Choisir un AEAD pour les systèmes de production

AES-GCM est l’AEAD à choisir par défaut pour la plupart des systèmes en production. Il bénéficie d’une accélération matérielle via AES-NI sur pratiquement tous les processeurs x86 et ARM64 modernes, est largement pris en charge par les piles TLS et les bibliothèques cryptographiques, et bénéficie de nombreuses années de cryptanalyse ainsi que d’une vaste expérience de déploiement en conditions réelles.

AES-GCM utilise un nonce de 96 bits. Avec des nonces générés aléatoirement, le seuil des anniversaires est atteint après environ 2^32 messages sous la même clé ; à partir de ce moment, la probabilité d’une collision de nonces devient non négligeable. Pour les systèmes à gros volume, la gestion des nonces au moyen d’un compteur ou la rotation de la clé après 2^32 messages est essentielle.

ChaCha20-Poly1305 est le choix approprié lorsqu’AES-NI n’est pas disponible ou lorsque la génération des nonces risque de ne pas être fiable. Il est rapide en logiciel, conçu pour fonctionner en temps constant et résistant aux canaux auxiliaires temporels, et constitue la suite de chiffrement obligatoire dans TLS 1.3 pour les environnements dépourvus de prise en charge matérielle d’AES.

Lorsque les nonces risquent d’être réutilisés ou doivent être générés de manière déterministe, notamment dans les services sans état ou pour l’enveloppement de clés, AES-GCM-SIV (RFC 8452) est le choix approprié. Il offre une résistance à la mauvaise utilisation des nonces pour un coût de performances modéré par rapport à AES-GCM standard.

AEGIS-128L est le choix approprié lorsqu’un débit de chiffrement maximal est requis et que la présence d’AES-NI est garantie sur toutes les cibles de déploiement. Les équipements réseau à haut débit, les concentrateurs VPN et les systèmes de chiffrement du stockage sont des candidats particulièrement adaptés, car AEGIS y offre des gains de performances significatifs par rapport à AES-GCM.

AES-128 offre une sécurité de 128 bits, considérée comme suffisante face à toutes les menaces actuelles et prévisibles liées au calcul classique. AES-256 fournit une marge supplémentaire contre les progrès futurs et est requis par certains référentiels de conformité, comme la classification TOP SECRET de la Suite B de la NSA. Pour la plupart des applications, AES-128 est suffisant et légèrement plus rapide.

AES-GCM utilise des nonces de 96 bits, tandis qu’AES-GCM-SIV utilise également des nonces de 96 bits. XSalsa20, utilisé dans secretbox de libsodium, utilise des nonces de 192 bits, ce qui rend la génération aléatoire de nonces sûre pour un nombre bien plus élevé de messages sous la même clé. Des nonces plus longs réduisent le risque de réutilisation accidentelle dans les systèmes à gros volume.

Utilisez des bibliothèques AEAD éprouvées plutôt que d’implémenter directement les primitives. libsodium fournit une API AEAD simple (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink encapsule les primitives AEAD et gère la rotation des clés ainsi que le versionnage. Les bibliothèques TLS natives du langage gèrent automatiquement l’AEAD pour la sécurité des communications.

AES-CBC avec un HMAC-SHA256 distinct, dans l’ordre EtM, est acceptable, mais ancien. La migration vers AES-GCM simplifie l’implémentation en remplaçant deux primitives par une seule et élimine le risque d’une composition incorrecte. Les données au repos chiffrées avec CBC-HMAC doivent être rechiffrées avec AES-GCM lors d’une rotation planifiée des clés.

Les implémentations AEAD doivent être testées avec les vecteurs de test officiels de NIST pour AES-GCM et de la RFC 8439 pour ChaCha20-Poly1305. Vérifiez toujours qu’un échec de la vérification de l’étiquette d’authentification entraîne le retour d’une erreur par le déchiffrement, plutôt que le retour d’un texte en clair partiel. Une mauvaise gestion des erreurs constitue un défaut d’implémentation courant.

Choisissez AES-GCM lorsque AES-NI est présent et que les nonces sont uniques. Choisissez ChaCha20-Poly1305 lorsque AES-NI est absent ou que les nonces sont moins fiables. Choisissez AES-GCM-SIV lorsque la réutilisation des nonces est préoccupante. Choisissez AEGIS lorsque le débit maximal avec AES-NI garanti est la priorité. Ne choisissez jamais de modes sans AEAD pour les nouveaux systèmes.

AES-GCM est le choix par défaut. ChaCha20-Poly1305 convient aux environnements dépourvus d’AES-NI. AES-GCM-SIV gère les environnements où les nonces ne sont pas sûrs. AEGIS maximise le débit lorsque la présence d’AES-NI est garantie. Utilisez des bibliothèques comme libsodium ou Tink plutôt que de composer manuellement les primitives. Effectuez toujours des tests avec les vecteurs officiels et vérifiez que les échecs d’authentification sont correctement gérés.