Симметричное шифрование: AES и потоковые шифры

Симметричное шифрование использует один и тот же ключ для шифрования и расшифрования. Оно быстрое и эффективное, поэтому идеально подходит для шифрования больших объёмов данных. Основная проблема — распространение ключа: как двум сторонам безопасно обменяться им.

AES — мировой стандарт симметричного шифрования, принятый NIST в 2001 году. Он работает с блоками размером 128 бит и ключами длиной 128, 192 или 256 бит. AES используется в TLS, шифровании дисков, Wi-Fi (WPA2) и множестве других протоколов.

Режимы блочного шифра определяют, как AES обрабатывает данные, размер которых превышает один блок:

• ECB — каждый блок шифруется независимо (небезопасно: раскрывает закономерности)
• CBC — каждый блок объединяется с предыдущим шифротекстом операцией XOR (требует вектор инициализации)
• GCM — аутентифицированное шифрование, обеспечивающее конфиденциальность и целостность (предпочтительный вариант)
• CTR — превращает блочный шифр в потоковый

AES-GCM обеспечивает аутентифицированное шифрование с дополнительными данными (AEAD): шифрование и проверка целостности выполняются за одну операцию. Любое изменение шифротекста обнаруживается. Этот режим используется в TLS 1.3 и современных протоколах. Для новых систем всегда выбирайте GCM вместо CBC.

Потоковые шифры шифруют данные по одному биту или байту, объединяя открытый текст с псевдослучайным потоком ключа операцией XOR. Примеры: RC4 (скомпрометирован), ChaCha20 (современный, используется в TLS 1.3). Потоковые шифры эффективны для данных переменной длины и сред с ограниченными ресурсами оборудования.

ChaCha20-Poly1305 — современный шифр AEAD, используемый в TLS 1.3 и WireGuard. ChaCha20 — потоковый шифр, а Poly1305 формирует тег аутентификации. Он работает производительнее AES на устройствах без аппаратного ускорения AES (мобильных устройствах и устройствах интернета вещей).

Обе стороны должны иметь один и тот же ключ, но как безопасно им обменяться? Возможны следующие варианты:

• Предварительно распределённый ключ (физическая передача)
• Инкапсуляция ключа с помощью асимметричного шифрования
• Обмен ключами Diffie-Hellman по недоверенному каналу

AES-128 обеспечивает достаточный уровень безопасности для большинства применений. AES-256 используется для совершенно секретных данных и с учётом постквантовых угроз. Дополнительные накладные расходы AES-256 по сравнению с AES-128 минимальны при аппаратном ускорении (инструкциях CPU AES-NI).

Примеры применения симметричного шифрования:

Полное шифрование диска (FDE) использует симметричное шифрование для защиты данных в состоянии покоя:

• BitLocker (Windows) — AES-XTS-128 или 256
• FileVault 2 (macOS) — AES-XTS-128
• LUKS (Linux) — настраиваемое, обычно AES-XTS-256

Никогда не используйте следующие алгоритмы в новых системах:

• DES — ключ длиной 56 бит, скомпрометирован с 1999 года
• 3DES — медленный, устарел в TLS
• RC4 — потоковый шифр с многочисленными уязвимостями
• Режим ECB — раскрывает закономерности данных («пингвин ECB»)

Какой режим AES обеспечивает и конфиденциальность, и целостность (аутентифицированное шифрование) и считается предпочтительным в современных протоколах?

Симметричное шифрование использует один ключ для шифрования и расшифрования. AES является стандартом, а для аутентифицированного шифрования предпочтителен режим GCM. ChaCha20-Poly1305 — современная альтернатива для устройств с ограниченными ресурсами. Избегайте DES, 3DES, RC4 и режима ECB. Для распределения ключей требуется асимметричная криптография или Diffie-Hellman.