Mengapa Encrypt-Then-MAC Lebih Unggul daripada MAC-Then-Encrypt

Saat enkripsi dan MAC digabungkan, terdapat tiga urutan: Enkripsi lalu MAC (EtM), MAC lalu Enkripsi (MtE), serta Enkripsi dan MAC (E&M). Masing-masing memiliki sifat keamanan yang sangat berbeda, dan hanya satu yang terbukti aman dalam semua situasi.

Dalam Enkripsi lalu MAC, teks biasa terlebih dahulu dienkripsi untuk menghasilkan teks sandi, kemudian MAC dihitung atas teks sandi tersebut. Penerima dapat memverifikasi MAC sebelum mencoba melakukan dekripsi, sehingga pesan yang telah diubah langsung ditolak tanpa membocorkan informasi.

Dalam MAC lalu Enkripsi, MAC dihitung atas teks biasa, kemudian teks biasa dan MAC dienkripsi bersama. Penerima harus mendekripsi pesan sebelum dapat memverifikasi MAC, sehingga membuka peluang bagi serangan orakel pengisian dan orakel dekripsi.

SSL 3.0 dan TLS 1.0 menggunakan urutan MAC lalu Enkripsi untuk sandi blok dalam mode CBC. Cacat desain ini dieksploitasi oleh serangan BEAST pada 2011 dan serangan POODLE pada 2014. Keduanya memanfaatkan orakel yang ada ketika dekripsi dilakukan sebelum verifikasi MAC.

Pada 2000, Bellare dan Namprempre membuktikan secara formal bahwa di antara tiga urutan komposisi, hanya Enkripsi lalu MAC yang mencapai keamanan IND-CCA2 (keamanan terhadap teks sandi terpilih) untuk semua kombinasi enkripsi aman dan primitif MAC. MtE dan E&M dapat gagal pada komposisi tertentu.

SSH menggunakan Enkripsi dan MAC: MAC dihitung atas teks biasa dan dikirim bersama teks sandi dalam bentuk teks biasa. Meskipun SSH tidak mengalami eksploitasi yang sama seperti MtE pada SSL/TLS, komposisi ini juga cacat secara teoretis karena dapat membocorkan informasi teks biasa melalui MAC yang tidak dienkripsi.

Enkripsi Terautentikasi dengan Data Terkait (AEAD) adalah abstraksi modern yang mengatasi masalah komposisi sejak awal perancangan. AEAD menggabungkan enkripsi dan autentikasi dalam satu primitif, sehingga keduanya selalu digabungkan dengan benar tanpa mengharuskan pengembang memilih urutan komposisi.

AES-GCM (Mode Galois/Pencacah) adalah sandi AEAD yang paling banyak diterapkan. Sandi ini menyediakan enkripsi terautentikasi melalui kombinasi enkripsi mode CTR dan autentikasi GHASH, serta dipercepat oleh perangkat keras melalui instruksi AES-NI dan CLMUL pada CPU modern.

TLS 1.3 secara tegas meninggalkan pendekatan lama dengan menghapus semua kumpulan sandi non-AEAD. Setiap kumpulan sandi TLS 1.3 menggunakan AEAD, sehingga menghilangkan seluruh kategori kerentanan yang disebabkan oleh penggabungan manual primitif enkripsi dan MAC secara tidak tepat, yang banyak menimbulkan masalah pada versi TLS sebelumnya.

Pelajaran utama dari serangan kriptografis selama puluhan tahun adalah bahwa penggabungan manual primitif enkripsi dan MAC rentan terhadap kesalahan, bahkan bagi para ahli. Pustaka kriptografi modern menyediakan antarmuka AEAD secara khusus untuk mencegah pengembang melakukan kesalahan komposisi yang dapat menimbulkan kerentanan di dunia nyata.

Saat membangun sistem saat ini, selalu gunakan primitif AEAD seperti AES-GCM atau ChaCha20-Poly1305. Jika Anda harus beroperasi bersama sistem lama yang menggunakan MAC dan enkripsi terpisah, pastikan Anda menggunakan urutan Enkripsi lalu MAC dan jangan pernah menggunakan MtE atau E&M.

EtM adalah satu-satunya urutan komposisi yang terbukti aman untuk primitif enkripsi dan MAC yang terpisah. TLS 1.3 menghilangkan masalah ini sepenuhnya dengan mewajibkan kumpulan sandi yang hanya menggunakan AEAD. Jika ragu, gunakan primitif AEAD seperti AES-GCM atau ChaCha20-Poly1305 dan biarkan pustaka menangani komposisi dengan benar.