Was sind die tatsächlichen Vorzüge des Galois / Counter-Modus?

TL; DR: GCM bietet hervorragende Leistung mit den besten Sicherheitseigenschaften, die wir heute von Chiffren erwarten (AEAD).

GCM verwendet CTR, um eine Stream-Verschlüsselung zu erstellen. Dies ist eine gut untersuchte Methode, die nur einen Nachteil hat: Sie benötigt unbedingt eine Authentifizierung, um ein Umdrehen der Bits zu verhindern. Vor GCM war CTR-dann-MAC die Lösung. Ein Hauptvorteil von Stream-Chiffren ist das Fehlen von Padding-Angriffen (da kein Padding erforderlich ist). Ein weiterer Vorteil ist, dass AES-CTR von den AES-NI-Anweisungen profitieren kann.

GCM ist CTR-dann-MAC mit besserer Leistung . Eine wesentliche Verbesserung gegenüber CRT-dann-MAC ist die Möglichkeit, die Ausführung von Verschlüsselung und Authentifizierung zu überlappen. Darüber hinaus hat es sich im konkreten Sicherheitsmodell als sicher erwiesen und ist nicht durch Patente belastet. Daher ist es „ein Kinderspiel, es zu verwenden.

Es hat einige Nachteile: Es ist in eingebetteter Hardware nicht effizient und es ist schwer effizient zu implementieren. Dem letzten Punkt wird durch die Verwendung von Bibliotheken entgegengewirkt, die von anderen geschrieben wurden. Dies sind jedoch Gründe, warum xchacha20-poly1305 über GCM populär wurde.

Kommentare

• Ich würde einen weiteren Grund dafür argumentieren, warum ChaCha20 an Popularität gewonnen hat, weil es nicht AES ist. Verstehen Sie mich nicht falsch, AES. ‚ ist ein großartiger Algorithmus, aber buchstäblich alle unsere Eier in einen Korb zu legen, ist vielleicht nicht die klügste aller Ideen. Und einen anderen gut getesteten Algorithmus neben AES zu haben, ist ziemlich wertvoll.
• @ MechMK1 Ich stimme Ihnen zu , aber ich habe nicht geschrieben, dass sie alle die Gründe für die Popularität von ChaCha20 ‚ sind, weil diese ‚ s nicht die hier gestellte Frage. Mein Punkt war t Hat GCM wird nicht als “ awesome “ betrachtet, wie das OP denkt.
• Absolut wahr. Es ist ‚ keine goldene Gans, aber sozusagen wurde niemand wegen der Verwendung von AES-GCM gefeuert.
• Und es ‚ ist nicht durch Patente belastet.
• @StephenTouset Vielen Dank, ich habe meinen Beitrag so bearbeitet, dass er Ihren Kommentar enthält.

Zunächst einmal ist GCM eine Form des Zählermodus. Was bedeutet, dass im Gegensatz zu z. Verkettung von Chiffrierblöcken, die Ausgabe eines Blocks hängt von genau einem Eingabeblock ab. Schlimmer noch: Sie können ein einzelnes Bit ändern und das entschlüsselte Ergebnis unterscheidet sich in genau diesem Bit. Denn wenn Sie ehrlich sind, ist eine Blockverschlüsselung im Zählermodus überhaupt keine „Blockverschlüsselung“, sondern eine (verschlüsselte) PRNG, gefolgt von einer XOR-Operation. Grundsätzlich eine „blockige“ Stream-Chiffre. Es braucht nicht viel, um sich ein Szenario vorzustellen, in dem jemand dies missbrauchen könnte, um Nachrichten auf schädliche Weise zu ändern (z. B. „Transaktion: +5.000 \ $“ in „Transaktion: -5.000 \ $“ ändern).

Die Nachrichtenauthentifizierung, die GCM über CTR legt, macht die Formbarkeit unwichtig.

Blockchiffren haben normalerweise die angeborene Eigenschaft, sich beim Umdrehen eines einzelnen Bits in vollständigen Kauderwelsch zu verwandeln (plus mit Verkettung den gesamten Rest der Nachricht). . Das ist eigentlich eine ganz schöne, begehrenswerte Eigenschaft, die wir ohne guten Grund über Bord geworfen haben.

Das ist sehr, sehr falsch Der CBC-Modus leidet auch unter einer Art Formbarkeitsschwäche: Wenn Sie ein Bit des Chiffretextes umdrehen, verschlüsseln Sie nur einen Block und Drehen Sie das entsprechende Bit des Netzblocks um. Und es gibt andere Formbarkeitsangriffe gegen CBC. Siehe beispielsweise den EFail-Angriff .

