miniatura|Criptografia de clau pública / criptografia asimètrica, xifratge. Qualsevol persona pot xifrar utilitzant la clau pública, però només el titular de la clau privada pot desxifrar. La seguretat depèn del secret de la clau privada. En criptografia, la mida de la clau o la longitud de la clau es refereix al nombre de bits d'una clau utilitzada per un algoritme criptogràfic (com ara un xifratge).
La longitud de la clau defineix el límit superior de la seguretat d'un algoritme (és a dir, una mesura logarítmica de l'atac més ràpid conegut contra un algoritme), perquè la seguretat de tots els algoritmes pot ser violada per atacs de força bruta. Idealment, el límit inferior de la seguretat d'un algoritme és, per disseny, igual a la longitud de la clau (és a dir, el disseny de l'algoritme no resta valor al grau de seguretat inherent a la longitud de la clau).
La majoria dels algoritmes de clau simètrica estan dissenyats per tenir una seguretat igual a la longitud de la seva clau. No obstant això, després del disseny, es podria descobrir un nou atac. Per exemple, Triple DES va ser dissenyat per tenir una clau de 168 bits, però ara es coneix un atac de complexitat 2112 (és a dir, Triple DES ara només té 112 bits de seguretat, i dels 168 bits de la clau l'atac n'ha fet "ineficaços" per a la seguretat). No obstant això, sempre que la seguretat (entesa com "la quantitat d'esforç que caldria per obtenir accés") sigui suficient per a una aplicació concreta, no importa si la longitud de la clau i la seguretat coincideixen. Això és important per als algoritmes de clau asimètrica, perquè no es coneix cap algoritme d'aquest tipus que satisfaci aquesta propietat; la criptografia de corba el·líptica és la que s'hi acosta més amb una seguretat efectiva d'aproximadament la meitat de la longitud de la seva clau.
Importància Les claus s'utilitzen per controlar el funcionament d'un xifratge, de manera que només la clau correcta pugui convertir el text xifrat (text xifrat) en text sense format. Tots els xifratges d'ús comú es basen en algoritmes coneguts públicament o són de codi obert, de manera que només la dificultat d'obtenir la clau determina la seguretat del sistema, sempre que no hi hagi cap atac analític (és a dir, una "debilitat estructural" en els algoritmes o protocols utilitzats) i assumint que la clau no està disponible d'una altra manera (com ara mitjançant robatori, extorsió o compromís de sistemes informàtics). La idea àmpliament acceptada que la seguretat del sistema hauria de dependre només de la clau ha estat formulada explícitament per Auguste Kerckhoffs (a la dècada de 1880) i Claude Shannon (a la dècada de 1940); les afirmacions es coneixen com a principi de Kerckhoffs i màxima de Shannon, respectivament.
Per tant, una clau hauria de ser prou gran com perquè un atac de força bruta (possible contra qualsevol algorisme de xifratge) sigui inviable – és a dir, que trigaria massa temps i/o requeriria massa memòria per executar-se. El treball de Shannon sobre la teoria de la informació va demostrar que per aconseguir l'anomenat "secret perfecte", la longitud de la clau ha de ser com a mínim tan gran com el missatge i només s'ha d'utilitzar una vegada (aquest algorisme s'anomena "one-time pad"). A la llum d'això, i de la dificultat pràctica de gestionar claus tan llargues, la pràctica criptogràfica moderna ha descartat la noció de secret perfecte com a requisit per al xifratge, i en canvi se centra en la seguretat computacional, sota la qual els requisits computacionals de trencar un text xifrat han de ser inviables per a un atacant.
Mida de la clau i sistema de xifratge Els sistemes de xifratge sovint s'agrupen en famílies. Les famílies comunes inclouen sistemes simètrics (per exemple, AES) i sistemes asimètrics (per exemple, RSA i criptografia de corba el·líptica [ECC]). Es poden agrupar segons l'algoritme central utilitzat (per exemple, xifratges ECC i Feistel). Com que cadascun d'aquests té un nivell diferent de complexitat criptogràfica, és habitual tenir diferents mides de clau per al mateix nivell de seguretat, depenent de l'algoritme utilitzat. Per exemple, la seguretat disponible amb una clau de 1024 bits utilitzant RSA asimètric es considera aproximadament igual en seguretat a una clau de 80 bits en un algorisme simètric.
