CMAC และ Poly1305: MAC ด้วยรหัสเข้ารหัสแบบบล็อก

รหัสยืนยันความถูกต้องของข้อความ (MAC) รับกุญแจและข้อความ แล้วสร้างแท็กขึ้นมา แท็กนี้ยืนยันว่าข้อความไม่ได้ถูกแก้ไข และสร้างขึ้นโดยผู้ที่ถือกุญแจ

HMAC ใช้ฟังก์ชันแฮชเป็นองค์ประกอบพื้นฐาน ส่วน CMAC และ Poly1305 ใช้รหัสแบบบล็อกหรือคณิตศาสตร์พหุนามแทน MAC แบบรหัสบล็อกไม่ต้องพึ่งพาฟังก์ชันแฮช และทำงานร่วมกับฮาร์ดแวร์ AES ได้อย่างเป็นธรรมชาติ

CMAC (MAC ที่อาศัยรหัส) กำหนดไว้ใน NIST SP 800-38B โดยเติมข้อมูลให้ข้อความมีขนาดตรงกับขอบเขตบล็อก อนุมานกุญแจย่อยสองชุด K1/K2 จากรหัส ทำ XOR กุญแจเหล่านั้นเข้ากับบล็อกสุดท้าย แล้วทำงานในโหมด CBC โดยไม่จัดเก็บข้อความเข้ารหัสระหว่างทาง

K1 = AES_K(0^128) เลื่อนบิตไปทางซ้าย 1 บิต แล้วทำ XOR กับค่าคงที่หาก MSB เป็น 1 ส่วน K2 จะถูกเลื่อนในลักษณะเดียวกันจาก K1 กุญแจย่อยเหล่านี้ผูกบล็อกสุดท้ายที่ไม่เต็มบล็อกให้ปลอดภัยจากการขยายความยาว

Poly1305 คือกลไกยืนยันความถูกต้องแบบใช้ครั้งเดียวที่ออกแบบโดย Daniel Bernstein โดยคำนวณพหุนามเหนือจำนวนเฉพาะ 2^130-5 มองข้อความเป็นสัมประสิทธิ์ของพหุนาม และใช้คู่กุญแจแบบใช้ครั้งเดียว (r, s)

Tag = (ผลรวมของ (m_i * r^i) mod 2^130-5) + s mod 2^128 กุญแจ r จะถูกจำกัดค่าไว้ที่ 22 บิตเฉพาะเพื่อป้องกันการโจมตีตามเวลา ส่วน s เป็นมาสก์สำหรับการบวกแบบใช้ครั้งเดียวขนาด 16 ไบต์

Poly1305 มักใช้งานคู่กับ ChaCha20 แทบทุกครั้ง ChaCha20 สร้าง (r, s) แบบใช้ครั้งเดียวจากกระแสกุญแจของรหัสสตรีม ทำให้ชุดรูปแบบ AEAD ที่รวมกันนี้มีความปลอดภัยที่พิสูจน์ได้และทำงานได้รวดเร็วมากบน CPU ของ ARM/อุปกรณ์เคลื่อนที่

AES-GCM ใช้ GHASH ในการยืนยันความถูกต้อง ซึ่งเป็น MAC แบบพหุนามเหนือ GF(2^128) ส่วน AES-CMAC เรียบง่ายกว่า และใช้ใน IEEE 802.11i (WPA2) รวมถึงชุดรหัสของ TLS 1.2 GCM ให้ทั้งการเข้ารหัสและการยืนยันความถูกต้องในรอบการทำงานเดียว

Poly1305 บน ARM Cortex-A ใช้เวลาประมาณ 1 รอบสัญญาณนาฬิกาต่อไบต์โดยใช้อินทรินสิกของ NEON ส่วน AES-CMAC ต้องดำเนินการกับบล็อก AES หนึ่งครั้งต่อบล็อกขนาด 16 ไบต์ สำหรับข้อมูลปริมาณมาก Poly1305 ทำงานได้เร็วกว่า CMAC บนฮาร์ดแวร์ที่ไม่มี AES-NI

CMAC ไม่สามารถปลอมแปลงได้ในเชิงการมีอยู่ภายใต้การโจมตีด้วยข้อความที่เลือก หากสมมติว่า AES เป็นการเรียงสับเปลี่ยนสุ่มเทียม Poly1305 มีความปลอดภัยเชิงสารสนเทศเมื่อใช้กุญแจแบบใช้ครั้งเดียวที่สุ่มอย่างแท้จริง โดยความน่าจะเป็นของการปลอมแปลงสูงสุดคือ 8*ceil(L/16)/2^106

CMAC: WPA2, S/MIME และความถูกต้องของระบบไฟล์ Poly1305: TLS 1.3 ผ่าน ChaCha20-Poly1305, WireGuard VPN, Signal Protocol และ Noise Protocol Framework ทั้งสองแบบถูกใช้งานอย่างแพร่หลายในระบบสมัยใหม่ที่มีความปลอดภัยสูง

คุณได้เรียนรู้โครงสร้างของ CMAC ที่อาศัย CBC และคณิตศาสตร์พหุนามของ Poly1305 แล้ว ทั้งสองเป็น MAC ที่ทำงานด้วยเวลาคงที่และมีความปลอดภัย ซึ่งใช้ในโพรโทคอลจริง ขั้นต่อไป: TLS/HTTPS และวิธีที่องค์ประกอบพื้นฐานทั้งหมดทำงานร่วมกัน