Kaj je ECC in zakaj ga je smiselno uporabljati?

Potrdila SSL večinoma uporabljajo ključe RSA, priporočena velikost ključev pa nenehno narašča (na primer s 1024 bitov na 2048 bitov v zadnjih nekaj letih), kar je povezano z ohranjanjem zadostne kriptografske moči. Obe vrsti ključev temeljita na uporabi asimetričnih algoritmov (en ključ za šifriranje in drugi za dešifriranje).

Vendar pa ECC zagotavlja enako kriptografsko moč pri veliko manjših ključih, kar omogoča večjo varnost in zahteva manjše računske zmogljivosti. Oglejmo si, kaj je ECC in zakaj je vredno razmisliti o njem.

Kaj je ECC?

ECC (elliptic curve cryptography – eliptična krivuljna kriptografija) je vrsta kriptografije za javni ključ, ki temelji na uporabi eliptičnih krivulj na končnih poljih. Najpomembnejša razlika med RSA in ECC je v velikosti ključa v povezavi s kriptografsko odpornostjo. ECC zagotavlja enako kriptografsko moč kot RSA, vendar z veliko manjšimi ključi. 256-bitni ključ ECC na primer zagotavlja enako kriptografsko moč kot 3072-bitni ključ RSA (ki je 50 % daljši od 2048-bitnih ključev, ki so danes pretežno v uporabi).

Po drugi strani pa najvarnejši simetrični algoritmi, ki se uporabljajo v protokolu TLS (na primer AES), uporabljajo tudi ključe, ki so dolgi vsega 128 bitov, zato je prehod na asimetrične ključe zelo smiseln.

Zakaj naj preidem na ECC?

Zaradi majhnih ključev je ECC nadvse primerna izbira za naprave z omejeno količino pomnilnika ali z omejeno zmogljivostjo obdelave podatkov, ki so vse bolj pogoste na področju IoT.  V strežniški tehnologiji lahko majhna velikost ključev pospeši rokovanje SSL, kar omogoča izjemno hitro nalaganje spletnih strani in povečano raven varnosti.

Potrdila ECC danes izdajata Symantec in Comodo. Če potrebujete potrdilo ECC, morate ustvariti posebno zahtevo. Za izdelavo zahteve CSR za potrdilo Comodo z eliptično krivuljo potrebujete OpenSSL 1.x ali novejši. Postopek je takšen:

1) Ustvarite konfiguracijsko datoteko s parametri eliptične krivulje.

$ openssl ecparam -name prime256v1 -out ecparams.pem

2) Ustvarite zahtevo CSR:

$ openssl req -new -sha256 -nodes -newkey ec:ecparams.pem -keyout my_ecc.key -out my_ecc.csr

Opomba: Izdaja potrdila ECC je mogoča le, če še niste začeli postopka preverjanja. Če potrebujete potrdilo ECC, nas o tem vnaprej obvestite po e-pošti!