[{"_1":2,"_3":-5,"_4":-5},"loaderData",{"_5":6},"actionData","errors","routes/hashtag",{"_7":8,"_9":10,"_11":12},"articles",[13],"authors",{},"tag","#forwardsecrecy",{"_14":15,"_16":17,"_18":19,"_20":21,"_22":23,"_24":25,"_26":27},"content","Read in english: [Session removed PFS, we're doomed!!1](https://ipfs.io/ipfs/QmXiWQ7yGYdoppSFyZr2fCd3zGLLwLK2kvghJrwZmrhtak)\n
\nАвтор: [Кот Иван](http://catnamedivan.online/) \nОпубликовано также в [IPFS](https://ipfs.io/ipfs/QmfEDv1JLne9kgukJpmofSKypoq76F6nKb7VxhgjjSHoNq)!\n\n

•••

\n\n\n

\nPFS *(Perfect forward secrecy)* — это система, позволяющая в случае взлома одного ключа шифрования выдать лишь часть сообщений, но защитить другие части. Делается это простым образом: ключ шифрования переодически меняется. Из-за того, что Session убрал PFS, в случае взлома одного ключа хакеру станут доступны все ваши переписки. Разработчики Session лаконично возразили на это, что взлом ключа возможен лишь при физическом доступе к девайсу (а в этом случае сообщения можно прочесть и просто так) [0]. Насколько они правы?\n\nTL;DR: Они охуенно правы, но им стоит побеспокоиться о квантовых компьютерах.
\n
\n

•••

\n\n\n
\n\n### Давайте разберемся.\n\n\nПротокол Session генерирует каждой учетной записи долгосрочную пару ключей X25519 (секретный и публичный) [1]. Секретный ключ X25519 состоит из 32 байтов (256 битов), или строку из 64 символов, которые включают в себя только цифры и буквы верхнего регистра [2][3].\n\n\n> Пример приватного ключа:

193FC8C3A73782DA18B238915C941CEF5E985DB388C881BD3C0E9EF496894A19

\n\n\nПредположим, что разработчики Session неправы, и попробуем посчитать, сколько времени займёт процесс взлома фразы, состоящего из 64 букв и цифр.\n\nКоличество всех возможных комбинаций любой строки вычисляется так [4]: \n\n\n>

(Количество возможных символов)^(Длинна пароля)

\n\n\nВ случае, если мы используем 26 букв английского алфавита и десять цифр (включая ноль), получается 36 вариантов символа. Длинна — как мы уже выяснили — 64. Наше уравнение — 36 в степени 64.\n

\n

36^64 = 4.01199E+99

\n\n Следовательно, у ключа шифрования Session есть **4 011 199 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000** возможных комбинаций. Цифру ещё можно выразить как **10^99*4**, **12.3 Q** (кветто) [5] или **4 дуотригинтиллиона**. Для сравнения, это больше *(примерно на 4 квинтиллиона)*, чем количество атомов в наблюдаемой вселенной (по оценкам — от 10^79 до 10^81) [6][7].\n\nДля краткости, в будущем я буду обращаться к этому числу как к **12.3 Q**, хотя его вполне можно было бы и назвать **\"число-пиздец\"**. Так вот, теперь нам предстоит выяснить, как быстро компьютер сможет взломать пароль, если количество его комбинаций — **12.3 Q**. Сайт Betterbuys [8] провел небольшое расследование этого вопроса и предложил, ссылаясь на источники, следующие схемы:\n\n>

Эффективные ядра: 1/((1-Эффективность)+(Эффективность/Кол-во ядер)) — (мы предположим, что процессов посвящает 99% операций взлому пароля, поэтому эффективностью будет 0.99)

\n>

GFLOPS процессора: Частота процессора * Эффективные ядра

\n>

Количество операций в секунду: GFLOPS/Константа шифрования (расчитана на типичный компьютер 2015 года)

\n>

Время в секундах: x секунд = Комбинации/(количество операций в секунду)

