Автор Эндрю Поэлстра. Оригинал

Статус. Этот документ все еще находится в разработке, и в нем отсутствуют большие разделы. Существующий текст должен быть правильным, поэтому любые сообщения об ошибках приветствуются по адресу [email protected].

1. Преамбула

Зачем я пишу этот документ? Потому что, когда я впервые вошел в мир криптографии, там были распространены определенные принципы здравого смысла, например, для разработки криптосистемы вы должны сначала думать как криптоаналитик, иначе каждый мог бы создать стойкую криптосистему. Для большинства людей эти максимы можно резюмировать просто: не пользуйтесь самодельной криптографией. Любого, кто пренебрегал этим золотым правилом, не имея десятилетий образования и опыта, справедливо считали чудаком или троллем.

Конечно, было несколько человек, которые не придерживались этого правила, и они могли потратить годы, спамя в рассылку sci.crypt своими недоработанными идеями, теориями заговора, алгоритмами оптимизации и защищенной от АНБ криптографии. Этих людей часто высмеивали, но так же часто искренне советовали обратиться за психологической помощью. Я надеюсь, что некоторые из них с тех пор так и поступили. Их идеи ни в коем случае не воспринимались всерьез, не использовались и в них, боже упаси, не инвестировали (курсив ред.).

Однако вскоре после начала XXI века Адам Бэк открыл новый тип криптографии, так называемое доказательство работы (Proof-of-Work, примечание ред.), что позволило создать криптосистему с распределенным консенсусом. Эта криптосистема была использована в 2009 году Сатоши Накомото для разработки первой децентрализованной криптовалюты - Биткоина - оказавшейся в результате первой экспериментальной криптосистемой, в которую людьми, не понимавшими ее механизмов, были вложены миллиарды долларов.

К тому времени преимущества открытой криптографии уже давно стали очевидны, поэтому эталонная реализация Биткойна имела полностью открытый код. Это позволило кому угодно увидеть код и форкнуть его для разработки своих собственных криптосистем. Конечно, «разработка собственной криптосистемы» - это компетенция только чудаков и исследователей, поэтому было разумно предположить, что ни один из этих «альткойнов», как их называли, никогда не сможет быть убедительно представлен публике для использования.

Боже, как же мы были неправы!

Этот документ преследует двоякую цель:

1. Для представителей общественности, интересующихся криптовалютами, в этом документе разбирается, что такое криптовалюты и криптосистемы в целом. В нем обсуждаются чудеса и опасности современной криптографии, а также серьезные риски, связанные с настройкой криптосистемы неквалифицированными (и даже квалифицированными!) специалистами.
   Поскольку Биткойн придал новым криптосистемам прямую денежную ценность, с ним делают глупости не только чудаки, но также лжецы и воры. В этом документе также обсуждается и эта сторона развития альткоинов.
2. Если вы разрабатываете или планируете разработать и выпустить для общественного пользования некий «альткоин», этот документ напоминает вам, что вы играете с огнем. Такое поведение было милым в sci.crypt, сообществе, населенном в основном криптографическими экспертами, где не было риска, что ваше шарлатанство будет ошибочно принято за что-либо осмысленное, и где в любом случае не было возможности пытаться сохранять ценность при помощи предложенной вами схемы.
   Биткоин-сообщество отличается в обоих отношениях. Ваша чудаковатость уже не кажется милой. Вы не криптограф, но тем не менее выпускаете самодельную криптосистему, обманывая других насчет своей квалификации и поощряя их хранить ценность в вашем творении. Эти действия некомпетентны, нечестны и предосудительно опасны.
   Если вы каким-то образом делаете это в рамках добросовестного заблуждения, я мечтаю, чтобы вы прочитали эту статью и осознали свою ошибку.

2. Что такое криптосистемы?

Современная криптография, как область, изучает способы и методы управления информационными потоками независимо от содержания потока данных. Например, используя криптографию с открытым ключом, можно транслировать данные таким образом, чтобы содержащаяся в них информация была доступна только одному человеку.

До появления современной криптографии философские вопросы, такие как «где» на самом деле содержится информация, рассматривались только как философские вопросы. Интуитивно понятно, что если вы записываете некоторую информацию, она оказывается прямо на странице перед вами и доступна любому, кто может ее прочитать. В свете этой интуиции факт, что современная криптография вообще может существовать, это что-то вроде чуда. И учитывая, что мы вышли за пределы этой интуиции, которая отлично служила нам до недавнего времени, следует ожидать, что современная криптография - чрезвычайно тонкая и опасная практика. Действительно, это так и есть.

Криптографическая идея «отделения информационного потока от потока данных» может быть поставлена на хорошую математическую основу, и в этом направлении был достигнут большой прогресс[1], хотя остается еще много фундаментальных открытых проблем[2]. Читая статьи в этой области, можно понять, насколько трудно делать конкретные утверждения о таких тонких концепциях, а также о том, с какой точностью должны быть сделаны предположения.

Криптосистема - это набор алгоритмов, которые работают вместе для достижения некоторой криптографической цели. Типичная криптосистема состоит из трех алгоритмов: генерации ключей, шифрования и дешифрования. Криптосистемы обычно публикуются вместе с доказательствами безопасности, которые сводят некоторые «сложные» математические задачи, такие как отыскание дискретного логарифма элемента группы эллиптической кривой, ко «взлому» криптосистемы (например, выяснению некоторых битов входных данных алгоритма шифрования по его выходным данным). Эти доказательства сложны, тонки, и их отношение к реальности является предметом интенсивных споров [3]. Важно отметить, что эти доказательства также рассматривают криптосистему в целом: измените хотя бы один алгоритм, и доказательство безопасности нового алгоритма может быть оказаться полностью недействительным.

Тем не менее, мы ежедневно взаимодействуем со многими криптосистемами, о большинстве из которых даже не задумываемся. Мы предполагаем безопасность этих систем во-первых потому, что в случае их взлома есть юридические средства правовой защиты. Во-вторых потому, что мы всегда так поступали, и кажется, что нарушения безопасности случаются достаточно редко. И в третьих потому, что, как нам кажется, очень умные люди разработали эти системы так, чтобы их было трудно сломать. В конце концов, в них крутятся большие деньги.

Конечно, даже если это верно в отношении криптосистем, которые мы используем для проверки нашей электронной почты, ведения банковских операций, покупки продуктов и хранения личных данных, у нас нет причин для аналогичного доверия, если речь идет о новых криптосистемах, разработанных анонимами для чего-то нового. Это в значительной степени приводит к ярлыку «чудак», присвоенный стольким бессмысленным проектам на sci.crypt.

[1] См., например, Shafi Goldwasser and Silvio Micali, Probabilistic Encryption, Special issue of Journal of Computer and Systems Sciences, Vol. 28, No. 2, pages 270-299, April 1984. Доступно онлайн.

[2] Например, такие функции, как SHA256d, которые легко вычислить, но которые имеют непредсказуемые выходные данные, называются односторонними функциями. Однако то, что SHA256d является односторонней, это только гипотеза, никаких доказательств этому найдено не было - фактически, не было найдено никаких доказательств даже того, что какие-либо односторонние функции вообще существуют!

Продолжение следует...