بولران


نظارت آژانس امنیت ملی (اِن‌اس‌اِی)
خبرچین بیکران
برنامه‌ها
پیش از ۱۹۷۸
از ۱۹۷۸ تا کنون
از ۱۹۹۰ تا کنون
از ۲۰۰۱ تا کنون
از ۲۰۰۷ تا کنون
پایگاه داده، ابزار و مانند آنها
در همکاری با ستاد ارتباطات دولت
قانون‌گذاری
نهادها
دادخواست‌ها
افشاگرها
انتشارات
جستارهای همسو
مفاهیم
همکاری
ایالات متحده آمریکا
فایو آیز
دیگران

بولران برنامه سری و به‌شدت طبقه‌بندی‌شده برای شکستن رمزنگاری ارتباطات و داده‌های برخط است که توسط آژانس امنیت ملی ایالات متحده آمریکا اجرا می‌شود.[۱][۲] ستاد ارتباطات دولت بریتانیا برنامه همانندی با نام رمز اِج‌هیل (به انگلیسی: Edgehill) دارد. بر پایه راهنمای طبقه‌بندی‌شده‌ای که گاردین منتشر کرده، بولران از روش‌های گوناگون، مانند بهره بهرداری از شبکه رایانه‌ای،[۳] ممانعت، روابط صنعتی، همکاری با دیگر سازمان‌های اطلاعاتی، و روش‌های ریاضی پیشرفته استفاده می‌کند.

اطلاعات درباره وجود این برنامه، در سال ۲۰۱۳ (میلادی) توسط ادوارد اسنودن فاش شد. اسناد اسنودن، جزئیات فنی درباره عمق توانایی‌های رمزشکنی بولران را توضیح نمی‌دهند. زیرا او به این اسناد، دسترسی مستقیم نداشت.[۴] با این وجود در این اسناد، یک پرونده معرفی ستاد ارتباطات دولت برای سال ۲۰۱۰ (میلادی) وجود دارد که ادعا می‌کند "حجم زیادی از داده رمزنگاری‌شده اینترنت که تاکنون دور ریخته شده‌است امروز، قابل استفاده است."[۱] پیش از انتشار بولران در مطبوعات، شماری از جزئیات فنی آن به دستور مقام‌های اطلاعاتی آمریکا سانسور شدند.[۵] جدا از همه برنامه‌هایی که ادوارد اسنودن افشا کرده، برنامه رمزگشایی بولران تاکنون پرهزینه‌ترین آنها بوده است. ادوارد اسنودن ادعا می‌کند که از سال ۲۰۱۱ (میلادی) [تا ۲۰۱۵ (میلادی) که در مصاحبه گفته،] بودجه اختصاص یافته به این برنامه ۸۰۰ میلیون دلار آمریکا بوده است. اسناد افشا شده نشان می‌دهند که بولران به دنبال شکستن رمزنگاری‌های استفاده شده در فناوری‌های خاص ارتباط شبکه است.[۶]

نام‌گذاری و دسترسی

[ویرایش]

بر پایه راهنمای طبقه‌بندی‌شده آژانس امنیت ملی درباره بولران، این برنامه، یک سامانه یا بخش کنترل اطلاعات حساس تقسیم‌شده نیست. اما پس از همه نشانه‌گذاری‌های دیگر طبقه‌بندی و انتشار، کلمه کد باید در خط طبقه‌بندی، نشان داده شود. علاوه بر آن پیشنهاد می‌شود که (به غیر از نشانه‌گذاری با برچسب «فوق محرمانه»/«اطلاعات حساس»،) با برچسب «اطلاعات استثنائی کنترل‌شده» از همه جزئیات موفقیت‌های بدست آمده از رمزنگاری‌های خاص، به شکل ویژه‌ای حفاظت شود. یک فهرست غیر اختصاصی از فهرست احتمالی برچسب‌های اطلاعات استثنائی کنترل‌شده بولران به این شرح هستند: APERIODIC، AMBULANT، AUNTIE، PAINTEDEAGLE، PAWLEYS، PITCHFORD، PENDLETON، PICARESQUE، و PIEDMONT. جزئیاتی درباره معنی این برچسب‌ها در در دسترس نیست.[۱][۲]

دسترسی به بولران، تنها برای گروهی از کارکنان ویژه فایو آیز، آژانس امنیت ملی آمریکا، ستاد ارتباطات دولت بریتانیا، تشکیلات امنیت ارتباطات کانادا، اداره سیگنال‌های استرالیا، و اداره امنیت ارتباطات دولت نیوزیلند ممکن است. ممکن است اطلاعاتی که نتوان با فناوری امروزی، رمزگشایی کرد برای مدت نامحدودی نگهداری شوند. همزمان که سازمان‌های اطلاعاتی برای رمزگشایی آنها تلاش می‌کنند.[۲]

راهنمای طبقه‌بندی‌شده بولران که در گاردین منتشر شده است.

