CMAC och Poly1305: MAC med blockchiffer

En Message Authentication Code (MAC) tar en nyckel och ett meddelande och producerar en tagg. Taggen bevisar att meddelandet inte har manipulerats och att det producerats av någon som har nyckeln.

HMAC använder en hashfunktion som primitiv. CMAC och Poly1305 använder i stället blockchiffer respektive polynomaritmetik. MAC:ar baserade på blockchiffer undviker beroendet av hashfunktioner och integreras naturligt med AES-hårdvara.

CMAC (Cipher-based MAC) definieras i NIST SP 800-38B. Meddelandet utfylls till en blockgräns, två delnycklar K1/K2 härleds från chiffret, de XOR:as in i det sista blocket och därefter körs CBC-läge utan att mellanliggande chiffertexter lagras.

K1 = AES_K(0^128) vänsterskiftat 1 bit, XOR:at med en konstant om MSB var 1. K2 = K1 skiftat på motsvarande sätt. Dessa delnycklar binder det sista ofullständiga blocket säkert mot längdexpansion.

Poly1305 är en engångsautentiserare som utformats av Daniel Bernstein. Den evaluerar ett polynom över primtalet 2^130-5, behandlar meddelandet som polynomkoefficienter och använder ett engångsnyckelpar (r, s).

Tagg = (summan av (m_i * r^i) mod 2^130-5) + s mod 2^128. Nyckeln r klampas till 22 specifika bitar för att förhindra tidsattacker. s är en 16 byte stor additionsmask för engångsbruk.

Poly1305 kombineras nästan alltid med ChaCha20. ChaCha20 genererar (r, s) för engångsbruk från strömchiffrets keystream, vilket gör det kombinerade AEAD-schemat bevisat säkert och extremt snabbt på ARM- och mobilprocessorer.

AES-GCM autentiserar med GHASH, en polynomisk MAC över GF(2^128). AES-CMAC är enklare och används i IEEE 802.11i (WPA2) och TLS 1.2:s chiffersviter. GCM ger både kryptering och autentisering i ett enda steg.

Poly1305 på ARM Cortex-A uppnår cirka 1 cykel per byte med NEON-intrinsics. AES-CMAC kräver en AES-blockoperation per 16-byteblock. För stora datamängder överträffar Poly1305 CMAC på hårdvara utan AES-NI.

CMAC är existentialt oförfalskningsbart under en vald meddelandeattack, förutsatt att AES är en pseudorandom permutation. Poly1305 är informationsteoretiskt säkert med en verkligt slumpmässig engångsnyckel – sannolikheten för förfalskning är högst 8*ceil(L/16)/2^106.

CMAC: WPA2, S/MIME och filsystems integritet. Poly1305: TLS 1.3 via ChaCha20-Poly1305, WireGuard VPN, Signal Protocol och Noise Protocol Framework. Båda används brett i moderna system med höga säkerhetskrav.

Du har lärt dig CMAC:s CBC-baserade konstruktion och Poly1305:s polynomaritmetik. Båda är MAC:ar med konstant exekveringstid och hög säkerhet, som används i verkliga protokoll. Nästa steg är TLS/HTTPS och hur alla dessa primitiver kombineras.