Il principio di Kerckhoffs
Una regola importante quando si parla di sistemi crittografici è il principio di Kerckhoffs: la sicurezza di uno schema di codifica deve dipendere soltanto dalla segretezza della chiave Kc e non da quella degli algoritmi.
Le ragioni alla base di questa regola sono molto sensate.
È difficile modificare sostanzialmente gli algoritmi: essi sono realizzati in soluzioni software o hardware, spesso difficilmente aggiornabili.
In situazioni pratiche, si finisce per utilizzare uno stesso algoritmo per molto tempo e ciò è un fatto innegabile.
È piuttosto difficile mantenere segreta una chiave smplice, ma mantenere segreto un algoritmo lo è di gran lunga di più (e quindi anche più costoso).
Nessuno realizza un sistema crittografico per due soli utenti, e ogni utente del sistema (quindi potenzialmente milioni di persone) utilizzeranno lo stesso algoritmo.
Un attaccante dovrebbe soltanto ottenere l’algoritmo da uno dei due conversanti, e sarebbe molto facile trovare un punto debole in uno di essi; ancora, potrebbe semplicemente sottrarre un portatile con l’algoritmo installato su di esso.
Ricordando inoltre il modello della paranoia, l’attaccante potrebbe essere benissimo uno degli altri utenti del sistema, persino uno dei progettisti.
Inoltre esistono ottime ragioni per desiderare la pubblicazione degli algoritmi.
Grazie all’esperienza, sappiamo che è molto facile commettere un piccolo errore, realizzando un algoritmo crittografico debole.
Se l’algoritmo non è pubblico, nessuno potrà segnalare questo errore finchè un malintenzionato non tenti di sfruttarlo allo scopo di violare il sistema.
È per questo che c’è una giustificata sfiducia negli algoritmi proprietari, confidenziali o comunque segreti.
È sbagliato pensare che la segretezza dell’algoritmo non può che potenziare la sicurezza: l’incremento del potenziale di sicurezza è piccolo, mentre è enorme il potenziale di decremento.
Gli algoritmi segreti sono spesso così incredibilmente deboli da finire per denotare soltanto una dimostrazione di poca esperienza.
