Теория шифрования диска

Cipher-block chaining (CBC) — это обычный режим цепочки, в котором перед шифрованием текущего блока к нему применяется операция исключающего ИЛИ с шифротекстом предыдущего блока:

${\displaystyle C_{i}=E_{K}(C_{i-1}\oplus P_{i})}$

Поскольку для первого блока не существует «зашифрованного текста предыдущего блока», то в качестве ${\displaystyle \scriptstyle C_{-1}}$ должен использоваться вектор инициализации (IV). Это, в свою очередь, делает CBC настраиваемым в некоторых отношениях.

CBC страдает от некоторых проблем. Например, если IV являются предсказуемыми, то злоумышленник может оставить «водяной знак» на диске, то есть сохранить специально созданный файл или комбинацию файлов, которые можно идентифицировать даже после шифрования. Точный метод построения водяного знака зависит от точной функции, обеспечивающей IV, но общий рецепт состоит в создании двух зашифрованных секторов, которые имеют идентичные первые блоки ${\displaystyle \scriptstyle b_{1}}$ и ${\displaystyle \scriptstyle b_{2}}$; эти два затем связаны друг с другом с помощью ${\displaystyle \scriptstyle b_{1}\,\oplus \,IV_{1}\;=\;b_{2}\,\oplus \,IV_{2}}$. Таким образом, шифрование ${\displaystyle \scriptstyle b_{1}}$ идентично шифрованию ${\displaystyle \scriptstyle b_{2}}$, что оставляет «водяной знак» на диске.

Для защиты от атаки "водяными знаками "используется шифр или хеш-функция для генерации IV из ключа и текущего номера сектора, так что злоумышленник не может предсказать IV. В частности, подход ESSIV использует блочный шифр в режиме CTR для генерации IV.

ESSIV[2] является методом генерации векторов инициализации для блочного шифра. Типичные методы используют предсказуемые последовательности чисел, основанные, например, на номере сектора или же отметки времени, и позволяют проводить такие атаки как атака «водяными знаками». ESSIV упреждает подобные атаки генерированием векторов инициализации из комбинации номера сектора SN с хэшом ключа, что делает такие векторы непредсказуемыми.

${\displaystyle IV({\textrm {SN}})=E_{s}({\textrm {SN}}),\quad {\textrm {where}}\;\;s={\textrm {hash}}(K)}$

Разработчиком ESSIV является Clemens Fruhwirth. Метод был интегрирован в ядро Linux начиная с версии 2.6.10, хотя аналогичная схема использовалась для генерации IV для шифрования подкачки OpenBSD с 2000 года.[3]

ESSIV поддерживается в качестве опции системами шифрования дисков dm-crypt[4] и FreeOTFE.

Хотя CBC (с или без ESSIV) обеспечивает конфиденциальность, он не гарантирует целостность зашифрованных данных. Если открытый текст известен злоумышленнику, можно изменить каждый второй блок открытого текста на значение, выбранное атакующим, в то время как промежуточные блоки заменяются случайными значениями. Это может быть использовано для практических атак на шифрование диска в режиме CBC или CBC-ESSIV.[5]

Чтобы предотвратить такие сложные атаки, были введены различные режимы работы: настраиваемое узкоблочное шифрование (LRW и XEX) и широкоблочное шифрование (CMC и EME).

В то время как цель обычного блочного шифра ${\displaystyle \scriptstyle E_{K}}$ состоит в том, чтобы имитировать случайную перестановку для любого секретного ключа ${\displaystyle \scriptstyle K}$, цель настраиваемого шифрования ${\displaystyle \scriptstyle E_{K}^{T}}$ состоит в том, чтобы имитировать случайную перестановку для любого секретного ключа ${\displaystyle \scriptstyle K}$ и любой известной настройки ${\displaystyle \scriptstyle T}$. Настраиваемое узкоблочное шифрование (LRW)[6] представляет собой экземпляр режима операций, введенного Лисковым, Ривестом и Вагнером[7] (see Theorem 2). В этом режиме используются два ключа: ${\displaystyle \scriptstyle K}$ это ключ для блочного шифра, а ${\displaystyle \scriptstyle F}$ — это дополнительный ключ того же размера, что и блок. Например, для AES с 256-битным ключом, ${\displaystyle \scriptstyle K}$ — это 256-битное число, а ${\displaystyle \scriptstyle F}$ — это 128-битное число. Шифрование блока ${\displaystyle \scriptstyle P}$ с логическим индексом (настройка) ${\displaystyle \scriptstyle I}$ использует следующую формулу:

${\displaystyle {\begin{aligned}C&=E_{K}(P\oplus X)\oplus X\\X&=F\otimes I\end{aligned}}}$

Здесь умножение ${\displaystyle \scriptstyle \otimes }$ и сложение ${\displaystyle \scriptstyle \oplus }$ выполняются в конечном поле (${\displaystyle \scriptstyle {\text{GF}}\left(2^{128}\right)}$ для AES). С некоторыми предварительными вычислениями требуется только одно умножение на сектор (обратите внимание, что сложение в двоичном конечном поле является простым побитовым сложением, также известным как xor): ${\displaystyle \scriptstyle F\,\otimes \,I\;=\;F\,\otimes \,(I_{0}\,\oplus \,\delta )\;=\;F\,\otimes \,I_{0}\,\oplus \,F\,\otimes \,\delta }$, где ${\displaystyle \scriptstyle F\,\otimes \,\delta }$ предварительно вычисляется для всех возможных значений ${\displaystyle \scriptstyle \delta }$. Этот режим работы требует только одного шифрования на блок и защищает от всех вышеуказанных атак, за исключением незначительной утечки: если пользователь изменяет один блок открытого текста в секторе, то изменяется только один блок шифрованного текста. (Обратите внимание, что это не та же утечка, которую имеет режим ECB: в режиме LRW одинаковые открытые тексты в разных позициях шифруются в разные шифротексты.)

Существуют некоторые проблемы безопасности LRW, и этот режим работы теперь заменен XTS.

LRW используется в BestCrypt и поддерживается в качестве опции для систем шифрования дисков dm-crypt и FreeOTFE.

Основная статья Xor-encrypt-xor

Другой настраиваемый режим шифрования, XEX (xor-encrypt-xor), был разработан Rogaway[8] для обеспечения эффективной обработки последовательных блоков (по отношению к используемому шифру) в пределах одного блока данных (например, сектора диска). Подстройка представляется в виде комбинации адреса сектора и индекса блока внутри сектора (оригинальный режим XEX, предложенный Rogaway[8] допускает несколько индексов). Зашифрованный текст, ${\displaystyle \scriptstyle C}$, получается с использованием:

${\displaystyle {\begin{aligned}X&=E_{K}(I)\otimes \alpha ^{j}\\C&=E_{K}(P\oplus X)\oplus X\end{aligned}}}$

где:

• ${\displaystyle \scriptstyle P}$ является открытым текстом,
• ${\displaystyle \scriptstyle i}$ номер сектора,
• ${\displaystyle \scriptstyle \alpha }$ является примитивным элементом ${\displaystyle \scriptstyle {\text{GF}}\left(2^{128}\right)}$,
• ${\displaystyle \scriptstyle j}$ это номер блока в секторе.

Основные операции режима LRW (шифрование AES и умножение в поле Галуа) такие же, как и в Galois/Counter Mode (GCM), что позволяет компактно реализовать универсальное аппаратное обеспечение LRW / XEX / GCM.

Заимствование шифротекста обеспечивает поддержку секторов с размером, не делимым на размер блока, например, 520-байтовые сектора и 16-байтовые блоки. XTS-AES был стандартизирован 2007-12-19[9] как IEEE P1619.[10] Стандарт поддерживает использование другого ключа для шифрования IV, чем для блочного шифрования; это противоречит намерениям XEX и, кажется, коренится в неправильном толковании оригинальной статьи XEX, но не наносит ущерба безопасности.[11][8] В результате пользователи, которым требуется шифрование AES-256 и AES-128, должны предоставить 512 бит и 256 бит ключа соответственно.

27 января 2010 года Национальный институт стандартов и технологий выпустил специальную публикацию (SP) 800-38E[12] в окончательном виде. SP 800-38E является рекомендацией для режима работы XTS-AES, стандартизированного IEEE Std 1619—2007, для криптографических модулей. Публикация утверждает режим XTS-AES алгоритма AES со ссылкой на стандарт IEEE 1619—2007, при условии соблюдения одного дополнительного требования, которое ограничивает максимальный размер каждого зашифрованного блока данных (обычно сектора или блока диска) значением ${\displaystyle 2^{20}}$ блоков AES. Согласно SP 800-38E: «В отсутствие аутентификации или контроля доступа XTS-AES обеспечивает большую защиту, чем другие утвержденные режимы только для конфиденциальности, от несанкционированного манипулирования зашифрованными данными».