El grau real de seguretat aconseguit al llarg del temps varia a mesura que es disposa de més potència computacional i mètodes analítics matemàtics més potents. Per aquest motiu, els criptòlegs tendeixen a buscar indicadors que un algoritme o una longitud de clau mostren signes de vulnerabilitat potencial, per passar a mides de clau més llargues o algoritmes més difícils. Per exemple, , es va factoritzar un enter de 1039 bits amb el sedàs especial de camp numèric utilitzant 400 ordinadors durant 11 mesos. El nombre factoritzat tenia una forma especial; el sedàs del camp de nombres especials no es pot utilitzar en claus RSA. El càlcul és aproximadament equivalent a trencar una clau RSA de 700 bits. Tanmateix, això podria ser un avís previ que les claus RSA de 1024 bits utilitzades en el comerç en línia segur haurien de quedar obsoletes, ja que podrien arribar a ser fràgils en un futur previsible. El professor de criptografia Arjen Lenstra va observar que "l'última vegada, vam trigar nou anys a generalitzar d'un nombre especial a un nombre no especial, difícil de factoritzar" i quan se li va preguntar si les claus RSA de 1024 bits eren mortes, va dir: "La resposta a aquesta pregunta és un sí incondicional".
L'atac Logjam del 2015 va revelar perills addicionals en l'ús de l'intercanvi de claus Diffie-Hellman quan només s'utilitzen un o uns quants mòduls primers comuns de 1024 bits o més petits. Aquesta pràctica, força comuna en aquell moment, permetia que es compromessin grans quantitats de comunicacions a costa d'atacar un petit nombre de nombres primers.
Atac de força bruta Fins i tot si un xifratge simètric és actualment indestructible explotant les debilitats estructurals del seu algorisme, pot ser possible executar tot l'espai de claus en el que es coneix com a atac de força bruta. Com que les claus simètriques més llargues requereixen exponencialment més feina per a la cerca per força bruta, una clau simètrica prou llarga fa que aquesta línia d'atac sigui poc pràctica.
Amb una clau de longitud n bits, hi ha 2n claus possibles. Aquest nombre creix molt ràpidament a mesura que n augmenta. El gran nombre d'operacions ( 2128) necessàries per provar totes les claus de 128 bits possibles es considera àmpliament fora de l'abast de les tècniques convencionals de computació digital en un futur previsible. Tanmateix, un ordinador quàntic capaç d'executar l'algoritme de Grover podria cercar les possibles claus de manera més eficient. Si un ordinador quàntic de la mida adequada pogués reduir una clau de 128 bits a una seguretat de 64 bits, aproximadament l'equivalent a DES. Aquesta és una de les raons per les quals AES admet longituds de clau de 256 bits o més.
Longituds de clau de l'algoritme simètric El xifratge Lucifer d'IBM va ser seleccionat el 1974 com a base del que es convertiria en l'Estàndard de Xifratge de Dades. La longitud de la clau de Lucifer es va reduir de 128 bits a 56 bits, cosa que la NSA i el NIST van argumentar que era suficient per a la protecció no governamental en aquell moment. L'NSA té importants recursos informàtics i un gran pressupost; alguns criptògrafs, com ara Whitfield Diffie i Martin Hellman, es van queixar que això feia que el xifratge fos tan feble que els ordinadors de l'NSA podrien desxifrar una clau DES en un dia mitjançant la computació paral·lela per força bruta. L'NSA va qüestionar això, afirmant que l'ús de DES per força bruta els portaria "uns 91 anys".
