密码战争

在冷战初期，美国及其盟国制定了一系列详尽的出口管制法规，旨在防止西方國家陣營的各種重要技術落入敵人手中，特別是東方集團。被歸類為「關鍵（Critical）」的技術，都需要經過授權才能出口。西方各國對出口管制的協調，由輸出管制統籌委員會（CoCOM，又稱巴黎統籌委員會，中文簡稱巴統）負責。[6]

两类技术受到了保护：只會與軍事（軍需品）有關的技術，以及可以同時具有軍事和商業雙重用途的技術。在美國，前者的出口由國務院管理，後者的由商務部管理。由于在第二次世界大战后不久，加密市场几乎完全是军事市场，因此加密技术及設備（在计算机对密码学变得重要后，也包括了加密软件）也被列为美国军需品清单第十一类—雜項（MISCELLANEOUS ARTICLES）當中（19 FR 7403）。在冷战时期，西方世界的多国通过巴黎统筹委员会控制了加密技术的出口。[6]

但到了1960年代，金融机构在有线汇款领域的增长需要更强大的商业加密技术。美国政府于1975年发布的資料加密標準（DES）意味着高品质的商用加密将会变得普遍，并会开始出现严重的出口管制问题。通常，計算機製造商（例如IBM）以及其大型企業客戶，需要逐案向有關單位申請出口授權許可。

隨著個人電腦逐漸普及，加密技術的出口管制已經成為公眾關注的問題。菲爾·齊默爾曼在1991年於網際網路上發布加密軟體PGP[7]，成为密码出口管制方面的首个主要的“个人挑战”。1990年代，電子商務的發展為相關法規製造了更多壓力。[8]1995年，網景推出安全通訊協定（SSL），被广泛采用，成为使用公开密钥加密保护信用卡交易的一种方法。這是後來傳輸層安全性協定（TLS）的前身。

SSL加密採用RC4演算法，密鑰長度為128位。超過40位的密鑰長度在美國出口法規中被視為軍需品，需要申請授權許可。[9]

少於40位的密钥长度无需单独申请出口许可 ，因此网景开发了两个版本的网页浏览器。“北美版”有着完整的128位强度。通过公开SSL安全协议中的88位密钥，“国际版”的有效密钥长度减少到40位。即使是在美國，購買北美版也需要經過很麻煩的手續，大多数电脑用户最终还是购买了“国际”版本， [10][11]一台個人電腦可以在數日內破解40位密鑰。出于相同的原因，IBM的Lotus Notes也发生了类似的情况。[12]

彼得·榮格和其他公民自由主義者、隱私權倡導者所發起的一系列訴訟，加密软件在美国以外的广泛可用性，以及许多公司认为对弱加密的负面宣传限制了其销售业和电子商务的发展，这使美国放宽了一系列出口管制。最终在1996年由比尔·克林顿总统签署了13026号行政命令[13]，将商业加密从軍需品清單中转移到商业管制清单。此外该命令指出，从出口管制条例的意义上说，“软件不应被视为或对待为‘技术’”。該命令使美國商務部於2000年修訂出口管理條例，大幅简化包含加密技术在内的专有和开源软件的出口。[14]

截至2009年，从美国出口非军事加密算法均由美国商务部工业和安全局（BIS）控制。[15]即使是大众市场上的产品，仍然存在一些限制，尤其是向流氓國家和恐怖组织的出口。军用的加密设备、经过TEMPEST认证的电子产品、定制的加密软件，乃至加密咨询服务，仍然需要出口许可证[15]^:6-7「具有超過64位密鑰長度，面向的大眾市場加密商品，軟體和組件」需要在依法向BIS注册（75 FR 36494）。以及，出口到大多数国家之前，其他物品需要由BIS进行一次性审查或通知BIS。例如，尽管不需要审查，但在互联网上公开提供开放源代码的加密软件之前，必须通知BIS。[16]出口法规尽管已较1996年以前的标准放宽，但仍然复杂。其他国家[17]有类似的限制，特别是签署瓦聖納協定的国家。[18]

Clipper晶片組是1990年代生產的用於手機，具有加密功能的晶片組，由NSA開發。該晶片組中有聯邦政府的後門，聯邦政府試圖讓手機製造商採用該晶片組，但沒有成功。該計劃最終在1996年被取消。 [8][20][7]

A5/1是在GSM移动电话标准中提供行動通信保密性的一种流密码。

安全研究人员羅斯·安德森在1994年的报告中说：「在1980年代中期，北約訊號情報機構之間就GSM的加密是否應該擁有較高的安全性，有著激烈的爭論。德國方面認為應該如此，因為的德國邊界有很長一部分與華沙公約組織接壤，但其他北約成員國沒有這個狀況，目前採用的演算法是法國設計。」[21]

