블록 암호 운용 방식

3. 초기화 벡터 (IV)

초기화 벡터(IV) 또는 시작 변수(SV)^[5]는 암호화를 무작위화하여, 동일한 평문을 여러 번 암호화하더라도 서로 다른 암호문을 생성하는 데 사용되는 비트 블록이다.

초기화 벡터는 키와 다른 보안 요구 사항을 가지므로, 일반적으로 비밀일 필요는 없다. 대부분의 블록 암호 모드에서 초기화 벡터는 동일한 키에서 재사용되어서는 안 된다. 즉, 암호화 논스여야 한다. 많은 블록 암호 모드는 IV가 무작위 또는 의사 무작위여야 한다는 더 강력한 요구 사항을 가지고 있다. 일부 블록 암호는 특정 초기화 벡터와 관련하여 특정 문제를 가지고 있다(예: 일부 키에 대해 암호화가 생성되지 않는 모든 0 IV).

관련 사양(예: [http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38a.pdf SP800-38A])에서 특정 블록 암호 모드에 대한 IV 요구 사항을 검토하는 것이 좋다.

CBC 및 CFB에서 IV를 재사용하면 평문의 첫 번째 블록과 두 메시지가 공유하는 모든 공통 접두사에 대한 일부 정보가 유출된다.

OFB 및 CTR에서 IV를 재사용하면 키 비트스트림이 재사용되어 보안이 손상된다.^[8] 두 모드 모두 평문과 XOR된 비트스트림을 효과적으로 생성하고 이 비트스트림은 키와 IV에만 의존하기 때문에 이를 확인할 수 있다.

CBC 모드에서 IV는 암호화 시점에 예측 불가능(무작위 또는 의사 무작위)해야 한다. 특히, 메시지의 마지막 암호문 블록을 다음 메시지의 IV로 재사용하는 (이전의) 일반적인 방식은 안전하지 않다(예: 이 방법은 SSL 2.0에서 사용되었다). 공격자가 다음 평문이 지정되기 전에 IV(또는 이전 암호문 블록)를 알고 있는 경우, 동일한 키로 이전에 암호화된 일부 블록의 평문에 대한 추측을 확인할 수 있다(이것은 TLS CBC IV 공격으로 알려져 있다).^[9]

일부 키의 경우, 모든 0 초기화 벡터는 일부 블록 암호 모드(CFB-8, OFB-8)가 내부 상태가 모두 0으로 고정되도록 생성할 수 있다. CFB-8의 경우, 모든 0 IV와 모든 0 평문은 1/256 키가 암호화를 생성하지 않게 하여 평문이 암호문으로 반환된다.^[10] OFB-8의 경우, 모든 0 초기화 벡터를 사용하면 1/256 키에 대해 암호화가 생성되지 않는다.^[11] OFB-8 암호화는 영향을 받는 키에 대해 평문을 암호화되지 않은 상태로 반환한다.

일부 모드(예: AES-SIV 및 AES-GCM-SIV)는 논스 오용에 더 강하도록, 즉 무작위성 생성이 결함이 있거나 공격자의 제어하에 있는 시나리오에 탄력적으로 구축되었다.

• 합성 초기화 벡터(SIV)는 입력(추가 데이터 및 평문)에 대해 S2V라고 하는 의사 무작위 함수(PRF) 구성을 실행하여 내부 IV를 합성하여 외부 데이터가 IV를 직접 제어하는 것을 방지한다. 외부 논스/IV는 추가 데이터 필드로 S2V에 공급될 수 있다.
• AES-GCM-SIV는 입력(추가 데이터 및 평문)에 대한 POLYVAL 갈루아 인증 모드를 실행한 다음 AES 연산을 수행하여 내부 IV를 합성한다.

4. 패딩

블록 암호는 고정된 크기의 단위로 작동하지만, 메시지는 다양한 길이로 제공된다. 따라서 일부 모드(특히 ECB 및 CBC)는 암호화 전에 마지막 블록을 패딩해야 한다. 여러 패딩 방식이 존재한다. 가장 간단한 방법은 null 바이트를 평문에 추가하여 길이를 블록 크기의 배수로 만드는 것이지만, 평문의 원래 길이를 복구할 수 있도록 주의해야 한다. 예를 들어 평문이 끝을 제외하고 null 바이트가 없는 C 스타일의 리터럴 문자열인 경우 이는 간단하다. 약간 더 복잡한 것은 원래 DES 방식인데, 이는 하나의 1 비트를 추가하고, 블록을 채우기에 충분한 0 비트를 추가하는 것이다. 메시지가 블록 경계에서 끝나면 전체 패딩 블록이 추가된다. 가장 정교한 것은 암호 텍스트 스틸링 또는 잔여 블록 종결과 같은 CBC 특정 방식인데, 이는 약간의 추가적인 복잡성을 희생하여 추가 암호 텍스트를 생성하지 않는다. 슈나이어와 퍼거슨은 두 가지 가능성을 제안하는데, 둘 다 간단하다. 값 128(16진수 80)인 바이트를 추가하고, 마지막 블록을 채우는 데 필요한 만큼의 0 바이트를 추가하거나, 마지막 블록을 모두 값 ''n''인 ''n'' 바이트로 패딩한다.

