CMAC 및 Poly1305: 블록 암호 MAC

메시지 인증 코드(Message Authentication Code, MAC)는 키와 메시지를 받아 태그를 생성합니다. 이 태그는 메시지가 변조되지 않았으며 키를 가진 누군가가 생성했음을 증명합니다.

HMAC은 기본 요소로 해시 함수를 사용합니다. 반면 CMAC와 Poly1305는 블록 암호 또는 다항식 연산을 사용합니다. 블록 암호 MAC은 해시 함수에 대한 의존성을 피하고 AES 하드웨어와 자연스럽게 통합됩니다.

CMAC(Cipher-based MAC)는 NIST SP 800-38B에 정의되어 있습니다. 메시지를 블록 경계에 맞게 패딩하고, 암호에서 두 개의 하위 키 K1/K2를 파생한 다음, 이를 마지막 블록에 XOR하고 중간 암호문을 저장하지 않은 채 CBC 모드를 실행합니다.

K1 = AES_K(0^128)을 1비트 왼쪽 시프트한 값이며, MSB가 1이었다면 상수와 XOR합니다. K2 = K1을 같은 방식으로 시프트한 값입니다. 이러한 하위 키는 길이 확장에 맞서 마지막 부분 블록을 안전하게 보호합니다.

Poly1305는 Daniel Bernstein이 설계한 일회용 인증자입니다. 소수 2^130-5 위에서 다항식을 계산하며, 메시지를 다항식 계수로 취급하고 일회용 키 쌍(r, s)을 사용합니다.

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128. 타이밍 공격을 방지하기 위해 키 r은 특정 22비트가 고정되도록 조정됩니다. s는 16바이트 일회용 덧셈 마스크입니다.

Poly1305는 거의 항상 ChaCha20과 함께 사용됩니다. ChaCha20은 스트림 암호 키 스트림에서 일회용 (r, s)를 생성하므로, 결합된 AEAD 방식은 보안이 증명되어 있으며 ARM/모바일 CPU에서 매우 빠릅니다.

AES-GCM은 GF(2^128) 위의 다항식 MAC인 GHASH를 사용해 인증합니다. AES-CMAC는 더 단순하며 IEEE 802.11i(WPA2)와 TLS 1.2 암호 스위트에서 사용됩니다. GCM은 한 번의 처리로 암호화와 인증을 모두 제공합니다.

ARM Cortex-A의 Poly1305는 NEON 내장 함수를 사용해 바이트당 약 1사이클을 사용합니다. AES-CMAC는 16바이트 블록마다 AES 블록 연산을 한 번 수행해야 합니다. 대량 데이터의 경우 AES-NI가 없는 하드웨어에서는 Poly1305가 CMAC보다 성능이 뛰어납니다.

AES가 의사 난수 순열이라고 가정하면 CMAC는 선택 메시지 공격에 대해 존재적 위조 불가능성을 가집니다. Poly1305는 진정으로 무작위인 일회용 키가 주어졌을 때 정보 이론적으로 안전하며, 위조 확률은 최대 8*ceil(L/16)/2^106입니다.

CMAC: WPA2, S/MIME, 파일 시스템 무결성. Poly1305: ChaCha20-Poly1305를 통한 TLS 1.3, WireGuard VPN, Signal Protocol, Noise Protocol Framework. 두 방식 모두 현대의 고보안 시스템에 널리 배포되어 있습니다.

ChaCha20-Poly1305 AEAD에서 사용하는 MAC은 무엇입니까?

CMAC의 CBC 기반 구성과 Poly1305의 다항식 연산을 배웠습니다. 두 방식 모두 실제 프로토콜에서 사용되는 일정 시간 실행 방식의 안전한 MAC입니다. 다음에는 TLS/HTTPS와 이러한 모든 기본 요소가 결합되는 방식을 살펴봅니다.