Pourquoi chiffrer puis authentifier est préférable à authentifier puis chiffrer

Lorsqu'on combine un chiffrement et un MAC, trois ordres sont possibles : chiffrer puis authentifier (EtM), authentifier puis chiffrer (MtE), et chiffrer et authentifier (E&M). Chacun possède des propriétés de sécurité fondamentalement différentes, et un seul est démontré sûr dans tous les contextes.

Dans le chiffrement puis MAC, le texte en clair est d'abord chiffré pour produire le texte chiffré, puis le MAC est calculé sur ce texte chiffré. Le destinataire peut vérifier le MAC avant même de tenter le déchiffrement, ce qui signifie qu'un message altéré est immédiatement rejeté sans divulguer d'informations.

Dans le MAC puis chiffrement, le MAC est calculé sur le texte en clair, puis le texte en clair et le MAC sont chiffrés ensemble. Le destinataire doit déchiffrer le message avant de pouvoir vérifier le MAC, ce qui ouvre la voie aux attaques par oracle de remplissage et par oracle de déchiffrement.

SSL 3.0 et TLS 1.0 utilisaient l'ordre MAC puis chiffrement pour les chiffrements par blocs en mode CBC. Cette faille de conception a été exploitée par l'attaque BEAST en 2011 et l'attaque POODLE en 2014, qui exploitaient toutes deux l'oracle présent lorsque le déchiffrement a lieu avant la vérification du MAC.

En 2000, Bellare et Namprempre ont démontré formellement que, parmi les trois ordres de composition, seul le chiffrement puis MAC (EtM) atteint la sécurité IND-CCA2 (sécurité contre les textes chiffrés choisis) pour toutes les combinaisons de primitives de chiffrement et de MAC sûres. MtE et E&M peuvent échouer dans certaines compositions.

SSH utilise le mode chiffrer et authentifier (E&M) : le MAC est calculé sur le texte en clair et envoyé à côté du texte chiffré sous forme non chiffrée. Même si SSH n'a pas subi les mêmes exploits que MtE dans SSL/TLS, cette composition est également imparfaite en théorie, car elle peut divulguer des informations sur le texte en clair par l'intermédiaire du MAC non chiffré.

Le chiffrement authentifié avec données associées (AEAD) est l'abstraction moderne qui résout le problème de composition dès sa conception. AEAD intègre le chiffrement et l'authentification dans une seule primitive, garantissant qu'ils sont toujours combinés correctement sans obliger les développeurs à choisir un ordre de composition.

AES-GCM (mode de Galois/compteur) est la suite de chiffrement AEAD la plus largement déployée. Elle fournit un chiffrement authentifié grâce à une combinaison du chiffrement en mode CTR et de l'authentification GHASH, et bénéficie d'une accélération matérielle via les instructions AES-NI et CLMUL sur les processeurs modernes.

TLS 1.3 a rompu nettement avec le passé en supprimant toutes les suites de chiffrement non AEAD. Chaque suite de chiffrement TLS 1.3 utilise AEAD, éliminant des catégories entières de vulnérabilités dues à une composition manuelle incorrecte des primitives de chiffrement et de MAC, qui affectaient les versions antérieures de TLS.

La principale leçon de plusieurs décennies d'attaques cryptographiques est que la composition manuelle de primitives de chiffrement et de MAC est source d'erreurs, même pour les experts. Les bibliothèques cryptographiques modernes exposent des interfaces AEAD précisément pour empêcher les développeurs de commettre des erreurs de composition qui entraînent des vulnérabilités réelles.

Lorsque vous concevez des systèmes aujourd'hui, utilisez toujours en priorité une primitive AEAD telle que AES-GCM ou ChaCha20-Poly1305. Si vous devez assurer l'interopérabilité avec des systèmes historiques qui utilisent séparément un MAC et le chiffrement, assurez-vous d'employer l'ordre chiffrer puis MAC, et jamais MtE ou E&M.

EtM est le seul ordre de composition dont la sécurité est démontrée pour des primitives de chiffrement et de MAC distinctes. TLS 1.3 élimine entièrement le problème en imposant des suites de chiffrement exclusivement AEAD. En cas de doute, utilisez une primitive AEAD telle que AES-GCM ou ChaCha20-Poly1305 et laissez la bibliothèque gérer correctement la composition.