\n\n\n\n
\nКаков результат всех этих вычислений? Если заставить один компьютер 2015 года на процессоре Core i5-6600K взламывать ваш секретный ключ, у него займет это **3.5411902245474E+52 секунд** — или **4 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 лет**.\n\nА шанс случайно подобрать ключ — меньше 0.0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000003%. \n\n
\n\n### Но что если компьютер будет не один?\n\nЧто если именно тебя атакует владелец ботнета, или хакерская группировка, или правительство со сверхкомпьютером? Ну, даже если мы подключим **все существующие в мире компьютеры**, включая ваш, ко взлому вашего ключа, на это всё равно уйдет уйма времени. Например, в 2015 году их было 2 миллиарда (**2 000 000 000 000 000 000 000 000 000 000 000 000 000 лет** взлома); но даже если к 2023 мы изобрели в тысячу раз больше компьютеров, чем было (тысяча миллиардов), и все они (до музейных экспонатов) приобрели в два раза более сильный процессор, чем i5-6600K, у нас всё ещё остается **1 000 000 000 000 000 000 000 000 000 000 000 000 лет** на взлом.\n\n
\n\n### Но что насчёт более вовременных методов взлома?\nЗдесь разработчики не соврали: современные методы взлома отметаются тем, как Session скрывает ваши метаданные. Когда сгенерированный Session ключ не связан с вами — это исключает индивидуальную атаку; когда пароль случаен, это исключает атаку со словарём [10]; когда пароль неизвестен даже вам самим, это исключает фишинговую атаку [10]; когда пароль длиннее 20-30 символов, это исключает атаку радужными базами [10]. Session также устойчиво противостоит MITM [10], Sybil и DRDoS-атакам.\n\n\n
\n\n### Но что насчёт квантовых компьютеров?\nСистема шифрования, используемая Session *(elliptic-curve cryptography [11])*, действительно, уязвима перед квантовым компьютером, использующим алгоритм Шора [12]. Как скоро квантовый компьютер сможет взломать пароль с **12.3 Q** комбинаций?\n\nСогласно одним данным, всего за час, но при наличии от 20 [13] до 317 [14] миллионов кубитов (известный нам опубликованный лимит кубитов на сегодня — 433 кубита [15]). Согласно другим — уже с сегодняшним компьютером, но за 67 миллионов лет [16]. Согласно третьим — квантовый компьютер вообще едва ли сможет взламывать пароли: например из-за того, что компьютер должен быть достаточно стабильным для долгого взлома, или он должен иметь доступ к паролю (нужно взломать систему и получить напр. хеш пароля, ибо проверять состояние кубитов через интернет-запросы невозможно).\n\nТем не менее, из всех поднятых вопросов лишь квантовые компьютеры действительно представляют возможную опасность в будущем.\n
\n\n
В конце концов, даже если вам удастся взломать 256-битный ключ, без доступа к девайсу вы сможете восстановить диалоги лишь за последние 14 дней (а также читать дальнейшие диалоги с этого момента), потому что сообщения старше этого срока перманентно удаляются с серверов [17].\n\n\n
\n\n### Выводы\n\n- То, что Session отказался от PFS, никак не компромитирует вашу безопасность*.\n- Знатокам кибербезопасности, продолжающим по сей день кричать про PFS как главную уязвимость Session, стоит прежде всего попробовать отгадать или подобрать мою любимую цифру — она где-то в диапазоне между 1 и 4 011 199 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000 000. \n- Тем не менее, Session нужно обратить внимание на потенциальную грядущую опасность квантовых компьютеров. \n- В какой-то момент Sesson должен начать переход на новый метод шифрования, устойчивый против квантовых алгоритмов.\n\n**Когда количество нулей в вероятности (0,00..01) выше сотни, вероятность можно округлять до нуля.*\n\n

