Er zijn in Nederland allerlei instanties waarvan je het bestaan niet weet. Het Nationaal Bureau voor Verbindingsbeveiliging in Leidschendam bijvoorbeeld. Zij adviseren de overheid over het beveiligen van digitale datastromen. Wiskundestudent Marc Stevens deed er zijn afstudeeronderzoek. “Om documenten te beveiligen zijn er zogeheten hashfuncties in omloop. Die fabriceren voor ieder document een soort digitale vingerafdruk. Een veelgebruikte hashfunctie is MD5.” Drie jaar geleden werd er op MD5 een cryptografische aanval uitgevoerd. “Je wilt niet dat twee documenten dezelfde vingerafdruk meekrijgen. Dat is zoiets als dat jouw fietssleutel ook op het slot van het huis van de buurman blijkt te passen.” De Chinese cryptografe Xiaoyun Wang was het gelukt om dat voor elkaar te krijgen. “Dat was voor de cryptografische wereld flink schrikken. MD5 was namelijk een veelgebruikte manier om documenten te beveiligen.” De enige geruststelling was dat Wang een supercomputer gebruikte, een instrument waarover niet iedereen beschikt. “Maar een paar maanden later had een Tsjech de rekentijd al teruggebracht tot enkele uren op een gewone pc.” Stevens onderzocht of het nog sneller kon: “Een paar uur is te lang. Als een document wordt verzonden, heb je hooguit een aantal seconden om het aan te vallen.” Het bleek nog sneller te kunnen. Zowel Stevens als de Tsjech bedacht een manier om er een paar minuten over te doen. Door hun technieken te combineren, is nu een aanval in tien seconden mogelijk. Het was voor Stevens vooral een vingeroefening voor het echte werk. “Wang heeft de vergelijkingen voor haar aanval met de hand opgesteld. Dat is razend knap, maar ook echt monnikenwerk. Ik heb onderzocht of er een meer systematische manier is om de zwakheden in MD5 bloot te leggen. Door mijn onderzoek zijn we nu in staat om de sets vergelijkingen te maken die je nodig hebt om de verschillen tussen de vingerafdrukken van twee documenten weg te poetsen.” Zijn afstudeerwerk werd met een 10 beloond. Ook was hij gisteren, woensdag 10 oktober, een van de vijf genomineerden voor de Joop Bautz Security Award, een prijs voor de beste afstudeerscriptie op het gebied van informatiebeveiliging. De prijs ging helaas aan zijn neus voorbij.
Stevens doet nu promotieonderzoek bij het Centrum voor Wiskunde en Informatica.

Tekst: Anouck Vrouwe
Foto: Rien Meulman