים מסתוריים, או בשביל מה.
ואז הגיע קלוד
לפי הממצאים שפרסמה אנת'רופיק, קלוד הצליח לזהות שחמישה מהמספרים שהופיעו בתקנים נוצרו ככל הנראה באמצעות מחולל מספרים פשוט יחסית, שהיה בשימוש נפוץ במחשבים בשנות ה-90.
מדובר בתוכנה שמייצרת רצף של מספרים שנראים אקראיים, אבל למעשה מבוססים על נוסחה מתמטית קבועה. כדי להתחיל את התהליך, התוכנה זקוקה למספר ראשוני, ואחת הדרכים ליצור אותו היא להשתמש בתאריך ובשעה שמציג שעון המחשב.
מטה ה-NSA.
(רויטרס)
קלוד גילה שהמספרים שבמרכז התעלומה תואמים לרצפים שנוצרו באמצעות תוכנה כזאת, שהופעלה בתאריכים שונים בשנים 1997 ו-1998. במקרה של אחד התקנים הנפוצים, המכונה P-256, המודל הצליח לשחזר את המספר המקורי מתוך רצף שהחל ב-16 באוגוסט 1997.
המשמעות היא שמה שנראה במשך עשרות שנים כמו בחירה מסתורית של מספרים, שאולי הסתירה מנגנון ריגול מתוחכם, עשוי להיות בסך הכול תוצאה של שימוש בתוכנת מחשב סטנדרטית ובשעון של מחשב.
חשוב להדגיש כי הגילוי אינו מוכיח באופן מוחלט שלא הוטמעה חולשה מכוונת בתקנים, אבל הוא מפחית משמעותית את הסבירות לכך. באנת'רופיק מדגישים כי לא התגלתה חולשת אבטחה חדשה, לא נפרצה שום מערכת הצפנה ואין צורך לבצע שינויים במערכות המשתמשות בתקנים הללו.
לפרשה יש גם קשר מעניין לביטקוין - המטבע הדיגיטלי, וכמוהו גם את'ריום, משתמש בשיטה מתמטית אחרת מזו שנבחרה עבור התקנים האמריקניים. הבחירה הזאת נקשרה לאורך השנים לחששות מפני מעורבות ה-NSA והאפשרות שהסוכנות השפיעה על האבטחה של הטכנולוגיה.
ועד כמה התעלומה נחשבה משמעותית בקהילת אבטחת המידע? בשנת 2023 הכריז מהנדס הקריפטוגרפיה פיליפו ואלסורדה על פרס כספי למי שיצליח לפענח אותה. הפרס, שעמד בתחילה על כ-12 אלף דולר, גדל בהמשך לכמעט 37 אלף דולר.
בעקבות הגילוי של קלוד, ואלסורדה הצליח לשחזר את התהליך בעצמו ואישר את נכונות הממצאים. כספי הפרס יועברו לארגון Internet Security Research Group, הפועל לקידום אבטחת האינטרנט.
אבל מעבר לפתרון התעלומה, הסיפור מדגים גם את היכולות המתפתחות של מודלי הבינה המלאכותית. לפי אנת'רופיק, קלוד לא רק חיפש תשובה קיימת או סיכם מחקרים קודמים, אלא בחן השערות, זיהה דפוסים מתמטיים והצליח לשחזר תהליך שנותר בלתי מוסבר במשך יותר משני עשורים.
כך יוצא שאחרי יותר מ-25 שנה של חשדות, ויכוחים וניסיונות לפענח את מקורם של המספרים, התעלומה קיבלה הסבר פשוט ומפתיע. במקום מזימת ריגול מתוחכמת, ייתכן שהתשובה הסתתרה כל הזמן בתוכנת מחשב ישנה משנות ה-90.
