Datagate, accordo NSA-RSA da 10 milioni di dollari?

All’inizio di settembre, i documenti resi noti da Edward Snowden avevano evidenziato che la NSA è in grado di eludere qualsiasi algoritmo di crittografia. In base alle notizie trapelate nel fine settimana, sembra che il compito dell’agenzia governativa statunitense sia stato facilitato da un accordo segreto con la RSA. L’azienda, divisione di EMC, avrebbe ricevuto dalla NSA 10 milioni di dollari per utilizzare un algoritmo più debole nel software BSAFE.

L’algoritmo sotto accusa è denominato Dual EC DRBG (Dual Elliptic Curve Deterministic Random Bit Generator) è un generatore di numeri pseudo casuali approvato dal NIST (National Institute of Standards and Technology) statunitense con lo standard SP 800-90A e quindi ritenuto crittograficamente sicuro. In realtà, già nel 2007 alcuni ricercatori di sicurezza aveva scoperto vulnerabilità nell’algoritmo: se alcune correlazioni tra i numeri sono noti, i cybercriminali possono prevedere tutti i numeri generati.

Con la pubblicazione dei documenti riservati, Edward Snowden ha confermato che Dual EC DRBG contiene una backdoor. Allora perché la RSA avrebbe scelto questo generatore di numeri casuali, invece di altri più affidabili? Secondo le fonti contattate da Reuters, l’azienda avrebbe firmato un contratto segreto da 10 milioni di dollari con la NSA, in base al quale RSA era “obbligata” ad usare l’algoritmo all’interno del toolkit BSAFE per agevolare il lavoro dell’agenzia governativa.

Ieri la RSA ha pubblicato un comunicato sul sito ufficiale, con il quale dichiara di non aver mai sottoscritto un accordo segreto con la NSA. La decisione di usare Dual EC DRBG è stata presa nel 2004 e, nonostante i problemi emersi nel 2007, l’algoritmo non è stato abbandonato in quanto approvato dal NIST. Quando il NIST ha aggiornato le linee guida a settembre 2013, la RSA ha segnalato ai suoi clienti l’esistenza della vulnerabilità in BSAFE.