CFB, OFB 및 CTR 모드는 블록 크기의 배수가 아닌 길이의 메시지를 처리하기 위해 특별한 조치가 필요하지 않다. 이 모드는 블록 암호의 출력과 평문을 XOR하여 작동하기 때문이다. 평문의 마지막 부분 블록은 마지막 키 스트림 블록의 처음 몇 바이트와 XOR되어 마지막 부분 평문 블록과 동일한 크기의 최종 암호 텍스트 블록을 생성한다. 이러한 스트림 암호의 특성으로 인해 암호화된 암호 텍스트 데이터가 원래 평문 데이터와 동일한 크기여야 하는 응용 프로그램과 패딩 바이트를 추가하는 것이 불편한 스트리밍 형태로 데이터를 전송하는 응용 프로그램에 적합하다.

5. 운용 방식

암호 운용 방식은 암호화된 데이터에 존재하는 패턴을 가리는 것을 목표로 한다. 이는 ECB의 취약점에서 잘 나타난다.

암호 운용 방식은 암호 블록의 출력이나 다른 전역적으로 결정론적인 변수를 연속적인 암호 블록에 적용하여 패턴을 가린다. 아래 표는 제시된 방식들의 입력값을 요약한 것이다.

참고: ''g''(''i'')는 모든 결정론적 함수이며, 종종 항등 함수이다.

비밀 유지를 위해 많은 암호 운용 방식이 정의되어 있으며, 이 중 ECB, CBC, OFB, CFB의 4가지 방식은 FIPS, ANSI 외에도 ISO, JIS에서 규격화되어 있다. CTR은 AES 제정 시 추가된 방식이다.

대표적인 암호 운용 방식에는 다음이 있다. ($C\_i$는 암호화된 i번째 블록, $M\_i$는 암호화 전 i번째 블록, $E\_K(\backslash \_)$는 블록 암호 처리를 나타낸다.)

• '''ECB''' (전자 코드북)
• '''CBC''' (암호 블록 체이닝)
• '''PCBC''' (전파 CBC)
• '''CFB''' (암호 피드백)
• '''OFB''' (출력 피드백)
• '''CTR''' (카운터)

5. 1. 전자 코드북 (ECB)

ECB 모드는 암호화 및 복호화 과정이 병렬로 처리될 수 있으며, 임의 읽기가 가능하다.

5. 2. 암호 블록 체인 방식 (CBC)

5. 3. 증식적 암호 블록 체인 방식 (PCBC)

• 암호화: `C_i = E_K(P_i \oplus P_{i-1} \oplus C_{i-1}), P_0 \oplus C_0 = IV`
• 복호화: `P_i = D_K(C_i) \oplus P_{i-1} \oplus C_{i-1}, P_0 \oplus C_0 = IV`

5. 4. 암호 피드백 (CFB)

5. 5. 출력 피드백 (OFB)

5. 6. 카운터 (CTR)

6. 인증된 암호 방식

여러 운용 방식이 하나의 암호 기본 요소에서 기밀성과 인증을 결합하도록 설계되었다.^[12] 이러한 방식에는 OCB, EAX, CWC, CCM, GCM 등이 있다. 인증 암호화 모드는 단일 패스 모드 또는 이중 패스 모드로 분류된다.

일부 모드는 암호화되지 않은 관련 데이터의 인증도 허용하는데, 이를 AEAD(연관 데이터를 갖는 인증 암호화) 방식이라고 한다. 예를 들어 EAX 모드는 이중 패스 AEAD 방식이지만, OCB 모드는 단일 패스 방식이다.

인증에 사용되는 운용 방식은 다음과 같다.

