AEAD bringt Integrität, nicht eine Anmeldung oder eine funktionierende Route

Authentifizierte Verschlüsselung liefert zwei Dinge zugleich: Chiffretext, der den Inhalt verbirgt, und ein Tag, mit dem der Empfänger Manipulationen erkennt. Früher wurden diese Funktionen aus getrennten Teilen zusammengesetzt, und schlechte Kombinationen erzeugten subtile Fehler. Moderne Konstruktionen legen die Kombination und die Bedingungen fest, unter denen sie gilt. Das Wort authentifiziert bezieht sich dabei auf das Tag, nicht auf eine Person.

Beide Zusicherungen gelten für das geschützte Paket und für nichts außerhalb davon.

Zwei Zusicherungen in einer Konstruktion

Verschlüsselung beantwortet eine Frage: Kann ein Beobachter das lesen? Integrität beantwortet eine andere: Wurde das verändert? Ein Tunnel braucht beides, denn veränderter Inhalt ist schlimmer als unlesbarer Inhalt. AEAD legt fest, wie beides unter einem Schlüssel zusammengeführt wird, zusammen mit zugehörigen Daten, die authentifiziert, aber nicht verschlüsselt werden. Der Empfänger weist Eingaben ab, die die Prüfung nicht bestehen.

Zugehörige Daten binden sichtbare Felder in die Prüfung ein. Welche Felder das sind, hängt vom Protokoll ab, und das ist kein Versprechen, dass jede äußere Adresse geheim geworden ist: ein Feld kann vom Tag abgedeckt sein und trotzdem auf der Leitung lesbar bleiben.

Die Nonce ist kein Detail

Schlüssel und Nonce müssen korrekt behandelt werden, und die Wiederverwendung einer Nonce scheitert hart. Die Wiederholung einer Nonce unter einem Schlüssel kann Beziehungen zwischen Nachrichten offenlegen und die Integritätszusicherung vollständig untergraben. Deshalb liegt die Erzeugung und Reihenfolge der Nonce beim Protokoll, nicht bei der Anwendung.

Das ist eine Bedingung der Zusicherung, kein Implementierungshinweis. Sorglose Nonce liefern die beworbene Eigenschaft nicht.

Replay-Schutz ist eigener Zustand

Ein gültiges altes Paket lässt sich erneut einspielen, obwohl sein Tag unversehrt bleibt, denn das Tag belegt Echtheit und nicht Frische. Die Behandlung von Replays braucht eigenen Zustand: Sequenznummern, ein Fenster und eine Regel, was akzeptiert wird. Dieser Zustand lebt in der Protokollimplementierung und hat nichts mit der Wahl der Chiffre zu tun. Ein Tunnel mit starker Verschlüsselung und ohne Replay-Schutz akzeptiert weiterhin den Verkehr von gestern.

Die beiden Mechanismen arbeiten zusammen, ohne derselbe zu sein, und einer kann korrekt sein, während der andere fehlt.

Was das Tag Ihnen nicht sagt

Die Identität des Peers wird durch Zertifikate oder vorab geteilte Schlüssel hergestellt, nicht dadurch, dass eine Chiffre authentifiziert ist. Routing, Namensauflösung und die Protokollierungspolitik des Betreibers liegen außerhalb der kryptografischen Grenze. Eine erfolgreiche Algorithmusvereinbarung sagt nur, dass sich beide Enden auf eine Suite geeinigt haben, das betrifft Kompatibilität, nicht die Qualität der Implementierung auf beiden Seiten.

Für Nutzer heißt das: eine gepflegte, unterstützte Protokollkonfiguration wählen. AEAD ist eine Eigenschaft dieser Konfiguration, keine Einladung, Verschlüsselung von Hand um einen Tunnel zu bauen.

Halten Sie fest, welche Suite ausgehandelt wurde, ob Replay-Schutz aktiv ist und wie Peers identifiziert werden. Drei Fakten, drei verschiedene Zusicherungen.