Mode SIV: AEAD yang Tahan terhadap Penyalahgunaan Nonce

Sandi AEAD berbasis mode CTR seperti AES-GCM memerlukan nilai sekali pakai yang unik untuk setiap enkripsi. Jika nilai yang sama digunakan kembali dengan kunci yang sama, penyerang yang mengamati dua teks sandi dapat menggabungkannya dengan XOR untuk mendapatkan hasil XOR dari kedua teks biasa, sehingga kerahasiaan langsung runtuh.

Penggunaan ulang nilai sekali pakai dalam AES-GCM bahkan lebih fatal daripada dalam mode CTR biasa. Saat dua pesan dienkripsi menggunakan nilai dan kunci yang sama, penyerang dapat memulihkan seluruh kunci autentikasi GHASH H. Setelah mengetahui H, penyerang dapat memalsukan pesan terautentikasi apa pun.

Mode IV sintetis (SIV), yang didefinisikan dalam RFC 5297, dirancang untuk menghilangkan kerentanan akibat penggunaan ulang nilai sekali pakai. Alih-alih memerlukan nilai sekali pakai acak atau berbasis pencacah, SIV menurunkan IV secara sintetis dari teks biasa itu sendiri menggunakan fungsi semuacak, sehingga bersifat deterministik dan tahan terhadap penyalahgunaan nilai sekali pakai.

Dalam SIV, nilai sekali pakai, yang disebut IV sintetis, dihitung dengan rumus SIV = PRF(kunci, teks biasa, data terkait). IV ini kemudian digunakan sebagai pencacah untuk enkripsi mode CTR. Karena IV diturunkan dari teks biasa, mengenkripsi teks biasa yang sama selalu menghasilkan teks sandi yang sama.

Jika nonce digunakan kembali pada SIV karena teks biasa yang sama dienkripsi dua kali, pengamat hanya mengetahui bahwa dua pesan identik telah dikirim. Isi teks biasa itu sendiri tetap tersembunyi. Ini merupakan peningkatan besar dibandingkan AEAD berbasis CTR, yang membuat XOR teks biasa terlihat ketika nonce digunakan kembali.

AES-SIV (RFC 5297) menggunakan fungsi S2V (PRF berantai yang berbasis pada AES-CMAC) untuk menghasilkan IV sintetis, kemudian mengenkripsi dengan AES-CTR menggunakan subkunci kedua. Metode ini memerlukan dua kunci AES, sehingga pengelolaan kunci sedikit lebih kompleks daripada mode AEAD dengan satu kunci.

AES-GCM-SIV (RFC 8452) adalah AEAD tahan terhadap penyalahgunaan nonce yang lebih efisien, dirancang untuk menggabungkan kinerja GCM dengan keamanan serupa SIV. Metode ini menurunkan subkunci per pesan dari nonce dan menggunakan autentikator Polyval, sehingga kinerjanya lebih baik daripada AES-SIV sekaligus mempertahankan ketahanan terhadap penyalahgunaan nonce.

SIV memerlukan dua lintasan atas data: satu untuk menghitung IV sintetis dan satu untuk enkripsi. Biaya komputasinya kira-kira dua kali lipat dibandingkan mode AEAD satu lintasan seperti AES-GCM. Untuk aplikasi yang sensitif terhadap keterlambatan atau memiliki laju pemrosesan tinggi, biaya tambahan ini harus dipertimbangkan.

SIV lebih disukai ketika pembuatan nonce tidak dapat diandalkan, ketika aplikasi tidak menyimpan status dan tidak dapat mempertahankan penghitung nonce, atau ketika enkripsi deterministik merupakan persyaratan. Contohnya adalah mengenkripsi bidang basis data ketika nilai yang sama harus selalu menghasilkan teks tersandi yang sama untuk keperluan pengindeksan.

Layanan mikro tanpa status yang tidak dapat mengoordinasikan status nonce di antara replika merupakan kandidat utama untuk mode SIV. Alih-alih mempertaruhkan penggunaan ulang nonce secara tidak sengaja melalui penghitung global, SIV memberikan keamanan secara otomatis. Pembungkusan kunci (RFC 3394) juga menggunakan prinsip SIV untuk enkripsi kunci deterministik.

AES-SIV tersedia dalam pustaka kriptografi utama, termasuk libsodium (sebagai crypto_aead_aes256gcm_siv pada versi terbaru) dan Google Tink. AES-GCM-SIV didukung oleh BoringSSL dan pustaka standar Go. Ketika pengelolaan nonce sulit dilakukan, pilihan-pilihan ini lebih aman daripada AES-GCM standar.

Mode SIV menghilangkan dampak parah penggunaan ulang nonce dengan menurunkan IV dari teks biasa itu sendiri. Penggunaan ulang nonce hanya mengungkapkan bahwa pesan identik telah dikirim, bukan isinya. AES-GCM-SIV (RFC 8452) menyediakan ketahanan efisien terhadap penyalahgunaan nonce untuk aplikasi modern yang memerlukan enkripsi tanpa status atau deterministik.