روش‌ها

[ویرایش]

با تراشه کلیپر طراحی شده توسط آژانس امنیت ملی که از رمز اسکیپ‌جک با در پشتی بین‌المللی استفاده می‌کرد و با استفاده از قوانین گوناگون ویژه‌ای مانند لایحه دستیاری ارتباطات برای اجرای قانون، لایحه امنیت الکترونیک فضای سایبری، و محدودیت صادرات نرم‌افزارهای رمزنگاری (آنطور که در پرونده برنشتاین علیه ایالات متحده به دادگاه ارائه شد)، در دهه ۱۹۹۰ (میلادی) حکومت فدرال ایالات متحده آمریکا به شکل گسترده‌ای تلاش کرد که از دسترسی به ارتباطات و توانایی رمزگشایی خود اطمینان حاصل کند.[۷][۸] به ویژه، اقدام‌های فنی، مانند سپردن کلید (که حُسن تعبیری برای در پشتی است) مورد انتقاد قرار گرفته و موفقیت کمی داشته است.

آژانس امنیت ملی، شرکت‌های فناوری امنیتی را تشویق می‌کند که در پشتی یا کلیدهای رمزنگاری محصولات خود را فاش کنند تا به داده‌های رمزنگاری شده، دسترسی داشته باشد.[۹] اگرچه ترس از همه‌گیری رمزنگاری، باعث شد آژانس امنیت ملی، پنهانی بر استانداردهای رمزنگاری اثر بگذارد و آنها را تضعیف کند و کلیدهای رمزنگاری شرکت‌ها را با توافق، یا با استفاده از اعمال قانون، یا با رخنه‌گری بدست آورد.[۵]

بر پایه یک سند توجیهی بولران، آژانس امنیت ملی توانسته به شکل موفقیت‌آمیزی به لایهٔ سوکت‌های امن (Secure Sockets Layer) و شبکه خصوصی مجازی (VPN) نفوذ کند.[۱][۲] نیویورک تایمز گزارش کرده که "یک سند آژانس امنیت ملی به تاریخ سال ۲۰۰۶ (میلادی) نشان می‌دهد که این سازمان به شبکه درونی ۳ شرکت هواپیمایی خارجی، ۱ سامانه رزرو مسافرتی، بخش انرژی هسته‌ای یک کشور خارجی، و سرویس اینترنت یک کشور دیگر نفوذ کرده است. این کار با رخنه به شبکه‌های خصوصی مجازی که از آن شرکت‌ها محافظت می‌کرده، انجام شده است." در سال ۲۰۱۰ (میلادی) تلاش برنامه اِج‌هیل (برنامه رمزگشایی دولت بریتانیا) بر نفوذ به ترافیک شبکه خصوصی مجازی ۳۰ هدف و همچنین رساندن این نفوذ به ۳۰۰ شبکه درونی دیگر بود.[۵]

به عنوان بخشی از برنامه بولران، آژانس امنیت ملی، فعالانه، بر "وارد کردن آسیب‌پذیری به سامانه‌های رمزنگاری، سامانه‌های فناوری اطلاعات، شبکه‌های رایانه‌ای، و دستگاه‌های کاربر نهایی" تمرکز می‌کند.[۱۰] نیویورک تایمز گزارش کرده که مولد شماره‌های تصادفی مولد بیت تصادفی قطعی منحنی بیضوی دوگانه دارای یک در پشتی است که به آژانس امنیت ملی، اجازه شکستن قفل‌های ساخته شده با این مولد را می‌دهد.[۱۱] با وجود اینکه این مولد شماره‌های تصادفی حتی مدت کوتاهی پس از انتشار نیز ناامن و کند می‌شود و در سال ۲۰۰۷ (میلادی) یک در پشتی کلپتوگرافیک احتمالی برای آژانس امنیت ملی در آن پیدا شد و درحالیکه دیگر مولدهای شماره‌های تصادفی تاییدشده به طور گسترده‌ای در دسترس بودند شرکت آراِس‌اِی سکیوریتی تا سپتامبر ۲۰۱۳ به استفاده از مولد بیت تصادفی قطعی منحنی دوگانه بیضوی در ابزار RSA BSAFE و مدیریت حفاظت از داده، ادامه داد. [به این معنی نیست که آراِس‌اِی سکیوریتی، پس از سپتامبر ۲۰۱۳ استفاده از مولد بیت تصادفی قطعی منحنی دوگانه بیضوی را متوقف کرده است. بلکه به معنی استفاده از آن تا هنگام افشای بولران است و معلوم نیست پس از آن تاریخ، هنوز هم استفاده می‌کند یا نه]. درحالیکه آراس‌ای سکیوریتی، قرار دادن عمدی در پشتی در RSA BSAFE را رد می‌کند هنوز توضیحی درباره ادامه استفاده از مولد بیت تصادفی قطعی منحنی دوگانه بیضوی، حتی پس از آشکار شدن نقص‌های آن در سال‌های ۲۰۰۶ و ۲۰۰۷ نداده است.[۱۲] در ۲۰ دسامبر ۲۰۱۳ گزارش شد که آراِس‌اِی سکیوریتی، دریافت ۱۰ میلیون دلار از آژانس امنیت ملی را برای قرار دادن مولد شماره‌های تصادفی در نرم‌افزارهای خود را تایید کرد.[۱۳][۱۴] اسناد فاش شده آژانس امنیت ملی نشان می‌دهند که تلاش آنها "چالش زیرکانه"ای است و آژانس امنیت ملی، "تنها ویرایشگر نهایی" استانداردهای امنیتی است.[۵]

