Penyulitan Disahkan: AES-GCM dan ChaCha20-Poly1305

Authenticated Encryption (AE) menyelesaikan masalah asas: penyulitan tradisional hanya menyediakan kerahsiaan — ia merahsiakan data — tetapi tidak mengesahkan sama ada teks sifir telah diusik. Penyerang boleh menukar bit dalam teks sifir dan penerima akan menyahsulit data yang rosak tanpa mengetahui bahawa data itu telah diubah. Authenticated Encryption with Associated Data (AEAD) menambahkan jaminan integriti dan ketulenan secara serentak, lalu menghasilkan teks sifir yang disulitkan serta tag pengesahan yang mengesan sebarang pengubahsuaian.

AES-GCM (Galois/Counter Mode) menggabungkan dua komponen: AES-CTR (Counter Mode) untuk penyulitan dan GMAC (Galois Message Authentication Code) untuk integriti. AES-CTR menjana aliran kunci dengan menyulitkan nilai pembilang dan melakukan XOR dengannya bersama teks biasa — ini menjadikan penyulitan boleh diproses secara selari, tidak seperti mod CBC. GMAC mengira tag pengesahan terhadap teks sifir dan sebarang data berkaitan. Tag yang terhasil (128 bit) dihantar bersama teks sifir; perubahan satu bit sahaja akan membatalkan tag tersebut.

AES-GCM memerlukan nonce (nombor yang digunakan sekali), biasanya sepanjang 96 bit (12 bait). Nonce mestilah unik untuk setiap operasi penyulitan dengan kunci yang sama — nonce tidak perlu dirahsiakan, tetapi tidak boleh diulangi. Penggunaan semula nonce dalam AES-GCM membawa akibat yang amat serius: jika dua mesej disulitkan menggunakan kunci dan nonce yang sama, penyerang boleh melakukan XOR terhadap teks sifer untuk membatalkan aliran kunci, lalu berpotensi mendapatkan semula kedua-dua teks biasa. Kerentanan ini kadangkala dipanggil 'penyalahgunaan nonce' dan telah menyebabkan serangan mendapatkan semula kunci di dunia sebenar.

Apabila nonce AES-GCM digunakan semula, penyerang boleh mengira C1 XOR C2 = P1 XOR P2 (hasil XOR bagi kedua-dua teks biasa), kerana aliran kunci yang sama digunakan untuk kedua-duanya. Selain itu, penggunaan semula nonce membolehkan kunci pengesahan H diperoleh semula, yang bermaksud penyerang boleh memalsukan teg pengesahan yang sah untuk mesej sewenang-wenangnya — sekali gus memusnahkan kerahsiaan dan integriti. Sistem seperti Sony PS3 pernah mengalami serangan tepat seperti ini. Pertahanannya ialah nonce rawak (dijana menggunakan CSPRNG) atau pembilang deterministik yang tidak pernah ditetapkan semula.

ChaCha20-Poly1305 ialah satu lagi sifer AEAD yang diwajibkan dalam TLS 1.3. ChaCha20 ialah sifer aliran yang direka oleh Daniel Bernstein dan menjana aliran kunci menggunakan operasi tambah-putar-XOR (ARX) — tanpa jadual carian, masa pelaksanaan yang benar-benar malar, serta sangat pantas pada CPU tanpa pemecutan perkakasan AES. Poly1305 ialah MAC sekali guna (kod pengesahan mesej) yang mengira teg pengesahan terhadap teks sifer. Bersama-sama, kedua-duanya memberikan tahap keselamatan yang setara dengan AES-GCM, tetapi jauh lebih pantas pada peranti mudah alih dan IoT.

Pemproses desktop/pelayan x86 dan ARM64 moden mempunyai arahan perkakasan AES-NI yang menjadikan AES-GCM sangat pantas. Walau bagaimanapun, banyak pemproses mudah alih dan IoT tidak mempunyai AES-NI, menyebabkan AES-GCM melalui perisian agak perlahan. ChaCha20-Poly1305 direka untuk beroperasi pantas melalui perisian menggunakan operasi aritmetik mudah, lalu memberikan prestasi yang setanding pada peranti mudah alih tanpa pemecutan perkakasan. Google menambahkan ChaCha20-Poly1305 ke dalam TLS sebagai alternatif khusus untuk peranti Android, dan kini ia merupakan套 sifer kelas utama dalam TLS 1.3.

