Выбор AEAD для промышленных систем

AES-GCM — правильный режим AEAD по умолчанию для большинства производственных систем. Он аппаратно ускоряется с помощью AES-NI практически на всех современных процессорах x86 и ARM64, широко поддерживается стеками TLS и криптографическими библиотеками, а также имеет обширную историю криптоанализа и эксплуатации в реальных системах.

AES-GCM использует 96-битное одноразовое число. При случайной генерации одноразовых чисел порог парадокса дней рождения достигается примерно после 2^32 сообщений под одним ключом; с этого момента вероятность коллизии одноразовых чисел становится существенной. Для систем с большим объёмом трафика необходимо управлять одноразовыми числами с помощью счётчика или менять ключ после 2^32 сообщений.

ChaCha20-Poly1305 — правильный выбор, если AES-NI недоступен или генерация одноразовых чисел может быть ненадёжной. Он быстро работает в программной реализации, по конструкции использует постоянное время выполнения и устойчив к атакам по побочным каналам, а также является обязательным набором шифров в TLS 1.3 для сред без аппаратной поддержки AES.

Если одноразовые числа могут повторно использоваться или должны генерироваться детерминированно, например в сервисах без состояния или при упаковке ключей, правильным выбором будет AES-GCM-SIV (RFC 8452). Он обеспечивает устойчивость к неправильному использованию одноразовых чисел при умеренных затратах производительности по сравнению со стандартным AES-GCM.

AEGIS-128L — правильный выбор, если требуется максимальная пропускная способность шифрования и наличие AES-NI гарантировано на всех целевых устройствах. Сетевые устройства с высокой пропускной способностью, концентраторы VPN и системы шифрования хранилищ особенно хорошо подходят для этого режима, поскольку AEGIS обеспечивает заметный прирост производительности по сравнению с AES-GCM.

AES-128 обеспечивает 128-битную стойкость, которой считают достаточной против всех современных и предвидимых угроз со стороны классических вычислений. AES-256 предоставляет дополнительный запас стойкости на случай будущих достижений и требуется некоторыми нормативными стандартами, например для классификации TOP SECRET в рамках NSA Suite B. Для большинства приложений достаточно AES-128, который работает немного быстрее.

AES-GCM использует 96-битные одноразовые числа, а AES-GCM-SIV также использует 96-битные одноразовые числа. XSalsa20, используемый в secretbox библиотеки libsodium, использует 192-битные одноразовые числа, благодаря чему генерация случайных одноразовых чисел остаётся безопасной для значительно большего числа сообщений под одним ключом. Более длинные одноразовые числа снижают риск случайного повторного использования в системах с большим объёмом трафика.

Используйте проверенные библиотеки AEAD, а не реализуйте примитивы непосредственно. libsodium предоставляет простой API AEAD (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink дополняет примитивы AEAD сменой ключей и управлением версиями. Нативные для языков библиотеки TLS автоматически обрабатывают AEAD для защиты передаваемых данных.

AES-CBC с отдельным HMAC-SHA256 в порядке EtM допустим, но устарел. Переход на AES-GCM упрощает реализацию, заменяя два примитива одним, и устраняет риск неправильной композиции. Данные в состоянии покоя, зашифрованные с помощью CBC-HMAC, следует повторно зашифровать с помощью AES-GCM во время плановой смены ключей.

Реализации AEAD следует проверять по официальным тестовым векторам NIST для AES-GCM и RFC 8439 для ChaCha20-Poly1305. Всегда проверяйте, что сбой проверки тега аутентификации приводит к возврату ошибки при расшифровании, а не частичного открытого текста. Некорректная обработка ошибок — распространённый недостаток реализации.

Выбирайте AES-GCM, если доступен AES-NI и одноразовые числа уникальны. Выбирайте ChaCha20-Poly1305, если AES-NI отсутствует или одноразовые числа менее надёжны. Выбирайте AES-GCM-SIV, если существует риск повторного использования одноразовых чисел. Выбирайте AEGIS, если приоритетом является максимальная пропускная способность при гарантированном наличии AES-NI. Никогда не выбирайте режимы без AEAD для новых систем.

Микросервис без состояния развёрнут на нескольких репликах, должен шифровать данные и не может согласовать общий счётчик одноразовых чисел. Какой режим AEAD наиболее подходит?

AES-GCM — выбор по умолчанию. ChaCha20-Poly1305 подходит для сред без AES-NI. AES-GCM-SIV предназначен для сред, где безопасность одноразовых чисел не гарантирована. AEGIS обеспечивает максимальную пропускную способность при гарантированном наличии AES-NI. Используйте библиотеки, такие как libsodium или Tink, вместо ручной композиции примитивов. Всегда проверяйте реализацию по официальным тестовым векторам и убеждайтесь, что сбои аутентификации обрабатываются правильно.