SIV-mode: AEAD modstandsdygtig over for nonce-misbrug

AEAD-chifre baseret på CTR-tilstand, f.eks. AES-GCM, kræver en unik nonce for hver kryptering. Hvis den samme nonce genbruges med den samme nøgle, kan en angriber, der observerer to chiffertekster, tage XOR af dem for at gendanne XOR-resultatet af de to klartekster, hvilket straks bryder fortroligheden.

Genbrug af nonce i AES-GCM er endnu mere katastrofalt end i ren CTR-tilstand. Når to meddelelser krypteres med den samme nonce og nøgle, kan en angriber gendanne GHASH-autentificeringsnøglen H fuldstændigt. Når H er kendt, kan angriberen forfalske vilkårlige autentificerede meddelelser.

SIV-tilstanden, der er defineret i RFC 5297, blev udviklet til at eliminere sårbarheder ved genbrug af nonce. I stedet for at kræve en tilfældig eller tællerbaseret nonce udleder SIV IV'et syntetisk fra selve klarteksten ved hjælp af en pseudotilfældig funktion, hvilket gør den deterministisk og modstandsdygtig over for forkert brug af nonce.

I SIV beregnes noncen (kaldet den syntetiske IV) som SIV = PRF(key, plaintext, associated_data). Denne IV bruges derefter som tæller til kryptering i CTR-tilstand. Fordi IV'et udledes fra klarteksten, giver kryptering af den samme klartekst altid den samme chiffertekst.

Hvis en nonce genbruges i SIV, fordi den samme klartekst krypteres to gange, lærer en observatør kun, at der blev sendt to identiske meddelelser. Selve klartekstens indhold forbliver skjult. Det er en markant forbedring i forhold til CTR-baseret AEAD, hvor nonce-genbrug afslører XOR af klarteksterne.

AES-SIV (RFC 5297) bruger funktionen S2V, en kædet PRF baseret på AES-CMAC, til at generere den syntetiske IV efterfulgt af AES-CTR-kryptering med en anden undernøgle. Den kræver to AES-nøgler, hvilket gør nøglehåndteringen lidt mere kompleks end i AEAD-tilstande med én nøgle.

AES-GCM-SIV (RFC 8452) er en mere effektiv AEAD-tilstand, der er modstandsdygtig over for nonce-misbrug og udviklet til at kombinere GCM-ydeevne med SIV-lignende sikkerhed. Den udleder undernøgler pr. meddelelse fra noncen og bruger en Polyval-autentifikator, hvilket giver bedre ydeevne end AES-SIV samtidig med, at modstandsdygtigheden over for nonce-misbrug bevares.

SIV kræver to gennemløb af dataene: ét til at beregne den syntetiske IV og ét til krypteringen. Det fordobler omtrent beregningsomkostningen sammenlignet med AEAD-tilstande med ét gennemløb, såsom AES-GCM. For programmer, hvor latenstid eller højt gennemløb er vigtigt, skal denne ekstra omkostning tages i betragtning.

SIV foretrækkes, når genereringen af nonces er upålidelig, når programmet er tilstandsløst og ikke kan vedligeholde en nonce-tæller, eller når deterministisk kryptering er et krav. Det gælder for eksempel kryptering af databasefelter, hvor den samme værdi altid skal give den samme chiffertekst af hensyn til indeksering.

Tilstandsløse mikrotjenester, der ikke kan koordinere nonce-tilstanden på tværs af replikaer, er oplagte kandidater til SIV-tilstanden. I stedet for at risikere utilsigtet nonce-genbrug gennem en global tæller giver SIV automatisk denne sikkerhed. Nøgleindpakning (RFC 3394) anvender også SIV-principper til deterministisk kryptering af nøgler.

AES-SIV er tilgængelig i større kryptografiske biblioteker, herunder libsodium (som crypto_aead_aes256gcm_siv i nyere versioner) og Google Tink. AES-GCM-SIV understøttes i BoringSSL og Go-standardbiblioteket. Når nonce-håndtering er vanskelig, er disse sikrere standardvalg end almindelig AES-GCM.

SIV-tilstanden eliminerer katastrofale følger af nonce-genbrug ved at udlede IV'en fra selve klarteksten. Nonce-genbrug afslører kun, at der blev sendt identiske meddelelser, ikke deres indhold. AES-GCM-SIV (RFC 8452) giver effektiv modstandsdygtighed over for nonce-misbrug i moderne programmer, hvor tilstandsløs eller deterministisk kryptering er nødvendig.