Memilih AEAD untuk Sistem Produksi

AES-GCM adalah AEAD bawaan yang tepat untuk sebagian besar sistem produksi. AES-GCM dipercepat oleh perangkat keras melalui AES-NI pada hampir semua prosesor x86 dan ARM64 modern, didukung secara luas di berbagai tumpukan TLS dan pustaka kriptografi, serta didukung oleh analisis kriptografi yang ekstensif dan pengalaman penerapan di dunia nyata.

AES-GCM menggunakan nonce 96 bit. Dengan nonce yang dibuat secara acak, batas ulang tahun tercapai setelah kira-kira 2^32 pesan menggunakan kunci yang sama, dan pada titik tersebut probabilitas tabrakan nonce menjadi tidak dapat diabaikan. Untuk sistem bervolume tinggi, pengelolaan nonce melalui penghitung atau pergantian kunci setelah 2^32 pesan sangat penting.

ChaCha20-Poly1305 adalah pilihan yang tepat ketika AES-NI tidak tersedia atau ketika pembuatan nonce mungkin tidak dapat diandalkan. Algoritma ini cepat dalam perangkat lunak, dirancang untuk berjalan dalam waktu konstan (tahan terhadap saluran samping berbasis waktu), dan merupakan rangkaian sandi wajib dalam TLS 1.3 untuk lingkungan tanpa dukungan perangkat keras AES.

Ketika nonce mungkin digunakan kembali atau harus dibuat secara deterministik (misalnya dalam layanan tanpa status atau pembungkusan kunci), AES-GCM-SIV (RFC 8452) adalah pilihan yang tepat. Metode ini memberikan ketahanan terhadap penyalahgunaan nonce dengan biaya kinerja yang wajar dibandingkan AES-GCM standar.

AEGIS-128L adalah pilihan yang tepat ketika laju pemrosesan enkripsi maksimal diperlukan dan AES-NI dijamin tersedia pada semua target penerapan. Perangkat jaringan bandwidth tinggi, konsentrator VPN, dan sistem enkripsi penyimpanan merupakan kandidat utama ketika AEGIS memberikan peningkatan kinerja yang berarti dibandingkan AES-GCM.

AES-128 menyediakan keamanan 128 bit, yang dianggap memadai untuk semua ancaman komputasi klasik saat ini dan yang dapat diperkirakan. AES-256 memberikan margin tambahan terhadap kemajuan di masa mendatang dan diwajibkan oleh beberapa kerangka kepatuhan (seperti klasifikasi TOP SECRET berdasarkan NSA Suite B). Untuk sebagian besar aplikasi, AES-128 sudah cukup dan sedikit lebih cepat.

AES-GCM menggunakan nonce 96 bit, sedangkan AES-GCM-SIV juga menggunakan nonce 96 bit. XSalsa20 (yang digunakan dalam secretbox libsodium) menggunakan nonce 192 bit, sehingga pembuatan nonce acak aman untuk jauh lebih banyak pesan dengan kunci yang sama. Nonce yang lebih besar mengurangi risiko penggunaan ulang secara tidak sengaja dalam sistem bervolume tinggi.

Gunakan pustaka AEAD yang telah mapan, bukan mengimplementasikan primitif secara langsung. libsodium menyediakan API AEAD sederhana (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink membungkus primitif AEAD dengan pergantian kunci dan pembuatan versi. Pustaka TLS bawaan bahasa menangani AEAD secara otomatis untuk keamanan transportasi.

AES-CBC dengan HMAC-SHA256 terpisah (dalam urutan EtM) masih dapat diterima, tetapi merupakan teknologi lama. Migrasi ke AES-GCM menyederhanakan implementasi dengan mengganti dua primitif menjadi satu dan menghilangkan risiko komposisi yang keliru. Data tersimpan yang dienkripsi dengan CBC-HMAC sebaiknya dienkripsi ulang dengan AES-GCM selama pergantian kunci terjadwal.

Implementasi AEAD harus diuji menggunakan vektor pengujian resmi dari NIST (untuk AES-GCM) dan RFC 8439 (untuk ChaCha20-Poly1305). Selalu uji bahwa kegagalan verifikasi tag autentikasi menyebabkan dekripsi mengembalikan kesalahan, bukan teks biasa sebagian. Penanganan kesalahan yang keliru merupakan cacat implementasi yang umum.

Pilih AES-GCM ketika AES-NI tersedia dan nonce bersifat unik. Pilih ChaCha20-Poly1305 ketika AES-NI tidak tersedia atau nonce kurang dapat diandalkan. Pilih AES-GCM-SIV ketika penggunaan ulang nonce menjadi perhatian. Pilih AEGIS ketika laju pemrosesan maksimal dengan AES-NI yang dijamin menjadi prioritas. Jangan pernah memilih mode non-AEAD untuk sistem baru.

AES-GCM adalah pilihan bawaan. ChaCha20-Poly1305 digunakan untuk lingkungan tanpa AES-NI. AES-GCM-SIV menangani lingkungan yang tidak aman terhadap penggunaan nonce. AEGIS memaksimalkan laju pemrosesan ketika AES-NI dijamin tersedia. Gunakan pustaka seperti libsodium atau Tink, bukan menyusun primitif secara manual. Selalu lakukan pengujian terhadap vektor pengujian resmi dan pastikan kegagalan autentikasi ditangani dengan benar.