Im Allgemeinen ist Ihre informelle Vorstellung von Nachrichten, die sich in völligen Kauderwelsch verwandeln, nicht gut genug. Wir brauchen unbedingt Computer, um mechanisch mit einer eindeutigen „Ja / Nein“ -Antwort zu erkennen, wann eine verschlüsselte Nachricht gefälscht wurde. Es reicht nicht aus, darauf zu vertrauen, dass ein Mensch früh genug in der Schleife ist, um „Kauderwelsch“ zu erkennen.

GHASH ist ein MAC, der zusätzliche authentifizierte Daten unterstützt. Soweit ich das beurteilen kann, ist das eine völlige Lüge. Oder nennen Sie es „optimistische Übertreibung“, wenn Sie so wollen. Es ist nur eine Komprimierungsfunktion mit nicht intuitiver Mathematik (für Nicht-Mathematiker) dahinter, aber am Ende macht es nichts anderes als eine einfache Multiplikation und wirft die Hälfte der Eingabebits mit dem Äquivalent von „Überlauf“ weg. P. >

Der MAC funktioniert nicht, weil die Benutzer die Mathematik nicht verstehen. Das bedeutet, dass die Leute kein Satellitenfernsehen sehen können, weil sie es nicht tun Ich kenne keinen Kalkül. Finite-Feld-MACs sind eine seit Jahrzehnten bekannte Standardkonstruktion.

Genau das kann mit profaner Mathematik in zwei Zeilen von C durchgeführt werden Code pro Block innerhalb eines Dutzend Zyklen (oder wenn Sie mit der Verwendung von 32-Bit-Multiplikationen anstelle von 64 einverstanden sind, kann dies parallel mit AVX2s vpmulld für zwei vollständige Blöcke in ~ 4 Zyklen erfolgen).

Es gibt eine aktuelle Debatte darüber, ob MACs, die auf Galois-Feldern wie GHASH basieren, oder MACs, die auf Prime-Feldern wie Poly1305 basieren, eine praktischere Wahl sind. Vieles hängt von den Kompromissen ab Galois-Feldmultiplikationen sind in der Software ein Albtraum, aber viel einfacher als arithmetische Multiplikationen in der Hardware. Ein guter Teil der Kompromisse hängt auch von der Anfälligkeit für Seitenkanalangriffe ab, z. B. Leistungsanalyse

Es gibt jedoch keine Debatte darüber, ob entweder Galois-Felder oder Prim-Felder grundsätzlich unsicher sind nd. Die Mathematik überprüft beide.

Ja, Leistung! Aber seien wir ehrlich, ist das wirklich ein Vorteil oder eher ein großer Nachteil?

Erzählen Sie das den endlosen Paraden von Ingenieuren im Laufe der Jahrzehnte, die haben sich aus Leistungsgründen geweigert, Produkte zu verschlüsseln. Und denken Sie nicht nur an leistungsstarke PCs. Denken Sie an eingebettete Geräte und haben Sie große Angst vor dem Internet der Dinge.

Ich meine, dies ist überhaupt kein totes Problem. In den letzten Jahren gab es eine heftige Debatte und die Entwicklung einer neuartigen kryptografischen Konstruktion zur Unterstützung der Festplattenverschlüsselung auf Low-End-Android-Geräten, die beurteilt wurden nicht leistungsfähig genug für die AES-basierten Algorithmen, die Android zuvor angeboten hat.

Die einzigen, für die [Leistung] wirklich einen Unterschied macht, sind die „Bösen“, dh genau diejenigen, die Sie nicht haben möchten einfaches Leben. Sicher genug, wenn Sie trivial parallelisieren können, werden Angriffe viel einfacher. Werfen Sie einen Raum voller dedizierter Hardware (GPUs, FPGAs, was auch immer) auf das Problem und lassen Sie es wegschleifen.

Chiffren lösen dieses Problem, indem sie ausreichend große Schlüsselgrößen verwenden und nicht die Chiffren verlangsamen. Die Bedenken, die Sie ansprechen, treten in der passwortbasierten Kryptographie auf, in der Sie sich nicht befinden „Keine ausreichend entropischen geheimen Schlüssel. Symmetrische 256-Bit-Schlüssel werden für immer mehr als groß genug sein, um jeden Brute-Force-Angriff in unserem Universum zu vereiteln.

Was ist Die grundlegende Sache, die mir an GCM fehlt, macht es so großartig, dass Sie es unbedingt verwenden sollten?

Sie müssen GCM nicht unbedingt verwenden Es ist zur gleichen Zeit:

• Fundamentall y Sound und in der Hardware sehr weit verbreitet;
• Belastet durch eine Reihe von Nachteilen, die Sie nicht angesprochen haben, wie schlechte Softwareleistung und katastrophale Authentizitätsfehler bei Nicht-Wiederverwendung, die es in einigen praktischen Zusammenhängen häufig disqualifizieren .

Wenn Sie über Hardware mit nativer AES-GCM-Unterstützung und gut geprüfter Software verfügen, die diese nutzt, ist es unklug, sie nicht unter Ihren Top-Kandidaten zu haben.