• '''CCM''' (Counter with CBC-MAC)
• '''GCM''' (Galois/Counter Mode)
• '''OCB''' (Offset CodeBook)
• '''XCBC''' (eXtended Ciphertext Block Chaining)
• '''XCBC-MAC'''

6. 1. 갈루아/카운터 모드 (GCM)

6. 2. CCM (Counter with CBC-MAC)

6. 3. 합성 초기화 벡터 (SIV)

• 추가 인증 데이터 (0개, 1개 또는 여러 개의 AAD 필드가 지원됨)
• 평문
• 인증 키 (K₁)

6. 4. AES-GCM-SIV

7. 오류 증식

메시지 인증 코드와 인증된 암호 방식이 널리 사용되기 전에는, 암호 운용 방식의 "오류 증식" 특성이 중요한 논의 대상이었다. 오류 증식은 암호화 과정에서 비트 오류가 발생했을 때, 복호화 과정에서 이 오류가 어떻게 확산되는지를 나타낸다.

현대 암호 모드에서는 오류 전파가 덜 중요한 문제로 간주된다. 현대적인 인증 암호화(AEAD) 또는 메시지 인증 코드를 사용하는 프로토콜에서는, 비트 오류가 발생하면 복호화가 완전히 중단되어야 하며, 복호화 과정에서 특정 비트 오류가 생성되어서는 안 된다. 즉, 복호화가 성공했다면 비트 오류가 없어야 한다.

다음 표는 다양한 암호 모드에서 비트 오류가 복호화에 미치는 영향을 요약한 것이다.

예를 들어, ECB 모드에서는 암호문에 한 블록의 오류가 발생하면 복호화된 평문에도 한 블록의 오류가 발생한다. 반면, CBC 모드에서는 오류가 두 블록에 영향을 미친다. 과거에는 이러한 복원력이 무작위 오류에 대해 바람직하다고 여겨졌지만, 공격자가 메시지를 조작할 가능성을 높인다는 비판도 있었다.

따라서, 적절한 무결성 보호를 통해 오류 발생 시 메시지 전체를 거부하는 것이 더 안전하다. 무작위 오류에 대한 저항력이 필요한 경우에는 전송 전에 오류 정정 부호를 암호문에 적용해야 한다.

8. 기타 운용 방식 및 암호 기본 요소

미국 국립표준기술연구소(NIST)는 블록 암호에 대해 제안된 다양한 운용 방식 목록을 유지 관리하고 있다.^[28][35] 디스크 암호화에는 특수 목적 모드가 사용되는데, 예를 들어 조정 가능한 좁은 블록 암호화 모드(LRW, XEX, XTS)와 넓은 블록 암호화 모드(CMC, EME)는 디스크 섹터를 안전하게 암호화하기 위해 설계되었다(디스크 암호화 이론 참조).

블록 암호는 다른 암호화 프로토콜에서도 사용될 수 있다. 이러한 프로토콜에서 블록 암호는 위에 설명된 블록 모드와 유사한 운용 방식으로 사용된다. 하지만, 모든 프로토콜과 마찬가지로 암호화의 안전성을 확보하기 위해서는 이러한 운용 모드를 신중하게 설계해야 한다.

또한 블록 암호를 사용하여 암호화 해시 함수를 구축하는 여러 방법이 있으며, 이에 대한 자세한 내용은 일방향 압축 함수에서 확인할 수 있다. 암호학적으로 안전한 의사 난수 생성기(CSPRNG) 역시 블록 암호를 사용하여 구축할 수 있다. 메시지 인증 코드(MAC)는 CBC-MAC, OMAC, PMAC와 같이 블록 암호로부터 만들어지기도 한다.

