AEAD מוסיף שלמות, לא התחברות ולא מסלול שעובד

הצפנה מאומתת מחזירה שני דברים בבת אחת: טקסט מוצפן שמסתיר את התוכן, ותג שמאפשר למקבל לזהות שיבוש. בעבר הורכבו הפונקציות האלה מחלקים נפרדים, ושילובים גרועים יצרו כשלים עדינים. מבנים מודרניים קובעים את השילוב ואת התנאים שבהם הוא תקף. המילה מאומתת כאן מתייחסת לתג, לא לאדם.

שתי האחריות חלות על החבילה המוגנת בלבד, ולא על דבר מחוצה לה.

שתי אחריות במבנה אחד

הצפנה עונה על השאלה אם צופה יכול לקרוא את זה; שלמות עונה אם שינו אותו. מנהרה זקוקה לשתיהן, כי תוכן ששונה גרוע מתוכן שאינו קריא. AEAD מגדיר איך לשלב אותן תחת מפתח אחד, יחד עם נתונים משויכים שמאומתים אך אינם מוצפנים. המקבל דוחה קלט שלא עובר את הבדיקה.

נתונים משויכים קושרים שדות גלויים לבדיקה. אילו שדות זה תלוי בפרוטוקול, וזו אינה הבטחה שכל כתובת חיצונית הפכה לסודית: שדה יכול להיות מכוסה בתג ועדיין קריא ברשת.

ה-nonce אינו פרט קטן

יש לטפל במפתחות וב-nonce כראוי, ושימוש חוזר ב-nonce נכשל קשות. חזרה על nonce תחת מפתח אחד עלולה לחשוף קשרים בין הודעות ולערער את אחריות השלמות כליל. לכן הפרוטוקול, ולא היישום, אחראי ליצירת ה-nonce ולסדר שלו.

זהו תנאי של האחריות, לא הצעה ליישום. nonce רשלני אינו מספק את התכונה המוצהרת.

ההגנה מפני חזרה היא מצב נפרד

אפשר לשלוח שוב חבילה ישנה תקפה בעוד התג שלה שלם, כי התג מוכיח אותנטיות ולא רעננות. טיפול בחזרות דורש מצב משלו: מספרי סדר, חלון וכלל מה להתקבל. המצב הזה חי ביישום הפרוטוקול ואינו קשור לבחירת ההצפנה. מנהרה עם הצפנה חזקה ובלי הגנה מפני חזרה עדיין מקבלת את התעבורה של אתמול.

שני המנגנונים משתפים פעולה בלי להיות אחד, ואחד יכול להיות נכון בעוד השני חסר.

מה התג לא אומר לך

זהות העמית נקבעת בתעודות או במפתחות משותפים מראש, ולא בכך שההצפנה מאומתת. ניתוב, פתרון שמות ומדיניות הרישום של המפעיל נמצאים מחוץ לגבול הקריפטוגרפי. משא ומתן מוצלח על אלגוריתם אומר רק ששני הקצוות הסכימו על סט, זה עניין של תאימות, לא של איכות היישום בכל צד.

למשתמשים: בחרו תצורת פרוטוקול מתוחזקת ונתמכת. AEAD הוא תכונה של אותה תצורה, לא הזמנה לבנות הצפנה ביד סביב מנהרה.

רשמו איזה סט נוהל, אם ההגנה מפני חזרה פעילה ואיך מזהים עמיתים. שלוש עובדות, שלוש אחריות שונות.