Google Tink: безопасная высокоуровневая криптография

Tink — криптографическая библиотека с открытым исходным кодом, разработанная криптографической командой Google для безопасной и простой работы с криптографией. Основная цель — предотвратить распространенные ошибки использования криптографии, которые допускают даже опытные разработчики при работе с низкоуровневыми библиотеками. Программный интерфейс Tink устроен так, чтобы правильный вариант использования был самым простым, а случайное создание небезопасных конфигураций — затрудненным.

Tink объединяет ключи в наборы, а не предоставляет отдельные объекты ключей. Приложения работают с дескрипторами наборов ключей, а не с необработанными байтами ключей. Такая абстракция предотвращает случайное раскрытие ключей, обеспечивает плавную ротацию ключей и позволяет хранить ключи в удаленных системах управления ключами, при этом приложение никогда не видит ключевой материал напрямую. Концепция набора ключей лежит в основе безопасной архитектуры Tink.

Интерфейс AEAD (аутентифицированное шифрование с дополнительными данными) в Tink предоставляет операции шифрования и расшифрования. AeadFactory.getPrimitive(keyset) возвращает объект Aead; вызов aead.encrypt(plaintext, associatedData) возвращает шифртекст. Tink автоматически выбирает алгоритм шифрования на основе набора ключей (например, AES-256-GCM) и генерирует случайное одноразовое число. Интерфейс скрывает все детали алгоритма, управление одноразовыми числами и кодирование формата.

Интерфейс MAC в Tink предоставляет операции вычисления и проверки кодов аутентификации сообщений. MacFactory.getPrimitive(keyset) возвращает объект MAC. mac.computeMac(data) возвращает тег аутентификации; mac.verifyMac(tag, data) проверяет его и выбрасывает исключение безопасности, если проверка не пройдена. Алгоритм по умолчанию — HMAC-SHA256. Интерфейс предотвращает распространённые ошибки, например сравнение MAC с помощью обычного сравнения строк вместо сравнения за постоянное время.

Tink предоставляет отдельные интерфейсы PublicKeySign и PublicKeyVerify для цифровых подписей. Объекты для подписания и проверки создаются на основе разных дескрипторов наборов ключей — закрытого и открытого соответственно, — что предотвращает случайное использование закрытого ключа для проверки или наоборот. Реализации Ed25519 и ECDSA P-256 в Tink используются по умолчанию; также доступна детерминированная ECDSA, позволяющая избежать уязвимостей, связанных со случайностью.

Интерфейсы HybridEncrypt и HybridDecrypt в Tink реализуют ECIES (схему интегрированного шифрования на эллиптических кривых). Гибридное шифрование сочетает обмен асимметричными ключами с симметричным шифрованием: отправитель создаёт эфемерный ключ, выполняет ECDH с открытым ключом получателя, получает симметричный ключ и шифрует данные с помощью AEAD. Это позволяет шифровать большие сообщения асимметричными ключами без накладных расходов, характерных для полностью асимметричного шифрования.

Ротация ключей в Tink безопасна и обратно совместима. Для ротации необходимо создать новый ключ и добавить его в набор ключей, назначить новый ключ основным — будущие операции шифрования будут использовать его, — а старые ключи оставить в наборе для расшифрования уже существующего шифротекста. Старый шифротекст продолжит расшифровываться, поскольку неосновные ключи остаются доступными для расшифрования. После того как весь старый шифротекст будет повторно зашифрован или срок его действия истечёт, удалите старые ключи из набора.

Наборы ключей Tink сериализуются в формате JSON или в двоичном формате Protocol Buffer. Формат JSON удобен для чтения человеком и отладки. Двоичный формат компактнее и лучше подходит для эксплуатации. Сериализованные наборы ключей, содержащие закрытые ключи, необходимо зашифровать перед хранением. Tink поддерживает хранение зашифрованных наборов ключей с использованием стандартного симметричного шифрования AEAD или передачу хранения в KMS.

Tink интегрируется с основными поставщиками KMS: AWS KMS, Google Cloud KMS и HashiCorp Vault. Вместо шифрования наборов ключей локальным ключом AEAD Tink оборачивает ключ шифрования набора ключей с помощью KMS. Для фактического шифрования набора ключей используется локально созданный ключ шифрования данных (DEK), а DEK шифруется ключом шифрования ключей (KEK) в KMS. Это соответствует схеме конвертного шифрования, которую используют облачные поставщики.

Для стандартного AEAD требуется загружать всё сообщение в память при шифровании и расшифровании. Интерфейс потокового AEAD в Tink шифрует большие файлы по сегментам, позволяя выполнять потоковое шифрование и расшифрование без буферизации всего открытого текста. Каждый сегмент аутентифицируется независимо, а порядок и полнота сегментов проверяются во время расшифрования. Это необходимо для шифрования резервных копий, видео и других больших файлов.

Tink доступен для Java, Python, Go и C++ и предоставляет идиоматичные API для каждого языка. Межъязыковая совместимость гарантирована: файл, зашифрованный с помощью Tink в Python, можно расшифровать с помощью Tink в Java. Благодаря этому Tink подходит для систем с несколькими службами на разных языках, которым необходимо обмениваться зашифрованными данными. Tink также интегрируется с буферами протоколов для типобезопасной настройки наборов ключей.

Итоги по Tink: абстракция на основе набора ключей предотвращает раскрытие необработанных ключей, интерфейс AEAD скрывает управление одноразовыми номерами и выбор алгоритма, интерфейс MAC внутренне использует проверку за постоянное время, интерфейсы цифровой подписи и гибридного шифрования предотвращают неправильное использование интерфейса, ротация ключей обратно совместима — старые ключи расшифровывают данные, пока их не удалят, — интеграция с KMS следует схеме конвертного шифрования, потоковый AEAD обрабатывает большие файлы, а межъязыковая совместимость гарантирована.