키, 논스 및 IV를 안전하게 생성하기

안전한 생성이 필요한 암호학적 값은 서로 다른 세 가지 범주로 나뉩니다. (1) 키 — 오래 사용되므로 예측할 수 없고 비밀이어야 합니다. (2) IV — 메시지마다 사용되며 공개되어도 되지만 예측할 수 없어야 합니다(CBC). 또는 고유해야 합니다(GCM). (3) 논스 — 사용할 때마다 고유해야 하며 무작위일 수도 있고 아닐 수도 있습니다.

AES-128: secrets.token_bytes(16). AES-256: secrets.token_bytes(32). ChaCha20: secrets.token_bytes(32). KDF(PBKDF2/Argon2) 없이 비밀번호에서 직접 키를 파생하지 마십시오. 서로 다른 알고리즘이나 용도에서 키를 재사용하지 마십시오.

from cryptography.hazmat.primitives.asymmetric import ec, rsa rsa_key = rsa.generate_private_key(public_exponent=65537, key_size=2048) ec_key = ec.generate_private_key(ec.SECP256R1()) # The library handles entropy sourcing internally

AES-CBC에는 메시지마다 균일하게 무작위인 16바이트 IV가 필요합니다. 동일한 키로 IV를 재사용하지 마십시오. CBC 모드에서 카운터를 IV로 사용하지 마십시오. 다음과 같이 생성합니다: iv = os.urandom(16). IV를 암호문 앞에 붙이십시오. IV는 비밀일 필요는 없고 예측할 수 없기만 하면 됩니다.

AES-GCM에는 각 (키, 메시지) 쌍마다 고유한 96비트 논스가 필요합니다. 논스를 재사용하면 GCM이 치명적으로 손상되어 공격자가 인증 키를 복구하고 메시지를 위조할 수 있습니다. 무작위 12바이트 논스(2^32개 메시지에서 생일 경계에 도달) 또는 카운터를 사용하십시오.

단일 키로 대량의 암호화를 수행할 때는 키마다 지속적인 카운터를 유지하십시오. nonce = counter.to_bytes(12, "big")로 설정합니다. 암호화할 때마다 카운터를 증가시키십시오. 카운터를 영구 저장소에 저장하십시오. 재시작 시 카운터를 초기화하면 논스가 재사용됩니다.

AES-GCM-SIV와 Deoxys-II는 논스 오용에 강합니다. 논스를 재사용해도 보안성이 결정적 암호화 수준으로 저하될 뿐이며 인증 키가 유출되지 않습니다. 논스의 고유성을 보장하기 어려운 경우(분산 시스템, 충돌 후 재시작 상황)에 권장됩니다.

원시 키 자료를 여러 용도에 직접 사용하지 마십시오. 용도별 키를 파생하십시오: from cryptography.hazmat.primitives.kdf.hkdf import HKDF. hkdf = HKDF(SHA256(), 32, salt, info=b"enc_key"). key = hkdf.derive(master_key). 각 용도에 서로 다른 info를 사용하십시오.

공유 비밀(예: ECDH 출력)에서 HKDF를 사용하여 세션별 키를 파생하십시오. TLS 1.3은 핸드셰이크와 애플리케이션 데이터에 대해 클라이언트와 서버의 키를 별도로 파생합니다. 세션 키는 침해의 영향을 격리합니다. 하나의 세션 키가 노출되어도 다른 세션에 대해서는 아무것도 알 수 없습니다.

키를 안전하게 저장하려면 AES-KW(RFC 3394) 또는 AES-GCM을 사용하여 키 암호화 키(KEK)로 래핑하십시오. 래핑된 키는 데이터베이스에 저장하거나 전송할 수 있습니다. KEK는 HSM 또는 하드웨어 기반 키 저장소(Android Keystore, Apple Secure Enclave)에 저장합니다.

배포 전에 다음을 확인하십시오. (1) 모든 키가 os.urandom/secrets에서 생성되는지 확인합니다. (2) 하드코딩된 키/IV가 없는지 확인합니다. (3) IV를 동일한 키와 함께 재사용하지 않는지 확인합니다. (4) GCM 논스가 메시지마다 고유한지 확인합니다. (5) 키 교체 일정이 정의되어 있는지 확인합니다. (6) 키 파생에 서로 다른 info 문자열을 사용하는 HKDF가 사용되는지 확인합니다.

AES-GCM에서 논스를 재사용하면 어떤 결과가 발생합니까?

키에는 진정한 무작위 생성이 필요하고, CBC IV에는 무작위성이 필요하며, GCM 논스에는 고유성이 필요합니다. os.urandom/secrets를 사용하고, HKDF로 키를 파생하며, KEK로 키를 래핑하십시오. 논스 오용 방지 AEAD는 실수로 논스를 재사용하는 경우에도 보호 기능을 제공합니다. 다음 주제: 영지식 증명입니다.