SIV-Modus: AEAD mit Schutz vor Noncen-Fehlverwendung

AEAD-Chiffren im CTR-Modus wie AES-GCM erfordern für jede Verschlüsselung eine eindeutige Nonce. Wird dieselbe Nonce mit demselben Schlüssel wiederverwendet, kann ein Angreifer, der zwei Chiffretexte beobachtet, diese per XOR verknüpfen und so das XOR der beiden Klartexte ermitteln, wodurch die Vertraulichkeit sofort gebrochen ist.

Die Wiederverwendung einer Nonce in AES-GCM ist noch katastrophaler als im einfachen CTR-Modus. Werden zwei Nachrichten unter derselben Nonce und demselben Schlüssel verschlüsselt, kann ein Angreifer den GHASH-Authentifizierungsschlüssel H vollständig ermitteln. Ist H bekannt, kann der Angreifer beliebige authentifizierte Nachrichten fälschen.

Der in RFC 5297 definierte Synthetic-IV-Modus (SIV) wurde entwickelt, um Schwachstellen durch die Wiederverwendung von Nonces zu beseitigen. Statt eine zufällige oder auf einem Zähler basierende Nonce vorauszusetzen, leitet SIV die IV mithilfe einer pseudorandomisierten Funktion synthetisch aus dem Klartext ab. Dadurch ist das Verfahren deterministisch und gegen die fehlerhafte Verwendung von Nonces resistent.

Bei SIV wird die Nonce, die als Synthetic IV bezeichnet wird, als SIV = PRF(key, plaintext, associated_data) berechnet. Diese IV wird anschließend als Zähler für die Verschlüsselung im CTR-Modus verwendet. Da die IV aus dem Klartext abgeleitet wird, erzeugt die Verschlüsselung desselben Klartexts immer denselben Chiffretext.

Wenn eine Nonce in SIV wiederverwendet wird, weil derselbe Klartext zweimal verschlüsselt wird, erfährt ein Beobachter nur, dass zwei identische Nachrichten gesendet wurden. Der Inhalt des Klartexts bleibt verborgen. Das ist eine deutliche Verbesserung gegenüber CTR-basiertem AEAD, bei dem die Wiederverwendung einer Nonce das XOR der Klartexte offenlegt.

AES-SIV (RFC 5297) verwendet die S2V-Funktion (eine verkettete PRF auf Basis von AES-CMAC), um die synthetische IV zu erzeugen, gefolgt von einer AES-CTR-Verschlüsselung mit einem zweiten Unterschlüssel. Dafür sind zwei AES-Schlüssel erforderlich, wodurch die Schlüsselverwaltung etwas komplexer ist als bei AEAD-Modi mit nur einem Schlüssel.

AES-GCM-SIV (RFC 8452) ist ein effizienterer, gegen Nonce-Missbrauch resistenter AEAD-Modus, der die Leistung von GCM mit der Sicherheit von SIV verbinden soll. Er leitet aus der Nonce Unterschlüssel pro Nachricht ab und verwendet einen Polyval-Authenticator. Dadurch erreicht er eine bessere Leistung als AES-SIV und bleibt zugleich gegen Nonce-Missbrauch resistent.

SIV erfordert zwei Durchläufe über die Daten: einen zur Berechnung der synthetischen IV und einen zur Verschlüsselung. Dadurch verdoppeln sich die Rechenkosten im Vergleich zu AEAD-Modi mit nur einem Durchlauf wie AES-GCM ungefähr. Bei Anwendungen mit hohen Anforderungen an Latenz oder Durchsatz müssen Sie diesen Mehraufwand berücksichtigen.

SIV wird bevorzugt, wenn die Erzeugung von Nonces unzuverlässig ist, wenn die Anwendung zustandslos ist und keinen Nonce-Zähler verwalten kann oder wenn deterministische Verschlüsselung erforderlich ist. Beispiele sind die Verschlüsselung von Datenbankfeldern, bei denen derselbe Wert für Indexierungszwecke stets denselben Ciphertext ergeben soll.

Zustandslose Microservices, die den Nonce-Zustand nicht über mehrere Replikate hinweg koordinieren können, sind besonders geeignete Kandidaten für den SIV-Modus. Statt eine versehentliche Wiederverwendung von Nonces durch einen globalen Zähler zu riskieren, bietet SIV automatisch Sicherheit. Auch beim Key-Wrapping (RFC 3394) werden SIV-Prinzipien für die deterministische Schlüsselverschlüsselung eingesetzt.

AES-SIV ist in wichtigen kryptografischen Bibliotheken verfügbar, darunter libsodium (in aktuellen Versionen als crypto_aead_aes256gcm_siv) und Google Tink. AES-GCM-SIV wird von BoringSSL und der Go-Standardbibliothek unterstützt. Wenn die Verwaltung von Nonces schwierig ist, sind diese Modi sicherere Standardoptionen als gewöhnliches AES-GCM.

Der SIV-Modus verhindert katastrophale Folgen der Nonce-Wiederverwendung, indem er die IV aus dem Klartext ableitet. Die Wiederverwendung einer Nonce verrät nur, dass identische Nachrichten gesendet wurden, nicht deren Inhalt. AES-GCM-SIV (RFC 8452) bietet eine effiziente Resistenz gegen Nonce-Missbrauch für moderne Anwendungen, die zustandslose oder deterministische Verschlüsselung benötigen.