Şifrele- sonra-MAC, MAC- sonra-Şifrelemeden Neden Daha İyidir

Şifreleme ile bir MAC birleştirilirken üç sıralama vardır: Önce Şifrele-Sonra MAC (EtM), MAC-Sonra Şifrele (MtE) ve Şifrele ve MAC (E&M). Her birinin güvenlik özellikleri temelden farklıdır ve tüm koşullarda kanıtlanabilir biçimde güvenli olan yalnızca bir tanesidir.

Önce Şifrele-Sonra MAC yönteminde düz metin önce şifrelenerek şifreli metin elde edilir, ardından MAC bu şifreli metin üzerinden hesaplanır. Alıcı, şifre çözmeyi denemeden önce MAC'yi doğrulayabilir; bu da kurcalanmış bir iletinin bilgi açığa çıkmadan hemen reddedilmesini sağlar.

MAC-Sonra Şifrele yönteminde MAC, düz metin üzerinden hesaplanır; ardından düz metin ile MAC birlikte şifrelenir. Alıcı, MAC'yi doğrulayabilmek için önce iletinin şifresini çözmek zorundadır. Bu durum, dolgu kehaneti ve şifre çözme kehaneti saldırılarına kapı aralar.

SSL 3.0 ve TLS 1.0, CBC kipindeki blok şifreleri için MAC-Sonra Şifrele sıralamasını kullanıyordu. Bu tasarım kusurundan 2011'deki BEAST saldırısı ve 2014'teki POODLE saldırısı yararlandı; her ikisi de şifre çözmenin MAC doğrulamasından önce gerçekleşmesiyle ortaya çıkan kehaneti kullandı.

Bellare ve Namprempre, 2000 yılında üç birleştirme sıralaması arasından yalnızca Önce Şifrele-Sonra MAC yönteminin, güvenli şifreleme ve MAC ilkellerinin tüm birleşimleri için IND-CCA2 güvenliği (seçilmiş şifreli metin güvenliği) sağladığını biçimsel olarak kanıtladı. MAC-Sonra Şifrele ve Şifrele ve MAC, belirli birleşimlerde başarısız olabilir.

SSH, Şifrele ve MAC yöntemini kullanır: MAC düz metin üzerinden hesaplanır ve şifreli metnin yanında düz metin biçiminde gönderilir. SSH, SSL/TLS'nin MAC-Sonra Şifrele yöntemindekiyle aynı saldırılara maruz kalmamış olsa da bu birleştirme kuramsal olarak kusurludur; çünkü şifrelenmemiş MAC üzerinden düz metin bilgisi sızdırabilir.

İlişkili Verilerle Kimliği Doğrulanmış Şifreleme (AEAD), birleştirme sorununu tasarım gereği çözen modern soyutlamadır. AEAD, şifreleme ile kimlik doğrulamayı tek bir ilkelde birleştirir ve geliştiricinin birleştirme sıralaması seçmesini gerektirmeden bunların her zaman doğru biçimde bir araya getirilmesini sağlar.

AES-GCM (Galois/Sayaç Kipi), en yaygın kullanılan AEAD şifre takımıdır. CTR kipi şifrelemesi ile GHASH kimlik doğrulamasını birleştirerek kimliği doğrulanmış şifreleme sağlar ve modern CPU'larda AES-NI ile CLMUL yönergeleri aracılığıyla donanım hızlandırmasından yararlanır.

TLS 1.3, AEAD dışındaki tüm şifre takımlarını kaldırarak geçmişten kesin bir kopuş yaptı. Her TLS 1.3 şifre takımı AEAD kullanır; böylece önceki TLS sürümlerini etkileyen, şifreleme ve MAC ilkellerinin yanlış biçimde elle birleştirilmesinden kaynaklanan bütün güvenlik açığı sınıfları ortadan kaldırılır.

Onlarca yıllık kriptografik saldırıların temel dersi, şifreleme ve MAC ilkellerini elle birleştirmenin uzmanlar için bile hataya açık olduğudur. Modern kriptografi kitaplıkları, geliştiricilerin gerçek dünyada güvenlik açıklarına yol açan birleştirme hataları yapmasını önlemek amacıyla özellikle AEAD arabirimleri sunar.

Günümüzde sistemler oluştururken AES-GCM veya ChaCha20-Poly1305 gibi bir AEAD ilkelini her zaman tercih edin. Ayrı MAC ve şifreleme kullanan eski sistemlerle birlikte çalışmanız gerekiyorsa Önce Şifrele-Sonra MAC sıralamasını kullandığınızdan ve MAC-Sonra Şifrele veya Şifrele ve MAC yöntemlerini kesinlikle kullanmadığınızdan emin olun.

Önce Şifrele-Sonra MAC, ayrı şifreleme ve MAC ilkelleri için kanıtlanabilir biçimde güvenli olan tek birleştirme sıralamasıdır. TLS 1.3, yalnızca AEAD kullanan şifre takımlarını zorunlu kılarak sorunu tamamen ortadan kaldırır. Şüpheye düştüğünüzde AES-GCM veya ChaCha20-Poly1305 gibi bir AEAD ilkelini kullanın ve birleştirmenin doğru biçimde yapılmasını kitaplığa bırakın.