SIV-modus: AEAD die bestand is tegen verkeerd noncegebruik

AEAD-cijfers op basis van de CTR-modus, zoals AES-GCM, vereisen voor elke versleuteling een unieke nonce. Als dezelfde nonce met dezelfde sleutel wordt hergebruikt, kan een aanvaller die twee cijferteksten observeert ze met elkaar XOR'en om de XOR van de twee platte teksten te achterhalen. Daarmee wordt de vertrouwelijkheid onmiddellijk verbroken.

Hergebruik van een nonce in AES-GCM is nog catastrofaler dan in de gewone CTR-modus. Wanneer twee berichten met dezelfde nonce en sleutel worden versleuteld, kan een aanvaller de GHASH-authenticatiesleutel H volledig achterhalen. Met kennis van H kan de aanvaller willekeurige geauthenticeerde berichten vervalsen.

De SIV-modus, gedefinieerd in RFC 5297, is ontworpen om kwetsbaarheden door noncehergebruik uit te bannen. In plaats van een willekeurige of tellergebaseerde nonce te vereisen, leidt SIV de IV op synthetische wijze af van de platte tekst zelf met behulp van een pseudowillekeurige functie. Daardoor is de modus deterministisch en bestand tegen verkeerd noncegebruik.

In SIV wordt de nonce (de synthetische IV genoemd) berekend als SIV = PRF(key, plaintext, associated_data). Deze IV wordt vervolgens als teller gebruikt voor versleuteling in de CTR-modus. Omdat de IV van de platte tekst wordt afgeleid, levert het versleutelen van dezelfde platte tekst altijd dezelfde cijfertekst op.

Als een nonce in SIV wordt hergebruikt omdat dezelfde platte tekst twee keer wordt versleuteld, weet een waarnemer alleen dat er twee identieke berichten zijn verstuurd. De inhoud van de platte tekst zelf blijft verborgen. Dit is een aanzienlijke verbetering ten opzichte van op CTR gebaseerde AEAD, waarbij noncehergebruik het XOR-resultaat van de platte teksten onthult.

AES-SIV (RFC 5297) gebruikt de S2V-functie, een gekoppelde PRF op basis van AES-CMAC, om de synthetische IV te genereren. Daarna volgt versleuteling met AES-CTR, waarvoor een tweede subsleutel wordt gebruikt. Er zijn twee AES-sleutels nodig, waardoor sleutelbeheer iets complexer is dan bij AEAD-modi met één sleutel.

AES-GCM-SIV (RFC 8452) is een efficiëntere AEAD die bestand is tegen verkeerd noncegebruik en is ontworpen om de prestaties van GCM te combineren met de veiligheid van SIV. Het leidt subsleutels per bericht af van de nonce en gebruikt een Polyval-authenticator. Zo levert het betere prestaties dan AES-SIV, terwijl het bestand blijft tegen nonce-misbruik.

SIV vereist twee doorgangen over de gegevens: één om de synthetische IV te berekenen en één voor de versleuteling. Dit verdubbelt ongeveer de rekenkosten ten opzichte van AEAD-modi met één doorgang, zoals AES-GCM. Voor toepassingen waarbij latentie of hoge doorvoer belangrijk is, moet je met deze overhead rekening houden.

Je verkiest SIV wanneer het genereren van nonces onbetrouwbaar is, wanneer de toepassing staatloos is en geen nonce-teller kan bijhouden, of wanneer deterministische versleuteling vereist is. Voorbeelden zijn het versleutelen van databasevelden waarbij dezelfde waarde altijd dezelfde cijfertekst moet opleveren voor indexering.

Staatloze microservices die de nonce-status niet tussen replica's kunnen afstemmen, zijn uitstekende kandidaten voor de SIV-modus. In plaats van het risico op onbedoeld noncehergebruik door een globale teller, biedt SIV automatisch veiligheid. Bij sleutelverpakking (RFC 3394) worden ook SIV-principes gebruikt voor deterministische sleutelversleuteling.

AES-SIV is beschikbaar in belangrijke cryptografische bibliotheken, waaronder libsodium (als crypto_aead_aes256gcm_siv in recente versies) en Google Tink. AES-GCM-SIV wordt ondersteund door BoringSSL en de standaardbibliotheek van Go. Wanneer noncebeheer lastig is, zijn dit veiligere standaardkeuzes dan standaard AES-GCM.

De SIV-modus voorkomt catastrofaal noncehergebruik door de IV van de platte tekst zelf af te leiden. Noncehergebruik onthult alleen dat er identieke berichten zijn verstuurd, niet wat ze bevatten. AES-GCM-SIV (RFC 8452) biedt efficiënte weerstand tegen verkeerd noncegebruik voor moderne toepassingen waarin staatloze of deterministische versleuteling nodig is.