CMAC i Poly1305: MAC oparte na szyfrze blokowym

Kod uwierzytelniania wiadomości (MAC) przyjmuje klucz i wiadomość, a następnie generuje znacznik. Znacznik potwierdza, że wiadomość nie została zmodyfikowana i że utworzyła ją osoba posiadająca klucz.

HMAC używa funkcji skrótu jako swojego prymitywu. CMAC i Poly1305 wykorzystują natomiast szyfry blokowe lub arytmetykę wielomianów. MAC-y oparte na szyfrach blokowych nie zależą od funkcji skrótu i naturalnie integrują się ze sprzętową obsługą AES.

CMAC (Cipher-based MAC) jest zdefiniowany w dokumencie NIST SP 800-38B. Dopełnia wiadomość do granicy bloku, wyprowadza dwa podklucze K1/K2 z szyfru, wykonuje XOR z ostatnim blokiem, a następnie uruchamia tryb CBC bez przechowywania pośredniego szyfrogramu.

K1 = AES_K(0^128) przesunięte w lewo o 1 bit, z operacją XOR ze stałą, jeśli MSB miało wartość 1. K2 = K1 przesunięte w ten sam sposób. Podklucze te bezpiecznie wiążą ostatni niepełny blok, zapobiegając rozszerzeniu długości.

Poly1305 to jednorazowy mechanizm uwierzytelniania zaprojektowany przez Daniela Bernstein. Oblicza wartość wielomianu nad ciałem pierwszym 2^130-5, traktując wiadomość jako współczynniki wielomianu i używając jednorazowej pary kluczy (r, s).

Tag = (suma (m_i * r^i) mod 2^130-5) + s mod 2^128. Klucz r jest ograniczany do 22 określonych bitów, aby zapobiegać atakom czasowym. s to jednorazowa maska dodawana do wyniku, mająca 16 bajtów.

Poly1305 jest niemal zawsze łączony z ChaCha20. ChaCha20 generuje jednorazowe (r, s) ze strumienia szyfru strumieniowego, dzięki czemu połączony schemat AEAD jest formalnie bezpieczny i niezwykle szybki na procesorach ARM oraz mobilnych procesorach.

AES-GCM uwierzytelnia za pomocą GHASH, czyli wielomianowego MAC-a nad GF(2^128). AES-CMAC jest prostszy i jest używany w IEEE 802.11i (WPA2) oraz w zestawach szyfrów TLS 1.2. GCM zapewnia szyfrowanie i uwierzytelnianie w jednym przebiegu.

Poly1305 na ARM Cortex-A osiąga około 1 cyklu na bajt przy użyciu intrinsics NEON. AES-CMAC wymaga jednej operacji na bloku AES dla każdego bloku o długości 16 bajtów. W przypadku dużych ilości danych Poly1305 jest wydajniejszy od CMAC na sprzęcie bez AES-NI.

CMAC jest egzystencjalnie niepodrabialny w warunkach ataku z wybranymi wiadomościami, przy założeniu, że AES jest pseudolosową permutacją. Poly1305 jest bezwarunkowo bezpieczny przy prawdziwie losowym kluczu jednorazowym — prawdopodobieństwo sfałszowania wynosi co najwyżej 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME, integralność systemów plików. Poly1305: TLS 1.3 przez ChaCha20-Poly1305, VPN WireGuard, Signal Protocol, Noise Protocol Framework. Oba mechanizmy są szeroko wdrażane w nowoczesnych systemach o wysokim poziomie bezpieczeństwa.

Jaki MAC jest używany w AEAD ChaCha20-Poly1305?

Poznali Państwo konstrukcję CMAC opartą na CBC oraz arytmetykę wielomianową Poly1305. Oba mechanizmy to stałoczasowe i bezpieczne MAC-y używane w rzeczywistych protokołach. Następnie: TLS/HTTPS i sposób łączenia wszystkich tych prymitywów.