Membangkitkan Kunci, Nonce & IV dengan Aman

Tiga jenis nilai kriptografis yang berbeda perlu dibuat secara aman: (1) Kunci—berumur panjang, harus tidak dapat diprediksi dan rahasia. (2) IV—per pesan, boleh bersifat publik tetapi harus tidak dapat diprediksi (CBC) atau unik (GCM). (3) Nonce—harus unik untuk setiap penggunaan, boleh acak atau tidak.

AES-128: secrets.token_bytes(16). AES-256: secrets.token_bytes(32). ChaCha20: secrets.token_bytes(32). Jangan pernah menurunkan kunci dari kata sandi tanpa KDF (PBKDF2/Argon2). Jangan pernah menggunakan ulang kunci di antara algoritme atau tujuan yang berbeda.

from cryptography.hazmat.primitives.asymmetric import ec, rsa rsa_key = rsa.generate_private_key(public_exponent=65537, key_size=2048) ec_key = ec.generate_private_key(ec.SECP256R1()) # The library handles entropy sourcing internally

AES-CBC memerlukan IV 16 byte yang acak secara seragam untuk setiap pesan. Jangan pernah menggunakan ulang IV dengan kunci yang sama. Jangan pernah menggunakan pencacah sebagai IV dalam mode CBC. Buat: iv = os.urandom(16). Tambahkan IV di depan teks tersandi—IV tidak perlu dirahasiakan, hanya perlu tidak dapat diprediksi.

AES-GCM memerlukan nonce 96 bit yang unik untuk setiap pasangan (kunci, pesan). Penggunaan ulang nonce merusak GCM secara fatal: penyerang dapat memulihkan kunci autentikasi dan memalsukan pesan. Gunakan nonce acak 12 byte (batas paradoks ulang tahun pada 2^32 pesan) atau pencacah.

Untuk enkripsi volume tinggi dengan satu kunci: pertahankan pencacah persisten untuk setiap kunci. nonce = counter.to_bytes(12, "big"). Tambah pencacah setelah setiap enkripsi. Simpan pencacah ke penyimpanan persisten—penyetelan ulang saat mulai ulang menyebabkan penggunaan ulang.

AES-GCM-SIV dan Deoxys-II tahan terhadap penyalahgunaan nonce: penggunaan ulang nonce menurunkan keamanan menjadi setara dengan enkripsi deterministik (tidak ada kebocoran kunci autentikasi). Keduanya direkomendasikan ketika keunikan nonce sulit dijamin (sistem terdistribusi, skenario mogok lalu mulai ulang).

Jangan gunakan material kunci mentah secara langsung untuk berbagai tujuan. Turunkan kunci khusus tujuan: from cryptography.hazmat.primitives.kdf.hkdf import HKDF. hkdf = HKDF(SHA256(), 32, salt, info=b"enc_key"). key = hkdf.derive(master_key). Gunakan info yang berbeda untuk setiap tujuan.

Turunkan kunci khusus sesi dari rahasia bersama (misalnya keluaran ECDH) menggunakan HKDF. TLS 1.3 menurunkan kunci klien/server terpisah untuk proses jabat tangan dan data aplikasi. Kunci sesi mengisolasi kompromi: mengetahui satu kunci sesi tidak mengungkapkan apa pun tentang sesi lainnya.

Untuk menyimpan kunci dengan aman, bungkus kunci tersebut dengan Kunci Enkripsi Kunci (KEK) menggunakan AES-KW (RFC 3394) atau AES-GCM. Kunci yang dibungkus dapat disimpan dalam basis data atau dikirimkan. KEK disimpan dalam HSM atau penyimpanan kunci berbasis perangkat keras (Android Keystore, Apple Secure Enclave).

Periksa sebelum penerapan: (1) semua kunci berasal dari os.urandom/secrets. (2) Tidak ada kunci/IV yang ditanamkan secara permanen. (3) IV tidak pernah digunakan ulang dengan kunci yang sama. (4) Nonce GCM unik untuk setiap pesan. (5) Jadwal rotasi kunci telah ditetapkan. (6) Penurunan kunci menggunakan HKDF dengan teks info yang berbeda.

Apa akibat penggunaan ulang nonce dalam AES-GCM?

Kunci memerlukan pembuatan acak sejati; IV CBC memerlukan keacakan; nonce GCM memerlukan keunikan. Gunakan os.urandom/secrets, turunkan kunci dengan HKDF, dan bungkus dengan KEK. AEAD yang tahan terhadap penyalahgunaan nonce melindungi dari penggunaan ulang yang tidak disengaja. Berikutnya: Pembuktian Tanpa Pengetahuan.