Modo SIV: AEAD resistente al uso indebido de nonces

Los cifradores AEAD basados en el modo CTR, como AES-GCM, requieren un nonce único para cada cifrado. Si se reutiliza el mismo nonce con la misma clave, un atacante que observe dos textos cifrados puede aplicarles XOR para recuperar el XOR de los dos textos planos, rompiendo de inmediato la confidencialidad.

La reutilización del nonce en AES-GCM es aún más catastrófica que en el modo CTR simple. Cuando dos mensajes se cifran con el mismo nonce y la misma clave, un atacante puede recuperar por completo la clave de autenticación H de GHASH. Una vez que conoce H, el atacante puede falsificar mensajes autenticados arbitrarios.

El modo Synthetic IV (SIV), definido en RFC 5297, se diseñó para eliminar las vulnerabilidades de la reutilización de nonces. En lugar de requerir un nonce aleatorio o basado en un contador, SIV deriva sintéticamente el IV a partir del propio texto plano mediante una función pseudoaleatoria, lo que lo hace determinista y resistente al uso incorrecto de nonces.

En SIV, el nonce (denominado IV sintético) se calcula como SIV = PRF(key, plaintext, associated_data). Este IV se utiliza después como contador para el cifrado en modo CTR. Como el IV se deriva del texto plano, cifrar el mismo texto plano siempre produce el mismo texto cifrado.

Si se reutiliza un nonce en SIV porque se cifra dos veces el mismo texto plano, un observador solo descubre que se enviaron dos mensajes idénticos. El contenido del texto plano permanece oculto. Esto supone una mejora drástica frente a AEAD basados en CTR, donde la reutilización del nonce revela el XOR de los textos planos.

AES-SIV (RFC 5297) utiliza la función S2V (una PRF encadenada basada en AES-CMAC) para generar el IV sintético, seguida del cifrado AES-CTR con una segunda subclave. Requiere dos claves AES, lo que hace que la gestión de claves sea ligeramente más compleja que en los modos AEAD de una sola clave.

AES-GCM-SIV (RFC 8452) es un AEAD resistente al uso incorrecto de nonces y más eficiente, diseñado para combinar el rendimiento de GCM con una seguridad similar a la de SIV. Deriva subclaves por mensaje a partir del nonce y utiliza un autenticador Polyval, con lo que ofrece un mejor rendimiento que AES-SIV y mantiene la resistencia al uso incorrecto de nonces.

SIV requiere dos pasadas sobre los datos: una para calcular el IV sintético y otra para cifrar. Esto prácticamente duplica el coste computacional frente a modos AEAD de una sola pasada, como AES-GCM. En aplicaciones sensibles a la latencia o de alto rendimiento, debe tenerse en cuenta este coste adicional.

Se prefiere SIV cuando la generación de nonces no es fiable, cuando la aplicación no tiene estado y no puede mantener un contador de nonces, o cuando se requiere cifrado determinista. Algunos ejemplos son el cifrado de campos de bases de datos en los que el mismo valor debe producir siempre el mismo texto cifrado para permitir su indexación.

Los microservicios sin estado que no pueden coordinar el estado de los nonces entre réplicas son candidatos ideales para el modo SIV. En lugar de arriesgarse a reutilizar accidentalmente un nonce mediante un contador global, SIV proporciona seguridad de forma automática. La envoltura de claves (RFC 3394) también utiliza principios de SIV para el cifrado determinista de claves.

AES-SIV está disponible en importantes bibliotecas criptográficas, como libsodium (en versiones recientes, como crypto_aead_aes256gcm_siv) y Google Tink. AES-GCM-SIV es compatible con BoringSSL y la biblioteca estándar de Go. Cuando la gestión de nonces resulta difícil, estas opciones son valores predeterminados más seguros que AES-GCM estándar.

¿Qué ocurre cuando se utiliza la misma clave para cifrar dos veces el mismo texto plano con AES-SIV?

El modo SIV elimina las consecuencias catastróficas de reutilizar nonces al derivar el IV del propio texto plano. La reutilización de un nonce solo revela que se enviaron mensajes idénticos, no su contenido. AES-GCM-SIV (RFC 8452) proporciona una resistencia eficiente al uso incorrecto de nonces para aplicaciones modernas que necesitan cifrado sin estado o determinista.