El xifratge autenticat (AE) és un esquema de xifratge que assegura simultàniament la confidencialitat de les dades (també coneguda com a privadesa: el missatge xifrat és impossible d'entendre sense el coneixement d'una clau secreta ) i l'autenticitat (és a dir, és infalsable: el missatge xifrat inclou una etiqueta d'autenticació que el remitent només pot calcular mentre posseeix la clau secreta ). Exemples de modes de xifratge que proporcionen AE són GCM, CCM.

Molts (però no tots) esquemes d'AE permeten que el missatge contingui "dades associades" (AD) que no són confidencials, però la seva integritat està protegida (és a dir, és llegible, però es detectarà manipulació). Un exemple típic és la capçalera d'un paquet de xarxa que conté la seva adreça de destinació. Per encaminar correctament el paquet, tots els nodes intermedis de la ruta del missatge han de conèixer la destinació, però per motius de seguretat no poden posseir la clau secreta. Els esquemes que permeten dades associades proporcionen un xifratge autenticat amb dades associades, o AEAD.

Interfície de programació Una interfície de programació típica per a una implementació d'AE ofereix les funcions següents:

Xifratge Entrada: text sense format, clau i, opcionalment, una capçalera (també coneguda com a dades autenticades addicionals, AAD, o dades associades, AD) en text sense xifrar que no es xifrarà, però estarà cobert per la protecció d'autenticitat. Sortida: text xifrat i etiqueta d'autenticació (codi d'autenticació del missatge o MAC). Desxifrat Entrada: text xifrat, clau, etiqueta d'autenticació i, opcionalment, una capçalera (si s'utilitza durant el xifratge). Sortida: text sense format, o un error si l' etiqueta d'autenticació no coincideix amb el text xifrat o la capçalera subministrats.

La part de la capçalera està pensada per proporcionar una protecció d'autenticitat i integritat per a les metadades de xarxa o d'emmagatzematge per a les quals la confidencialitat no és necessària, però es desitja autenticitat.

Història La necessitat d'un xifratge autenticat va sorgir de l'observació que combinar de manera segura la confidencialitat separada i els modes d'operació de xifratge de blocs d'autenticació podria ser propens a errors i difícil. Això es va confirmar per una sèrie d'atacs pràctics introduïts als protocols i aplicacions de producció per una implementació incorrecta o la manca d'autenticació.

Al voltant de l'any 2000, una sèrie d'esforços van evolucionar al voltant de la noció de modes d'estandardització que asseguraven una correcta implementació. En particular, un fort interès pels modes possiblement segurs va ser despertat per la publicació dels modes de Charanjit Jutla, CBC conscient d'integritat i paral·lelització conscient de la integritat, IAPM, l'any 2000 (vegeu OCB i cronologia). Sis modes de xifratge autenticats diferents (és a dir, el mode de llibre de codis compensat 2.0, OCB2,0; Embolcall de claus; comptador amb CBC-MAC, CCM; xifrar després autenticar i després traduir, EAX; xifrar-aleshores-MAC, EtM; i Galois/mode comptador, GCM) s'han normalitzat a ISO/IEC 19772:2009. Es van desenvolupar mètodes de xifratge més autenticats com a resposta a la sol·licitud del NIST. Les funcions d'esponja es poden utilitzar en mode dúplex per proporcionar un xifratge autenticat.

Aproximacions al xifratge autenticat Encriptació i després MAC (EtM) miniatura|Enfocament EtM Primer es xifra el text sense format i després es produeix un MAC basat en el text xifrat resultant. El text xifrat i el seu MAC s'envien conjuntament. ETM és el mètode estàndard segons ISO/IEC 19772:2009. És l'únic mètode que pot assolir la màxima definició de seguretat en AE, però això només es pot aconseguir quan el MAC utilitzat és "fortament infalsable".

IPSec va adoptar EtM el 2005. El novembre de 2014, TLS i DTLS van rebre extensions per a EtM amb . També existeixen diverses suites de xifratge EtM per a SSHv2 (per exemple, [email protected] ). miniatura|Enfocament E&M

Encriptació i MAC (E&M) Es produeix un MAC basat en el text pla, i el text pla es xifra sense el MAC. El MAC del text sense format i el text xifrat s'envien conjuntament. S'utilitza, per exemple, en SSH. Tot i que no s'ha demostrat que l'enfocament E&M sigui fortament infalsable en si mateix, és possible aplicar algunes modificacions menors a SSH per fer-lo fortament imperdible malgrat l'enfocament.

MAC-then-Encrypt (MtE) miniatura|Enfocament MtE Es produeix un MAC basat en el text pla, després el text pla i el MAC es xifren junts per produir un text xifrat basat en tots dos. S'envia el text xifrat (que conté un MAC xifrat). Fins a TLS 1.2, totes les suites de xifratge SSL/TLS disponibles eren MtE.

No s'ha demostrat que MtE sigui fortament infalsable en si mateix. Krawczyk ha demostrat que la implementació SSL/TLS és fortament infalsable, que va demostrar que SSL/TLS era, de fet, segur a causa de la codificació utilitzada juntament amb el mecanisme MtE. Tanmateix, la demostració de Krawczyk conté hipòtesis errònies sobre l'aleatorietat del vector d'inicialització (IV). L'atac BEAST del 2011 va explotar l'IV encadenat no aleatori i va trencar tots els algorismes de CBC a TLS 1.0 o inferior.

A més, una anàlisi més profunda de SSL/TLS va modelar la protecció com a MAC-then-pad-then-encrypt, és a dir, el text sense format s'embotirà primer a la mida de bloc de la funció de xifratge. Els errors de farciment sovint donen lloc a errors detectables per part del destinatari, que al seu torn condueixen a atacs d'oracle de farciment, com ara Lucky Thirteen.

Referències

Categoria:Criptografia