本番システム向けAEADの選定

AES-GCMは、ほとんどの本番システムにおける適切なデフォルトAEADです。ほぼすべての最新のx86およびARM64プロセッサでAES-NIによるハードウェアアクセラレーションを利用でき、TLSスタックや暗号ライブラリで広くサポートされています。また、広範な暗号解析と実環境での豊富な導入実績があります。

AES-GCMは96ビットのnonceを使用します。nonceをランダムに生成する場合、同じキーで約2^32個のメッセージを処理するとバースデー限界に達し、その時点でnonceが衝突する確率が無視できなくなります。大量のデータを扱うシステムでは、カウンターによるnonce管理、または2^32個のメッセージごとのキー更新が不可欠です。

ChaCha20-Poly1305は、AES-NIを利用できない場合や、nonceの生成が信頼できない可能性がある場合に適した選択肢です。ソフトウェアで高速に動作し、設計上constant-timeであるためタイミングサイドチャネルに耐性があります。また、AESハードウェアをサポートしない環境では、TLS 1.3で必須の暗号スイートです。

nonceが再利用される可能性がある場合や、ステートレスサービスやキーラッピングなどでnonceを決定的に生成する必要がある場合は、AES-GCM-SIV（RFC 8452）が適切な選択肢です。標準のAES-GCMと比べて性能コストはわずかに増加しますが、nonce誤用耐性を提供します。

すべてのデプロイ先でAES-NIの存在が保証され、暗号化の最大スループットが必要な場合は、AEGIS-128Lが適切な選択肢です。高帯域幅ネットワーク機器、VPNコンセントレーター、ストレージ暗号化システムは、AEGISによってAES-GCMを上回る意味のある性能向上が期待できる有力な候補です。

AES-128は128ビットの安全性を提供し、現在および予想可能な将来の古典コンピューティングによる脅威に対して十分と考えられています。AES-256は将来の技術進歩に対する余裕をさらに確保でき、一部のコンプライアンスフレームワーク（NSA Suite BにおけるTOP SECRET分類など）で必要とされます。ほとんどのアプリケーションではAES-128で十分であり、わずかに高速です。

AES-GCMは96ビットのnonceを使用し、AES-GCM-SIVも96ビットのnonceを使用します。一方、XSalsa20（libsodiumのsecretboxで使用）は192ビットのnonceを使用するため、同じキーでより多くのメッセージに対してもランダムなnonceを安全に生成できます。nonceを長くすると、大量のデータを扱うシステムで偶発的な再利用のリスクを減らせます。

プリミティブを直接実装するのではなく、実績のあるAEADライブラリを使用してください。libsodiumは、シンプルなAEAD API（crypto_aead_aes256gcm_encrypt、crypto_aead_chacha20poly1305_ietf_encrypt）を提供します。Google Tinkは、キーのローテーションとバージョン管理の機能を備えた形でAEADプリミティブをラップします。各言語のネイティブTLSライブラリは、トランスポートセキュリティ用のAEADを自動的に処理します。

別個のHMAC-SHA256をEtM順序で使用するAES-CBCは許容できますが、レガシーな方式です。AES-GCMへ移行すると、2つのプリミティブを1つに置き換えて実装を簡素化でき、誤った組み合わせによるリスクもなくせます。CBC-HMACで暗号化された保存データは、計画されたキー更新の際にAES-GCMで再暗号化してください。

AEAD実装は、NIST（AES-GCM）およびRFC 8439（ChaCha20-Poly1305）の公式テストベクトルを使ってテストしてください。認証タグの検証に失敗した場合、復号処理が部分的な平文を返さず、エラーを返すことを必ず確認してください。エラー処理の誤りは、実装でよく見られる欠陥です。

AES-NIが存在し、nonceが一意である場合はAES-GCMを選択します。AES-NIがない場合やnonceの信頼性が低い場合はChaCha20-Poly1305を選択します。nonceの再利用が懸念される場合はAES-GCM-SIVを選択します。AES-NIが保証されている環境で最大スループットを優先する場合はAEGISを選択します。新しいシステムで非AEADモードを選択してはいけません。

AES-GCMがデフォルトです。ChaCha20-Poly1305はAES-NIがない環境に対応します。AES-GCM-SIVはnonceの安全性を確保できない環境に対応します。AEGISは、AES-NIが保証されている場合に最大スループットを実現します。プリミティブを手動で組み合わせるのではなく、libsodiumやTinkなどのライブラリを使用してください。公式テストベクトルで必ずテストし、認証失敗が正しく処理されることを確認してください。