CMAC & Poly1305: MAC Berbasis Sandi Blok

Kode Autentikasi Pesan (MAC) menerima kunci dan pesan, lalu menghasilkan sebuah tag. Tag tersebut membuktikan bahwa pesan tidak diubah dan dibuat oleh pihak yang memegang kunci.

HMAC menggunakan fungsi hash sebagai primitifnya. Sebaliknya, CMAC dan Poly1305 menggunakan sandi blok atau aritmetika polinomial. MAC berbasis sandi blok menghindari ketergantungan pada fungsi hash dan terintegrasi secara alami dengan perangkat keras AES.

CMAC (MAC berbasis Sandi) didefinisikan dalam NIST SP 800-38B. CMAC mengisi pesan hingga batas blok, menurunkan dua subkunci K1/K2 dari sandi, melakukan XOR pada blok terakhir dengan subkunci tersebut, lalu menjalankan mode CBC tanpa menyimpan cipherteks perantara.

K1 = AES_K(0^128) digeser ke kiri sebesar 1 bit, lalu di-XOR dengan konstanta jika MSB bernilai 1. K2 digeser dengan cara yang sama dari K1. Subkunci ini mengikat blok parsial terakhir dengan aman untuk mencegah perluasan panjang.

Poly1305 adalah autentikator sekali pakai yang dirancang oleh Daniel Bernstein. Poly1305 mengevaluasi polinom di atas bilangan prima 2^130-5, memperlakukan pesan sebagai koefisien polinom dan menggunakan pasangan kunci sekali pakai (r, s).

Tag = (jumlah (m_i * r^i) mod 2^130-5) + s mod 2^128. Kunci r dibatasi pada 22 bit tertentu untuk mencegah serangan pewaktuan. s adalah mask penjumlahan sekali pakai sepanjang 16 byte.

Poly1305 hampir selalu dipasangkan dengan ChaCha20. ChaCha20 menghasilkan (r, s) sekali pakai dari aliran kunci sandi aliran, sehingga skema AEAD gabungan ini terbukti aman dan sangat cepat pada CPU ARM/perangkat seluler.

AES-GCM melakukan autentikasi menggunakan GHASH, yaitu MAC polinomial di atas GF(2^128). AES-CMAC lebih sederhana dan digunakan dalam IEEE 802.11i (WPA2) serta rangkaian sandi TLS 1.2. GCM menyediakan enkripsi dan autentikasi sekaligus dalam satu lintasan.

Poly1305 pada ARM Cortex-A mencapai sekitar 1 siklus/byte menggunakan intrinsik NEON. AES-CMAC memerlukan satu operasi blok AES untuk setiap blok 16 byte. Untuk data dalam jumlah besar, Poly1305 mengungguli CMAC pada perangkat keras tanpa AES-NI.

CMAC tidak dapat dipalsukan secara eksistensial terhadap serangan pesan pilihan dengan asumsi AES adalah permutasi pseudorandom. Poly1305 aman secara teori informasi jika diberikan kunci sekali pakai yang benar-benar acak—probabilitas pemalsuan paling tinggi adalah 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME, integritas sistem berkas. Poly1305: TLS 1.3 melalui ChaCha20-Poly1305, WireGuard VPN, Signal Protocol, Noise Protocol Framework. Keduanya banyak diterapkan dalam sistem modern dengan keamanan tinggi.

Anda telah mempelajari konstruksi CMAC berbasis CBC dan aritmetika polinomial Poly1305. Keduanya adalah MAC aman dengan waktu konstan yang digunakan dalam protokol dunia nyata. Selanjutnya: TLS/HTTPS dan cara semua primitif ini dirangkai.