اسناد فاش شده نشان می‌دهند که آژانس امنیت ملی در سال ۲۰۱۰ "توانایی‌های پیشگامانه‌ای" را علیه ترافیک رمزنگاری‌شده اینترنت، توسعه داده است. با این حال یک سند ستاد ارتباطات دولت هشدار می‌دهد که "این توانایی‌ها جزء شکننده‌ترین روش‌های شنود الکترونیک هستند و افشای ناخواسته «واقعیت‌های ساده» می‌تواند دشمن را هشیار کند و به از دست رفتن فوری آن توانایی بینجامد." یک سند درون سازمانی دیگر می‌گوید که "نیازی به دانستن نیست".[۵] چندین کارشناس، مانند بروس اشنایر و کریستوفر سوغویان گمان می‌کنند که با توجه به ضعف‌های آشکارشده آر سی ۴ (یک الگوریتم رمزنگاری رمز دنباله‌ای که هنوز در دستکم ٪۵۰ ترافیک همه لایهٔ‌های سوکت‌های امن و امنیت لایه انتقال) حمله موفق به آن هنوز امکانپذیر است.[۱۵] دیگران گمان می‌کنند که آژانس امنیت ملی، توانایی رخنه به کلیدهای ۱۰۲۴ بیتی الگوریتم آراس‌ای و پروتکل تبادل کلید دیفی-هلمن را بدست آورده است.[۱۶]

اسلایدی از بولران که گاردین منتشر کرده است نمودار معماری سطح بالای آژانس امنیت ملی برای استفاده از رمزشکنی فناوری‌های رمزنگاری معمول در اینترنت را نشان می‌دهد.

اُفت

[ویرایش]

در پی افشاگری‌های بولران، برخی پروژه‌های متن‌باز، مانند فری‌بی‌اس‌دی و اپن‌اس‌اس‌ال، وابستگی و اعتماد (کامل) خود به رمزنگاری اولیه مبتنی بر سخت‌افزار را کاهش دادند.[۱۷][۱۸]

بسیاری دیگر از پروژه‌های نرم‌افزاری، شرکت‌ها، و سازمان‌ها با افزایش برآوردهای امنیتی و فرایندهای رمزنگاری خود به این افشاگری‌ها واکنش دادند. برای نمونه، گوگل، اندازه گواهی‌نامه‌های امنیت لایه انتقال خود را از ۱۰۲۴ بیت به ۲۰۴۸ بیت افزایش داد.

افشاگری درهای پشتی آژانس امنیت ملی و پیچیده‌سازی هدفمند استانداردهای امنیتی باعث واکنش تند به همکاری آن با سازمان‌های استانداردسازی شد.[۱۹] پیش از این افشاگری‌ها حضور آژانس امنیت ملی در کمیته‌های استانداردسازی، به خاطر تخصص آن سازمان در رمزنگاری، منفعتی برای آن کمیته‌ها انگاشته می‌شد.[۲۰]

گمان می‌رود که آژانس امنیت ملی از اشکال امنیتی هارت‌بلید آگاه بوده است. اما این اشکال را آشکار نکرده تا خود از آن استفاده کند. هارت‌بلید باعث می‌شد که بسیاری از وبگاه‌ها در برابر دزدی گذرواژه، آسیب‌پذیر باشند.[۲۱]

ریشه نام

[ویرایش]