XTS поддерживается BestCrypt, Botan, dm-crypt, FreeOTFE, TrueCrypt, VeraCrypt,[13] DiskCryptor, FreeBSD's geli, OpenSSL, OS X Lion's FileVault 2, Windows 10's BitLocker и wolfCrypt.[14]

Режим XTS подвержен манипулированию данными и фальсификации данных, и приложения должны применять меры для обнаружения изменений данных, если манипулирование и фальсификация являются проблемой: "… поскольку нет тегов аутентификации, тогда любой зашифрованный текст (оригинальный или изменённый злоумышленником) будет расшифровывается как некоторый открытый текст, и нет встроенного механизма для обнаружения изменений. Лучшее, что можно сделать, — это обеспечить, чтобы любое изменение зашифрованного текста полностью рандомизировало открытый текст, и полагаться на приложение, которое использует это преобразование для включения достаточной избыточности. в его открытом тексте, чтобы обнаружить и отбросить такие случайные открытые тексты ". Это потребует сохранения контрольных сумм для всех данных и метаданных на диске, как это делается в ZFS или Btrfs. Однако в широко используемых файловых системах, таких как ext4 и NTFS, только метаданные защищены от подделки, а обнаружение подделки данных отсутствует.[15]

Режим чувствителен к анализу трафика, атакам воспроизведения и рандомизации на секторах и 16-байтовых блоках. Поскольку данный сектор перезаписывается, злоумышленники могут собирать мелкозернистые (16-байтовые) шифротексты, которые можно использовать для анализа или повторных атак (с 16-байтовой гранулярностью). Было бы возможно определить блочные шифры для всего сектора, к сожалению, с ухудшенной производительностью (см. ниже).[16]

CMC и EME защищают даже от незначительной утечки, указанной выше для LRW. К сожалению, цена представляет собой двукратное снижение производительности: каждый блок должен быть зашифрован дважды; многие считают, что это слишком дорого, поскольку в любом случае такая же утечка на уровне сектора неизбежна.

CMC, представленный Halevi и Rogaway, расшифровывается как CBC — mask — CBC: весь сектор зашифрован в режиме CBC (с помощью ${\displaystyle \scriptstyle C_{-1}\;=\;E_{A}(I)}$), зашифрованный текст маскируется путем операции XOR с ${\displaystyle \scriptstyle 2(C'_{0}\,\oplus \,C'_{k-1})}$, и повторно зашифровывается в режиме CBC, начиная с последнего блока. Когда базовый блочный шифр является сильной псевдослучайной перестановкой (PRP) тогда на уровне секторов схема представляет собой настраиваемый PRP. Одна проблема состоит в том, что для расшифровки ${\displaystyle \scriptstyle P_{0}}$ необходимо последовательно пройти все данные дважды.

Чтобы решить эту проблему, Halevi и Rogaway представили распараллеливаемый вариант, названный EME (ECB — mask — ECB). Это работает следующим образом:

• к открытым текстам применяется исключающее ИЛИ с ${\displaystyle \scriptstyle L\;=\;E_{K}(0)}$, тексты смещаются на разную величину влево и шифруются: ${\displaystyle \scriptstyle P'_{i}\;=\;E_{K}(P_{i}\,\oplus \,2^{i}L)}$;
• вычисляется маска: ${\displaystyle \scriptstyle M\;=\;M_{P}\,\oplus \,M_{C}}$, где ${\displaystyle \scriptstyle M_{P}\;=\;I\,\oplus \,\bigoplus P'_{i}}$ и ${\displaystyle \scriptstyle M_{C}\;=\;E_{K}(M_{P})}$;
• к промежуточным шифротекстам применяется маска: ${\displaystyle \scriptstyle C'_{i}\;=\;P'_{i}\,\oplus \,2^{i}M}$ for ${\displaystyle \scriptstyle i\;=\;1,\,\ldots ,\,k-1}$ и ${\displaystyle \scriptstyle C'_{0}\;=\;M_{C}\,\oplus \,I\,\oplus \,\bigoplus _{i=1}^{k-1}C'_{i}}$;
• вычисляются конечные шифротексты: ${\displaystyle \scriptstyle C_{i}\;=\;E_{K}(C'_{i})\,\oplus \,2^{i}L}$ для ${\displaystyle \scriptstyle i\;=\;0,\,\ldots ,\,k-1}$.

Обратите внимание, что в отличие от LRW и CMC, существует только один ключ ${\displaystyle \scriptstyle K}$.

CMC и EME были рассмотрены для стандартизации SISWG. EME запатентован, и поэтому не рекомендуется использовать его в качестве основного поддерживаемого режима.[17]