根据Jan Arild Audestad教授的说法，在1982年开始的标准化过程中，A5/1最初被提议密钥长度为128位。在当时，128位的安全性被预计至少能持续15年；而截至2014年，128位仍是安全的。Audestad、Peter van der Arend和托馬斯·豪格表示，英国坚持使用较弱的加密，豪格称英国代表告诉他这是安全的。为了让英国特工更容易实现窃听，英国建议使用48位的密钥长度，而西德希望使用更强的加密来防止东德间谍活动。最終的折衷的方案的56位密钥长度。[22]通常意义上，56位长度的密钥是${\displaystyle 2^{128-56}=2^{72}=4.7\times 10^{21}}$次，比128位长度的密钥容易被破解。

在被广泛采用的資料加密標準（DES）中，IBM最初计划其密钥长度为128位。[23]披露的文件指出，NSA曾企圖說服IBM使用48位的密钥長度。而最终的折衷方案是密钥長度为64位，其中8位是奇偶校验位，因此实际有效密钥長度为56位。[24]DES早在1977年就被认为是不安全的[25]，并且在2013年愛德華·史諾登洩漏的文件中表明它实际上很容易被NSA破解，但仍被國家標準技術研究所（NIST）所推荐。DES挑战是RSA Security发起的一系列蛮力攻击竞赛，目的是强调資料加密標準（DES）缺乏安全性。作为挑战成功的参赛者之一，电子前哨基金会（EEF）開發了一個專業的DES破解機，暱稱「深譯」（Deep Crack） 。

1997年，NIST开始竞选DES的替代品 ，最终在2000年发布了高级加密标准（AES）。[26]截至2019年，AES仍被认为是安全的，NSA认为AES足以保护归类为“最高机密”级别的信息。[27]

由于担心密码学的普遍使用，NSA着手暗中影响和削弱加密标准，以及获取主密钥——通过协议、法律强制力或是计算机网络研究（黑客攻击）的手段。[8][28]

据《纽约时报》报道 ：“到了2006年，通过破解保护性的VPN，该局已攻破了三家外国航空公司、一个旅行预订系统、一个外国政府的核能部门，以及另一个外国政府互联网服务的通讯系统。到了2010年，英国反制加密的Edgehill计划已成功破解了30个目标的VPN，而且设立了再破解300个的目标” [28]

作为Bullrun计划的一部分，NSA也积极致力于“将安全漏洞插入到目标所使用的商用加密系统、IT系统、网络和端点通信设备中”。[28]《纽约时报》报道说，随机数生成器Dual_EC_DRBG包含NSA的一个后门，这使NSA可以通过该随机数生成器来攻破加密。[29]尽管在该标准发布后不久，Dual_EC_DRBG就已被知晓是一种不安全且缓慢的随机数生成器，并且在2007年发现了潜在的NSA后门，没有这些缺陷的随机数生成器替代品也已经过认证并广泛可用，但RSA Security仍继续在公司的BSAFE toolkit和Data Protection Manager產品中使用了Dual_EC_DRBG，直至2013年9月。虽然RSA Security否认有意在BSAFE中插入后门，但其没有解释为何在2006和2007年Dual_EC_DRBG的明显缺陷被发现后仍继续使用。[30]有自称内部人士表示，RSA Security接受了NSA的一笔1000万美元付款，以将该随机数生成器设为默认设置。[31][32]泄漏的NSA备忘录中称这个任务是“需要精妙应对的挑战”，并写到“最终， NSA成为了唯一的编撰者。 ”。

到2010年，NSA已开发出针对互联网加密流量的“开创性的手段”。GCHQ的一份文件警告说，“这些手段是信号情报项目中最脆弱的一部分，不慎披露这一简单的“事实”可能会警醒对手，并立即导致该手段的无效化。” [28]另一份内部文件指出，“它们不存在‘必要知悉’”。包括布魯斯·施奈爾和克里斯托弗·索霍安在内的许多专家纷纷猜测，这是指对RC4的成功攻击，这种1987年的加密算法仍在至少50%的SSL/TLS的流量中使用，并考虑到RC4有数个已知的弱点，这是一个合理的途径。[33]其他人则猜测，NSA已获得破解1024位RSA和迪菲-赫爾曼密鑰交換公钥的能力。[34]一组研究人员指出，一些非一次性的1024位素数在迪菲-赫爾曼密鑰交換的实现中广泛重用，且NSA对这些素数进行了预先计算，以利用它们来实时的攻破加密。[35]

Bullrun计划受到了争议，因为有观点认为，NSA在其NOBUS（Nobody but us)政策下故意插入或自己保留漏洞而不披露，会影响守法的美国公民以及NSA的目标。[36]从理论上讲，国家安全局有两个工作：防止影响美国的漏洞，以及发现以打击美国为目标的漏洞；但是正如布魯斯·施奈爾所论证的，NSA似乎优先考虑发现（甚至创建）并自行保留而不披露漏洞。布魯斯·施奈爾呼吁将NSA分解，以使负责加强加密的小组不会屈服於想要攻破其目标之加密的小组。[37]

