Режим SIV: AEAD с защитой от ошибок использования nonce

Шифры AEAD на основе режима CTR, такие как AES-GCM, требуют уникального одноразового значения для каждого шифрования. Если одно и то же одноразовое значение повторно используется с тем же ключом, атакующий, наблюдающий два шифртекста, может применить к ним XOR и получить XOR двух открытых текстов, немедленно нарушив конфиденциальность.

Повторное использование одноразового значения в AES-GCM ещё опаснее, чем в обычном режиме CTR. Если два сообщения зашифрованы с одним и тем же одноразовым значением и ключом, атакующий может полностью восстановить ключ аутентификации GHASH H. Зная H, атакующий может подделывать произвольные аутентифицированные сообщения.

Режим синтетического вектора инициализации (SIV), определённый в RFC 5297, разработан для устранения уязвимостей, связанных с повторным использованием одноразовых значений. Вместо требования случайного или основанного на счётчике одноразового значения SIV синтетически выводит вектор инициализации из самого открытого текста с помощью псевдослучайной функции, делая режим детерминированным и устойчивым к ошибочному использованию одноразовых значений.

В режиме SIV одноразовое значение, называемое синтетическим вектором инициализации, вычисляется на основе ключа, открытого текста и связанных данных с помощью PRF. Затем этот вектор инициализации используется как счётчик при шифровании в режиме CTR. Поскольку вектор инициализации выводится из открытого текста, шифрование одного и того же открытого текста всегда даёт один и тот же шифртекст.

Если одноразовое число повторно используется в SIV, поскольку один и тот же открытый текст шифруется дважды, наблюдатель узнаёт лишь о том, что были отправлены два одинаковых сообщения. Содержимое открытого текста при этом остаётся скрытым. Это значительно лучше, чем в режимах AEAD на основе CTR, где повторное использование одноразового числа раскрывает XOR открытых текстов.

AES-SIV (RFC 5297) использует функцию S2V — цепочечный PRF на основе AES-CMAC — для создания синтетического вектора инициализации, после чего выполняет шифрование AES-CTR с использованием второго подключа. Для этого требуются два ключа AES, поэтому управление ключами немного сложнее, чем в режимах AEAD с одним ключом.

AES-GCM-SIV (RFC 8452) — более эффективный режим AEAD, устойчивый к неправильному использованию одноразовых чисел и предназначенный для сочетания производительности GCM с безопасностью, подобной SIV. Он выводит подключи для каждого сообщения на основе одноразового числа и использует аутентификатор Polyval, обеспечивая более высокую производительность, чем AES-SIV, при сохранении устойчивости к неправильному использованию одноразовых чисел.

SIV требует двух проходов по данным: один нужен для вычисления синтетического вектора инициализации, второй — для шифрования. По сравнению с однопроходными режимами AEAD, такими как AES-GCM, вычислительные затраты примерно удваиваются. В приложениях, чувствительных к задержке или требующих высокой пропускной способности, эти затраты необходимо учитывать.

SIV следует предпочесть, если генерация одноразовых чисел ненадёжна, приложение не сохраняет состояние и не может поддерживать счётчик одноразовых чисел либо требуется детерминированное шифрование. Например, это подходит для шифрования полей базы данных, когда одно и то же значение должно всегда порождать один и тот же шифротекст для целей индексирования.

Микросервисы без состояния, которые не могут согласовывать состояние одноразовых чисел между репликами, особенно хорошо подходят для режима SIV. Вместо риска случайно повторно использовать одноразовое число из-за общего счётчика SIV автоматически обеспечивает безопасность. Упаковка ключей (RFC 3394) также использует принципы SIV для детерминированного шифрования ключей.

AES-SIV доступен в основных криптографических библиотеках, включая libsodium (в последних версиях — как crypto_aead_aes256gcm_siv) и Google Tink. AES-GCM-SIV поддерживается в BoringSSL и стандартной библиотеке Go. Если управление одноразовыми числами затруднено, эти режимы безопаснее стандартного AES-GCM.

Режим SIV устраняет катастрофические последствия повторного использования одноразовых чисел, выводя вектор инициализации из самого открытого текста. Повторное использование одноразового числа раскрывает лишь факт отправки одинаковых сообщений, но не их содержимое. AES-GCM-SIV (RFC 8452) обеспечивает эффективную устойчивость к неправильному использованию одноразовых чисел в современных приложениях, которым требуется шифрование без состояния или детерминированное шифрование.