Memilih AEAD untuk Sistem Produksi

AES-GCM ialah AEAD lalai yang tepat untuk kebanyakan sistem pengeluaran. Ia dipercepatkan perkakasan melalui AES-NI pada hampir semua pemproses x86 dan ARM64 moden, disokong secara meluas dalam timbunan TLS dan pustaka kriptografi, serta mendapat manfaat daripada kriptanalisis yang menyeluruh dan pengalaman penggunaan dunia sebenar.

AES-GCM menggunakan nilai sekali guna 96 bit. Dengan nilai sekali guna yang dijana secara rawak, batas hari jadi dicapai selepas kira-kira 2^32 mesej menggunakan kunci yang sama, apabila kebarangkalian perlanggaran nilai sekali guna menjadi tidak boleh diabaikan. Bagi sistem bervolum tinggi, pengurusan nilai sekali guna melalui pembilang atau penggiliran kunci selepas 2^32 mesej adalah penting.

ChaCha20-Poly1305 ialah pilihan yang tepat apabila AES-NI tidak tersedia atau apabila penjanaan nilai sekali guna mungkin tidak boleh dipercayai. Ia pantas dalam perisian, direka bentuk dengan masa malar dan tahan terhadap saluran sisi pemasaan, serta merupakan suite sifir wajib dalam TLS 1.3 untuk persekitaran tanpa sokongan perkakasan AES.

Apabila nilai sekali guna mungkin digunakan semula atau mesti dijana secara deterministik, seperti dalam perkhidmatan tanpa keadaan atau pembungkusan kunci, AES-GCM-SIV (RFC 8452) ialah pilihan yang tepat. Ia menyediakan ketahanan terhadap salah guna nilai sekali guna dengan kos prestasi yang sederhana berbanding AES-GCM piawai.

AEGIS-128L ialah pilihan yang tepat apabila daya pemprosesan penyulitan maksimum diperlukan dan AES-NI dijamin tersedia pada semua sasaran pelaksanaan. Peralatan rangkaian berlebar jalur tinggi, pusat penggabungan VPN dan sistem penyulitan storan merupakan calon utama apabila AEGIS memberikan peningkatan prestasi yang bermakna berbanding AES-GCM.

AES-128 menyediakan keselamatan 128 bit, yang dianggap mencukupi untuk semua ancaman pengkomputeran klasik semasa dan yang boleh dijangka. AES-256 menyediakan ruang tambahan terhadap kemajuan masa hadapan dan diperlukan oleh sesetengah rangka kerja pematuhan, seperti pengelasan TOP SECRET di bawah NSA Suite B. Bagi kebanyakan aplikasi, AES-128 sudah mencukupi dan sedikit lebih pantas.

AES-GCM menggunakan nilai sekali guna 96 bit, manakala AES-GCM-SIV juga menggunakan nilai sekali guna 96 bit. XSalsa20, yang digunakan dalam secretbox libsodium, menggunakan nilai sekali guna 192 bit, menjadikan penjanaan nilai sekali guna rawak selamat untuk jauh lebih banyak mesej dengan kunci yang sama. Nilai sekali guna yang lebih besar mengurangkan risiko penggunaan semula secara tidak sengaja dalam sistem bervolum tinggi.

Gunakan pustaka AEAD yang mantap dan bukannya melaksanakan primitif secara terus. libsodium menyediakan API AEAD yang ringkas (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink membungkus primitif AEAD dengan penggiliran kunci dan pengurusan versi. Pustaka TLS asli bahasa mengendalikan AEAD secara automatik untuk keselamatan pengangkutan.

AES-CBC dengan HMAC-SHA256 berasingan, dalam susunan EtM, boleh diterima tetapi merupakan teknologi warisan. Perpindahan kepada AES-GCM memudahkan pelaksanaan dengan menggantikan dua primitif dengan satu primitif dan menghapuskan risiko gabungan yang tidak betul. Data semasa disimpan yang disulitkan dengan CBC-HMAC patut disulitkan semula menggunakan AES-GCM semasa penggiliran kunci berjadual.

Pelaksanaan AEAD patut diuji menggunakan vektor ujian rasmi daripada NIST untuk AES-GCM dan RFC 8439 untuk ChaCha20-Poly1305. Sentiasa uji bahawa kegagalan pengesahan tanda keaslian menyebabkan penyahsulitan mengembalikan ralat dan bukannya teks biasa separa. Pengendalian ralat yang tidak betul ialah kecacatan pelaksanaan yang lazim.

Pilih AES-GCM apabila AES-NI tersedia dan nilai sekali guna adalah unik. Pilih ChaCha20-Poly1305 apabila AES-NI tiada atau nilai sekali guna kurang boleh dipercayai. Pilih AES-GCM-SIV apabila penggunaan semula nilai sekali guna menjadi kebimbangan. Pilih AEGIS apabila daya pemprosesan maksimum dengan AES-NI yang dijamin menjadi keutamaan. Jangan sekali-kali memilih mod bukan AEAD untuk sistem baharu.

AES-GCM ialah pilihan lalai. ChaCha20-Poly1305 meliputi persekitaran tanpa AES-NI. AES-GCM-SIV mengendalikan persekitaran yang tidak selamat dari segi nilai sekali guna. AEGIS memaksimumkan daya pemprosesan apabila AES-NI dijamin tersedia. Gunakan pustaka seperti libsodium atau Tink dan bukannya menggabungkan primitif secara manual. Sentiasa uji menggunakan vektor ujian rasmi dan pastikan kegagalan pengesahan dikendalikan dengan betul.