Mode SIV : AEAD résistant à la mauvaise utilisation des nonces

Les chiffrements AEAD fondés sur le mode CTR, comme AES-GCM, exigent un nonce unique pour chaque chiffrement. Si le même nonce est réutilisé avec la même clé, un attaquant qui observe deux textes chiffrés peut les combiner par XOR pour retrouver le XOR des deux textes en clair, compromettant immédiatement la confidentialité.

La réutilisation d'un nonce dans AES-GCM est encore plus catastrophique qu'en mode CTR simple. Lorsque deux messages sont chiffrés avec le même nonce et la même clé, un attaquant peut retrouver entièrement la clé d'authentification GHASH H. Une fois H connue, l'attaquant peut forger des messages arbitraires accompagnés d'une authentification valide.

Le mode IV synthétique (SIV), défini dans la RFC 5297, a été conçu pour éliminer les vulnérabilités liées à la réutilisation des nonces. Au lieu d'exiger un nonce aléatoire ou fondé sur un compteur, SIV dérive synthétiquement l'IV à partir du texte en clair lui-même à l'aide d'une fonction pseudo-aléatoire, ce qui le rend déterministe et résistant à la mauvaise utilisation des nonces.

Dans SIV, le nonce, appelé IV synthétique, est calculé comme suit : SIV = PRF(key, plaintext, associated_data). Cet IV est ensuite utilisé comme compteur pour le chiffrement en mode CTR. Comme l'IV est dérivé du texte en clair, le chiffrement d'un même texte en clair produit toujours le même texte chiffré.

Si un nonce est réutilisé dans SIV parce que le même texte en clair est chiffré deux fois, un observateur apprend seulement que deux messages identiques ont été envoyés. Le contenu du texte en clair lui-même reste dissimulé. Il s’agit d’une amélioration spectaculaire par rapport à l’AEAD fondé sur CTR, dans lequel la réutilisation du nonce révèle le XOR des textes en clair.

AES-SIV (RFC 5297) utilise la fonction S2V, une PRF chaînée fondée sur AES-CMAC, pour générer l’IV synthétique, puis effectue un chiffrement AES-CTR avec une seconde sous-clé. Il nécessite deux clés AES, ce qui rend la gestion des clés légèrement plus complexe que celle des modes AEAD à clé unique.

AES-GCM-SIV (RFC 8452) est un AEAD plus efficace, résistant à la mauvaise utilisation des nonces, conçu pour associer les performances de GCM à une sécurité de type SIV. Il dérive des sous-clés propres à chaque message à partir du nonce et utilise un authentificateur Polyval, ce qui lui permet d’être plus performant qu’AES-SIV tout en conservant sa résistance à la mauvaise utilisation des nonces.

SIV nécessite deux passes sur les données : une pour calculer l’IV synthétique et une pour le chiffrement. Le coût de calcul est ainsi approximativement deux fois supérieur à celui des modes AEAD à passe unique comme AES-GCM. Pour les applications sensibles à la latence ou à haut débit, cette surcharge doit être prise en compte.

SIV est à privilégier lorsque la génération des nonces n’est pas fiable, lorsque l’application est sans état et ne peut pas gérer un compteur de nonces, ou lorsque le chiffrement déterministe est une exigence. Cela concerne notamment le chiffrement de champs de base de données lorsqu’une même valeur doit toujours produire le même texte chiffré à des fins d’indexation.

Les microservices sans état qui ne peuvent pas coordonner l’état des nonces entre leurs réplicas sont particulièrement adaptés au mode SIV. Plutôt que de risquer une réutilisation accidentelle des nonces par l’intermédiaire d’un compteur global, SIV assure automatiquement la sécurité. L’enveloppement de clés (RFC 3394) utilise également des principes de SIV pour le chiffrement déterministe des clés.

AES-SIV est disponible dans de grandes bibliothèques cryptographiques, notamment libsodium, sous la forme de crypto_aead_aes256gcm_siv dans les versions récentes, ainsi que dans Google Tink. AES-GCM-SIV est pris en charge par BoringSSL et la bibliothèque standard de Go. Lorsque la gestion des nonces est difficile, ces solutions constituent des choix par défaut plus sûrs qu’AES-GCM standard.

Que se passe-t-il lorsque la même clé est utilisée pour chiffrer deux fois le même texte en clair avec AES-SIV ?

Le mode SIV élimine les catastrophes liées à la réutilisation des nonces en dérivant l’IV du texte en clair lui-même. La réutilisation d’un nonce révèle seulement que des messages identiques ont été envoyés, et non leur contenu. AES-GCM-SIV (RFC 8452) offre une résistance efficace à la mauvaise utilisation des nonces pour les applications modernes qui nécessitent un chiffrement sans état ou déterministe.