Por qué Encrypt-Then-MAC supera a MAC-Then-Encrypt

Al combinar el cifrado y un MAC, existen tres órdenes posibles: Encrypt-then-MAC (EtM), MAC-then-Encrypt (MtE) y Encrypt-and-MAC (E&M). Cada uno tiene propiedades de seguridad fundamentalmente distintas, y solo uno es demostrablemente seguro en todos los contextos.

En Encrypt-then-MAC, el texto plano se cifra primero para producir el texto cifrado y, a continuación, se calcula el MAC sobre ese texto cifrado. El receptor puede verificar el MAC antes de intentar descifrar nada, por lo que un mensaje manipulado se rechaza de inmediato sin revelar información.

En MAC-then-Encrypt, el MAC se calcula sobre el texto plano y después se cifran juntos el texto plano y el MAC. El receptor debe descifrar el mensaje antes de poder verificar el MAC, lo que abre la puerta a ataques de oráculo de relleno y de oráculo de descifrado.

SSL 3.0 y TLS 1.0 utilizaban el orden MAC-then-Encrypt para cifradores de bloque en modo CBC. Este fallo de diseño fue aprovechado por el ataque BEAST en 2011 y el ataque POODLE en 2014, que se basaban en el oráculo existente cuando el descifrado se realiza antes de verificar el MAC.

En 2000, Bellare y Namprempre demostraron formalmente que, de los tres órdenes de composición, solo Encrypt-then-MAC alcanza seguridad IND-CCA2 (seguridad frente a textos cifrados elegidos) para todas las combinaciones de primitivas de cifrado y MAC seguras. MtE y E&M pueden fallar en determinadas composiciones.

SSH utiliza Encrypt-and-MAC: el MAC se calcula sobre el texto plano y se envía junto al texto cifrado en forma de texto plano. Aunque SSH no ha sufrido los mismos exploits que MtE en SSL/TLS, esta composición también presenta fallos teóricos, ya que puede filtrar información del texto plano mediante el MAC no cifrado.

Authenticated Encryption with Associated Data (AEAD) es la abstracción moderna que resuelve por diseño el problema de la composición. AEAD integra el cifrado y la autenticación en una sola primitiva, lo que garantiza que siempre se combinen correctamente sin exigir al desarrollador que elija un orden de composición.

AES-GCM (Galois/Counter Mode) es el conjunto de cifrado AEAD más utilizado. Proporciona cifrado autenticado mediante una combinación de cifrado en modo CTR y autenticación GHASH, y cuenta con aceleración por hardware mediante las instrucciones AES-NI y CLMUL en las CPU modernas.

TLS 1.3 rompió decisivamente con el pasado al eliminar todos los conjuntos de cifrado que no fueran AEAD. Cada conjunto de cifrado de TLS 1.3 utiliza AEAD, lo que elimina clases enteras de vulnerabilidades causadas por una composición manual incorrecta de primitivas de cifrado y MAC, que afectaron a versiones anteriores de TLS.

La principal lección de décadas de ataques criptográficos es que componer manualmente primitivas de cifrado y MAC es propenso a errores, incluso para los expertos. Las bibliotecas criptográficas modernas ofrecen interfaces AEAD específicamente para evitar que los desarrolladores cometan errores de composición que provoquen vulnerabilidades reales.

Al crear sistemas hoy en día, utilice siempre una primitiva AEAD como AES-GCM o ChaCha20-Poly1305. Si debe interoperar con sistemas heredados que utilizan MAC y cifrado por separado, asegúrese de emplear el orden Encrypt-then-MAC y nunca MtE ni E&M.

EtM es el único orden de composición demostrablemente seguro para primitivas de cifrado y MAC independientes. TLS 1.3 elimina por completo el problema al exigir conjuntos de cifrado exclusivamente AEAD. En caso de duda, utilice una primitiva AEAD como AES-GCM o ChaCha20-Poly1305 y deje que la biblioteca gestione correctamente la composición.