Encrypt-Then-MACがMAC-Then-Encryptに勝る理由

暗号化とMACを組み合わせる場合、Encrypt-then-MAC（EtM）、MAC-then-Encrypt（MtE）、Encrypt-and-MAC（E&M）の3つの順序があります。それぞれのセキュリティ特性は根本的に異なり、あらゆる状況で証明可能な安全性を持つのは1つだけです。

Encrypt-then-MACでは、まず平文を暗号化して暗号文を生成し、その暗号文に対してMACを計算します。受信者は復号を試みる前にMACを検証できるため、改ざんされたメッセージは情報を漏らすことなく直ちに拒否されます。

MAC-then-Encryptでは、平文に対してMACを計算した後、平文とMACをまとめて暗号化します。受信者はMACを検証する前にメッセージを復号する必要があるため、パディングオラクル攻撃や復号オラクル攻撃につながる可能性があります。

SSL 3.0とTLS 1.0は、CBCモードのブロック暗号でMAC-then-Encryptの順序を使用していました。この設計上の欠陥は、2011年のBEAST攻撃と2014年のPOODLE攻撃に悪用されました。どちらも、MACの検証より先に復号が行われると存在するオラクルを利用した攻撃です。

2000年、BellareとNamprempreは、3つの組み合わせ順序のうち、暗号化プリミティブとMACプリミティブが安全であれば、そのすべての組み合わせに対してIND-CCA2安全性（選択暗号文攻撃に対する安全性）を達成できるのはEncrypt-then-MACだけであることを形式的に証明しました。MtEとE&Mは、特定の組み合わせでは安全性を失う可能性があります。

SSHはEncrypt-and-MACを使用します。MACは平文に対して計算され、暗号文と一緒に平文形式で送信されます。SSHはSSL/TLSのMtEで発生したものと同じ攻撃を受けてはいませんが、この組み合わせも理論的には欠陥があり、暗号化されていないMACを通じて平文の情報が漏れる可能性があります。

Authenticated Encryption with Associated Data（AEAD）は、設計によって組み合わせの問題を解決する現代的な抽象化です。AEADは暗号化と認証を単一のプリミティブに統合し、開発者が組み合わせの順序を選ばなくても、常に正しく組み合わせられるようにします。

AES-GCM（Galois/Counter Mode）は、最も広く導入されているAEAD暗号スイートです。CTRモードの暗号化とGHASH認証を組み合わせることで認証付き暗号化を提供し、最新のCPUではAES-NI命令とCLMUL命令によってハードウェアアクセラレーションされます。

TLS 1.3は、AEADではないすべての暗号スイートを削除することで、過去から明確に決別しました。TLS 1.3のすべての暗号スイートはAEADを使用するため、それ以前のTLSバージョンを悩ませていた、暗号化プリミティブとMACプリミティブの不適切な手動組み合わせに起因する脆弱性を、広範囲にわたって排除しています。

数十年にわたる暗号攻撃から得られる重要な教訓は、専門家であっても暗号化プリミティブとMACプリミティブを手動で組み合わせると、ミスが起こりやすいということです。最新の暗号ライブラリがAEADインターフェースを提供しているのは、組み合わせのミスによって現実の脆弱性を引き起こすことを開発者が防げるようにするためです。

現在システムを構築する場合は、AES-GCMやChaCha20-Poly1305などのAEADプリミティブを必ず使用してください。MACと暗号化を別々に使用するレガシーシステムとの相互運用が必要な場合は、Encrypt-then-MACの順序を使用し、MtEやE&Mは決して使用しないでください。

別々の暗号化プリミティブとMACプリミティブを組み合わせる場合、証明可能な安全性を持つ順序はEtMだけです。TLS 1.3ではAEADのみの暗号スイートを必須にすることで、この問題を完全に排除しています。迷った場合は、AES-GCMやChaCha20-Poly1305などのAEADプリミティブを使用し、組み合わせを正しく処理するようライブラリに任せてください。