Enkripsi Terautentikasi: AES-GCM dan ChaCha20-Poly1305

Authenticated Encryption (AE) mengatasi masalah mendasar: enkripsi tradisional hanya menyediakan kerahasiaan — menjaga Data tetap rahasia — tetapi tidak memverifikasi apakah teks tersandi telah diubah. Penyerang dapat membalik bit dalam teks tersandi, dan penerima akan mendekripsi Data yang rusak tanpa mengetahui bahwa Data tersebut telah diubah. Authenticated Encryption with Associated Data (AEAD) secara bersamaan menambahkan jaminan integritas dan keaslian, sehingga menghasilkan teks tersandi terenkripsi serta tag autentikasi yang mendeteksi setiap perubahan.

AES-GCM (Galois/Counter Mode) menggabungkan dua komponen: AES-CTR (Counter Mode) untuk enkripsi dan GMAC (Galois Message Authentication Code) untuk integritas. AES-CTR menghasilkan aliran kunci dengan mengenkripsi nilai penghitung lalu melakukan XOR terhadap teks biasa — hal ini membuat enkripsi dapat diparalelkan, berbeda dari mode CBC. GMAC menghitung tag autentikasi atas teks tersandi dan Data terkait apa pun. Tag yang dihasilkan (128 bit) dikirim bersama teks tersandi; perubahan satu bit saja akan membuat tag tidak valid.

AES-GCM memerlukan nonce (angka yang digunakan sekali), biasanya berukuran 96 bit (12 byte). Nonce harus unik untuk setiap operasi enkripsi dengan kunci yang sama — nonce tidak perlu dirahasiakan, tetapi tidak boleh pernah digunakan ulang. Penggunaan ulang nonce dalam AES-GCM sangat fatal: jika dua pesan dienkripsi dengan kunci dan nonce yang sama, penyerang dapat melakukan XOR pada teks tersandi untuk menghilangkan aliran kunci, sehingga berpotensi memulihkan kedua teks asli. Kerentanan ini kadang disebut 'penyalahgunaan nonce' dan telah menyebabkan serangan pemulihan kunci di dunia nyata.

Ketika nonce AES-GCM digunakan ulang, penyerang dapat menghitung C1 XOR C2 = P1 XOR P2 (hasil XOR dari kedua teks asli), karena aliran kunci yang sama digunakan untuk keduanya. Selain itu, penggunaan ulang nonce memungkinkan pemulihan kunci autentikasi H, yang berarti penyerang dapat memalsukan tag autentikasi yang valid untuk pesan apa pun — sehingga kerahasiaan dan integritas benar-benar rusak. Sistem seperti Sony PS3 pernah mengalami serangan yang persis seperti ini. Pertahanannya adalah nonce acak (yang dihasilkan dengan CSPRNG) atau penghitung deterministik yang tidak pernah diatur ulang.

ChaCha20-Poly1305 adalah sandi AEAD lain yang diwajibkan dalam TLS 1.3. ChaCha20 adalah sandi aliran yang dirancang oleh Daniel Bernstein dan menghasilkan aliran kunci menggunakan operasi tambah-putar-XOR (ARX) — tanpa tabel pencarian, sepenuhnya berjalan dalam waktu konstan, dan sangat cepat pada CPU tanpa akselerasi perangkat keras AES. Poly1305 adalah MAC sekali pakai (kode autentikasi pesan) yang menghitung tag autentikasi atas teks tersandi. Secara bersama-sama, keduanya memberikan keamanan yang setara dengan AES-GCM, tetapi jauh lebih cepat pada perangkat seluler dan IoT.

Prosesor desktop/server x86 dan ARM64 modern menyertakan instruksi perangkat keras AES-NI yang membuat AES-GCM sangat cepat. Namun, banyak prosesor seluler dan IoT tidak memiliki AES-NI, sehingga AES-GCM berbasis perangkat lunak relatif lambat. ChaCha20-Poly1305 dirancang agar cepat dijalankan melalui perangkat lunak dengan operasi aritmetika sederhana, sehingga perangkat seluler memperoleh kinerja yang sebanding tanpa akselerasi perangkat keras. Google menambahkan ChaCha20-Poly1305 ke TLS sebagai alternatif khususnya untuk perangkat Android, dan kini algoritma ini menjadi rangkaian sandi utama dalam TLS 1.3.

