Modo SIV: AEAD resistente ao uso indevido de nonce

Cifras AEAD baseadas no modo CTR, como AES-GCM, exigem um valor único diferente para cada criptografia. Se o mesmo valor único for reutilizado com a mesma chave, um invasor que observe dois textos cifrados poderá aplicar XOR entre eles para recuperar o XOR dos dois textos simples, rompendo imediatamente a confidencialidade.

A reutilização de valores únicos no AES-GCM é ainda mais catastrófica do que no modo CTR simples. Quando duas mensagens são criptografadas com o mesmo valor único e a mesma chave, um invasor pode recuperar inteiramente a chave de autenticação GHASH H. Com H conhecida, o invasor pode falsificar mensagens autenticadas arbitrárias.

O modo de IV sintético (SIV), definido na RFC 5297, foi projetado para eliminar vulnerabilidades de reutilização de valores únicos. Em vez de exigir um valor único aleatório ou baseado em contador, SIV deriva sinteticamente o IV do próprio texto simples usando uma função pseudoaleatória, tornando o processo determinístico e resistente ao uso incorreto de valores únicos.

Em SIV, o valor único, chamado IV sintético, é calculado como SIV = PRF(chave, texto simples, dados associados). Esse IV é então usado como contador para a criptografia no modo CTR. Como o IV é derivado do texto simples, criptografar o mesmo texto simples sempre produz o mesmo texto cifrado.

Se um nonce for reutilizado no SIV porque o mesmo texto simples for cifrado duas vezes, um observador saberá apenas que duas mensagens idênticas foram enviadas. O conteúdo do texto simples permanece oculto. Isso representa uma melhoria drástica em relação ao AEAD baseado em CTR, no qual a reutilização de nonce revela o XOR entre os textos simples.

AES-SIV (RFC 5297) usa a função S2V (uma PRF encadeada baseada em AES-CMAC) para gerar o IV sintético, seguida da cifragem AES-CTR usando uma segunda subchave. Ele requer duas chaves AES, tornando o gerenciamento de chaves um pouco mais complexo que o dos modos AEAD de chave única.

AES-GCM-SIV (RFC 8452) é um AEAD mais eficiente e resistente ao uso indevido de nonce, projetado para combinar o desempenho do GCM com a segurança semelhante à do SIV. Ele deriva subchaves por mensagem a partir do nonce e usa um autenticador Polyval, alcançando desempenho melhor que o AES-SIV e mantendo a resistência ao uso indevido de nonce.

O SIV requer duas passagens pelos dados: uma para calcular o IV sintético e outra para a cifragem. Isso aproximadamente dobra o custo computacional em comparação com os modos AEAD de uma única passagem, como o AES-GCM. Para aplicações sensíveis à latência ou de alta vazão, essa sobrecarga deve ser considerada.

O SIV é preferível quando a geração de nonce não é confiável, quando a aplicação não tem estado e não consegue manter um contador de nonce, ou quando a cifragem determinística é um requisito. Exemplos incluem a cifragem de campos de banco de dados nos quais o mesmo valor deve sempre produzir o mesmo texto cifrado para fins de indexação.

Microsserviços sem estado que não conseguem coordenar o estado do nonce entre réplicas são candidatos ideais ao modo SIV. Em vez de arriscar a reutilização acidental por meio de um contador global, o SIV oferece segurança automaticamente. O encapsulamento de chaves (RFC 3394) também usa princípios do SIV para a cifragem determinística de chaves.

O AES-SIV está disponível nas principais bibliotecas criptográficas, incluindo libsodium (como crypto_aead_aes256gcm_siv nas versões recentes) e Google Tink. O AES-GCM-SIV é compatível com BoringSSL e com a biblioteca padrão do Go. Quando o gerenciamento de nonce é difícil, essas são opções padrão mais seguras que o AES-GCM padrão.

O que acontece quando a mesma chave é usada para cifrar o mesmo texto simples duas vezes com o AES-SIV?

O modo SIV elimina as catástrofes da reutilização de nonce ao derivar o IV do próprio texto simples. A reutilização de nonce revela apenas que mensagens idênticas foram enviadas, não o conteúdo delas. O AES-GCM-SIV (RFC 8452) oferece resistência eficiente ao uso indevido de nonce para aplicações modernas que precisam de cifragem sem estado ou determinística.