No obstant això, a finals dels anys 90, va quedar clar que el DES es podia desxifrar en pocs dies amb maquinari fet a mida, com el que podia comprar una gran corporació o un govern. El llibre Cracking DES (O'Reilly and Associates) explica l'èxit del 1998 per trencar un DES de 56 bits mitjançant un atac de força bruta muntat per un grup de ciberdrets amb recursos limitats; vegeu EFF DES cracker. Fins i tot abans d'aquella demostració, 56 bits es considerava una longitud insuficient per a claus d'algoritme simètriques d'ús general. Per això, DES va ser substituït en la majoria d'aplicacions de seguretat per Triple DES, que té 112 bits de seguretat quan s'utilitzen claus de 168 bits (clau triple).
L'estàndard avançat de xifratge publicat el 2001 utilitza mides de clau de 128, 192 o 256 bits. Molts observadors consideren que 128 bits són suficients en el futur previsible per a algoritmes simètrics de la qualitat d'AES fins que els ordinadors quàntics estiguin disponibles. Tanmateix, a partir del 2015, l'Agència de Seguretat Nacional dels Estats Units ha publicat directrius que planegen canviar a algoritmes resistents a la computació quàntica i ara requereix claus AES de 256 bits per a dades classificades fins a Top Secret.
El 2003, l'Institut Nacional d'Estàndards i Tecnologia dels EUA (NIST) va proposar l'eliminació gradual de les claus de 80 bits abans del 2015. El 2005, les claus de 80 bits només estaven permeses fins al 2010.
Des del 2015, les directrius del NIST diuen que "l'ús de claus que proporcionen menys de 112 bits de força de seguretat per a la concordança de claus ara no està permès". Els algoritmes de xifratge simètric aprovats pel NIST inclouen Triple DES de tres claus i AES. Les aprovacions per a Triple DES de dues claus i Skipjack es van retirar el 2015; l'algoritme Skipjack de la NSA utilitzat en el seu programa Fortezza utilitza claus de 80 bits.
Longituds de clau d'algoritme asimètric L'eficàcia dels criptosistemes de clau pública depèn de la intractabilitat (computacional i teòrica) de certs problemes matemàtics com la factorització entera. Aquests problemes requereixen molt de temps per resoldre'ls, però normalment són més ràpids que intentar totes les claus possibles per la força bruta. Per tant, les claus asimètriques han de ser més llargues per a una resistència equivalent a l'atac que les claus d'algoritme simètriques. Es considera que els mètodes més comuns són febles contra ordinadors quàntics prou potents en el futur.
Des del 2015, el NIST recomana un mínim de claus de 2048 bits per a RSA, una actualització de la recomanació àmpliament acceptada d'un mínim de 1024 bits des d'almenys el 2002.
Les claus RSA de 1024 bits són equivalents en força a les claus simètriques de 80 bits, les claus RSA de 2048 bits a les claus simètriques de 112 bits, les claus RSA de 3072 bits a les claus simètriques de 128 bits i les claus RSA de 15360 bits a les claus simètriques de 256 bits. El 2003, RSA Security va afirmar que era probable que les claus de 1024 bits es poguessin desxifrar en algun moment entre el 2006 i el 2010, mentre que les claus de 2048 bits són suficients fins al 2030. La clau RSA més gran que es coneix públicament que ha estat piratejada és la RSA-250 amb 829 bits.
L'algoritme Diffie-Hellman de camp finit té aproximadament la mateixa força de clau que RSA per a les mateixes mides de clau. El factor de treball per trencar Diffie-Hellman es basa en el problema del logaritme discret, que està relacionat amb el problema de factorització entera en què es basa la força de RSA. Per tant, una clau Diffie-Hellman de 2048 bits té aproximadament la mateixa força que una clau RSA de 2048 bits.
La criptografia de corba el·líptica (ECC) és un conjunt alternatiu d'algoritmes asimètrics que són equivalentment segurs amb claus més curtes, i només requereixen aproximadament el doble de bits que l'algoritme simètric equivalent. Una clau Diffie-Hellman de corba el·líptica (ECDH) de 256 bits té aproximadament el mateix factor de seguretat que una clau AES de 128 bits. Un missatge xifrat amb un algorisme de clau el·líptica utilitzant una clau de 109 bits de longitud va ser desxifrat el 2004.