인증된 암호 방식

3. 프로그래밍 인터페이스

인증 암호화 방식의 일반적인 프로그래밍 인터페이스는 다음과 같은 기능을 제공한다.

• 암호화
• 입력: ''평문'', ''키'', 선택적으로 암호화되지 않지만 무결성 보호를 받을 ''헤더''(''추가 인증 데이터'', '''AAD''', 또는 ''연관 데이터'', ''AD'')
• 출력: ''암호문'' 및 ''인증 태그''(메시지 인증 코드 또는 MAC).
• 복호화
• 입력: ''암호문'', ''키'', ''인증 태그'', 선택적으로 ''헤더'' (암호화 시 사용된 경우).
• 출력: ''평문'', 또는 ''인증 태그''가 제공된 ''암호문'' 또는 ''헤더''와 일치하지 않는 경우 오류.

4. 인증 암호화 방식

인증 암호화는 크게 세 가지 방식으로 구현될 수 있다.

• Encrypt-then-MAC (EtM): 평문을 암호화하고, 그 결과로 나온 암호문으로 MAC을 계산한다. 암호문과 MAC을 함께 전송한다. ISO/IEC 19772:2009에 따른 표준 방식^[26]이며, IPsec 등에서 사용된다. 사용되는 MAC이 "강력한 위조 불가"^[30]여야 하지만, 이 방식을 통해 최고 수준의 안전성을 확보할 수 있다. 2014년 11월에 TLS 및 DTLS의 확장으로서 EtM이 권고되었다.

• Encrypt-and-MAC (E&M): 평문으로 MAC을 계산하고, 평문은 암호화한다. 암호문과 MAC을 함께 전송한다. SSH나 Grain 128a 등에서 사용된다. E&M 자체는 강력한 위조 불가능으로 증명되지 않았지만^[30], 약간의 수정을 통해 SSH를 강력한 위조 불가능으로 만들 수 있다고 알려져 있다.^[31]

• -|]]|thumb|right]]
• MAC-then-Encrypt (MtE): 평문으로 MAC을 계산하고, 평문과 MAC을 합쳐 암호화한다. 암호화된 평문과 MAC을 포함한 암호문이 전송된다. SSL/TLS 등에서 사용된다. MtE 자체는 강한 위조 불가능으로 증명되지 않았지만^[30], 크라브치크는 SSL/TLS 구현이 강한 위조 불가능임을 증명하였다. SSL/TLS는 MtE와 동시에 사용하는 인코딩 덕분에 사실상 안전하다.^[32]

4. 1. Encrypt-then-MAC (EtM)

4. 2. Encrypt-and-MAC (E&M)

4. 3. MAC-then-Encrypt (MtE)

5. 관련 데이터 인증 암호화 (AEAD)

AEAD는 AE의 변형으로, 암호화될 데이터에 인증 및 무결성이 모두 필요한 경우 사용된다. AEAD는 "연관 데이터"(AD, 추가적인 비기밀 정보)를 암호문과 표시될 컨텍스트에 결합하여, 유효한 암호문을 다른 컨텍스트로 잘라내어 붙여넣기 하려는 시도(Cut-and-Paste Attack)를 방지한다.^[1]

이는 네트워크 패킷과 같이, 헤더는 데이터 무결성과 가시성을 요구하고 페이로드는 기밀성을 요구하는 경우에 유용하다. 또한 진정성도 필요하다.^[1]

AEAD는 메시지에 "연관 데이터"(AD, 추가적인 비기밀 정보, 즉 "추가 인증 데이터", AAD)를 포함할 수 있도록 하는 인증 암호화(AE)의 변형이다. 수신자는 연관 데이터와 메시지의 기밀 정보 모두의 무결성을 확인할 수 있다. AD는 예를 들어 네트워크 패킷에서 헤더가 라우팅을 위해 표시되어야 하지만 페이로드는 기밀이어야 하고 둘 다 데이터 무결성과 메시지 인증이 필요한 경우에 유용하다. AEAD의 개념은 로가웨이(2002)에 의해 공식화되었다.^[1]

6. 키 커밋 AEAD

기존 AE 방식은 일반적으로 '''키 커밋'''을 제공하지 않아, 다른 키로 복호화했을 때 오류가 발생한다는 보장이 없다.^[11] 2021년 현재, 매우 널리 사용되는 GCM을 포함한 대부분의 기존 AE 방식은 올바른 키(K_A)뿐만 아니라 다른 키를 사용하여 일부 메시지를 오류 없이 해독할 수 있도록 허용한다. 두 번째 (잘못된) 키(K_M)를 사용하여 해독된 평문은 부정확하지만, 인증 태그는 여전히 일치한다. 이러한 속성을 가진 메시지를 제작하려면 맬러리가 이미 K_A와 K_M을 모두 가지고 있어야 하므로, 이 문제는 순전히 학문적인 관심사처럼 보일 수 있다.^[11] 그러나 특수한 상황에서는 취약한 구현에 대한 실제 공격이 수행될 수 있다. 예를 들어, 신원 인증 프로토콜이 암호 기반 키를 사용하는 메시지의 성공적인 복호화를 기반으로 하는 경우, 맬러리가 취약한 잠재적 암호와 연관된 1000개의 서로 다른 키를 사용하여 성공적으로 복호화될 단일 메시지를 제작할 수 있다면 암호 검색 속도를 거의 1000배까지 증가시킬 수 있다.

