IEEE P1619

2. 표준

IEEE의 Security in Storage Working Group (SISWG)는 IEEE P1619 표준군 개발을 주도하였다. 디스크 스토리지 표준인 P1619(때로는 P1619.0이라고도 함)와 테이프 스토리지 표준인 P1619.1은 모두 2007년 12월에 표준으로 제정되었다.^[2]

데이터 스토리지에 사용되는 암호화 알고리즘은 데이터의 특정 부분만 독립적으로 암호화하고 복호화할 수 있어야 한다. 이를 위해 좁은 블록 알고리즘과 넓은 블록 알고리즘이 고려되었다. 좁은 블록 알고리즘은 상대적으로 작은 데이터 단위(예: 128비트)로 작동하여 하드웨어 구현에 효율적이라는 장점이 있다. 반면, 넓은 블록 알고리즘은 전체 섹터와 같이 큰 단위를 한 번에 암호화하거나 복호화한다.

좁은 블록 알고리즘은 블록 크기가 작기 때문에 데이터 수정 공격에 더 취약할 수 있다는 단점이 있다. 예를 들어, 1비트 단위의 데이터 수정(비트 반전 공격)이 가능한 것은 일반적으로 보안상 허용되지 않는다. 그럼에도 불구하고 SISWG 워킹 그룹은 효율성을 중시하여, 인증 기능이 없는 좁은 블록 암호화 방식(XTS-AES)을 P1619 표준으로 채택하였다. 이는 효율성 향상이 보안 위험 증가를 감수할 만하다고 판단했기 때문이다. 동시에 넓은 블록 암호화의 필요성도 인정하여, 이를 연구하기 위한 별도의 프로젝트 P1619.2를 시작하였다.

초기에(2004년~2006년) P1619 표준 초안은 AES를 LRW 모드로 사용하는 것을 제안했다. 그러나 2006년 8월 SISWG 회의에서 LRW 모드의 취약점에 대한 우려가 제기되었다. 특정 조건 하에서 암호문으로부터 LRW 트윅 키(K2)를 알아낼 수 있다는 점이 지적되었다.^[3] 특히, 암호화된 스왑 파일이나 최대 절전 모드 파일에 운영 체제가 트윅 키를 기록할 경우 심각한 문제가 될 수 있었다. 또한 트윅 키가 노출되면 LRW 모드는 선택 평문 공격(IND-CPA)에 대해 더 이상 안전하지 않으며, ECB 모드와 유사한 공격에 취약해진다는 문제도 있었다.^[4] 이러한 이유로 P1619.0 초안 7에서 LRW-AES는 XEX-AES 기반 방식으로 대체되었고, 이는 초안 11에서 최종적으로 XTS-AES로 명명되었다. 일부 구성원들은 LRW 모드가 수년간 공개적인 동료 검토를 거쳤다는 점을 들어 이를 포기하는 것에 반대하기도 했다.

디스크 드라이브용 넓은 블록 암호화 표준화(P1619.2)와 키 관리 표준(P1619.3)에 대한 논의는 2013년 10월 기준으로 진행 중이었다.

2. 1. IEEE 1619

• CBC-MAC을 사용한 카운터 모드 (CCM)
• 갈루아/카운터 모드 (GCM)
• HMAC-보안 해시 알고리즘과 함께 사용하는 CBC
• HMAC-보안 해시 알고리즘과 함께 사용하는 XTS

• 확장된 코드북(XCB)
• 암호화 혼합 암호화 V2 (EME2)

2. 2. P1619.1

• CBC-MAC을 사용한 카운터 모드 (CCM)
• 갈루아/카운터 모드 (GCM)
• 암호 블록 체이닝 (CBC) 와 함께 HMAC-Secure Hash 알고리즘
• XTS-HMAC-Secure Hash 알고리즘

2. 3. P1619.2

• 확장된 코드북(XCB)
• 암호화 혼합 암호화 V2(EME2)

2. 4. P1619.3

2. 5. XML 키 백업