SIV 模式：抵抗随机数误用的 AEAD

基于 CTR 模式的 AEAD 密码（如 AES-GCM）要求每次加密使用唯一的随机数。如果同一密钥下重复使用相同随机数，攻击者观察到两个密文后，可以对它们执行 XOR 运算，从而恢复两个明文的 XOR 值，立即破坏机密性。

AES-GCM 中的随机数重复使用比普通 CTR 模式中的情况更加灾难性。当两条消息使用相同随机数和密钥加密时，攻击者可以完整恢复 GHASH 认证密钥 H。知道 H 后，攻击者可以伪造任意经过认证的消息。

RFC 5297 定义的合成初始向量（SIV）模式旨在消除随机数重复使用漏洞。SIV 不要求使用随机或基于计数器的随机数，而是使用伪随机函数从明文本身合成地派生 IV，因此具有确定性并能抵抗随机数误用。

SIV 中，随机数（称为合成 IV）计算为 SIV = PRF(key, plaintext, associated_data)。随后将该 IV 用作 CTR 模式加密的计数器。由于 IV 从明文派生而来，对相同明文进行加密始终会产生相同密文。

如果因为同一明文被加密两次而在 SIV 中复用了随机数，观察者只能得知发送了两条相同的消息。明文本身的内容仍然是隐藏的。与基于 CTR 的 AEAD 相比，这是一个巨大的改进，因为后者的随机数复用会泄露明文异或结果。

AES-SIV（RFC 5297）使用 S2V 函数（基于 AES-CMAC 的链式 PRF）生成合成 IV，随后使用第二个子密钥进行 AES-CTR 加密。它需要两个 AES 密钥，因此密钥管理比单密钥 AEAD 模式略复杂。

AES-GCM-SIV（RFC 8452）是一种效率更高且能够抵抗随机数误用的 AEAD，旨在结合 GCM 的性能与类似 SIV 的安全性。它根据随机数派生每条消息的子密钥，并使用 Polyval 认证器；在保持随机数误用抵抗能力的同时，其性能优于 AES-SIV。

SIV 需要对数据进行两次遍历：一次用于计算合成 IV，另一次用于加密。与 AES-GCM 等单遍历 AEAD 模式相比，这会使计算成本大约增加一倍。对于注重延迟或高吞吐量的应用，必须考虑这一额外开销。

在随机数生成不可靠、应用是无状态的因而无法维护随机数计数器，或者需要确定性加密时，应优先选择 SIV。例如，对数据库字段进行加密时，如果出于索引目的要求相同的值始终产生相同的密文，就适合使用 SIV。

无法在多个副本之间协调随机数状态的无状态微服务，是 SIV 模式的理想使用场景。SIV 不必依赖全局计数器来避免意外的随机数复用，而是自动提供安全性。密钥封装（RFC 3394）也采用了 SIV 的原则来实现确定性密钥加密。

主要的密码学库都提供 AES-SIV，包括 libsodium（近期版本中的 crypto_aead_aes256gcm_siv）和 Google Tink。BoringSSL 与 Go 标准库支持 AES-GCM-SIV。在随机数管理困难时，相比标准 AES-GCM，这些方案是更安全的默认选择。

SIV 模式通过从明文本身派生 IV，消除了随机数复用造成的灾难性后果。随机数复用只会暴露发送了相同的消息，而不会暴露消息内容。AES-GCM-SIV（RFC 8452）为需要无状态或确定性加密的现代应用提供了高效的随机数误用抵抗能力。