Эксперты призывают готовиться к криптоапокалипсису

Эксперты призывают готовиться к криптоапокалипсису

На прошедшей в Лас-Вегасе конференции Black Hat с особым заявлением выступили четверо исследователей кибербезопасности: Алекс Стеймос, Том Риттер, Томас Птачек и Джавед Сэмюель. Суть их просьбы сводилась к следующему: существующие алгоритмы, лежащие в основе современной криптографии, могут находиться в опасности прогресса решения математических задач, поэтому всем нам следует отказаться от существующих SSL-сертификатов в пользу более новых методов криптографии.

Общеизвестно, что в основе асиметричной криптографии лежит два ключа: один может зашифровать данные, другой используется для их расшифровки. Это возможно благодаря свойствам односторонних функций. Предполагается, что некоторые математические операции трудны и могут быть выполнены лишь за экспоненциальное время, то есть за время, возрастающее экспоненциально при линейном увеличении размерности задачи. Однако, существование таких функций, то есть свойство экспоненциального возрастания сложности так и остаётся недоказанной гипотезой, пишет habrahabr.ru.

Существует ненулевая вероятность того, что в будущем найдётся подобное решение, возможное за полиномиальное время, что сулит криптографический апокалипсис. Суть доклада квартета исследователей сводилась к тому, что этот момент может быть не так отдалён от настоящего времени, в то время как альтернативные и более современные методы криптографии не имеют большого распространения.

Наиболее распространённые асимметричные алгоритмы — алгоритм Диффи — Хеллмана, RSA, DSA — полагаются на сложность двух задач: факторизации целых чисел и дискретного логарифмирования. Современная математика не располагает простыми решениями, выполняемыми за полиномиальное время, однако в сравнении с десятилетиями медленного продвижения вперёд резкая активность в этой области последнего полугода очень подозрительна.

Были получены быстрые алгоритмы дискретного логарифмирования, имеющие ограниченное применение. На данный момент не существует известных способов использования этих наработок в практической криптографии, но даже эти математические достижения пугают криптографов. Исследователи проводили аналогии с атаками на SSL вида BEAST, CRIME и BREACH. Использованные для этих атак особенности асимметричной криптографии точно так же долгие годы считались сугубо теоретическими и не имеющими практического применения, но всё вышло иначе.

Важным также было поведение программ и их разработчиков после этих атак. Оказалось, что немалую часть программного обеспечения трудно, а иногда — невозможно модифицировать для поддержки новых криптографических стандартов. Хотя существуют более совершенные криптографические алгоритмы, их настройка и реализация занимают куда больше времени, чем следует.

Стоит помнить, что пострадать от полиномиальных алгоритмов общего применения факторизации целых чисел и дискретного логарифмирования может не только SSL, но и другие протоколы и методы шифрования данных: SSH, PGP и т. д. Под угрозой будут обновления с новыми методами криптографии для операционных систем и прикладного ПО: поскольку программы опираются на цифровые подписи, быстро появятся поддельные пакеты обновлений. Хотя эта катастрофа может произойти не скоро, а может, и вовсе не произойдёт никогда, поскольку будет доказана невозможность решения соответствующих математических задач за полиномиальное время, нам следует обезопасить себя развертываением альтернативных методов криптографии, считают исследователи.

В качестве решения всех проблем предлагается криптография на основе эллиптической кривой над конечными полями. Методы эллиптической криптографии схожи с методами других асимметричных алгоритмов: есть допущение о сложности математической задачи, в данном случае — дискретного логарифмирования в группах точек эллиптических кривых. В отличие от взаимопохожих задач факторизации целых чисел и дискретного логарифмирования, положительные результаты в одной из них не угрожают эллиптической криптографии.

Поддержка же эллиптической криптографии имеет свои проблемы. Большая часть технологии запатентована компанией BlackBerry, и патентные проблемы заставили некоторых производителей отказаться от поддержки технологии. Использующие эллиптическую криптографию протоколы (к примеру, последняя реализация технологии SSL — TLS 1.2) пока ещё не поддерживаются достаточно широко. Виновны в этом также сертификационные центры, пока что почти не предоставляющие сертификатов эллиптической криптографии.

