Encriptación autenticada con datos asociados (AEAD)

La primitiva de encriptación autenticada con datos asociados (AEAD) es la más común para la encriptación de datos y es adecuada para la mayoría de las necesidades.

AEAD tiene las siguientes propiedades:

• Secrecy: No se sabe nada sobre el texto sin formato, excepto su longitud.
• Autenticidad: Es imposible cambiar el texto sin formato encriptado subyacente al texto cifrado sin que se detecte.
• Simétrico: La encriptación del texto sin formato y la desencriptación del texto cifrado se realizan con la misma clave.
• Aleatorización: La encriptación es aleatoria. Dos mensajes con el mismo texto sin formato producen textos cifrados diferentes. Los atacantes no pueden saber qué texto cifrado corresponde a un texto sin formato determinado. Si quieres evitar esto, usa AEAD determinista en su lugar.

Datos asociados

Precaución: Los datos asociados se autentican, pero NO se encriptan.

AEAD se puede usar para vincular el texto cifrado a datos asociados específicos datos. Supongamos que tienes una base de datos con los campos user-id y encrypted-medical-history. En este caso, user-id se puede usar como datos asociados cuando se encripta encrypted-medical-history. Esto evita que un atacante mueva el historial médico de un usuario a otro.

Los datos asociados son opcionales. Si se especifican, la desencriptación solo se realiza correctamente si se pasan los mismos datos asociados a las llamadas de encriptación y desencriptación.

Elige un tipo de clave

Si bien recomendamos AES128_GCM para la mayoría de los usos, existen varios tipos de claves para diferentes necesidades. AES128 ofrece seguridad de 128 bits y AES256 ofrece seguridad de 256 bits.

Las dos restricciones de seguridad notables cuando se elige un modo son las siguientes:

1. QPS: ¿Cuántos mensajes se encriptan con la misma clave?
2. Tamaño del mensaje: ¿Qué tan grandes son los mensajes?

Tipos de claves compatibles:

• AES-CTR-HMAC (AES128_CTR_HMAC_SHA256, AES256_CTR_HMAC_SHA256) con un vector de inicialización (IV) de 16 bytes es el modo más conservador con límites buenos.
  • Compromiso de clave.
• AES-EAX (AES128_EAX, AES256_EAX) es un poco menos conservador y un poco más rápido que AES128_CTR_HMAC_SHA256.
  • No se compromete la clave MLGR.
• AES-GCM (AES128_GCM, AES256_GCM) suele ser el modo más rápido con los límites más estrictos en la cantidad de mensajes (2³²) y el tamaño del mensaje (~64 GB por mensaje). Cuando se superan estos límites, AES-GCM falla de forma catastrófica al filtrar el texto sin formato y la parte de autenticación de la clave interna de AES-GCM.
  • AES-GCM no es robusto [ABN] ni se compromete la clave [GLR]. Es posible generar un texto cifrado que se pueda desencriptar con dos claves diferentes. Esto puede generar ataques prácticos [DGRW]. Revisa cuidadosamente tu modelo de amenazas si el adversario elige la clave.
• AES-GCM-SIV (AES128_GCM_SIV, AES256_GCM_SIV) [RFC8452] es resistente al uso inadecuado de nonce y tiene un rendimiento casi tan bueno como AES-GCM. Los límites en la cantidad de mensajes y el tamaño del mensaje para AES-GCM-SIV con IV aleatorios son mucho más altos que los límites de AES-GCM. Cuando se superan estos límites, AES-GCM-SIV falla de forma menos catastrófica: solo filtra que dos mensajes son iguales. AES-GCM-SIV es más seguro de usar, pero no se usa tanto en la práctica.
  • Límites para nonces aleatorios:
    • 2³² mensajes, en los que cada texto sin formato es de 8 GiB como máximo
    • 2⁴⁸ mensajes, en los que cada texto sin formato es de 32 MiB como máximo
    • 2⁶⁴ mensajes, en los que cada texto sin formato es de 128 KiB como máximo
  • Para usar en Java, instala Conscrypt.
  • No se compromete la clave ADGKLS.
• XChaCha20-Poly1305 (XCHACHA20_POLY1305) tiene un límite mucho mayor en la cantidad de mensajes y el tamaño del mensaje que AES-GCM, pero cuando falla (es muy poco probable), también filtra el material de clave. No tiene aceleración de hardware, por lo que puede ser más lento que los modos AES en situaciones en las que la aceleración de hardware está disponible.
  • No se compromete la clave LGR.

Nota: Todos los algoritmos enumerados admiten una longitud mínima de 2³² bytes para el texto sin formato y los datos asociados.

Obtén más información sobre el formato de transmisión del texto cifrado AEAD.

Garantías de seguridad

Las implementaciones de AEAD ofrecen lo siguiente:

• Seguridad CCA2
• Al menos 80 bits de intensidad de autenticación
• La capacidad de encriptar al menos 2³² mensajes con un total de 2⁵⁰ bytes. Ningún ataque con hasta 2³² textos sin formato elegidos o textos cifrados elegidos tiene una probabilidad de éxito mayor que 2^-32.

Precaución: AEAD no ofrece garantías de secreto para los datos asociados.

Ejemplos de casos de uso

Consulta Quiero encriptar datos y Quiero vincular el texto cifrado a su contexto.