Longueur de clé RSA et limitations d'exportation

Question

Je sais, il y a beaucoup de limitations à la longueur de la clé utilisée (limitations d'importation et d'exportation pour presque chaque pays). Habituellement, il varie de 64 à 256 bits. Pour utiliser plus de bits, il est obligatoire de demander la permission des autorités.

Mais il est recommandé d'utiliser au minimum les clés 1024 bits pour RSA! Cela signifie-t-il que je ne peux pas utiliser RSA sans problème avec la loi et ainsi de suite?

Answer 1

Les restrictions de longueur de bits dans la plage 64 bits concernent implicitement crypto symétrique. Il existe généralement des restrictions de longueur de bits distinctes pour asymétrique RSA (par exemple, l'assouplissement des contrôles d'exportation de 1998 aux États-Unis a permis l'exportation de crypto symétrique jusqu'à 56 bits et de cryptographie asymétrique jusqu'à 1024 bits).

Le cryptage 64 bits RSA serait cassable en minutes moins d'une seconde.

Answer 2

Dans Special Publication 800-57 NIST recommande que 1024 bits clés RSA être utilisées que pour protéger les données jusqu'en 2010.

Answer 3

Je ne suis pas un avocat (IANAL), mais si votre application utilise une bibliothèque externe ou d'un service intégré OS, Les restrictions américaines à l'exportation sur la cryptographie n'exigent pas une révision en profondeur de votre code et de vos algorithmes. La bibliothèque MSCrypto livrée avec le système d'exploitation Windows a été validée par les autorités pour exportation (bien que ses capacités puissent être limitées dans certaines régions géopolitiques). Les applications utilisant les fonctions DLL MSCrypto ne doivent donc pas faire l'objet d'une révision exhaustive. J'ai participé au cycle de lancement de plusieurs produits de détail qui utilisaient MSCrypto pour générer des clés et chiffrer/déchiffrer des données, et le plus que nous devions faire pour satisfaire aux restrictions d'exportation américaines était de remplir un formulaire déclarant que nous avons utilisé MSCrypto, les tailles de clé que nous avons utilisées, et dans quel but. Si vous implémentez un algorithme de chiffrement seul ou si vous liez statiquement le code crypto à votre exe ou dll (pas à une DLL séparée), votre logiciel sera vendu en dehors des États-Unis (ne doit pas être vendu par vous), vous devrez probablement vous soumettre à un examen approfondi de votre code et/ou de vos algorithmes afin d'obtenir une dispense d'exportation.