•••

\n\n\n#### Источники:\n\n[0] https://getsession.org/faq#session-pfs \n
[1] https://getsession.org/blog/session-protocol-technical-information\n
[2] https://crypto.stackexchange.com/questions/80601/what-is-the-key-length-of-shared-secret-by-curve-25519-ecdh\n
[3] https://medium.com/asecuritysite-when-bob-met-alice/having-your-crypto-handshaking-cake-and-eating-it-x25519-or-kyber-why-not-have-both-18b90f90dbbd\n
[4] https://www.betterbuys.com/estimating-password-cracking-times/\n
[5] https://en.wikipedia.org/wiki/Metric_prefix\n
[6] https://en.wikipedia.org/wiki/Observable_universe#Matter_content\n
[7] https://www.universetoday.com/36302/atoms-in-the-universe/\n
[8] https://www.betterbuys.com/estimating-password-cracking-times/\n
[9] https://www.worldometers.info/computers/\n
[10] https://stytch.com/blog/top-10-password-cracking-techniques/\n
[11] https://en.m.wikipedia.org/wiki/Elliptic-curve_cryptography\n
[12] https://en.m.wikipedia.org/wiki/Shor%27s_algorithm\n
[13] https://arxiv.org/pdf/1905.09749.pdf\n
[14] https://doi.org/10.1116/5.0073075\n
[15] https://spectrum.ieee.org/ibm-condor\n
[16] Sumanta Chatterjee (https://qr.ae/pKkcrh) states that the speed of password calculation can be found by the following formula: (number of password combinations)/(number of operations per second) = x seconds, where number of operations per second is calculated as follows: (number of petaFLOPS of a quantum computer)*petaFLOPS, where 1 petaFLOSP equals 10^15 or 2^50 (https://en.wikipedia.org/wiki/FLOPS). According to TOP500 (https://top500.org/lists/top500/list/2022/11/), as of January 2023, the most powerful computer had a peak performance of 1685.65 petaFLOPS. So 12.3 Q/(1685.65*2^50) = 2.11394040995172541e+81 seconds = 66,988,000 years.\n
[17] https://getsession.org/blog/self-deleting-messages","created_at",1700692683,"id","01155b8e30ff8bfb5150eceb86bf1c3ea5b5ad6c2ac68d826558f27c4e4fdefb","kind",30023,"pubkey","5c8a576582b8aba3793f2abc5f2a52c1325a900a0a94be0f1cbcc70f4fc5edee","sig","635ae12a8b9979ab9b239b366fd1fdc7e5b6b679db6633d733aa13df5de3265ecb936373ed76283dd78ab4167b393cb1033dc1e10616452612ecdc97dd837d98","tags",[28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48],[77,78],[75,76],[73,74],[71,72],[49,70],[49,69],[49,68],[49,12],[49,67],[49,66],[49,65],[49,64],[49,63],[61,62],[59,60],[55,56,57,58],[49,54],[49,53],[49,52],[49,51],[49,50],"t","Matter_content","session","7f0000","2b2b2b","8a8a8a","client","31990:7d4e04503ab26615dd5f29ec08b52943cbe5f17bacc3012b26220caa232ab14c:1687329691033","wss://relay.nostr.band","web","alt","This is a long form article, you can read it in https://habla.news/a/naddr1qq98xetnwd5k7mnsveesygzu3ftktq4c4w3hj0e2h30j55kpxfdfqzs2jjlq789ucu85l30dacpsgqqqw4rs0hfyp5","image","https://link.storjshare.io/s/jwlwgvsl3dpqvn77j4uabyf4cyma/ipfs-images%2Fsessionpfs.png?wrap=0","#cryptoanarchism","#cybersecurity","#lokinet","#oxen","#perfectforwardsecrecy","#pfs","#sessionmessenger","#session","published_at","1700692683","summary","Разбор мифа о том, что отказ Session messenger от PFS убивает приватность пользователя.","title","Session убрал PFS, мы обречены!!1 (RUS/ENG)","d","sessionpfs"]