Selección de AEAD para sistemas en producción

AES-GCM es el AEAD predeterminado adecuado para la mayoría de los sistemas de producción. Cuenta con aceleración de hardware mediante AES-NI en prácticamente todos los procesadores x86 y ARM64 modernos, es ampliamente compatible con pilas TLS y bibliotecas criptográficas, y se beneficia de un análisis criptográfico exhaustivo y de una amplia experiencia de uso en entornos reales.

AES-GCM utiliza un nonce de 96 bits. Con nonces generados aleatoriamente, el límite de cumpleaños se alcanza después de aproximadamente 2^32 mensajes con la misma clave, momento en el que la probabilidad de colisión de nonces deja de ser insignificante. En sistemas de gran volumen, es esencial gestionar los nonces mediante un contador o cambiar la clave después de 2^32 mensajes.

ChaCha20-Poly1305 es la opción adecuada cuando AES-NI no está disponible o cuando la generación de nonces puede no ser fiable. Es rápido en software, está diseñado para ejecutarse en tiempo constante (resistente a canales laterales de temporización) y es el conjunto de cifrado obligatorio en TLS 1.3 para entornos sin compatibilidad con hardware AES.

Cuando los nonces pueden reutilizarse o deben generarse de forma determinista, como en servicios sin estado o en la envoltura de claves, AES-GCM-SIV (RFC 8452) es la opción adecuada. Proporciona resistencia al uso incorrecto de nonces con un coste de rendimiento moderado frente a AES-GCM estándar.

AEGIS-128L es la opción adecuada cuando se requiere el máximo rendimiento de cifrado y se garantiza la presencia de AES-NI en todos los destinos de despliegue. Los dispositivos de red de gran ancho de banda, los concentradores VPN y los sistemas de cifrado de almacenamiento son candidatos ideales, ya que AEGIS ofrece mejoras de rendimiento significativas frente a AES-GCM.

AES-128 proporciona una seguridad de 128 bits, considerada adecuada frente a todas las amenazas actuales y previsibles de la computación clásica. AES-256 ofrece un margen adicional frente a avances futuros y es obligatorio en algunos marcos normativos, como la clasificación TOP SECRET conforme a NSA Suite B. Para la mayoría de las aplicaciones, AES-128 es suficiente y ligeramente más rápido.

AES-GCM utiliza nonces de 96 bits, mientras que AES-GCM-SIV también utiliza nonces de 96 bits. XSalsa20 (utilizado en secretbox de libsodium) utiliza nonces de 192 bits, lo que hace que la generación aleatoria de nonces sea segura para muchos más mensajes con la misma clave. Los nonces más grandes reducen el riesgo de reutilización accidental en sistemas de gran volumen.

Utilice bibliotecas AEAD consolidadas en lugar de implementar las primitivas directamente. libsodium proporciona una API AEAD sencilla (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink encapsula primitivas AEAD y añade rotación y versionado de claves. Las bibliotecas TLS nativas del lenguaje gestionan AEAD automáticamente para la seguridad del transporte.

AES-CBC con un HMAC-SHA256 independiente (en orden EtM) es aceptable, pero se considera una solución heredada. La migración a AES-GCM simplifica la implementación al sustituir dos primitivas por una y elimina el riesgo de una composición incorrecta. Los datos en reposo cifrados con CBC-HMAC deben volver a cifrarse con AES-GCM durante una rotación de claves programada.

Las implementaciones AEAD deben probarse con los vectores de prueba oficiales del NIST (para AES-GCM) y del RFC 8439 (para ChaCha20-Poly1305). Compruebe siempre que los fallos en la verificación de la etiqueta de autenticación hagan que el descifrado devuelva un error en lugar de texto plano parcial. La gestión incorrecta de errores es un fallo común de implementación.

Elija AES-GCM cuando AES-NI esté presente y los nonces sean únicos. Elija ChaCha20-Poly1305 cuando AES-NI no esté presente o los nonces sean menos fiables. Elija AES-GCM-SIV cuando exista riesgo de reutilización de nonces. Elija AEGIS cuando la prioridad sea el máximo rendimiento con AES-NI garantizado. No elija nunca modos que no sean AEAD para sistemas nuevos.

AES-GCM es la opción predeterminada. ChaCha20-Poly1305 cubre los entornos sin AES-NI. AES-GCM-SIV gestiona los entornos en los que los nonces no son seguros. AEGIS maximiza el rendimiento cuando se garantiza la presencia de AES-NI. Utilice bibliotecas como libsodium o Tink en lugar de combinar primitivas manualmente. Pruebe siempre con vectores de prueba oficiales y compruebe que los fallos de autenticación se gestionen correctamente.