GCM 与认证加密

AES-GCM 是认证加密的黄金标准。它在一次操作中同时提供机密性和完整性，无需单独执行 HMAC 步骤即可防止篡改。

加密可以提供机密性，但不能提供完整性。拦截 AES-CBC 密文的攻击者可以翻转其中的比特，从而改变解密后的明文，而无需知道密钥。

AEAD 方案输出：密文 + 认证标签。该标签同时认证密文和可选的未加密关联数据（AAD）。任何修改都会使标签失效。

AES-GCM 使用： 1. AES-CTR 进行加密 2. GHASH 进行认证 GHASH 使用 GF(2^128) 中的乘法，对密文 + AAD 计算多项式 MAC。

GHASH(H, A, C) = 使用子密钥 H = AES(K, 0^128) 对 AAD + 密文计算的哈希值。该多项式在 GF(2^128) 中以 H 为自变量求值。结果再与加密后的计数器进行 XOR，形成认证标签。

输入：128/192/256 位密钥、96 位随机数、明文、可选的 AAD 输出：密文（长度与明文相同）、128 位认证标签 该标签通常为 16 字节。不建议将其截短到 12 字节以下。

GCM 要求使用相同密钥进行的每次加密都使用唯一的随机数。96 位随机数是标准做法。处理 2^32 条消息后，发生碰撞的概率会超过 1%。此时应轮换密钥。

在 GCM 中重复使用（密钥、随机数）时，攻击者可以恢复 GHASH 子密钥 H，并伪造带有有效标签的任意密文。这会彻底破坏机密性和完整性。

AAD 是您希望进行认证但不希望加密的元数据： - HTTP 标头：进行认证，以防止响应路由攻击 - 数据库记录 ID：确保密文在正确的记录中解密 - 协议版本：防止降级攻击

from cryptography.hazmat.primitives.ciphers.aead import AESGCM import os key = AESGCM.generate_key(256) nonce = os.urandom(12) aad = b'user_id=12345' aesgcm = AESGCM(key) ct = aesgcm.encrypt(nonce, b'secret', aad) pt = aesgcm.decrypt(nonce, ct, aad) # raises if tampered

ChaCha20-Poly1305 是另一种主要的 AEAD 方案。它用于 TLS 1.3 中不支持 AES-NI 的设备（ARM/移动设备）。它提供与 AES-GCM 类似的安全性，但在没有硬件加速的软件环境中速度更快。

AES-GCM 是认证加密的正确默认选择。接下来，我们将学习流密码：从已经失效的 RC4 到现代的 ChaCha20。