CMAC y Poly1305: MAC basados en cifradores de bloque

Un código de autenticación de mensajes (MAC) recibe una clave y un mensaje, y produce una etiqueta. La etiqueta demuestra que el mensaje no ha sido manipulado y que lo produjo alguien que posee la clave.

HMAC utiliza una función hash como primitiva. CMAC y Poly1305, en cambio, utilizan cifradores de bloque o aritmética polinómica. Los MAC basados en cifradores de bloque evitan depender de una función hash y se integran de forma natural con el hardware AES.

CMAC (MAC basado en cifrado) está definido en NIST SP 800-38B. Rellena el mensaje hasta el límite de un bloque, deriva dos subclaves K1/K2 a partir del cifrador, les aplica XOR en el bloque final y, después, ejecuta el modo CBC sin almacenar el texto cifrado intermedio.

K1 = AES_K(0^128 desplazado a la izquierda 1 bit, con XOR de una constante si el MSB era 1. K2 = K1 desplazada de forma similar. Estas subclaves vinculan el último bloque parcial de forma segura para evitar la extensión de longitud.

Poly1305 es un autenticador de un solo uso diseñado por Daniel Bernstein. Evalúa un polinomio sobre el primo 2^130-5, tratando el mensaje como coeficientes del polinomio y utilizando un par de claves de un solo uso (r, s).

Tag = (suma de (m_i * r^i) mod 2^130-5) + s mod 2^128. La clave r se limita a 22 bits específicos para evitar ataques de temporización. s es una máscara de suma de un solo uso de 16 bytes.

Poly1305 casi siempre se combina con ChaCha20. ChaCha20 genera el par de un solo uso (r, s) a partir del flujo de claves del cifrador de flujo, lo que hace que el esquema AEAD combinado sea demostrablemente seguro y extremadamente rápido en CPU ARM para dispositivos móviles.

AES-GCM autentica mediante GHASH, un MAC polinómico sobre GF(2^128). AES-CMAC es más sencillo y se utiliza en IEEE 802.11i (WPA2) y en las suites de cifrado de TLS 1.2. GCM proporciona cifrado y autenticación en una sola pasada.

Poly1305 en ARM Cortex-A alcanza aproximadamente 1 ciclo por byte mediante intrínsecos NEON. AES-CMAC requiere una operación de bloque AES por cada bloque de 16 bytes. Para datos masivos, Poly1305 supera a CMAC en hardware sin AES-NI.

CMAC es imposible de falsificar existencialmente bajo un ataque de mensajes elegidos, suponiendo que AES sea una permutación pseudoaleatoria. Poly1305 es seguro desde el punto de vista teórico de la información si se utiliza una clave de un solo uso verdaderamente aleatoria; la probabilidad de falsificación es como máximo 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME e integridad de sistemas de archivos. Poly1305: TLS 1.3 mediante ChaCha20-Poly1305, VPN WireGuard, Signal Protocol y Noise Protocol Framework. Ambos están ampliamente implementados en sistemas modernos de alta seguridad.

Ha aprendido la construcción de CMAC basada en CBC y la aritmética polinómica de Poly1305. Ambos son MAC seguros y de tiempo constante que se utilizan en protocolos reales. A continuación: TLS/HTTPS y la forma en que se combinan todas estas primitivas.