Snažím se dozvědět více o režimu GCM a o tom, jak se liší mezi CBC. Už vím, že GCM poskytuje MAC, který se používá pro ověřování zpráv. Z toho, co jsem četl, az úryvků kódu, které jsem viděl, dělá GCM exkluzivní nebo podobně jako CBC, ale nejsem si jistý, proti čemu je výhradní – nebo proti. V režimu CBC je výhradní-nebo prostý text proti předchozímu bloku šifrovacího textu, s výjimkou prvního bloku, který používá náhodný IV. Dělá GCM totéž, nebo to dělá exkluzivně – nebo proti něčemu jinému? Pokud ano, může někdo prosím stručně vysvětlit, jak GCM používá IV a jak se provádí výlučné – nebo.
Komentáře
- Pokud autentizaci ignorujete, GCM se chová jako režim CTR, ne jako režim CBC. Vyhledejte je na wikipedii.
- Jen proto, že to na této stránce není ' definováno … GCM = Galois / Counter Mode a CBC = Cipher Block Chaining … další definice zahrnují MAC (Message Authentication Code), IV (Initialisation Vector) a CTR (CounTeR Mode).
Answer
Režimy GCM a CBC interně fungují zcela odlišně; oba zahrnují blokovou šifru a exkluzivní nebo, ale používají je různými způsoby.
V režimu CBC zašifrujete blok dat tak, že vezmete aktuální blok prostého textu a použijete exkluzivní předchozí blok šifrovacího textu (nebo IV) a poté odeslání výsledku z toho pomocí blokové šifry; výstupem blokové šifry je blok šifrovacího textu.
Režim GCM poskytuje soukromí (šifrování) i integritu. Pro zajištění šifrování udržuje GCM počítadlo; pro každý blok dat odešle aktuální hodnotu čítače přes blokovou šifru. Poté převezme výstup blokové šifry a exkluzivní nebo „s prostým textem“ vytvoří šifrovací text.
Všimněte si dvou klíčových rozdílů:
-
Co je exkluzivní nebo ed; v režimu CBC je holý text exkluzivní – nebo „ed s daty, která útočník zná (IV nebo předchozí blok šifry); to tedy samo o sobě neposkytuje žádné inherentní zabezpečení (místo toho to děláme, abychom minimalizovali šanci, že pošleme stejný blok dvakrát blokovou šifrou). V režimu GCM je holý text exkluzivní nebo „edovaný s výstupem z blokové šifry; v bezpečnostním modelu je inherentní, že útočník nemůže tento výstup uhodnout (pokud již nezná prostý text a šifrovací text).
-
Co se odesílá přes blokovou šifru; v režimu CBC je holý text odesílán přes blokovou šifru (poté, co byla „randomizována“ pomocí exkluzivní-nebo); v režimu GCM to, co „je odesíláno přes blokovou šifru, ve skutečnosti nezávisí na datech, která jsou šifrováno, ale místo toho pouze na interní stav.
Pokud jde o to, jak GCM používá IV (já osobně považuji „nonce“ za lepší výraz pro to, co GCM používá, protože to zdůrazňuje myšlenka, že s GCM nemůžete použít stejnou nonce pro stejný klíč dvakrát), no, používá se k inicializaci čítače.
Komentáře
- Velmi zajímavé … Pokud správně rozumím, říkáte, že v režimu GCM je šifrový text bloku výlučně – nebo ' upraven proti prostému textu, který byl právě vložen do šifry a ten blok je poté odeslán. Pokud je to pravda, jak je tento blok dešifrován? Není ' t šifrovací text z AES (například) šifrování potřebného k dešifrování dat? Jak získá se to? Také, pokud o je získán přísný šifrovaný text, který by pak mohl být použit k exkluzivnímu nebo odeslanému šifrovacímu textu, který by vrátil prostý text a nepotřeboval by další dešifrování … Něco mi chybí .. .
- Ne, v GCM vezmeme počítadlo, pošleme to přes blokovou šifru a pak exkluzivní – nebo to s prostým textem, abychom vytvořili šifrovací text. Na dešifrovací straně udržujeme stejný čítač, který posíláme přes blokovou šifru, a pak exkluzivní – nebo ten se šifrovacím textem, abychom vytvořili prostý text.
- @poncho Takže v GCM nepotřebujeme „Dešifrovací“ část blokové šifry? Protože používáme „šifrování“ na obou stranách.
- Pokud použijete stejnou nonce dvakrát se stejným klíčem, otevíráte se … jakému útoku?
- @RobertSiemer: dva útoky: a) útočník získá značné množství informací o dvou zprávách zašifrovaných stejnou nonce (možná dost na odvození obou obsahů) ab) útok získá informace, které by mu umožnily měnit zprávy, aniž by byl detekován