CMAC en Poly1305: MAC's op basis van blockciphers

Een berichtauthenticatiecode (MAC) neemt een sleutel en een bericht en produceert een label. Het label bewijst dat er niet met het bericht is geknoeid en dat het is geproduceerd door iemand die de sleutel bezit.

HMAC gebruikt een hashfunctie als primitief. CMAC en Poly1305 gebruiken in plaats daarvan blokcijfers of polynoomrekenen. MAC's op basis van blokcijfers vermijden een afhankelijkheid van hashfuncties en sluiten natuurlijk aan op AES-hardware.

CMAC (op cijfers gebaseerde MAC) is gedefinieerd in NIST SP 800-38B. De berichtlengte wordt aangevuld tot een blokgrens, er worden twee subsleutels K1/K2 uit het cijfer afgeleid, deze worden met het laatste blok ge-XOR'd en vervolgens wordt CBC-modus uitgevoerd zonder tussentijdse cijfertekst op te slaan.

K1 = AES_K(0^128), één bit naar links verschoven en ge-XOR'd met een constante als de MSB 1 was. K2 = K1, op dezelfde manier verschoven. Deze subsleutels binden het laatste gedeeltelijke blok op veilige wijze tegen lengte-uitbreiding.

Poly1305 is een eenmalige authenticator, ontworpen door Daniel Bernstein. De methode evalueert een polynoom over het priemgetal 2^130-5, behandelt het bericht als polynoomcoëfficiënten en gebruikt een eenmalig sleutelpaar (r, s).

Tag = (som van (m_i * r^i) mod 2^130-5) + s mod 2^128. De sleutel r wordt op 22 specifieke bits vastgezet om timingaanvallen te voorkomen. s is een eenmalig toevoegingsmasker van 16 bytes.

Poly1305 wordt vrijwel altijd gecombineerd met ChaCha20. ChaCha20 genereert de eenmalige (r, s) uit de sleutelstroom van het stroomcijfer, waardoor het gecombineerde AEAD-schema aantoonbaar veilig en extreem snel is op ARM- en mobiele CPU's.

AES-GCM authenticeert met GHASH, een polynomiale MAC over GF(2^128). AES-CMAC is eenvoudiger en wordt gebruikt in IEEE 802.11i (WPA2) en TLS 1.2-ciphersuites. GCM biedt versleuteling en authenticatie in één doorgang.

Poly1305 op ARM Cortex-A bereikt ongeveer 1 cyclus per byte met NEON-intrinsics. AES-CMAC vereist één AES-blokbewerking per blok van 16 bytes. Voor grote hoeveelheden gegevens presteert Poly1305 beter dan CMAC op hardware zonder AES-NI.

CMAC is existentieel onvervalsbaar bij een aanval met gekozen berichten, ervan uitgaande dat AES een pseudowillekeurige permutatie is. Poly1305 is informatie-theoretisch veilig bij een werkelijk willekeurige eenmalige sleutel. De kans op vervalsing is maximaal 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME en integriteit van bestandssystemen. Poly1305: TLS 1.3 via ChaCha20-Poly1305, WireGuard VPN, Signal Protocol en Noise Protocol Framework. Beide worden veel gebruikt in moderne systemen met hoge veiligheidseisen.

Je hebt de CBC-gebaseerde constructie van CMAC en het polynoomrekenen van Poly1305 geleerd. Beide zijn MAC's met constante uitvoeringstijd en hoge veiligheid, die in echte protocollen worden gebruikt. Vervolgens behandelen we TLS/HTTPS en hoe al deze primitieve bewerkingen worden gecombineerd.