'AD' dalam AEAD adalah singkatan dari Associated Data — metadata teks biasa yang diautentikasi tetapi tidak dienkripsi. Dengan demikian, Anda dapat mengautentikasi data yang harus tetap dapat dibaca (seperti header paket atau bidang jenis rekaman) sekaligus melindunginya dari perubahan tanpa izin. Dalam TLS 1.3, byte header rekaman disertakan sebagai data terkait dalam perhitungan AEAD. Jika penyerang mengubah header (misalnya, mengubah panjang rekaman), verifikasi tag autentikasi gagal dan koneksi dihentikan.

Sebelum AEAD menjadi standar, para kriptografer merekomendasikan Encrypt-then-MAC (EtM): mengenkripsi teks biasa, lalu menghitung MAC atas teks tersandi. Cara ini aman, tetapi memerlukan dua operasi terpisah dengan dua kunci terpisah. Skema AEAD seperti AES-GCM menggabungkan kedua operasi dengan satu kunci, sehingga mengurangi kerumitan implementasi dan menghilangkan seluruh kelas serangan oracle padding yang dahulu banyak menyerang MAC-then-Encrypt (MtE) — urutan yang digunakan pada versi TLS lama (CBC + HMAC). TLS 1.3 yang menggunakan AEAD sepenuhnya menghindari masalah-masalah ini.

AES-128-GCM dan AES-256-GCM sama-sama disetujui oleh NIST dan dianggap aman terhadap komputer klasik. AES-128 menawarkan keamanan 128 bit dengan kinerja sedikit lebih cepat; AES-256 menawarkan keamanan 256 bit, sehingga memberikan margin perlindungan yang lebih besar terhadap analisis kriptografi dan ancaman kuantum di masa mendatang. Untuk sebagian besar aplikasi saat ini, AES-128-GCM sudah memadai, tetapi sistem pemerintah yang menangani informasi rahasia (NSA Suite B) memerlukan AES-256. TLS 1.3 menyediakan keduanya, dan server dapat memprioritaskannya berdasarkan kebijakan keamanan.

Saat mendekripsi teks tersandi AEAD, penerima harus memverifikasi tag autentikasi sebelum melakukan dekripsi. Prosesnya adalah: hitung ulang tag yang diharapkan dari teks tersandi, kunci, dan nonce yang diterima; bandingkan dengan tag yang diterima menggunakan fungsi perbandingan waktu konstan; hanya jika keduanya cocok, lanjutkan dengan dekripsi. Perbandingan waktu konstan sangat penting — jika perbandingan berhenti segera setelah menemukan byte pertama yang berbeda, penyerang dapat melancarkan serangan saluran samping berbasis waktu untuk memalsukan tag yang valid byte demi byte. Pustaka AEAD apa pun yang menggunakan perbandingan berhenti lebih awal rentan terhadap serangan ini.

Algoritma AEAD digunakan secara luas dalam keamanan modern: TLS 1.3 menggunakan AES-GCM dan ChaCha20-Poly1305 untuk semua enkripsi rekaman; WireGuard VPN hanya menggunakan ChaCha20-Poly1305; Signal Protocol menggunakannya untuk enkripsi pesan; protokol QUIC (yang menjadi dasar HTTP/3) menggunakan AES-GCM. Saat Anda melihat rangkaian sandi seperti TLS_AES_256_GCM_SHA384, SHA384 merujuk pada fungsi hash HKDF untuk derivasi kunci, bukan mekanisme integritas — tag GCM menangani integritas.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari bahwa algoritma AEAD memberikan kerahasiaan dan integritas secara bersamaan melalui tag autentikasi yang mendeteksi setiap perubahan pada teks tersandi, penggunaan ulang nonce AES-GCM sangat fatal — karena memungkinkan pemulihan aliran kunci dan pemalsuan kunci autentikasi — sehingga nonce harus unik untuk setiap enkripsi, dan ChaCha20-Poly1305 merupakan alternatif AES-GCM yang efisien dari segi kinerja untuk perangkat yang tidak memiliki akselerasi AES perangkat keras. Selanjutnya, kita akan membahas fungsi derivasi kunci untuk mengamankan kata sandi.