AEAD afegeix integritat, no un inici de sessió ni una ruta funcional

Un xifrat autenticat retorna dues coses alhora: text xifrat que amaga el contingut i una etiqueta que permet al receptor detectar manipulacions. Abans, aquestes funcions es muntaven a partir de peces separades, i les combinacions dolentes produïen fallades subtils. Les construccions modernes fixen la combinació i les condicions en què es compleix. La paraula autenticat fa referència a l’etiqueta, no a una persona.

Totes dues garanties cobreixen el paquet protegit i res fora d’ell.

Dues garanties en una construcció

El xifratge respon si un observador pot llegir això; la integritat respon si s’ha alterat. Un túnel necessita les dues coses, perquè el contingut modificat és pitjor que el contingut il·legible. AEAD defineix com combinar-les sota una clau, juntament amb dades associades que s’autentiquen però no es xifren. El receptor rebutja l’entrada que no supera la comprovació.

Les dades associades lliguen els camps visibles a la comprovació. Quins camps hi entren depèn del protocol, i això no promet que cada adreça externa sigui secreta: un camp pot quedar cobert per l’etiqueta i continuar sent llegible a la xarxa.

El nonce no és un detall

Cal tractar correctament les claus i els nonce, i la reutilització d’un nonce falla malament. Repetir un nonce sota una clau pot revelar relacions entre missatges i enfonsar la garantia d’integritat. Per això el protocol, no l’aplicació, s’encarrega de generar i seqüenciar els nonce.

És una condició de la garantia, no un suggeriment d’implementació. Els nonce generats amb deixadesa no ofereixen la propietat anunciada.

La protecció contra repetició és estat a part

Un paquet antic vàlid es pot repetir mentre la seva etiqueta continua intacta, perquè l’etiqueta prova autenticitat i no frescor. Gestionar la repetició necessita el seu propi estat: números de seqüència, una finestra i una regla sobre què acceptar. Aquest estat viu a la implementació del protocol i no té res a veure amb l’elecció del xifrat. Un túnel amb xifratge fort i sense protecció contra repetició encara accepta el trànsit d’ahir.

Els dos mecanismes cooperen sense ser el mateix, i un pot ser correcte mentre l’altre és absent.

Què no us diu l’etiqueta

La identitat del parell s’estableix amb certificats o claus prèviament compartides, no pel fet que un xifrat estigui autenticat. L’encaminament, la resolució de noms i la política de registres de l’operador queden fora de la frontera criptogràfica. Una negociació d’algorisme reeixida només diu que els dos extrems han acordat un conjunt, parla de compatibilitat, no de la qualitat de la implementació a cada banda.

Per als usuaris: trieu una configuració de protocol mantinguda i suportada. AEAD és una propietat d’aquesta configuració, no una invitació a construir xifratge a mà al voltant d’un túnel.

Anoteu quin conjunt s’ha negociat, si la protecció contra repetició és activa i com s’identifiquen els parells. Tres fets, tres garanties diferents.