참조

_[1] 웹사이트 Block cipher modes http://csrc.nist.gov[...] NIST 2013-04-12
_[2] 서적 Cryptography Engineering: Design Principles and Practical Applications Wiley Publishing, Inc.
_[3] 웹사이트 Proposed modes http://csrc.nist.gov[...] NIST 2013-04-14
_[4] 서적 Handbook of Applied Cryptography https://archive.org/[...] CRC Press
_[5] 간행물 ISO/IEC 10116:2006 – Information technology – Security techniques – Modes of operation for an ''n''-bit block cipher http://www.iso.org/i[...]
_[6] 문서 Chapter 3 - Domain 3: Security engineering http://www.sciencedi[...] Syngress 2020-11-01
_[7] 웹사이트 Current modes http://csrc.nist.gov[...] NIST 2013-04-12
_[8] 웹사이트 Stream Cipher Reuse: A Graphic Example http://cryptosmith.c[...] Cryptosmith LLC 2015-01-07
_[9] 문서 Security of CBC Ciphersuites in SSL/TLS: Problems and Countermeasures http://www.openssl.o[...] 2004-05-20
_[10] 웹사이트 Zerologon: Unauthenticated domain controller compromise by subverting Netlogon cryptography (CVE-2020-1472) https://www.secura.c[...] 2020-10-14
_[11] 웹사이트 Netlogon CFB8 considered harmful. OFB8 also. https://github.com/b[...] 2020-10-14
_[12] conference Fast Encryption and Authentication: XCBC Encryption and XECB Authentication Modes https://link.springe[...] Springer 2002
_[13] conference Encryption Modes with Almost Free Message Integrity https://iacr.org/arc[...] Springer 2001-05
_[14] 문서 Recommendation for Block Cipher Modes of Operation: The CCM Mode for Authentication and Confidentiality http://nvlpubs.nist.[...] 2004-05
_[15] 간행물 Counter with CBC-MAC (CCM) IETF 2003-09
_[16] 웹사이트 Synthetic Initialization Vector (SIV) Authenticated Encryption Using the Advanced Encryption Standard (AES) https://tools.ietf.o[...] 2020-10-21
_[17] 간행물 AES-GCM-SIV: Nonce Misuse-Resistant Authenticated Encryption IETF 2019-08-14
_[18] 간행물 AES-GCM-SIV: Specification and Analysis https://eprint.iacr.[...] 2020-10-19
_[19] 웹사이트 Recommendation for Block Cipher Modes of Operation http://nvlpubs.nist.[...] NIST 2017-04-01
_[20] 서적 Handbook of Applied Cryptography https://books.google[...] CRC Press 2018
_[21] 서적 Cryptography's Role in Securing the Information Society https://books.google[...] National Academies Press 1996
_[22] 서적 Applied Cryptography: Protocols, Algorithms and Source Code in C https://books.google[...] John Wiley & Sons 2015
_[23] 문서 Message verification and transmission error detection by block chaining 1976
_[24] 웹사이트 The Transport Layer Security (TLS) Protocol Version 1.1 http://www.ietf.org/[...] 2015-01-07
_[25] 웹사이트 Kryptographie FAQ: Frage 84: What are the Counter and PCBC Modes? http://www.iks-jena.[...] 2018-04-28
_[26] 서적 Network Security Prentice Hall
_[27] 서적 Proceedings, Crypto '89 Springer
_[28] 간행물 SP 800-38A, Recommendation for Block Cipher Modes of Operation: Methods and Techniques http://csrc.nist.gov[...] 2018-04-28
_[29] 서적 Advances in Cryptology, Proceedings of CRYPTO 82 Plenum Press
_[30] 서적 Advances in Cryptology, Proceedings of CRYPTO 82 Plenum Press
_[31] 서적 Cryptography Engineering 2010
_[32] 웹사이트 Comments to NIST concerning AES Modes of Operations: CTR-Mode Encryption http://csrc.nist.gov[...] 2000
_[33] 웹사이트 Basic Block Cipher Modes http://www.quadibloc[...] 2018-04-28
_[34] 웹사이트 Cryptography I https://www.coursera[...] 2018-04-28
_[35] 웹사이트 Modes Development – Block Cipher Techniques – CSRC http://csrc.nist.gov[...] Computer Security Division, Information Technology Laboratory, National Institute of Standards and Technology, U.S. Department of Commerce 2018-04-28
_[36] 특허 Message verification and transmission error detection by block chaining 1976
_[37] 웹사이트 http://www.iks-jena.[...]
_[38] 서적 Network Security Prentice Hall
_[39] 서적 Proceedings, Crypto '89 Springer
_[40] 보고서 NIST: Recommendation for Block Cipher Modes of Operation http://csrc.nist.gov[...]
_[41] 서적 Advances in Cryptology, Proceedings of CRYPTO 82 Plenum Press
_[42] 웹사이트 http://www.crypto.ru[...]
_[43] 서적 Advances in Cryptology, Proceedings of CRYPTO 82 Plenum Press
_[44] 문서 Comments to NIST concerning AES modes of operation: CTR-mode encryption 2000
_[45] 문서 Cryptography Engineering 2010
_[46] 웹사이트 http://www.quadibloc[...]
_[47] 서적 Handbook of Applied Cryptography http://www.cacr.math[...] CRC Press
_[48] 웹인용 Block Cipher Modes http://csrc.nist.gov[...] NIST Computer Security Resource Center
_[49] 웹인용 FIPS 81: DES Modes of Operation http://www.itl.nist.[...] NIST Computer Security Resource Center 2009-06-02
_[50] 특허 Message verification and transmission error detection by block chaining 1976