Chiffrement authentifié avec des données associées (AEAD)

La primitive de chiffrement authentifié avec données associées (AEAD) est la plus courante pour chiffrer des données. Elle convient à la plupart des besoins.

Le chiffrement AEAD possède les propriétés suivantes :

  • Secrecy : aucune information sur le texte brut n'est connue, à l'exception de sa longueur.
  • Authenticité : il est impossible de modifier le texte brut chiffré sous-jacent au texte chiffré sans que la modification ne soit détectable.
  • Symétrie – Le chiffrement du texte brut et le déchiffrement du texte chiffré s'effectuent avec la même clé.
  • Randomisation : le chiffrement est aléatoire. Deux messages comportant le même texte brut renvoient des textes chiffrés différents. Les pirates informatiques ne peuvent pas identifier le texte chiffré correspondant à un texte brut donné. Si vous souhaitez éviter cela, utilisez plutôt AEAD déterministe.

Données associées

AEAD peut être utilisé pour lier du texte chiffré à des données associées spécifiques. Supposons que vous avez une base de données comportant les champs user-id et encrypted-medical-history. Dans ce scénario, user-id peut être utilisé comme données associées lors du chiffrement de encrypted-medical-history. Cela permet d'empêcher un pirate informatique de transférer l'historique médical d'un utilisateur à un autre.

Les données associées sont facultatives. Si elles sont spécifiées, le déchiffrement ne réussit que si les mêmes données associées sont transmises aux appels de chiffrement et de déchiffrement.

Choisir un type de clé

Bien que nous recommandions AES128_GCM pour la plupart des utilisations, il existe différents types de clés pour différents besoins. AES128 offre une sécurité de 128 bits et AES256 offre une sécurité de 256 bits.

Voici les deux contraintes de sécurité importantes à prendre en compte lors du choix d'un mode :

  1. RPS : combien de messages sont chiffrés avec la même clé ?
  2. Taille des messages : quelle est la taille des messages ?

Types de clés compatibles :

  • AES-CTR-HMAC (AES128_CTR_HMAC_SHA256, AES256_CTR_HMAC_SHA256) avec un vecteur d'initialisation (IV) de 16 octets est le mode le plus conservateur avec de bonnes limites.
    • Engagement de clé.
  • AES-EAX (AES128_EAX, AES256_EAX) est légèrement moins conservateur et légèrement plus rapide qu'AES128_CTR_HMAC_SHA256.
    • MLGR sans engagement de clé.
  • AES-GCM (AES128_GCM, AES256_GCM) est généralement le mode le plus rapide avec les limites les plus strictes sur le nombre de messages (232) et la taille des messages (~64 Go par message). Lorsque ces limites sont dépassées, AES-GCM échoue de manière catastrophique en divulguant le texte brut et la partie d'authentification de la clé interne AES-GCM.
    • AES-GCM n'est pas robuste [ABN] ni ne s'engage sur la clé [GLR]. Il est possible de générer un texte chiffré qui peut être déchiffré avec deux clés différentes. Cela peut entraîner des attaques pratiques [DGRW]. Examinez attentivement votre modélisation des menaces si la clé est choisie par l'adversaire.
  • AES-GCM-SIV (AES128_GCM_SIV, AES256_GCM_SIV) [RFC8452] résiste à une utilisation abusive accidentelle des nonces et est presque aussi performant qu'AES-GCM. Les limites concernant le nombre de messages et la taille des messages pour AES-GCM-SIV avec des IV aléatoires sont beaucoup plus élevées que celles d'AES-GCM. Lorsque ces limites sont dépassées, AES-GCM-SIV échoue de manière moins catastrophique : il ne divulgue que le fait que deux messages sont identiques. AES-GCM-SIV est plus sûr, mais moins utilisé en pratique.
    • Limites pour les nonces aléatoires :
      • 232 messages, où chaque texte brut fait au maximum 8 Gio
      • 248 messages, où chaque texte en clair fait au maximum 32 Mio
      • 264 messages, où chaque texte brut fait au maximum 128 Kio
    • Pour l'utiliser en Java, installez Conscrypt.
    • ADGKLS sans engagement de clé.
  • XChaCha20-Poly1305 (XCHACHA20_POLY1305) présente une limite beaucoup plus élevée que AES-GCM en termes de nombre de messages et de taille de message. Toutefois, en cas d'échec (très peu probable), il divulgue également des éléments de clé. Il n'est pas accéléré par le matériel. Il peut donc être plus lent que les modes AES dans les situations où l'accélération matérielle est disponible.
    • LGR sans engagement de clé.

En savoir plus sur le format de transmission du texte chiffré AEAD.

Garanties de sécurité

Les implémentations AEAD offrent les avantages suivants :

  • Sécurité CCA2.
  • Niveau d'authentification d'au moins 80 bits.
  • La possibilité de chiffrer au moins 232 messages avec un total de 250 octets. Aucune attaque avec jusqu'à 232 textes bruts ou chiffrés choisis n'a une probabilité de réussite supérieure à 2-32.

Exemples de cas d'utilisation

Consultez Je souhaite chiffrer des données et Je souhaite lier le texte chiffré à son contexte.