AEAD aldonas integrecon, ne ensaluton aŭ funkciantan vojon

Aŭtentikigita ĉifrado redonas du aferojn samtempe: ĉifrotekston, kiu kaŝas la enhavon, kaj etikedon, kiu ebligas al la ricevanto malkovri ŝanĝojn. Antaŭe tiuj funkcioj estis kunmetitaj el apartaj partoj, kaj malbonaj kombinoj kaŭzis subtilajn malsukcesojn. Modernaj konstruoj fiksas la kombinon kaj la kondiĉojn, sub kiuj ĝi validas. La vorto aŭtentikigita ĉi tie rilatas al la etikedo, ne al persono.

Ambaŭ garantioj koncernas la protektitan paketon kaj nenion ekster ĝi.

Du garantioj en unu konstruo

Ĉifrado respondas, ĉu observanto povas legi ĉi tion; integreco respondas, ĉu ĝi estis ŝanĝita. Tunelo bezonas ambaŭ, ĉar ŝanĝita enhavo estas pli malbona ol nelegebla enhavo. AEAD difinas kiel kunigi ilin sub unu ŝlosilo, kune kun asociitaj datumoj, kiuj estas aŭtentikigitaj sed ne ĉifritaj. La ricevanto rifuzas enigon, kiu malsukcesas la kontrolon.

Asociitaj datumoj ligas videblajn kampojn al la kontrolo. Kiuj kampoj tion ricevas dependas de la protokolo, kaj tio ne promesas, ke ĉiu ekstera adreso fariĝis sekreta: kampo povas esti kovrita de la etikedo kaj tamen reste legiva sur la drato.

La nonce ne estas detalo

Ŝlosiloj kaj nonce devas esti traktataj ĝuste, kaj reuzo de nonce malsukcesas severe. Ripeti nonce sub unu ŝlosilo povas malkaŝi rilatojn inter mesaĝoj kaj tute subfosi la garantion de integreco. Tial la protokolo, ne la aplikaĵo, posedas la generadon kaj ordon de nonce.

Ĝi estas kondiĉo de la garantio, ne sugesto pri efektivigo. Neatentaj nonce ne donas la anoncitan econ.

Replay-protekto estas aparta stato

Valida malnova paketo povas esti reludita dum ĝia etikedo restas sendifekta, ĉar la etikedo pruvas aŭtentikecon kaj ne freŝecon. Traktado de reludoj bezonas propran staton: sinsekvaj numeroj, fenestro kaj regulo pri tio, kion akcepti. Tiu stato vivas en la protokola efektivigo kaj ne rilatas al la elekto de ĉifro. Tunelo kun forta ĉifrado kaj sen replay-protekto ankoraŭ akceptas la trafikon de hieraŭ.

La du mekanismoj kunlaboras sen esti la sama, kaj unu povas esti ĝusta dum la alia mankas.

Kion la etikedo ne diras al vi

La identeco de la partnero establiĝas per atestiloj aŭ antaŭe dividitaj ŝlosiloj, ne per tio, ke ĉifro estas aŭtentikigita. Enkursigado, nomresolvado kaj la protokolpolitiko de la funkciiganto staras ekster la kriptografia limo. Sukcesa intertraktado de algoritmo nur diras, ke ambaŭ finoj interkonsentis pri aro, tio temas pri kongrueco, ne pri la kvalito de la efektivigo ĉe ambaŭ flankoj.

Por uzantoj: elektu prizorgatan kaj subtenatan protokolan agordon. AEAD estas eco de tiu agordo, ne invito konstrui ĉifradon permane ĉirkaŭ tunelo.

Notu, kiu aro estis intertraktita, ĉu replay-protekto estas aktiva kaj kiel partneroj identiĝas. Tri faktoj, tri malsamaj garantioj.