RSA Data Security

RSA Data Security — это американская компания, специализировавшаяся на разработке и лицензировании криптографического программного обеспечения и алгоритмов. Она была основана в 1982 году и сыграла ключевую роль в коммерциализации криптографии с открытым ключом, в частности алгоритма RSA, названного по фамилиям его создателей — Рона Ривеста, Ади Шамира и Леонарда Адлемана. Компания стала одним из пионеров в области защиты данных, создав широко используемые стандарты шифрования и библиотеки, и оказала значительное влияние на развитие информационной безопасности в целом. В 1996 году компания была продана корпорации Security Dynamics, а в 2006 году её активы перешли к корпорации EMC (ныне часть Dell Technologies).

История

Основание и ранние годы

Компания RSA Data Security была основана в 1982 году Роном Ривестом, Ади Шамиром и Леонардом Адлеманом — соавторами алгоритма RSA, опубликованного в 1977 году. Первоначально компания называлась «RSA Security» и была нацелена на коммерциализацию технологии асимметричного шифрования, которая до этого была в основном предметом академических исследований. Основатели стремились сделать криптографию доступной для массового рынка, включая банки, правительственные учреждения и корпорации.

Развитие и ключевые продукты

В 1980-х и 1990-х годах RSA Data Security разработала и выпустила несколько фундаментальных продуктов:

• BSAFE — криптографическая библиотека, ставшая одним из первых коммерческих наборов инструментов для разработчиков. Она позволяла внедрять алгоритмы RSA, DES, MD5 и другие в приложения.
• RSA SecurID — система двухфакторной аутентификации, основанная на одноразовых паролях, генерируемых аппаратными или программными токенами. Этот продукт стал отраслевым стандартом для защиты удалённого доступа.
• RSA Encryption Standard — компания активно продвигала алгоритм RSA как стандарт шифрования, что привело к его включению в протоколы SSL/TLS, S/MIME и другие.

Продажа и последующая история

В 1996 году RSA Data Security была приобретена компанией Security Dynamics Technologies за 295 миллионов долларов. После слияния объединённая компания продолжила работать под брендом RSA Security. В 2006 году корпорация EMC (ныне часть Dell Technologies) купила RSA Security за 2,1 миллиарда долларов. В 2020 году подразделение RSA было выделено в отдельную компанию, владельцами которой стали частные инвестиционные фонды Symphony Technology Group, Ontario Teachers' Pension Plan и другие. На 2023 год RSA Security продолжает существовать как самостоятельная организация, специализирующаяся на управлении рисками и аутентификации.

Ключевые технологии и алгоритмы

Алгоритм RSA

Алгоритм RSA (Rivest–Shamir–Adleman) является асимметричным криптоалгоритмом, основанным на вычислительной сложности факторизации больших целых чисел. Он использует пару ключей: открытый (public key) для шифрования и закрытый (private key) для расшифровки. RSA Data Security владела патентами на этот алгоритм в США (патент № 4,405,829, выданный в 1983 году и действовавший до 2000 года). Компания активно лицензировала технологию, что привело к её широкому распространению в протоколах безопасности, таких как SSL (Secure Sockets Layer) и PGP (Pretty Good Privacy).

Хэш-функции

RSA Data Security разработала и продвигала несколько криптографических хэш-функций:

• MD2 (1989) — 128-битная хэш-функция, ныне считается небезопасной.
• MD4 (1990) — 128-битная хэш-функция, также признана уязвимой.
• MD5 (1992) — 128-битная хэш-функция, широко использовавшаяся для контроля целостности данных, но с 2004 года обнаружены коллизии, и она не рекомендуется для криптографических целей.
• MD6 (2008) — более совершенная хэш-функция, не получившая широкого распространения.

Стандарты и протоколы

Компания участвовала в разработке и стандартизации ряда протоколов:

• PKCS (Public-Key Cryptography Standards) — серия стандартов, опубликованных RSA Laboratories (исследовательским подразделением компании). Наиболее известны PKCS#1 (стандарт RSA), PKCS#7 (криптографическое сообщение) и PKCS#12 (формат хранения ключей).
• RSA SecurID — протокол двухфакторной аутентификации, использующий временные одноразовые пароли (TOTP).

