CMAC og Poly1305: MAC-er basert på blokkchifre

En Message Authentication Code (MAC) tar en nøkkel og en melding og produserer en tag. Taggen beviser at meldingen ikke har blitt manipulert, og at den ble produsert av noen som har nøkkelen.

HMAC bruker en hashfunksjon som primær byggestein. CMAC og Poly1305 bruker i stedet blokkchiffre eller polynomregning. Blokkchiffer-MAC-er unngår avhengigheten av en hashfunksjon og integreres naturlig med AES-maskinvare.

CMAC (Cipher-based MAC) er definert i NIST SP 800-38B. Den utfyller meldingen til en blokkgrense, utleder to undernøkler K1/K2 fra chifferet, utfører XOR med dem i den siste blokken og kjører deretter CBC-modus uten å lagre mellomliggende chiffertekst.

K1 = AES_K(0^128) forskjøvet én bit mot venstre, med XOR mot en konstant hvis MSB var 1. K2 forskyves på samme måte fra K1. Disse undernøklene binder den siste ufullstendige blokken sikkert for å forhindre lengdeutvidelse.

Poly1305 er en engangsautentikator utviklet av Daniel Bernstein. Den evaluerer et polynom over primtallet 2^130-5, behandler meldingen som polynomkoeffisienter og bruker et engangsnøkkelpar (r, s).

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128. Nøkkelen r begrenses til 22 bestemte bit for å forhindre timingangrep. s er en 16-byters engangsmaske som legges til.

Poly1305 kombineres nesten alltid med ChaCha20. ChaCha20 genererer engangsverdiene (r, s) fra strømchifferets keystream, noe som gjør den kombinerte AEAD-konstruksjonen beviselig sikker og svært rask på ARM-/mobilprosessorer.

AES-GCM autentiserer ved hjelp av GHASH, en polynomisk MAC over GF(2^128). AES-CMAC er enklere og brukes i IEEE 802.11i (WPA2) og TLS 1.2-chiffersuiter. GCM gir både kryptering og autentisering i én gjennomgang.

Poly1305 på ARM Cortex-A oppnår omtrent 1 syklus per byte ved bruk av NEON-intrinsics. AES-CMAC krever én AES-blokkoperasjon per blokk på 16 byte. For store datamengder har Poly1305 bedre ytelse enn CMAC på maskinvare uten AES-NI.

CMAC er eksistensielt uforfalskbart under et valgt-melding-angrep, forutsatt at AES er en pseudotilfeldig permutasjon. Poly1305 er informasjonsteoretisk sikkert med en virkelig tilfeldig engangsnøkkel – sannsynligheten for forfalskning er høyst 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME og integritetssikring av filsystemer. Poly1305: TLS 1.3 via ChaCha20-Poly1305, WireGuard VPN, Signal Protocol og Noise Protocol Framework. Begge er bredt tatt i bruk i moderne systemer med høye sikkerhetskrav.

Du har lært om CMACs CBC-baserte konstruksjon og Poly1305s polynomregning. Begge er MAC-er som kjører i konstant tid, er sikre og brukes i virkelige protokoller. Deretter ser vi på TLS/HTTPS og hvordan alle disse byggesteinene settes sammen.