SIV Modu: Tekrar Kullanılan Nonce'lara Dayanıklı AEAD

CTR kipi tabanlı AES-GCM gibi AEAD şifreleri, her şifreleme için benzersiz bir tek kullanımlık değer gerektirir. Aynı tek kullanımlık değer aynı anahtarla yeniden kullanılırsa iki şifreli metni gözlemleyen bir saldırgan, bunlara XOR işlemi uygulayarak iki düz metnin XOR işlemi sonucunu elde edebilir ve gizliliği hemen bozabilir.

AES-GCM'de tek kullanımlık değerin yeniden kullanılması, düz CTR kipindekinden bile daha yıkıcıdır. İki ileti aynı tek kullanımlık değer ve anahtar altında şifrelenirse saldırgan, GHASH kimlik doğrulama anahtarı H'yi bütünüyle elde edebilir. H bilindiğinde saldırgan, istediği kimliği doğrulanmış iletiyi sahte olarak oluşturabilir.

RFC 5297'de tanımlanan sentetik başlatma vektörü (SIV) kipi, tek kullanımlık değerlerin yeniden kullanılmasından kaynaklanan güvenlik açıklarını ortadan kaldırmak için tasarlanmıştır. Rastgele veya sayaç tabanlı bir tek kullanımlık değer gerektirmek yerine SIV, başlatma vektörünü sözde rastgele bir işlev kullanarak düz metinden sentetik olarak türetir; böylece belirlenimci hâle gelir ve tek kullanımlık değerlerin yanlış kullanımına dayanıklı olur.

SIV'de tek kullanımlık değer (sentetik başlatma vektörü) SIV = PRF(key, plaintext, associated_data) olarak hesaplanır. Bu başlatma vektörü daha sonra CTR kipi şifrelemesi için sayaç olarak kullanılır. Başlatma vektörü düz metinden türetildiği için aynı düz metni şifrelemek her zaman aynı şifreli metni üretir.

SIV'de aynı açık metin iki kez şifrelendiği için bir tek kullanımlık değer yeniden kullanılırsa gözlemci yalnızca iki özdeş iletinin gönderildiğini öğrenir. Açık metnin içeriği gizli kalır. Bu, tek kullanımlık değerin yeniden kullanılmasının açık metin XOR'unu açığa çıkardığı CTR tabanlı AEAD'ye kıyasla çarpıcı bir iyileşmedir.

AES-SIV (RFC 5297), sentetik IV'yi oluşturmak için S2V işlevini (AES-CMAC tabanlı, zincirleme bir PRF) kullanır; ardından ikinci bir alt anahtarla anahtarlanan AES-CTR şifrelemesini uygular. İki AES anahtarı gerektirdiğinden anahtar yönetimi, tek anahtarlı AEAD kiplerine kıyasla biraz daha karmaşıktır.

AES-GCM-SIV (RFC 8452), GCM performansını SIV benzeri güvenlikle birleştirmek üzere tasarlanmış, daha verimli ve tek kullanımlık değerlerin hatalı kullanımına dayanıklı bir AEAD'dir. İleti başına alt anahtarları tek kullanımlık değerden türetir ve Polyval doğrulayıcısını kullanır. Böylece AES-SIV'den daha iyi performans elde ederken tek kullanımlık değerlerin hatalı kullanımına karşı dayanıklılığı korur.

SIV, veriler üzerinde iki geçiş gerektirir: biri sentetik IV'yi hesaplamak, diğeri şifreleme yapmak içindir. Bu, AES-GCM gibi tek geçişli AEAD kiplerine kıyasla hesaplama maliyetini yaklaşık iki katına çıkarır. Gecikmeye duyarlı veya yüksek aktarım hızına sahip uygulamalarda bu ek yük dikkate alınmalıdır.

SIV; tek kullanımlık değer üretimi güvenilir olmadığında, uygulama durum bilgisi tutmadığında ve bir tek kullanımlık değer sayacını sürdüremediğinde ya da belirlenimci şifreleme bir gereksinim olduğunda tercih edilir. Örneğin, dizinleme amacıyla aynı değerin her zaman aynı şifreli metni üretmesinin istendiği veritabanı alanlarının şifrelenmesi buna örnektir.

Replikalar arasında tek kullanımlık değer durumunu eşgüdümleyemeyen durum bilgisi tutmayan mikro hizmetler, SIV kipi için en uygun adaylardır. Genel bir sayaç aracılığıyla tek kullanımlık değerlerin yanlışlıkla yeniden kullanılmasını göze almak yerine SIV güvenliği otomatik olarak sağlar. Anahtar sarmalama (RFC 3394) da belirlenimci anahtar şifreleme için SIV ilkelerini kullanır.

AES-SIV, libsodium (yeni sürümlerinde crypto_aead_aes256gcm_siv olarak) ve Google Tink dahil olmak üzere başlıca kriptografi kütüphanelerinde kullanılabilir. AES-GCM-SIV, BoringSSL ve Go standart kütüphanesi tarafından desteklenir. Tek kullanımlık değer yönetimi zor olduğunda bunlar, standart AES-GCM'den daha güvenli varsayılanlardır.

Aynı anahtar AES-SIV ile aynı açık metni iki kez şifrelemek için kullanıldığında ne olur?

SIV kipi, IV'yi açık metnin kendisinden türeterek tek kullanımlık değerlerin yeniden kullanılmasından kaynaklanan felaketleri ortadan kaldırır. Tek kullanımlık değerlerin yeniden kullanılması yalnızca özdeş iletilerin gönderildiğini açığa çıkarır, içeriklerini değil. AES-GCM-SIV (RFC 8452), durum bilgisi tutmayan veya belirlenimci şifrelemenin gerektiği modern uygulamalar için verimli bir tek kullanımlık değer hatalı kullanımına dayanıklılık sağlar.