ارزیابی کارایی رمزنگاری: چرا یک کلید متقارن ۲۵۶ بیتی با یک کلید ۱۵۳۶۰ بیتی RSA برابری می‌کند؟

در ۴ مه ۲۰۲۰، موسسه ملی استاندارد و فناوری (NIST) نسخه پنجم نشریه ویژه 800-57 را نهایی کرد و رسماً برابری‌های رمزنگاری را که امنیت اینترنت مدرن را تامین می‌کنند، تثبیت نمود. این سند یک واقعیت ریاضی محض را روی میز گذاشت: برای دستیابی به ۲۵۶ بیت امنیت، یک الگوریتم متقارن مانند AES به یک کلید ۲۵۶ بیتی نیاز دارد، در حالی که الگوریتم نامتقارن RSA نیازمند یک کلید حیرت‌انگیز ۱۵۳۶۰ بیتی است. این اختلاف ۶۰ برابری در اندازه کلید، صرفاً یک بازیگوشی تئوریک نیست؛ بلکه گلوگاه ساختاری مهمی است که نحوه مهندسی هر اتصال امن در وب را دیکته می‌کند.[1]

این تناقض از نحوه پنهان‌سازی اطلاعات در این دو سیستم نشأت می‌گیرد. رمزنگاری متقارن، مانند AES-256، بر شبکه‌های جانشینی و جایگشت تکیه دارد؛ یعنی اساساً داده‌ها را از طریق هزارتوهای پیچیده و برگشت‌پذیر ریاضی و با استفاده از یک کلید کاملاً یکسان برای قفل کردن و باز کردن، بر هم می‌زند. تنها استراتژی عملی یک مهاجم در برابر یک رمز متقارن که به درستی پیاده‌سازی شده باشد، جستجوی فراگیر (Brute-force) است. برای شکستن یک کلید متقارن ۲۵۶ بیتی، آن‌ها باید از میان ۲ به توان ۲۵۶ حالت ممکن حدس بزنند؛ عددی چنان عظیم که از تعداد تخمینی اتم‌های جهان قابل مشاهده نیز فراتر می‌رود.[5]

در مقابل، RSA یک الگوریتم نامتقارن است. این سیستم از یک کلید عمومی برای رمزنگاری و یک کلید خصوصی برای رمزگشایی استفاده می‌کند و بر دشواری ریاضی تجزیه حاصل‌ضرب دو عدد اول بسیار بزرگ تکیه دارد. از آنجا که کلید عمومی این حاصل‌ضرب را افشا می‌کند، مهاجم مجبور نیست به‌طور تصادفی حدس بزند؛ بلکه می‌تواند از الگوریتم‌های پیشرفته تجزیه مانند «غربال میدان اعداد عمومی» (GNFS) برای یافتن اعداد اول استفاده کند. برای حفظ حاشیه امنیت ۲۵۶ بیتی در برابر این میانبرهای ریاضی، کلید RSA باید به‌طور تصاعدی بزرگتر باشد؛ دقیقاً ۱۵۳۶۰ بیت، همان‌طور که در توصیه‌های طول کلید رمزنگاری NIST در سال ۲۰۲۰ مشخص شده است.[1][3]

این اندازه عظیم کلید، هزینه محاسباتی سنگینی به همراه دارد. پردازش یک عملیات ۱۵۳۶۰ بیتی RSA نیازمند ضرب و به توان رساندن اعدادی است که هزاران رقم طول دارند. در حالی که بروشورهای بازاریابی اغلب با آب و تاب از «رمزنگاری RSA در سطح نظامی» به عنوان یک ویژگی همه‌جانبه یاد می‌کنند، واقعیت این است که RSA از نظر محاسباتی به شدت کند است. رمزنگاری حجم انبوهی از داده‌ها با یک کلید ۱۵۳۶۰ بیتی RSA، سرورها را از کار می‌اندازد و باتری موبایل‌ها را در عرض چند دقیقه خالی می‌کند. در عوض، الگوریتم‌های متقارنی مانند AES که برای شتاب‌دهی سخت‌افزاری طراحی شده‌اند، با سرعتی به مراتب بالاتر اجرا می‌شوند.[4]

به دلیل همین شکاف عملکردی، پروتکل‌های مدرنی مانند TLS 1.3 برای رمزنگاری داده‌های اصلی از RSA استفاده نمی‌کنند. در عوض، آن‌ها یک رویکرد ترکیبی را به کار می‌گیرند. الگوریتم‌های نامتقارن که بار محاسباتی سنگینی دارند، منحصراً در طول دست‌دهی (Handshake) اولیه استفاده می‌شوند تا یک کلید متقارن ۲۵۶ بیتی بسیار کوچکتر و سریع‌تر را به شکلی امن روی یک کانال ناامن تبادل کنند. به محض اینکه این راز مشترک برقرار شد، AES کنترل انتقال انبوه داده‌ها را به دست می‌گیرد و سرعت لازم برای استریم ویدیو و ارتباطات در لحظه را فراهم می‌کند.[6]

صنعت در حال حاضر به طور کامل در حال فاصله گرفتن از کلیدهای متورم RSA است. رمزنگاری منحنی بیضوی (ECC) رمزنگاری نامتقارنی را بر اساس ساختار جبری منحنی‌های بیضوی روی میدان‌های متناهی ارائه می‌دهد که فاقد میانبرهای ریاضی تجزیه اعداد اول است. یک کلید ۵۱۲ بیتی ECC همان سطح امنیت ۲۵۶ بیتی یک کلید ۱۵۳۶۰ بیتی RSA را تامین می‌کند که نتیجه آن زمان‌های امضای بسیار سریع‌تر و اندازه‌های گواهی کوچکتر است. این تغییر رویه توضیح می‌دهد که چرا سرورهای وب مدرن، گواهی‌های ECC را به گواهی‌های قدیمی RSA ترجیح می‌دهند.[2]

آستانه امنیت ۲۵۶ بیتی در حال حاضر برای کلیدهای متقارن در برابر کامپیوترهای کوانتومی مقاوم در نظر گرفته می‌شود، زیرا الگوریتم گراور (Grover) عملاً امنیت آن را به ۱۲۸ بیت کاهش می‌دهد که با استانداردهای امروزی همچنان امن است. با این حال، اجرای الگوریتم شور (Shor) روی یک کامپیوتر کوانتومی به اندازه کافی قدرتمند، می‌تواند به سادگی هم RSA-15360 و هم ECC-512 را در هم بشکند. گذار مداوم به سمت رمزنگاری پسا-کوانتومی نیازمند پایه‌های ریاضی کاملاً جدیدی خواهد بود؛ موضوعی که ثابت می‌کند برابری طول کلیدها هرگز دائمی نیستند، بلکه صرفاً آتش‌بس‌هایی موقت در یک مسابقه تسلیحاتی محاسباتیِ رو به گسترش به شمار می‌روند.[4][6]

شایان ذکر است که اگرچه استانداردهای فنی این پارامترها را دیکته می‌کنند، اما نقل‌قول‌های مستقیم و کلمه‌به‌کلمه از نویسندگان که آستانه ۱۵۳۶۰ بیتی را به زبان ساده توضیح دهند، در اسناد مرجع ذکر شده وجود ندارد؛ اسنادی که در عوض بر اثبات‌های ریاضی و جداول پیچیدگی الگوریتمی تکیه دارند.[6]