تشفير موثق

التشفير الموثق مع البيانات المرتبطة (AEAD) هو نوع من التشفير الموثق (AE) يسمح بتضمين "بيانات مرتبطة" (AD، وهي معلومات إضافية غير سرية، وتُعرف أيضًا باسم "بيانات إضافية موثقة"، AAD). يمكن للمستلم التحقق من سلامة كل من البيانات المرتبطة والمعلومات السرية في الرسالة. تُعدّ البيانات المرتبطة مفيدة، على سبيل المثال، في حزم الشبكة حيث يجب أن يكون رأس الحزمة مرئيًا للتوجيه ، بينما يجب أن تكون حمولة البيانات سرية، وكلاهما يحتاج إلى السلامة والمصداقية . وقد صاغ روجاواي (2002) مفهوم التشفير الموثق مع البيانات المرتبطة بشكل رسمي . ^{[ 3 ]}

صُممت آلية التحقق التلقائي (AE) في الأصل لضمان سلامة النص المشفر: إذ يُشير التحقق الناجح من علامة المصادقة بواسطة أليس باستخدام مفتاحها المتناظر KA _إلى أن الرسالة لم تُعبث بها جهة معادية تُدعى مالوري لا تمتلك المفتاح KA _. لا تُوفر آليات التحقق التلقائي عادةً ضمانة المفتاح ، وهي ضمانة بأن فك التشفير سيفشل باستخدام أي مفتاح آخر. ^{[ 14 ]} اعتبارًا من عام 2021، تسمح معظم آليات التحقق التلقائي الحالية (بما في ذلك آلية GCM الشائعة جدًا) بفك تشفير بعض الرسائل دون خطأ باستخدام أكثر من المفتاح KA (الصحيح) _؛ فبينما سيكون النص الأصلي الذي تم فك تشفيره باستخدام مفتاح ثانٍ (خاطئ) KM _{غير صحيح، ستظل علامة المصادقة مطابقة للنص الأصلي الجديد.} ^{[ 15 ]} بما أن صياغة رسالة بهذه الخاصية تتطلب من مالوري امتلاك كل من KA _و KM _، فقد تبدو المسألة ذات أهمية أكاديمية بحتة. ^{[ 16 ]} مع ذلك، في ظل ظروف خاصة، يُمكن شن هجمات عملية ضد التطبيقات المعرضة للخطر. على سبيل المثال، إذا كان بروتوكول التحقق من الهوية يعتمد على فك تشفير رسالة بنجاح باستخدام مفتاح قائم على كلمة مرور، فإن قدرة مالوري على صياغة رسالة واحدة يمكن فك تشفيرها بنجاح باستخدام 1000 مفتاح مختلف مرتبط بكلمات مرور ضعيفة ، وبالتالي معروفة لها، يمكن أن تُسرّع بحثها عن كلمات المرور بما يقارب 1000 ضعف. ولكي ينجح هذا الهجوم القائم على القاموس ، تحتاج مالوري أيضًا إلى القدرة على التمييز بين فك التشفير الناجح من قِبل أليس وفك التشفير غير الناجح، والذي قد ينتج، على سبيل المثال، عن تصميم أو تنفيذ سيئ للبروتوكول يحوّل جانب أليس إلى وسيط . وبطبيعة الحال، لا يمكن شنّ هذا الهجوم على الإطلاق عندما يتم توليد المفاتيح عشوائيًا. ^{[ 17 ]}

تمت دراسة الالتزام بالمفتاح في الأصل في العقد الثاني من القرن الحادي والعشرين من قبل عبد الله وآخرون ^{[ 18 ]} وفرشم وآخرون ^{[ 19 ]} تحت اسم "التشفير القوي". ^{[ 16 ] [ 20 ]}

للتخفيف من حدة الهجوم المذكور أعلاه دون إزالة "الوسيط"، يمكن استخدام بروتوكول AEAD مع خاصية تثبيت المفتاح ، والذي لا يسمح بوجود هذا النوع من الرسائل المُصممة خصيصًا. يُعدّ AEGIS مثالًا على بروتوكول AEAD سريع (في حال توفر مجموعة تعليمات AES ) مع خاصية تثبيت المفتاح. ^{[ 21 ]} من الممكن إضافة خاصية تثبيت المفتاح إلى بروتوكول AEAD موجود. ^{[ 22 ] [ 23 ]}

