AEAD legg til integritet, ikkje ei innlogging eller ei fungerande rute

Autentisert kryptering gjev to ting på ein gong: chiffertekst som gøymer innhaldet, og ein tag som lèt mottakaren oppdaga tukling. Tidlegare vart desse funksjonane sette saman av skilde delar, og dårlege kombinasjonar gav subtile feil. Moderne konstruksjonar fastset kombinasjonen og vilkåra han gjeld under. Ordet autentisert viser her til taggen, ikkje til ein person.

Begge garantiane gjeld den verna pakken og inkje utanfor han.

To garantiar i éin konstruksjon

Kryptering svarar på om ein observatør kan lesa dette; integritet svarar på om det er endra. Ein tunnel treng begge, fordi endra innhald er verre enn uleseleg innhald. AEAD fastset korleis dei vert kombinerte under éin nøkkel, saman med tilknytte data som vert autentiserte men ikkje krypterte. Mottakaren avviser inndata som ikkje står seg i kontrollen.

Tilknytte data bind synlege felt til kontrollen. Kva felt det gjeld kjem an på protokollen, og det er ikkje eit løfte om at kvar ytre adresse er vorten hemmeleg: eit felt kan vera dekt av taggen og likevel leseleg på nettet.

Nonce er ikkje ein detalj

Nøklar og nonce må handsamast rett, og gjenbruk av nonce feilar hardt. Gjentaking av ein nonce under éin nøkkel kan avdekkja relasjonar mellom meldingar og undergrava integritetsgarantien heilt. Difor eig protokollen, ikkje applikasjonen, generering og rekkjefølgje av nonce.

Dette er eit vilkår for garantien, ikkje eit implementasjonsråd. Uvarsame nonce gjev ikkje den annonserte eigenskapen.

Replay-vern er eigen tilstand

Ein gyldig gamal pakke kan spelast av på nytt medan taggen er intakt, fordi taggen provar ektheit og ikkje friskheit. Handsaming av replay krev sin eigen tilstand: sekvensnummer, eit vindauge og ei regel for kva som vert godteke. Denne tilstanden bur i protokollimplementasjonen og har inkje med valet av chiffer å gjera. Ein tunnel med sterk kryptering og utan replay-vern godtek framleis trafikken frå i går.

Dei to mekanismane samarbeider utan å vera den same, og éin kan vera rett medan den andre manglar.

Kva taggen ikkje fortel deg

Identiteten til motparten vert fastsett med sertifikat eller førehandsdelt nøklar, ikkje ved at ein chiffer er autentisert. Ruting, namneoppslag og loggpolitikken til operatøren ligg utanfor den kryptografiske grensa. Ei vellukka algoritmeforhandling seier berre at beide endar vart samde om ein suite, det handlar om kompatibilitet, ikkje om kvaliteten på implementasjonen på nokon av sidene.

For brukarar: vel ein vedlikehalden og støtta protokollkonfigurasjon. AEAD er ein eigenskap ved den konfigurasjonen, ikkje ei innbyding til å byggja kryptering for hand rundt ein tunnel.

Noter kva suite som vart forhandla, om replay-vern er aktivt og korleis partar vert identifiserte. Tre fakta, tre ulike garantiar.