لماذا يتفوق Encrypt-Then-MAC على MAC-Then-Encrypt؟

عند الجمع بين التشفير وMAC، توجد ثلاثة ترتيبات: Encrypt-then-MAC (EtM)، وMAC-then-Encrypt (MtE)، وEncrypt-and-MAC (E&M). ولكل ترتيب خصائص أمنية مختلفة جوهريًا، ولا يثبت أمانه في جميع الحالات إلا ترتيب واحد.

في Encrypt-then-MAC، يُشفَّر النص الصريح أولًا لإنتاج النص المشفّر، ثم تُحسب MAC على ذلك النص المشفّر. ويستطيع المستلم التحقق من MAC قبل محاولة فك التشفير، ما يعني رفض الرسالة التي جرى العبث بها فورًا دون كشف أي معلومات.

في MAC-then-Encrypt، تُحسب MAC على النص الصريح، ثم يُشفَّر النص الصريح وMAC معًا. ويجب على المستلم فك تشفير الرسالة قبل أن يتمكن من التحقق من MAC، مما يفتح المجال لهجمات مستشار الحشو ومستشار فك التشفير.

استخدم SSL 3.0 وTLS 1.0 ترتيب MAC-then-Encrypt مع شفرات الكتل في نمط CBC. وقد استُغل هذا العيب في التصميم بواسطة هجوم BEAST عام 2011 وهجوم POODLE عام 2014، إذ استفاد كلاهما من المستشار الموجود عندما يحدث فك التشفير قبل التحقق من MAC.

في عام 2000، أثبت Bellare وNamprempre رسميًا أنه من بين ترتيبات التركيب الثلاثة، يحقق Encrypt-then-MAC وحده أمان IND-CCA2، أي الأمان ضد النصوص المشفرة المختارة، لجميع مجموعات بدائيات التشفير وMAC الآمنة. ويمكن أن يفشل كل من MtE وE&M في بعض عمليات التركيب.

يستخدم SSH ترتيب Encrypt-and-MAC: تُحسب MAC على النص الصريح، وتُرسل إلى جانب النص المشفّر في صورة نص صريح. ومع أن SSH لم يتعرض للاستغلالات نفسها التي تعرض لها MtE في SSL/TLS، فإن هذا التركيب معيب نظريًا أيضًا، إذ يمكن أن يسرّب معلومات عن النص الصريح من خلال MAC غير المشفّرة.

التشفير الموثَّق مع البيانات المرتبطة (AEAD) هو التجريد الحديث الذي يحل مشكلة التركيب بحكم تصميمه. إذ يدمج AEAD التشفير والمصادقة في بدائية واحدة، ويضمن دمجهما دائمًا بطريقة صحيحة دون مطالبة المطور باختيار ترتيب للتركيب.

يُعد AES-GCM (نمط غالوا/العداد) أكثر مجموعات شفرات AEAD انتشارًا. فهو يوفر تشفيرًا موثَّقًا من خلال الجمع بين التشفير بنمط CTR والمصادقة باستخدام GHASH، كما تدعمه العتاديات عبر تعليمات AES-NI وCLMUL في وحدات المعالجة المركزية الحديثة.

أحدث TLS 1.3 قطيعة حاسمة مع الماضي بإزالة جميع مجموعات الشفرات غير المعتمدة على AEAD. وتستخدم كل مجموعة شفرات في TLS 1.3 تقنية AEAD، مما يلغي فئات كاملة من الثغرات التي سببها الدمج اليدوي غير الصحيح لبدائيات التشفير وMAC، والتي عانت منها إصدارات TLS السابقة.

يتمثل الدرس الأساسي المستخلص من عقود من الهجمات التشفيرية في أن تركيب بدائيات التشفير وبدائيات MAC يدويًا عرضة للأخطاء، حتى على يد الخبراء. وتوفّر مكتبات التشفير الحديثة واجهات AEAD تحديدًا لمنع المطورين من ارتكاب أخطاء في التركيب تؤدي إلى ثغرات حقيقية في العالم الواقعي.

عند بناء الأنظمة اليوم، استخدم دائمًا بدائية AEAD مثل AES-GCM أو ChaCha20-Poly1305. وإذا اضطررت إلى التوافق مع أنظمة قديمة تستخدم MAC والتشفير بشكل منفصل، فتأكد من استخدام ترتيب Encrypt-then-MAC، ولا تستخدم أبدًا MtE أو E&M.

أي عبارة تصف بشكل صحيح الفرق الأمني بين Encrypt-then-MAC وMAC-then-Encrypt؟

يُعد EtM ترتيب التركيب الوحيد الذي ثبت أمانه عند استخدام بدائيات تشفير وMAC منفصلة. ويزيل TLS 1.3 المشكلة بالكامل من خلال فرض مجموعات تشفير تستخدم AEAD فقط. وعند الشك، استخدم بدائية AEAD مثل AES-GCM أو ChaCha20-Poly1305، ودَع المكتبة تتولى التركيب بشكل صحيح.