يتميز التشفير الموثق المقاوم لسوء الاستخدام (MRAE) بخاصية إضافية، وهي أن إعادة استخدام نفس قيمة nonce لعدة رسائل لا تسمح للمهاجم باستعادة النص الأصلي. وقد تم وضع MRAE بشكل رسمي في عام 2006 من قبل فيليب روغاواي وتوماس شريمبتون. ^{[ 24 ]} ومن الأمثلة على خوارزميات MRAE خوارزمية AES-GCM-SIV .

يُشفّر النص الأصلي أولاً، ثم يُنشأ رمز مصادقة الرسائل (MAC) بناءً على النص المشفر الناتج. يُرسل النص المشفر ورمز المصادقة معًا. تُعدّ ETM الطريقة القياسية وفقًا لمعيار ISO/IEC 19772:2009. ^{[ 9 ]} وهي الطريقة الوحيدة التي تُحقق أعلى مستوى من الأمان في AE، ولكن لا يُمكن تحقيق ذلك إلا عندما يكون رمز المصادقة المستخدم "غير قابل للتزوير بشكل كبير". ^{[ 25 ]}

اعتمد بروتوكول IPSec تقنية EtM في عام 2005. ^{[ 26 ]} وفي نوفمبر 2014، حصل بروتوكولا TLS وDTLS على امتدادات تدعم تقنية EtM بموجب RFC 7366. كما توجد مجموعات تشفير EtM متنوعة لبروتوكول SSHv2 أيضًا (على سبيل المثال، hmac-sha1-etm@openssh.com).

يتم إنشاء رمز مصادقة الرسائل (MAC) بناءً على النص الأصلي، ثم يُشفّر النص الأصلي بدون رمز المصادقة. يُرسل رمز المصادقة الخاص بالنص الأصلي مع النص المشفر. يُستخدم هذا الأسلوب، على سبيل المثال، في بروتوكول SSH . ^{[ 27 ]} على الرغم من أن أسلوب E&M لم يُثبت أنه غير قابل للتزوير بشكل قاطع بحد ذاته، ^{[ 25 ]} فإنه من الممكن إجراء بعض التعديلات الطفيفة على بروتوكول SSH لجعله غير قابل للتزوير بشكل قاطع بغض النظر عن هذا الأسلوب. ^{[ 28 ]}

يتم إنشاء رمز مصادقة الرسائل (MAC) بناءً على النص الأصلي، ثم يتم تشفير النص الأصلي ورمز المصادقة معًا لإنتاج نص مشفر. يُرسل النص المشفر (الذي يحتوي على رمز المصادقة المشفر). ​​حتى إصدار TLS 1.2، كانت جميع مجموعات تشفير SSL/TLS المتاحة تعتمد على بروتوكول MtE. ^{[ 29 ]}

لم يُثبت أن بروتوكول MtE غير قابل للتزوير بشكل قاطع في حد ذاته. ^{[ 25 ]} وقد أثبت كراوتشيك أن تطبيق SSL/TLS غير قابل للتزوير بشكل قاطع ، حيث بيّن أن SSL/TLS آمن بالفعل بفضل التشفير المستخدم مع آلية MtE. ^{[ 30 ]} ومع ذلك، يحتوي برهان كراوتشيك على افتراضات خاطئة حول عشوائية متجه التهيئة (IV). استغل هجوم BEAST عام 2011 متجه التهيئة المتسلسل غير العشوائي، مما أدى إلى تعطيل جميع خوارزميات CBC في TLS 1.0 والإصدارات الأقدم. ^{[ 31 ]}

بالإضافة إلى ذلك، أظهر تحليل معمق لبروتوكول SSL/TLS أن آلية الحماية تقوم على أساس MAC-ثم-حشو-ثم-تشفير، أي أن النص الأصلي يُحشى أولاً ليتناسب مع حجم كتلة دالة التشفير. غالبًا ما تؤدي أخطاء الحشو إلى أخطاء قابلة للكشف من جانب المُستقبِل، مما يُفضي بدوره إلى هجمات استغلال الحشو ، مثل هجوم Lucky Thirteen .