Почему шифрование с последующим MAC лучше обратного порядка

При сочетании шифрования и MAC возможны три порядка: шифрование, затем MAC (EtM); MAC, затем шифрование (MtE); шифрование и MAC (E&M). Каждый из них обладает принципиально разными свойствами безопасности, и только один доказуемо безопасен во всех случаях.

При схеме шифрования с последующим MAC (EtM) открытый текст сначала шифруется, чтобы получить шифртекст, а затем MAC вычисляется для этого шифртекста. Получатель может проверить MAC до попытки расшифрования, поэтому изменённое сообщение немедленно отклоняется и не раскрывает никакой информации.

При схеме MAC с последующим шифрованием (MtE) MAC вычисляется для открытого текста, после чего открытый текст и MAC шифруются вместе. Получатель должен расшифровать сообщение, прежде чем сможет проверить MAC, что открывает возможность атак с использованием оракула дополнения и оракула расшифрования.

SSL 3.0 и TLS 1.0 использовали порядок MAC с последующим шифрованием для блочных шифров в режиме CBC. Этот недостаток конструкции использовали в атаке BEAST в 2011 году и атаке POODLE в 2014 году. Обе атаки задействовали оракул, возникающий, когда расшифрование выполняется до проверки MAC.

В 2000 году Белларе и Нампремпре формально доказали, что из трёх порядков сочетания только шифрование с последующим MAC обеспечивает безопасность IND-CCA2 (защиту от атак с выбранным шифртекстом) для любых сочетаний надёжных примитивов шифрования и MAC. MtE и E&M могут оказаться небезопасными в определённых сочетаниях.

SSH использует схему шифрования и MAC: MAC вычисляется для открытого текста и передаётся вместе с шифртекстом в открытом виде. Хотя SSH не подвергался таким же атакам, как SSL/TLS при использовании MtE, эта схема также теоретически небезопасна, поскольку незашифрованный MAC может раскрывать информацию об открытом тексте.

Аутентифицированное шифрование со связанными данными (AEAD) — это современная абстракция, которая изначально решает проблему сочетания примитивов. AEAD объединяет шифрование и аутентификацию в одном примитиве, гарантируя их правильное сочетание и избавляя разработчика от необходимости выбирать порядок сочетания.

AES-GCM (режим Галуа/счётчика) — наиболее широко применяемый набор шифров AEAD. Он обеспечивает аутентифицированное шифрование за счёт сочетания шифрования в режиме CTR и аутентификации GHASH, а на современных процессорах получает аппаратное ускорение благодаря инструкциям AES-NI и CLMUL.

TLS 1.3 решительно порвал с прошлым, удалив все наборы шифров, не использующие AEAD. Каждый набор шифров TLS 1.3 использует AEAD, устраняя целые категории уязвимостей, вызванных неправильным ручным сочетанием примитивов шифрования и MAC, которые преследовали более ранние версии TLS.

Главный урок десятилетий криптографических атак состоит в том, что ручное сочетание примитивов шифрования и MAC приводит к ошибкам даже у экспертов. Современные криптографические библиотеки предоставляют интерфейсы AEAD специально для того, чтобы разработчики не допускали ошибок при сочетании примитивов, приводящих к уязвимостям в реальных системах.

При создании систем сегодня всегда выбирайте примитив AEAD, например AES-GCM или ChaCha20-Poly1305. Если необходимо обеспечить взаимодействие с устаревшими системами, использующими отдельные MAC и шифрование, убедитесь, что применяется порядок шифрования с последующим MAC, а не MtE или E&M.

Какое утверждение правильно описывает различие в безопасности между шифрованием с последующим MAC и MAC с последующим шифрованием?

EtM — единственный доказуемо безопасный порядок сочетания отдельных примитивов шифрования и MAC. TLS 1.3 полностью устраняет эту проблему, требуя наборы шифров только с AEAD. Если Вы сомневаетесь, используйте примитив AEAD, например AES-GCM или ChaCha20-Poly1305, и позвольте библиотеке правильно выполнить сочетание примитивов.