CMAC और Poly1305: ब्लॉक-सिफ़र MAC

संदेश प्रमाणीकरण कोड (MAC) एक कुंजी और संदेश लेकर एक टैग बनाता है। यह टैग प्रमाणित करता है कि संदेश के साथ छेड़छाड़ नहीं की गई है और उसे कुंजी रखने वाले किसी व्यक्ति ने बनाया है।

HMAC अपने मूल साधन के रूप में हैश फ़ंक्शन का उपयोग करता है। इसके बजाय CMAC और Poly1305 ब्लॉक साइफ़र या बहुपद अंकगणित का उपयोग करते हैं। ब्लॉक-साइफ़र MACs हैश-फ़ंक्शन पर निर्भरता से बचते हैं और AES हार्डवेयर के साथ स्वाभाविक रूप से एकीकृत हो जाते हैं।

CMAC (Cipher-based MAC) NIST SP 800-38B में परिभाषित है। यह संदेश को ब्लॉक सीमा तक पैड करता है, साइफ़र से दो उपकुंजियाँ K1/K2 बनाता है, उन्हें अंतिम ब्लॉक में XOR करता है, फिर बीच के साइफ़रटेक्स्ट को संग्रहीत किए बिना CBC मोड चलाता है।

K1 = AES_K(0^128) को 1 बिट बाईं ओर खिसकाया गया, और यदि MSB 1 था तो एक नियतांक के साथ XOR किया गया। K2 को इसी प्रकार खिसकाया जाता है। ये उपकुंजियाँ लंबाई-विस्तार के विरुद्ध अंतिम आंशिक ब्लॉक को सुरक्षित रूप से बाँधती हैं।

Poly1305 Daniel Bernstein द्वारा डिज़ाइन किया गया एक बार उपयोग होने वाला प्रमाणीकरणकर्ता है। यह अभाज्य संख्या 2^130-5 पर एक बहुपद का मूल्यांकन करता है, संदेश को बहुपद के गुणांकों के रूप में देखता है और एक बार उपयोग होने वाली कुंजी-युग्म (r, s) का उपयोग करता है।

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128। टाइमिंग हमलों को रोकने के लिए कुंजी r को 22 विशिष्ट बिट तक सीमित किया जाता है। s एक 16-बाइट का एक बार उपयोग होने वाला जोड़ मास्क है।

Poly1305 को लगभग हमेशा ChaCha20 के साथ जोड़ा जाता है। ChaCha20 स्ट्रीम साइफ़र की की-स्ट्रीम से एक बार उपयोग होने वाला (r, s) बनाता है, जिससे संयुक्त AEAD योजना प्रमाणित रूप से सुरक्षित और ARM/मोबाइल CPU पर अत्यंत तेज़ हो जाती है।

AES-GCM GHASH का उपयोग करके प्रमाणीकरण करता है, जो GF(2^128) पर आधारित बहुपदीय MAC है। AES-CMAC अधिक सरल है और IEEE 802.11i (WPA2) तथा TLS 1.2 साइफ़र सुइट्स में उपयोग किया जाता है। GCM एक ही चरण में एन्क्रिप्शन और प्रमाणीकरण, दोनों प्रदान करता है।

ARM Cortex-A पर Poly1305 NEON इंट्रिन्सिक्स का उपयोग करके लगभग 1 चक्र/बाइट की गति प्राप्त करता है। AES-CMAC को प्रत्येक 16-बाइट ब्लॉक के लिए एक AES ब्लॉक ऑपरेशन चाहिए। बड़े डेटा के लिए, AES-NI रहित हार्डवेयर पर Poly1305, CMAC से बेहतर प्रदर्शन करता है।

यह मानते हुए कि AES एक छद्म-यादृच्छिक क्रमचय है, चुने गए संदेश वाले हमले के अंतर्गत CMAC को अस्तित्वगत रूप से जाली बनाना असंभव है। वास्तव में यादृच्छिक एक-बार उपयोग वाली कुंजी मिलने पर Poly1305 सूचना-सैद्धांतिक रूप से सुरक्षित है—जालसाज़ी की प्रायिकता अधिकतम 8*ceil(L/16)/2^106 है।

CMAC: WPA2, S/MIME, फ़ाइल प्रणाली की अखंडता। Poly1305: ChaCha20-Poly1305 के माध्यम से TLS 1.3, WireGuard VPN, Signal Protocol, Noise Protocol Framework। दोनों का उच्च-सुरक्षा वाली आधुनिक प्रणालियों में व्यापक रूप से उपयोग किया जाता है।

आपने CMAC की CBC-आधारित संरचना और Poly1305 का बहुपदीय अंकगणित सीखा है। दोनों स्थिर-समय वाले सुरक्षित MAC हैं, जिनका वास्तविक प्रणालियों में उपयोग होता है। अगला विषय: TLS/HTTPS और इन सभी मूलभूत साधनों की संरचना।