Cifrado autenticado

El cifrado autenticado con datos asociados (AEAD) es una variante del cifrado autenticado (AE) que permite que el mensaje incluya "datos asociados" (AD, información adicional no confidencial, también conocida como "datos autenticados adicionales", AAD). Un destinatario puede verificar la integridad tanto de los datos asociados como de la información confidencial en un mensaje. AD es útil, por ejemplo, en paquetes de red donde la cabecera debe ser visible para el enrutamiento , pero la carga útil debe ser confidencial, y ambas requieren integridad y autenticidad . El concepto de AEAD fue formalizado por Rogaway (2002). ^{[ 3 ]}

AE fue diseñado originalmente principalmente para proporcionar la integridad del texto cifrado: la validación exitosa de una etiqueta de autenticación por parte de Alice usando su clave simétrica K _A indica que el mensaje no fue manipulado por un adversario Mallory que no posee K _A . Los esquemas AE generalmente no proporcionan el compromiso de clave , una garantía de que el descifrado fallaría para cualquier otra clave. ^{[ 14 ]} A partir de 2021, la mayoría de los esquemas AE existentes (incluido el muy popular GCM) permiten que algunos mensajes se descifren sin un error usando más que solo la (correcta) K _A ; si bien el texto plano descifrado usando una segunda clave (incorrecta) K _M será incorrecto, la etiqueta de autenticación aún coincidiría con el nuevo texto plano. ^{[ 15 ]} Dado que crear un mensaje con tal propiedad requiere que Mallory ya posea tanto K _A como K _M , el problema podría parecer de interés puramente académico. ^{[ 16 ]} Sin embargo, en circunstancias especiales, se pueden realizar ataques prácticos contra implementaciones vulnerables. Por ejemplo, si un protocolo de autenticación de identidad se basa en el descifrado exitoso de un mensaje que utiliza una clave basada en contraseña, la capacidad de Mallory para crear un único mensaje que se descifre con éxito utilizando 1000 claves diferentes asociadas a contraseñas potenciales débiles y, por lo tanto, conocidas por ella, puede acelerar su búsqueda de contraseñas en un factor de casi 1000. Para que este ataque de diccionario tenga éxito, Mallory también necesita la capacidad de distinguir un descifrado exitoso por parte de Alice de uno fallido, debido, por ejemplo, a un diseño o implementación deficiente del protocolo que convierte al bando de Alice en un oráculo . Naturalmente, este ataque no se puede llevar a cabo en absoluto cuando las claves se generan aleatoriamente. ^{[ 17 ]}

El compromiso de clave fue estudiado originalmente en la década de 2010 por Abdalla et al. ^{[ 18 ]} y Farshim et al. ^{[ 19 ]} bajo el nombre de "cifrado robusto". ^{[ 16 ] [ 20 ]}

Para mitigar el ataque descrito anteriormente sin eliminar el "oráculo", se puede utilizar un AEAD de confirmación de clave que no permita la existencia de este tipo de mensajes manipulados. AEGIS es un ejemplo de AEAD de confirmación de clave rápido (si el conjunto de instrucciones AES está presente). ^{[ 21 ]} Es posible añadir la confirmación de clave a un esquema AEAD existente. ^{[ 22 ] [ 23 ]}

El cifrado autenticado resistente al uso indebido (MRAE) tiene la propiedad adicional de que reutilizar el mismo nonce para varios mensajes no permite que un atacante recupere el texto plano. MRAE fue formalizado en 2006 por Phillip Rogaway y Thomas Shrimpton. ^{[ 24 ]} Un ejemplo de un algoritmo MRAE es AES-GCM-SIV .

El texto plano se cifra primero y luego se genera un MAC basado en el texto cifrado resultante. El texto cifrado y su MAC se envían juntos. ETM es el método estándar según ISO/IEC 19772:2009. ^{[ 9 ]} Es el único método que puede alcanzar la definición más alta de seguridad en AE, pero esto solo se puede lograr cuando el MAC utilizado es "fuertemente infalsificable". ^{[ 25 ]}

IPSec adoptó EtM en 2005. ^{[ 26 ]} En noviembre de 2014, TLS y DTLS recibieron extensiones para EtM con RFC 7366. También existen varios conjuntos de cifrado EtM para SSHv2 (por ejemplo, hmac-sha1-etm@openssh.com).

Se genera un MAC a partir del texto plano, y este se cifra sin el MAC. El MAC del texto plano y el texto cifrado se envían juntos. Se utiliza, por ejemplo, en SSH . ^{[ 27 ]} Aunque no se ha demostrado que el enfoque E&M sea fuertemente infalsificable en sí mismo, ^{[ 25 ]} es posible aplicar algunas modificaciones menores a SSH para hacerlo fuertemente infalsificable a pesar de dicho enfoque. ^{[ 28 ]}

Se genera un MAC a partir del texto plano; luego, el texto plano y el MAC se cifran conjuntamente para producir un texto cifrado basado en ambos. El texto cifrado (que contiene un MAC cifrado) se envía. Hasta TLS 1.2, todos los conjuntos de cifrado SSL/TLS disponibles eran MtE. ^{[ 29 ]}

No se ha demostrado que MtE sea infalsificable en sí mismo. ^{[ 25 ]} Krawczyk demostró que la implementación de SSL/TLS es infalsificable , al mostrar que SSL/TLS era, de hecho, seguro debido a la codificación utilizada junto con el mecanismo MtE. ^{[ 30 ]} Sin embargo, la prueba de Krawczyk contiene suposiciones erróneas sobre la aleatoriedad del vector de inicialización (IV). El ataque BEAST de 2011 explotó el IV encadenado no aleatorio y rompió todos los algoritmos CBC en TLS 1.0 y versiones anteriores. ^{[ 31 ]}

Además, un análisis más profundo de SSL/TLS modeló la protección como MAC-luego-relleno-luego-cifrado, es decir, el texto plano se rellena primero hasta alcanzar el tamaño de bloque de la función de cifrado. Los errores de relleno a menudo dan lugar a errores detectables en el lado del receptor, lo que a su vez conduce a ataques de oráculo de relleno , como Lucky Thirteen .