В общем и целом исследователи призывают индустрию информационных технологий начать поддерживать эллиптическую криптографию уже сегодня, а также удостовериться в защищенности систем, использующих криптографию: они не должны полагаться на устаревшие алгоритмы и протоколы. Программное обеспечение должно быть легко обновляемым, позволяя держать паритет с математическим прогрессом и техническими достиженями отрасли. Криптоапокалипсис может и не случиться, но готовность к нему обязательна уже сейчас.

Сгенерированный ИИ контент с детьми становится более жестоким и массовым

Во всём мире быстро растут объёмы экстремального контента, сгенерированного нейросетевыми инструментами, в том числе на основе изображений реальных людей, включая детей. Для противодействия этой тенденции эксперты предлагают пересмотреть регулирование интернет-безопасности и ввести жёсткие ограничения для профильных компаний.

По данным, изложенным в докладе британской неправительственной организации Internet Watch Foundation (IWF), в 2025 году было выявлено 8029 реалистичных роликов, содержащих сцены сексуализированного насилия над детьми. Это на 14% больше, чем годом ранее.

Однако в текущем году ситуация начала стремительно ухудшаться, что вызывает серьёзную обеспокоенность экспертов. В частности, за минувший год доля изображений и видео, содержащих пытки и извращённый секс, выросла с 13 до 69%.

«Хотя доля материалов, созданных с помощью искусственного интеллекта (ИИ), остаётся сравнительно небольшой среди огромного количества материалов с участием детей, с которыми наши аналитики работают каждый год, число изображений, созданных с помощью ИИ, возросло в геометрической прогрессии благодаря доступности и простоте таких инструментов. Сейчас мы сталкиваемся с технологическим ландшафтом, который может с беспрецедентной лёгкостью порождать бесконечные нарушения», — говорится в докладе IWF.

Ведущий специалист отдела исследовательских разработок компании «Стахановец», эксперт в области информационных технологий и информационной безопасности Алексей Миронов в комментарии для «Известий» обратил внимание на рост доступности и удешевление нейросетевых инструментов: «Если ещё пару лет назад для создания реалистичного видеоролика или дипфейка требовались серьёзные вычислительные мощности и глубокие знания в программировании, то сегодня злоумышленники могут использовать недорогие облачные сервисы и готовые инструменты».

Глава Альянса по защите детей в цифровой среде Елизавета Белякова также назвала одной из причин широкого распространения такого контента то, что даже один человек способен за короткий срок сгенерировать значительные объёмы подобных материалов. Это подогревает высокий платёжеспособный спрос на такие изображения и видео в определённых сообществах. При этом злоумышленники нередко используют изображения реальных людей, например, из соцсетей. Это создаёт серьёзные репутационные риски и может способствовать кибербуллингу и шантажу.

Ситуацию усугубляет то, что в настоящее время дипфейк часто невозможно отличить от реального изображения без использования специального инструментария. Это признал руководитель Экспертно-криминалистического центра МВД России.

Основатель платформы мониторинга нейросетей GEO Scout Владислав Пучков отметил, что злоумышленники используют модифицированные ИИ-модели с открытым кодом. Кроме того, они могут сочетать сразу несколько инструментов. Причём обходить ограничения, установленные разработчиками, способны даже пользователи с невысокой квалификацией. Тем более что в соответствующих сообществах можно найти готовые инструкции.

По мнению экспертов, в дальнейшем ситуация будет только ухудшаться. Этому будут способствовать как большой объём такого контента, так и его дальнейший рост, из-за чего системы модерации онлайн-платформ могут перестать справляться с нагрузкой.

По оценке Алексея Миронова, помочь здесь может принцип «ИИ против ИИ». В этом случае нелегальный контент будут выявлять и блокировать на уровне провайдеров, а весь легитимный контент получит обязательные цифровые водяные знаки. Также он указал на необходимость контролировать корпоративные ИИ-модели на предмет их использования в нелегитимных целях.

Директор Центра компетенций по глобальной ИT-кооперации Вадим Глущенко назвал ключевой задачей налаживание обмена данными между интернет-платформами и провайдерами, а также выработку общих подходов к выявлению запрещённого контента на межстрановом уровне. Хорошим примером такого сотрудничества он назвал инициативу INHOPE, охватывающую 52 страны, включая Россию.

RSS: Новости на портале Anti-Malware.ru