Chiffrement authentifié avec des données associées (AEAD)

La primitive de chiffrement authentifié avec données associées (AEAD) est la plus courante pour chiffrer des données. Elle convient à la plupart des besoins.

La primitive AEAD présente les propriétés suivantes :

  • Secrecy : aucune information sur le texte brut n'est connue, à l'exception de sa longueur.
  • Authenticité : il est impossible de modifier le texte brut chiffré sous-jacent au texte chiffré sans que la modification ne soit détectable.
  • Symétrie : le chiffrement du texte brut et le déchiffrement du texte chiffré s' effectuent avec la même clé.
  • Randomisation : le chiffrement est aléatoire. Deux messages comportant le même texte brut renvoient des textes chiffrés différents. Les pirates informatiques ne peuvent pas identifier le texte chiffré correspondant à un texte brut donné. Si vous souhaitez éviter cela, utilisez plutôt la primitive AEAD déterministe.

Données associées

La primitive AEAD peut être utilisée pour lier un texte chiffré à des données associées spécifiques data. Supposons que vous disposez d'une base de données avec les champs user-id et encrypted-medical-history. Dans ce scénario, user-id peut être utilisé comme données associées lors du chiffrement de encrypted-medical-history. Cela empêche un pirate informatique de transférer l'historique médical d'un utilisateur à un autre.

Les données associées sont facultatives. Si elles sont spécifiées, le déchiffrement ne réussit que si les mêmes données associées sont transmises aux appels de chiffrement et de déchiffrement.

Choisir un type de clé

Bien que nous recommandions AES128_GCM pour la plupart des utilisations, il existe différents types de clés pour différents besoins. AES128 offre une sécurité de 128 bits, tandis qu'AES256 offre une sécurité de 256 bits.

Les deux contraintes de sécurité notables lors du choix d'un mode sont les suivantes :

  1. RPS : combien de messages sont chiffrés avec la même clé ?
  2. Taille du message : quelle est la taille des messages ?

Types de clés compatibles :

  • AES-CTR-HMAC (AES128_CTR_HMAC_SHA256, AES256_CTR_HMAC_SHA256) avec un vecteur d'initialisation (IV) de 16 octets est le mode le plus conservateur avec de bonnes limites.
    • Engagement de la clé.
  • AES-EAX (AES128_EAX, AES256_EAX) est légèrement moins conservateur et légèrement plus rapide qu'AES128_CTR_HMAC_SHA256.
    • MLGR sans engagement de la clé.
  • AES-GCM (AES128_GCM, AES256_GCM) est généralement le mode le plus rapide avec les limites les plus strictes concernant le nombre de messages (232) et la taille des messages (environ 64 Go par message). Lorsque ces limites sont dépassées, AES-GCM échoue de manière catastrophique en divulguant le texte brut et la partie authentification de la clé interne AES-GCM.
    • AES-GCM n'est ni robuste [ABN] ni engagé par la clé [GLR]. Il est possible de générer un texte chiffré qui peut être déchiffré avec deux clés différentes. Cela peut entraîner des attaques pratiques [DGRW]. Examinez attentivement votre modélisation des menaces si la clé est choisie par l'adversaire.
  • AES-GCM-SIV (AES128_GCM_SIV, AES256_GCM_SIV) [RFC8452] résiste à une mauvaise utilisation accidentelle du nonce et est presque aussi performant qu'AES-GCM. Les limites concernant le nombre de messages et la taille des messages pour AES-GCM-SIV avec des IV aléatoires sont beaucoup plus élevées que celles d'AES-GCM. Lorsque ces limites sont dépassées, AES-GCM-SIV échoue de manière moins catastrophique : il ne divulgue que l'égalité de deux messages. AES-GCM-SIV est plus sûr à utiliser, mais il est moins utilisé en pratique.
    • Limites pour les nonces aléatoires :
      • 232 messages, où chaque texte brut est d'au plus 8 Gio
      • 248 messages, où chaque texte brut est d'au plus 32 Mio
      • 264 messages, où chaque texte brut est d'au plus 128 Kio
    • Pour l'utiliser en Java, installez Conscrypt.
    • ADGKLS sans engagement de la clé.
  • XChaCha20-Poly1305 (XCHACHA20_POLY1305) a une limite beaucoup plus élevée concernant le nombre de messages et la taille des messages qu'AES-GCM, mais lorsqu'il échoue (ce qui est très peu probable), il divulgue également le matériel de clé. Il n'est pas accéléré par le matériel. Il peut donc être plus lent que les modes AES dans les situations où l'accélération matérielle est disponible.
    • LGR sans engagement de la clé LGR.

En savoir plus sur le format de transmission du texte chiffré AEAD

Garanties de sécurité

Les implémentations AEAD offrent les avantages suivants :

  • Sécurité CCA2.
  • Force d'authentification d'au moins 80 bits.
  • Possibilité de chiffrer au moins 232 messages avec un total de 250 octets. Aucune attaque avec jusqu'à 232 textes bruts choisis ou textes chiffrés choisis n'a une probabilité de succès supérieure à 2-32.

Exemples de cas d'utilisation

Consultez Je souhaite chiffrer des données et lier le texte chiffré à son contexte.