Продукты и услуги

Библиотеки и SDK

• RSA BSAFE — набор криптографических библиотек на языках C, Java и .NET, поддерживающий алгоритмы RSA, AES, ECC, SHA и другие. Использовался в операционных системах, браузерах и финансовых приложениях.
• RSA Data Protection Manager — программное обеспечение для шифрования данных на уровне файлов и баз данных.

Аутентификация и управление доступом

• RSA SecurID — система двухфакторной аутентификации, включающая аппаратные токены (например, RSA SecurID 700) и программные мобильные приложения. Используется для защиты VPN, веб-порталов и корпоративных сетей.
• RSA Adaptive Authentication — платформа для анализа рисков и адаптивной аутентификации, применяемая в банковском секторе.

Управление рисками и SIEM

• RSA NetWitness — платформа для управления информацией и событиями безопасности (SIEM), а также для анализа сетевого трафика и обнаружения угроз. Приобретена EMC в 2011 году.
• RSA Archer — система управления рисками и соответствием нормативным требованиям (GRC), позволяющая автоматизировать процессы аудита и контроля.

Влияние на индустрию

Коммерциализация криптографии

RSA Data Security была одной из первых компаний, которая сделала криптографию с открытым ключом коммерчески доступной. До её появления использование асимметричного шифрования было ограничено военными и академическими кругами. Лицензирование алгоритма RSA позволило интегрировать его в массовые продукты, такие как веб-браузеры (Netscape Navigator, Internet Explorer) и почтовые клиенты.

Патентные споры

Компания активно защищала свои патенты на алгоритм RSA. В 1990-х годах она инициировала судебные разбирательства против ряда организаций, использовавших RSA без лицензии, что привело к урегулированию и заключению лицензионных соглашений. Патент на RSA истёк в 2000 году, после чего алгоритм стал общедоступным.

Криптографические стандарты

RSA Laboratories опубликовала серию стандартов PKCS, которые стали основой для многих интернет-протоколов. Например, PKCS#7 используется в S/MIME для шифрования электронной почты, а PKCS#12 — для хранения закрытых ключей и сертификатов.

Критика и уязвимости

Уязвимости в продуктах

• MD5 — несмотря на широкое распространение, хэш-функция MD5 была признана уязвимой к коллизиям. В 2008 году исследователи продемонстрировали возможность создания поддельных SSL-сертификатов с использованием коллизий MD5, что подорвало доверие к этой функции.
• BSAFE — в 2013 году стало известно, что в библиотеку BSAFE была встроена слабая реализация генератора псевдослучайных чисел (Dual_EC_DRBG), которая могла быть использована АНБ (Агентством национальной безопасности США) для ослабления криптографии. Этот инцидент, известный как «Backdoor in BSAFE», вызвал критику в отношении RSA и подорвал доверие к продуктам компании.

Патентная политика

Критики отмечали, что агрессивная патентная защита RSA Data Security сдерживала развитие открытых криптографических стандартов и увеличивала стоимость внедрения технологий. После истечения патента в 2000 году использование RSA стало бесплатным, что стимулировало его повсеместное распространение.

Современное состояние

На 2024 год RSA Security (как правопреемник RSA Data Security) продолжает существовать как независимая компания, специализирующаяся на решениях для аутентификации, управления рисками и кибербезопасности. Основные продукты — RSA SecurID, RSA NetWitness и RSA Archer — остаются востребованными в корпоративном сегменте. Однако компания утратила доминирующее положение на рынке криптографических библиотек, уступив место открытым решениям (OpenSSL, Bouncy Castle) и облачным сервисам.

Источники

• Rivest, R. L., Shamir, A., & Adleman, L. (1978). «A method for obtaining digital signatures and public-key cryptosystems». Communications of the ACM, 21(2), 120–126.
• Schneier, B. (1996). Applied Cryptography: Protocols, Algorithms, and Source Code in C. John Wiley & Sons.
• RSA Laboratories. «PKCS Standards». Архивная версия.
• «The RSA Patent: History and Impact». Cryptologia, 2000.
• «Dual_EC_DRBG: The NSA’s Backdoor in RSA BSAFE». The Guardian, 2013.
• Официальный сайт RSA Security (rsa.com). Материалы раздела «About Us».