在2013年的史諾登洩密事件透露出，情报机构可合法地命令Google和苹果公司绕开特定Android或iOS智能手机上的数据加密措施被人们所知。[38][39][40]对此，Google和苹果公司在2014年左右重新设计了其加密方式，使他们也没有能力绕过加密，仅在知晓用户密码的前提下才能解锁手机。[41][42]

即是有逮捕令时也无法访问嫌犯的数据，这对执法人员来说是难以接受的，包括奥巴马政府的总检察长埃里克·霍尔德[43][44]在内的各个执法官员均對此强烈谴责。最具代表性的一则回应是，芝加哥警察部门说：“苹果手机将成为恋童癖的首选”。[45]《华盛顿邮报》发表社论，坚持“智能手机用户必须接受，只要搜索令有效，用戶就不可以凌駕於法律之上”，並且在同意後門受到普遍的不歡迎之後，建議利用一個「金鑰匙（golden key）」形式的後門，來讓警察憑手令解鎖數據。[46][47]

联邦调查局局长詹姆士·柯米列举了一些案例以支持解密智能手机的需求的看法。[48]

布魯斯·施奈爾将加密智能手机存储数据的权利争议称为“第二次密码战争”（Crypto Wars II），[49]而科利·多克托罗称其为“密码战争的复兴”（Crypto Wars redux）。[50]

美国加利福尼亚州[5][51]和纽约州[52]皆有议员提出法案，提议禁止销售采用不可破解的加密技术的智能手机。截至2016年2月，尚无任何法案通过。

2016年2月，联邦调查局获得一份法院命令，要求苹果公司开发并进行數位簽章一份新软件，以使联邦调查局能够解锁在2015年圣贝纳迪诺枪击案中其中一名枪手处提取的iPhone 5c。[53]苹果对此命令提出质疑。最终，FBI雇用了第三方人员来破解该手机。另见FBI-Apple加密争议。[54][55]

2016年4月，黛安·范士丹和理查·波爾提出了一项十分含糊的法案，该法案可能使所有形式的强加密被定性为刑事犯罪。[56][57][58]

2019年12月， 美國參議院司法委員會舉行了一次關於加密和合法訪問的聽證會，重點是智慧型手機上存儲的加密資料。地方檢察官Cyrus Vance Jr.，Matt Tait教授，蘋果公司的Erik Neuenschwander和Facebook的Jay Sullivan作證。主席林赛·格雷厄姆在開幕詞中表示:「我們所有人都希望使用能夠保護我們隱私的設備。（all of us want devices that protect our privacy.）」 他還說，執法部門應該能夠讀取設備上存儲的加密數據，並威脅說如果必要的話，可以通過立法「你们要想办法做到这件事，否则我们就会帮你们去做。（You’re going to find a way to do this or we’re going to do this for you.）」。"[59][60]

2017年10月，美国司法部副部长Rod Rosenstein呼吁将“负责任的加密”作为一项解决方案[61]来解决日益“走入暗处”的问题。[62]此術語意指法院命令和警察措施中的“窃听”正日益无效化，因为强有力的端到端加密已越来越多地添加到广泛使用的即时通讯软件中。负责任的加密意味着公司需要引入密钥托管，使他们可以在客户忘记密码的情况下为其提供一种恢复其加密数据的方式，从而避免永久丢失。按照Rosenstein的论证，这种局面下只留给用户无奈是不负责任的。作为有益的副作用，指示通訊軟體業者解密數據，然後公司將能夠遵守命令提供這些數據。由業者而不是政府機構從回收來的關鍵證物解析出存儲數據，被視為一個額外的保障措施。

2015年，国家安全局局长Michael S. Rogers建议在加密中引入“前门”而不是“后门”来进一步分权密钥托管。[63][64]这样，密钥将分为两半，其中一半由政府机构保存，另一半由负责加密产品的公司保存。如此，政府仍必须获得搜查令才能从公司取得另一半密钥，并且该公司也无法滥用密钥托管之权来访问用户数据。专家们没有留下深刻印象。[65]

2018年，NSA推广了“轻量级加密”的使用，尤其是其面向的物联网设备的密码算法Simon和Speck。[66]但由于密码学专家委员会的严厉批评，激起了人们对NSA拥有如何破解攻破这些算法的非公开方法的担忧，这些密码算法的ISO标准化尝试失败了。[67]

在2015年查理週刊總部槍擊案发生后，時任英国首相戴维·卡梅伦呼吁取缔非后门加密技术，称不应有“我们无法阅览”的“通信方式”。[7][68][69][70][71]美国总统奥巴马对此观点表示赞同。[72][73][74]