CMAC et Poly1305 : MAC fondées sur un chiffrement par blocs

Un code d’authentification de message (MAC) prend une clé et un message, puis produit une étiquette. Cette étiquette prouve que le message n’a pas été altéré et qu’il a été produit par une personne qui détient la clé.

HMAC utilise une fonction de hachage comme primitive. CMAC et Poly1305 utilisent à la place des chiffrements par blocs ou de l’arithmétique polynomiale. Les MAC fondés sur des chiffrements par blocs évitent de dépendre d’une fonction de hachage et s’intègrent naturellement au matériel AES.

CMAC (MAC fondé sur un chiffrement) est défini dans NIST SP 800-38B. Il complète le message jusqu’à une limite de bloc, dérive deux sous-clés K1/K2 à partir du chiffrement, les combine par XOR avec le dernier bloc, puis exécute le mode CBC sans conserver les textes chiffrés intermédiaires.

K1 = AES_K(0^128) décalé vers la gauche de 1 bit, puis combiné par XOR avec une constante si le MSB valait 1. K2 est obtenu en décalant K1 de la même manière. Ces sous-clés protègent le dernier bloc partiel contre l’extension de longueur.

Poly1305 est un authentificateur à usage unique conçu par Daniel Bernstein. Il évalue un polynôme sur le nombre premier 2^130-5, en traitant le message comme un ensemble de coefficients polynomiaux et en utilisant une paire de clés à usage unique (r, s).

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128. La clé r est limitée à 22 bits spécifiques afin d’empêcher les attaques temporelles. s est un masque d’addition à usage unique de 16 octets.

Poly1305 est presque toujours associé à ChaCha20. ChaCha20 génère la paire (r, s) à usage unique à partir du flux de clés du chiffrement par flot, ce qui rend le schéma AEAD combiné démontrablement sûr et extrêmement rapide sur les processeurs ARM et mobiles.

AES-GCM authentifie à l’aide de GHASH, un MAC polynomial sur GF(2^128). AES-CMAC est plus simple et est utilisé dans IEEE 802.11i (WPA2) ainsi que dans les suites de chiffrement de TLS 1.2. GCM fournit à la fois le chiffrement et l’authentification en un seul passage.

Poly1305 sur ARM Cortex-A atteint environ 1 cycle/octet grâce aux intrinsèques NEON. AES-CMAC nécessite une opération de chiffrement AES par bloc de 16 octets. Pour les données volumineuses, Poly1305 est plus performant que CMAC sur le matériel dépourvu d’AES-NI.

CMAC est existentiellement infalsifiable contre les attaques à messages choisis, en supposant qu’AES soit une permutation pseudoaléatoire. Poly1305 est sûr au sens de la théorie de l’information avec une clé à usage unique véritablement aléatoire — la probabilité de falsification est au plus de 8*ceil(L/16)/2^106.

CMAC : WPA2, S/MIME, intégrité du système de fichiers. Poly1305 : TLS 1.3 via ChaCha20-Poly1305, réseau privé virtuel WireGuard, protocole Signal, cadre de protocoles Noise. Tous deux sont largement déployés dans des systèmes modernes à haute sécurité.

Vous avez appris la construction de CMAC fondée sur CBC et l’arithmétique polynomiale de Poly1305. Tous deux sont des MAC sûrs à temps d’exécution constant, utilisés dans des protocoles réels. Ensuite : TLS/HTTPS et la façon dont toutes ces primitives se composent.