AEAD-режим блочного шифрования

Получить AEAD-режим с помощью блочного шифра и имитовставки возможно двумя способами: сначала шифруя сообщение, затем аутентифицируя (encrypt-then-mac), или же в обратном порядке (mac-then-encrypt).

В данном варианте сначала шифруется сообщение M с использованием nonce N, затем заголовок H и зашифрованное сообщение аутентифицируются с помощью MAC с тем же nonce.

Mac-then-encrypt (AEAD)

Аналогично предыдущему, но в обратном порядке: сначала создается имитовставка MAC от заголовка H, nonce N и открытого текста M, а затем шифруется сообщение M с полученной имитовставкой с использованием того же nonce N.

Как было показано выше, эффективно прикрепить аутентифицированный открытый текст к построенному с помощью AE-схемы сообщению примитивными способами невозможно. Однако было предложено[1] два следующих метода.

Пусть имеется AE-схема, использующая nonce размером n бит, а приложению, использующему данную схему, достаточно использовать лишь n2 бит (n2 < n). Тогда свободные h = n − n2 бит могут быть использованы для хранения открытых данных. Данная схема имеет ограничение на размер открытых данных, однако часто этого достаточно. Пусть алгоритм имеет nonce размером 128 бит, а приложение использует лишь 16, тогда для открытых данных остается 112 бит, которых часто вполне достаточно (например, для адреса в протоколе IPv4 требуется 32 бита).

Данный метод приведения AE-схемы к AEAD-схеме основан на операции логического сложения (XOR) ${\displaystyle \oplus }$, при этом, если производится операция над строками разной длины, то более короткая дополняется не значимыми нулями, например: ${\displaystyle 11101001\oplus 101=11101100}$.

Данный метод включает в себя следующие операции: используется AE-схема для шифрования сообщения с ключом K и получения промежуточного шифртекста CT, далее применяется хеш-функция ${\displaystyle F_{K'}}$ для получения сдвига Δ, и наконец, финальный шифртекст получается в результате применения операции логического сложения Δ к последним битам CT. Заметим, что если заголовок является пустой строкой, полученная AEAD-схема переходит в исходную AE-схему шифрования. Если заголовок остается неизменным в течение сессии, то сдвиг Δ может быть вычислен заранее, что положительно сказывается на времени шифрования — оставшаяся операция логического сложения легко реализуема (в том числе и аппаратно).

Определим получаемую AEAD-схему более строго следующим образом:

${\displaystyle {\ddot {E}}_{K,K'}^{N,H}(M)=E_{K}^{N}(M)\oplus F_{K'}(H)}$

${\displaystyle {\ddot {D}}_{K,K'}^{N,H}(C)=D_{K}^{N}(C\oplus F_{K'}(H))}$

То есть, предполагая, что ${\displaystyle H\neq 0}$, вычисляем ${\displaystyle F_{K'}(H)=}$Δ длиной в τ бит, зашифровываем M и производим операцию логического сложения последних τ бит с Δ.

Данный метод имеет следующие преимущества:

• применим к любой AE-схеме;
• если не нужно прикреплять незашифрованные данные H, исходный AE-метод не усложняется;
• если заголовок H не меняется с течением времени, ${\displaystyle F_{K'}(H)}$ может быть заранее вычислена.

Однако недостаток метода состоит в необходимости использования двух ключей K и K’.

Данный алгоритм использует AES-128 в качестве алгоритма блочного шифрования, используя ключ, nonce, сообщение и заголовок в качестве входных данных. Длина заголовка — 16 байт. Зашифрованный текст формируется добавлением аутентификационного тега к промежуточному зашифрованному тексту, полученному в качестве выходных данных GCM-шифрования. Требования к размерам входных и выходных данных следующие:

• размер nonce — 12 байт;
• длина ключа — 16 байт;
• максимальный размер сообщения ${\displaystyle 2^{36}}$ − 31 байт;
• максимальный размер заголовка ${\displaystyle 2^{61}}$ − 1 байт;
• максимальный размер зашифрованного сообщения ${\displaystyle 2^{36}}$ − 15 байт.

Таким образом, шифртекст на 16 байт длиннее исходного открытого сообщения.

Алгоритм полностью аналогичен предыдущему, за исключением использования ключа размером 32 байт и AES-256 GCM.

Аналогично предыдущему, за исключением использования CCM режима вместо GCM, при этом:

• размер nonce 12 байт;
• длина ключа 16 байт;
• максимальный размер сообщения ${\displaystyle 2^{24}}$ − 1 байт;
• максимальный размер заголовка ${\displaystyle 2^{64}}$ − 1 байт;
• максимальный размер зашифрованного сообщения ${\displaystyle 2^{24}}$ + 15 байт.

Как и при использовании GCM, размер шифртекста на 16 байт длиннее исходного сообщения.

Алгоритм полностью аналогичен предыдущему, за исключением использования ключа размером 32 байта и AES-256 GCM.