CMAC وPoly1305: رموز MAC المعتمدة على تشفير الكتل

رمز مصادقة الرسالة (MAC) يأخذ مفتاحًا ورسالة وينتج وسمًا. ويثبت هذا الوسم أن الرسالة لم تُعبث بها وأنها أُنشئت بواسطة جهة تملك المفتاح.

يستخدم HMAC دالة تجزئة بوصفها البدائية التشفيرية. أما CMAC وPoly1305 فيستخدمان الشفرات الكتلية أو الحسابات متعددة الحدود بدلًا من ذلك. وتتجنب MACs المعتمدة على الشفرات الكتلية الاعتماد على دوال التجزئة، كما تتكامل طبيعيًا مع عتاد AES.

يُعرَّف CMAC (‏MAC المعتمد على الشفرة) في المعيار NIST SP 800-38B. إذ يحشو الرسالة حتى حدود الكتلة، ويشتق مفتاحين فرعيين K1/K2 من الشفرة، ثم يجري XOR لهما مع الكتلة النهائية، وبعد ذلك يشغّل نمط CBC من دون تخزين النص المشفّر الوسيط.

K1 = AES_K(0^128) بعد إزاحته إلى اليسار بمقدار 1 بت، مع إجراء XOR مع ثابت إذا كانت MSB تساوي 1. أما K2 = K1 بعد إزاحته بالطريقة نفسها. وتربط هذه المفاتيح الفرعية الكتلة الجزئية النهائية بأمان لمنع تمديد الطول.

Poly1305 هو موثّق يُستخدم مرة واحدة، صممه Daniel Bernstein. ويقيّم متعدد حدود على العدد الأولي 2^130-5، معاملةً الرسالة كمعاملات لمتعدد الحدود، واستخدام زوج مفاتيح يُستعمل مرة واحدة (r, s).

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128. ويُقيَّد المفتاح r على 22 بتًا محددًا لمنع هجمات التوقيت. أما s فهو قناع إضافة بطول 16 بايتًا يُستخدم مرة واحدة.

يقترن Poly1305 دائمًا تقريبًا بـ ChaCha20. إذ يولّد ChaCha20 الزوج (r, s) المستخدم مرة واحدة من مجرى مفاتيح الشفرة الانسيابية، ما يجعل مخطط AEAD المدمج آمنًا وفق البرهان وسريعًا للغاية على معالجات ARM/الأجهزة المحمولة.

يجري AES-GCM المصادقة باستخدام GHASH، وهو MAC متعدد الحدود على GF(2^128). أما AES-CMAC فهو أبسط، ويُستخدم في IEEE 802.11i ‏(WPA2) ومجموعات الشفرات في TLS 1.2. ويوفّر GCM التشفير والمصادقة معًا في مرور واحد.

يحقق Poly1305 على ARM Cortex-A نحو دورة واحدة لكل بايت باستخدام تعليمات NEON الجوهرية. ويتطلب AES-CMAC عملية واحدة على كتلة AES لكل كتلة بحجم 16 بايتًا. وبالنسبة إلى البيانات الكبيرة، يتفوق Poly1305 على CMAC في العتاد الذي لا يدعم AES-NI.

يتمتع CMAC بعدم قابلية التزوير الوجودي في ظل هجوم بالرسائل المختارة، بافتراض أن AES تبديل شبه عشوائي. أما Poly1305 فهو آمن أمنيًا من منظور نظرية المعلومات عند استخدام مفتاح عشوائي حقيقي يُستعمل مرة واحدة؛ ويكون احتمال التزوير على الأكثر 8*ceil(L/16)/2^106.

CMAC: ‏WPA2 وS/MIME وسلامة أنظمة الملفات. Poly1305: ‏TLS 1.3 عبر ChaCha20-Poly1305، وشبكة WireGuard الافتراضية الخاصة، وبروتوكول Signal، وإطار عمل Noise Protocol. ويُستخدم كلاهما على نطاق واسع في الأنظمة الحديثة عالية الأمان.

أي MAC يُستخدم في AEAD ‏ChaCha20-Poly1305؟

لقد تعلّمتم بناء CMAC المعتمد على CBC والحسابات متعددة الحدود في Poly1305. وكلاهما MAC آمن ثابت الزمن، ويُستخدم في بروتوكولات حقيقية. التالي: TLS/HTTPS وكيفية تركيب جميع هذه البدائيات معًا.