'AD' dalam AEAD ialah singkatan bagi Associated Data — metadata teks biasa yang disahkan tetapi tidak disulitkan. Ini membolehkan anda mengesahkan data yang perlu kekal boleh dibaca (seperti pengepala paket atau medan jenis rekod) sambil melindunginya daripada pengubahan. Dalam TLS 1.3, bait pengepala rekod disertakan sebagai data berkaitan dalam pengiraan AEAD. Jika penyerang mengubah pengepala (contohnya, menukar panjang rekod), pengesahan teg pengesahan akan gagal dan sambungan akan ditamatkan.

Sebelum AEAD menjadi piawaian, ahli kriptografi mengesyorkan Encrypt-then-MAC (EtM): sulitkan teks biasa, kemudian kira MAC terhadap teks sifer. Kaedah ini selamat tetapi memerlukan dua operasi berasingan dengan dua kunci berasingan. Skim AEAD seperti AES-GCM menggabungkan kedua-dua operasi dengan satu kunci, mengurangkan kerumitan pelaksanaan dan menghapuskan seluruh kelas serangan oracle padding yang menjejaskan MAC-then-Encrypt (MtE) — susunan yang digunakan dalam versi TLS terdahulu (CBC + HMAC). TLS 1.3 yang menggunakan AEAD mengelakkan masalah ini sepenuhnya.

Kedua-dua AES-128-GCM dan AES-256-GCM diluluskan oleh NIST dan dianggap selamat terhadap komputer klasik. AES-128 menawarkan keselamatan 128 bit dengan prestasi yang sedikit lebih pantas; AES-256 menawarkan keselamatan 256 bit, memberikan margin yang lebih besar terhadap analisis kriptografi dan ancaman kuantum pada masa hadapan. Bagi kebanyakan aplikasi hari ini, AES-128-GCM sudah memadai, tetapi sistem kerajaan terperingkat (NSA Suite B) memerlukan AES-256. TLS 1.3 menawarkan kedua-duanya, dan pelayan boleh mengutamakannya berdasarkan dasar keselamatan mereka.

Apabila menyahsulit teks sifer AEAD, penerima mesti mengesahkan teg pengesahan sebelum menyahsulit. Prosesnya adalah seperti berikut: kira semula teg yang dijangka daripada teks sifer, kunci dan nonce yang diterima; bandingkannya dengan teg yang diterima menggunakan fungsi perbandingan masa malar; hanya jika kedua-duanya sepadan, teruskan dengan penyahsulitan. Perbandingan masa malar amat penting — jika perbandingan berhenti sebaik sahaja menemui bait pertama yang tidak sepadan, penyerang boleh melancarkan serangan saluran sisi pemasaan untuk memalsukan teg yang sah, bait demi bait. Mana-mana pustaka AEAD yang menggunakan perbandingan yang berhenti awal adalah terdedah.

Algoritma AEAD digunakan secara meluas dalam keselamatan moden: TLS 1.3 menggunakan AES-GCM dan ChaCha20-Poly1305 untuk semua penyulitan rekod; WireGuard VPN menggunakan ChaCha20-Poly1305 secara eksklusif; Signal Protocol menggunakannya untuk penyulitan mesej; QUIC protocol (asas kepada HTTP/3) menggunakan AES-GCM. Apabila anda melihat套 sifer seperti TLS_AES_256_GCM_SHA384, SHA384 merujuk kepada fungsi cincangan HKDF untuk penerbitan kunci, bukannya mekanisme integriti — teg GCM mengendalikan integriti.

Dalam pelajaran ini, anda telah mempelajari bahawa: algoritma AEAD memberikan kerahsiaan dan integriti secara serentak melalui teg pengesahan yang mengesan sebarang pengubahan teks sifer, penggunaan semula nonce AES-GCM membawa akibat yang amat serius — membolehkan pemulihan aliran kunci dan pemalsuan kunci pengesahan — maka nonce mestilah unik bagi setiap penyulitan, dan ChaCha20-Poly1305 ialah alternatif berprestasi cekap kepada AES-GCM untuk peranti yang tidak mempunyai pemecutan AES perkakasan. Seterusnya, kita akan meneroka fungsi penerbitan kunci untuk melindungi kata laluan.