이러한 공격을 완화하기 위해 ''키 커밋 AEAD''를 사용할 수 있다. 이는 제작된 메시지가 존재하지 않도록 한다. AEGIS는 (AES 명령어 집합이 존재한다면) 빠른 키 커밋 AEAD의 한 예이다.^[12] 기존 AEAD 방식에 키 커밋을 추가하는 것도 가능하다.^[13][14] 키 커밋은 2010년대에 Abdalla et al.과 Farshim et al.에 의해 "강력한 암호화"라는 이름으로 처음 연구되었다.

참조

_[1] 웹사이트 A Conventional Authenticated-Encryption Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[2] 웹사이트 The CWC Authenticated Encryption (Associated Data) Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[3] 웹사이트 Failures of secret-key cryptography https://cr.yp.to/tal[...] Daniel J. Bernstein 2013-03-12
_[4] 웹사이트 Encryption Modes with Almost Free Message Integrity https://eprint.iacr.[...] International Association for Cryptologic Research 2013-03-16
_[5] 간행물 The Software Performance of Authenticated-Encryption Modes https://web.cs.ucdav[...] International Association for Cryptologic Research 2011-03-01
_[6] 웹사이트 Information technology -- Security techniques -- Authenticated encryption https://www.iso.org/[...] ISO/IEC 2013-03-12
_[7] 웹사이트 Encryption modes development http://csrc.nist.gov[...] NIST 2013-04-17
_[8] 웹사이트 Duplexing The Sponge http://sponge.noekeo[...]
_[9] 서적 Fast Software Encryption (FSE): 2000 Proceedings
_[10] 웹사이트 CAESAR: Competition for Authenticated Encryption: Security, Applicability, and Robustness https://competitions[...] 2013-03-12
_[11] 간행물 Partitioning Oracle Attacks https://www.usenix.o[...] 2021
_[12] 웹사이트 The AEGIS Family of Authenticated Encryption Algorithms https://cfrg.github.[...]
_[13] 웹사이트 Key Committing AEADs https://eprint.iacr.[...] 2020
_[14] 웹사이트 Key Committing AEADs https://crypto.stack[...] 2024-02-21
_[15] 웹사이트 Authenticated Encryption: Relations among notions and analysis of the generic composition paradigm https://cseweb.ucsd.[...] M. Bellare and C. Namprempre 2013-04-13
_[16] 간행물 Separate Confidentiality and Integrity Algorithms https://tools.ietf.o[...] Internet Engineering Task Force (IETF) 2018-09-12
_[17] 간행물 Data Integrity https://tools.ietf.o[...] Internet Engineering Task Force (IETF) 2018-09-12
_[18] 웹사이트 Breaking and Provably Repairing the SSH Authenticated Encryption Scheme: A Case Study of the Encode-then-Encrypt-and-MAC Paradigm https://homes.cs.was[...] ACM Transactions on Information and System Security 2021-08-30
_[19] 간행물 Record Payload Protection https://tools.ietf.o[...] Internet Engineering Task Force (IETF) 2018-09-12
_[20] 웹사이트 The Order of Encryption and Authentication for Protecting Communications (Or: How Secure is SSL?) https://www.iacr.org[...] H. Krawczyk 2013-04-13
_[21] 웹사이트 Here Come The ⊕ Ninjas https://tlseminar.gi[...] 2011-05-13
_[22] 웹사이트 A Conventional Authenticated-Encryption Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[23] 웹사이트 The CWC Authenticated Encryption (Associated Data) Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[24] 웹사이트 Failures of secret-key cryptography http://cr.yp.to/talk[...] Daniel J. Bernstein 2013-03-12
_[25] 웹사이트 Encryption Modes with Almost Free Message Integrity https://eprint.iacr.[...] International Association for Cryptologic Research 2013-03-16
_[26] 웹사이트 Information technology -- Security techniques -- Authenticated encryption http://www.iso.org/i[...] ISO/IEC 2013-03-12
_[27] 웹사이트 Encryption modes development http://csrc.nist.gov[...] NIST 2013-04-17
_[28] 웹사이트 Duplexing The Sponge http://sponge.noekeo[...] 2013-11-30
_[29] 웹사이트 CAESAR: Competition for Authenticated Encryption: Security, Applicability, and Robustness http://competitions.[...] 2013-03-12
_[30] 웹사이트 Authenticated Encryption: Relations among notions and analysis of the generic composition paradigm http://cseweb.ucsd.e[...] M. Bellare and C. Namprempre 2013-04-13
_[31] 웹사이트 OpenSSH 6.1 からの変更点 http://www.unixuser.[...] 春山征吾 2013-12-01
_[32] 웹사이트 The Order of Encryption and Authentication for Protecting Communications (Or: How Secure is SSL?) http://www.iacr.org/[...] H. Krawczyk 2013-04-13
_[33] 웹인용 A Conventional Authenticated-Encryption Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[34] 웹인용 The CWC Authenticated Encryption (Associated Data) Mode http://csrc.nist.gov[...] NIST 2013-03-12
_[35] 웹인용 Failures of secret-key cryptography https://cr.yp.to/tal[...] Daniel J. Bernstein 2013-03-12
_[36] 웹인용 Encryption Modes with Almost Free Message Integrity https://eprint.iacr.[...] IACR 2013-03-16
_[37] 웹인용 Information technology -- Security techniques -- Authenticated encryption https://www.iso.org/[...] ISO/IEC 2013-03-12
_[38] 웹인용 Encryption modes development http://csrc.nist.gov[...] NIST 2013-04-17
_[39] 웹인용 Duplexing The Sponge http://sponge.noekeo[...]