نام "بولران" از نخستین نبرد بول ران گرفته شده است. این نبرد، نخستین نبرد اصلی در جنگ داخلی آمریکا بود.[۱] برنامه پیشین آن به نام ماناساس[۲] (به انگلیسی: Manassas) نام فراگیری برای نبرد و جایی است که این نبرد در آن رخ داده است. اِج‌هیل از نبرد اج‌هیل گرفته شده که نخستین نبرد جنگ‌های داخلی انگلستان بود.[۲۲]

جستارهای وابسته

[ویرایش]

منابع

[ویرایش]
  1. ↑ ۱٫۰ ۱٫۱ ۱٫۲ ۱٫۳ ۱٫۴ Ball, James; Borger, Julian; Greenwald, Glenn (September 5, 2013). "US and UK spy agencies defeat privacy and security on the internet". The Guardian.
  2. ↑ ۲٫۰ ۲٫۱ ۲٫۲ ۲٫۳ ۲٫۴ Perlroth, Nicole; Larson, Jeff; Shane, Scott (September 5, 2013). "The NSA's Secret Campaign to Crack, Undermine Internet Security". ProPublica.
  3. ↑ "Computer Network Exploitation vs. Computer Network Attack - Schneier on Security". www.schneier.com. Retrieved 2016-09-11.
  4. ↑ Sean Michael Kerner (2013-09-09). "NSA Bullrun, 9/11 and Why Enterprises Should Walk Before They Run". Eweek.com. Retrieved 2014-01-23.
  5. ↑ ۵٫۰ ۵٫۱ ۵٫۲ ۵٫۳ ۵٫۴ "N.S.A. Able to Foil Basic Safeguards of Privacy on Web". New York Times. New York Times. Retrieved 16 April 2015.
  6. ↑ "Edward Snowden Reveals Secret Decryption Programs". International Business Times. Retrieved 16 April 2015.
  7. ↑ Mike Godwin (May 2000). "Rendering Unto CESA: Clinton's contradictory encryption policy". Reason. Retrieved 2013-09-09. [...] there was an effort to regulate the use and sale of encryption tools, domestically and abroad. [...] By 1996, the administration had abandoned the Clipper Chip as such, but it continued to lobby both at home and abroad for software-based "key escrow" encryption standards.
  8. ↑ "Administration Statement on Commercial Encryption Policy". July 12, 1996. Retrieved 2013-09-09. Although we do not control the use of encryption within the US, we do, with some exceptions, limit the export of non-escrowed mass market encryption to products using a key length of 40 bits.
  9. ↑ ("NSA is Changing User's Internet Experience.") Info Security Institute
  10. ↑ "Secret Documents Reveal N.S.A. Campaign Against Encryption". New York Times.
  11. ↑ "New York Times provides new details about NSA backdoor in crypto spec". Ars Technica.
  12. ↑ Matthew Green. "RSA warns developers not to use RSA products".
  13. ↑ Menn, Joseph (December 20, 2013). "Exclusive: Secret contract tied NSA and security industry pioneer". Reuters. San Francisco. Archived from the original on 24 September 2015. Retrieved December 20, 2013.
  14. ↑ Reuters in San Francisco (2013-12-20). "$10m NSA contract with security firm RSA led to encryption 'back door' | World news". theguardian.com. Retrieved 2014-01-23.
  15. ↑ "That earth-shattering NSA crypto-cracking: Have spooks smashed RC4?". The Register. 2013-09-06. Retrieved 16 April 2015.
  16. ↑ "Google strengthens its SSL configuration against possible attacks". Retrieved 16 April 2015.
  17. ↑ Goodin, Dan (2013-12-10). ""We cannot trust" Intel and Via's chip-based crypto, FreeBSD developers say". Ars Technica. Retrieved 2014-01-23.
  18. ↑ Security News (2013-09-10). "Torvalds shoots down call to yank 'backdoored' Intel RdRand in Linux crypto". The Register.
  19. ↑ Schneier, Bruce (5 September 2013). "The US government has betrayed the internet. We need to take it back". The Guardian. Retrieved 9 January 2017.
  20. ↑ John Gilmore (6 Sep 2013). "Opening Discussion: Speculation on 'BULLRUN'". The Mail Archive. The Cryptography Mailing List. the big companies involved ... are all in bed with NSA to make damn sure that working end-to-end encryption never becomes the default on mobile phones
  21. ↑ Michael Riley (2014-04-11). "NSA Said to Have Used Heartbleed Bug, Exposing Consumers". Bloomberg.
  22. ↑ Ward, Mark (۶ سپتامبر ۲۰۱۳). "Snowden leaks: US and UK 'crack online encryption'". BBC News. Retrieved 6 September 2013.

پیوند به بیرون

[ویرایش]