Üretim Sistemleri için AEAD Seçimi

AES-GCM, üretim sistemlerinin çoğu için doğru varsayılan AEAD seçeneğidir. Neredeyse tüm modern x86 ve ARM64 işlemcilerinde AES-NI aracılığıyla donanım hızlandırmasından yararlanır, TLS yığınları ve kriptografi kütüphaneleri arasında geniş ölçüde desteklenir ve kapsamlı kriptanaliz ile gerçek dünya dağıtımlarından edinilmiş deneyimden yararlanır.

AES-GCM, 96 bitlik bir tek kullanımlık değer kullanır. Rastgele üretilen tek kullanımlık değerlerde aynı anahtar altında yaklaşık 2^32 ileti sonrasında doğum günü sınırına ulaşılır; bu noktada çakışma olasılığı göz ardı edilemeyecek hale gelir. Yüksek hacimli sistemlerde sayaç aracılığıyla tek kullanımlık değer yönetimi yapılması veya 2^32 ileti sonrasında anahtar döndürülmesi zorunludur.

AES-NI kullanılabilir olmadığında veya tek kullanımlık değer üretimi güvenilir olmayabileceğinde ChaCha20-Poly1305 doğru tercihtir. Yazılımda hızlıdır, tasarımı gereği sabit süreli çalışır (zamanlama yan kanallarına dayanıklıdır) ve AES donanım desteği bulunmayan ortamlar için TLS 1.3'te zorunlu şifre takımıdır.

Tek kullanımlık değerlerin yeniden kullanılabileceği veya durum bilgisi tutmayan hizmetlerde ya da anahtar sarmalamada olduğu gibi belirlenimci olarak üretilmesi gerektiği durumlarda AES-GCM-SIV (RFC 8452) doğru tercihtir. Standart AES-GCM'ye kıyasla makul bir performans maliyeti karşılığında tek kullanımlık değerlerin hatalı kullanımına dayanıklılık sağlar.

Tüm dağıtım hedeflerinde AES-NI bulunacağı garanti edilmişse ve maksimum şifreleme aktarım hızı gerekiyorsa doğru tercih AEGIS-128L'dir. Yüksek bant genişlikli ağ cihazları, VPN yoğunlaştırıcıları ve depolama şifreleme sistemleri, AEGIS'in AES-GCM'ye kıyasla anlamlı performans kazanımları sağladığı en uygun adaylardır.

AES-128, günümüzdeki ve öngörülebilir gelecekteki tüm klasik hesaplama tehditleri için yeterli kabul edilen 128 bitlik güvenlik sağlar. AES-256, gelecekteki gelişmelere karşı ek güvenlik payı sunar ve bazı uyumluluk çerçeveleri için gereklidir; örneğin NSA Suite B kapsamındaki TOP SECRET sınıflandırması. Çoğu uygulama için AES-128 yeterlidir ve biraz daha hızlıdır.

AES-GCM 96 bitlik tek kullanımlık değerler kullanırken AES-GCM-SIV de 96 bitlik tek kullanımlık değerler kullanır. XSalsa20 (libsodium'da kullanılan secretbox) 192 bitlik tek kullanımlık değerler kullanır; bu da aynı anahtar altında çok daha fazla ileti için rastgele tek kullanımlık değer üretimini güvenli hale getirir. Daha büyük tek kullanımlık değerler, yüksek hacimli sistemlerde yanlışlıkla yeniden kullanım riskini azaltır.

İlkel yapı taşlarını doğrudan uygulamak yerine köklü AEAD kütüphanelerini kullanın. libsodium basit bir AEAD API'si sağlar (crypto_aead_aes256gcm_encrypt, crypto_aead_chacha20poly1305_ietf_encrypt). Google Tink, AEAD yapı taşlarını anahtar döndürme ve sürüm oluşturma özellikleriyle sarar. Dile özgü TLS kütüphaneleri, aktarım güvenliği için AEAD'yi otomatik olarak yönetir.

Ayrı bir HMAC-SHA256 kullanan AES-CBC (EtM sıralamasında) kabul edilebilir, ancak eski bir yaklaşımdır. AES-GCM'ye geçiş, iki yapı taşını tek bir yapı taşıyla değiştirerek uygulamayı basitleştirir ve hatalı birleştirme riskini ortadan kaldırır. CBC-HMAC ile şifrelenmiş depolanan veriler, planlı anahtar döndürme sırasında AES-GCM ile yeniden şifrelenmelidir.

AEAD uygulamaları, NIST'ten (AES-GCM için) ve RFC 8439'dan (ChaCha20-Poly1305 için) alınan resmi sınama vektörlerine karşı sınanmalıdır. Kimlik doğrulama etiketi doğrulamasındaki başarısızlıkların, şifre çözme işleminin kısmi açık metin döndürmek yerine hata döndürmesine yol açtığını her zaman sınayın. Hataların yanlış ele alınması yaygın bir uygulama kusurudur.

AES-NI mevcutsa ve tek kullanımlık değerler benzersizse AES-GCM'yi seçin. AES-NI yoksa veya tek kullanımlık değerler daha az güvenilirse ChaCha20-Poly1305'i seçin. Tek kullanımlık değerlerin yeniden kullanılması endişe oluşturuyorsa AES-GCM-SIV'yi seçin. AES-NI'nin bulunacağı garanti edilmişse ve öncelik maksimum aktarım hızıysa AEGIS'i seçin. Yeni sistemler için AEAD olmayan kipleri asla seçmeyin.

Birden çok replikaya dağıtılmış durum bilgisi tutmayan bir mikro hizmet, verileri şifrelemek zorunda ve ortak bir tek kullanımlık değer sayacını eşgüdümleyemiyor. Hangi AEAD kipi en uygundur?

AES-GCM varsayılandır. ChaCha20-Poly1305, AES-NI bulunmayan ortamları kapsar. AES-GCM-SIV, tek kullanımlık değerlerin güvenli olmadığı ortamları ele alır. AES-NI'nin bulunacağı garanti edilmişse AEGIS aktarım hızını en üst düzeye çıkarır. Yapı taşlarını elle birleştirmek yerine libsodium veya Tink gibi kütüphaneleri kullanın. Her zaman resmi sınama vektörlerine karşı sınama yapın ve kimlik doğrulama başarısızlıklarının doğru biçimde ele alındığını doğrulayın.