الخلاصة

  • عند إعادة nonce تحت المفتاح نفسه يحافظ SIV على صعوبة التزوير، لكنه يكشف ما إذا عاد النص الصريح نفسه مع بيانات مرتبطة مطابقة.
  • المقاومة شبكة أمان بعد خرق قاعدة التفرد، وليست تصريحاً بإلغاء تلك القاعدة أو دمج اختيار النمط وبنية AD والتحقق والإفراج في حكم واحد.

ما الذي نجا فعلاً؟

تعتمد أنماط توثيق وتشفير كثيرة على عدم تكرار زوج المفتاح وnonce. قد يؤدي الخرق في بعض البنى إلى انهيار السرية أو النزاهة. يغيّر SIV النتيجة: يحسب S2V بواسطة CMAC قيمة من متجه البيانات المرتبطة والنص الصريح، ثم يجعلها متجه بدء اصطناعياً لتشفير AES-CTR. يخرج المتجه ذو 128 بت متبوعاً بالنص المشفر.

مع nonce فريد تتحقق الخصائص المعتادة التي يصفها RFC 5297. ومع التكرار يبقى من الصعب إنشاء دخل جديد لا ينتهي إلى FAIL. لكن تطابق النص الصريح والبيانات المرتبطة وnonce والمفتاح يصبح قابلاً للرؤية من تطابق الخرج.

قد تكشف المساواة قراراً ثنائياً، أو بقاء صلاحية دون تغيير، أو تكرار أمر قصير، أو رجوع مفتاح ملفوف بعينه. إنها ليست قراءة مباشرة للمحتوى، لكنها معلومة تشغيلية قابلة للاستغلال. لذلك لا يجوز أن يساوي التقرير بين «لم يحدث تزوير» و«لم يحدث كشف».

غياب nonce قد يكون صحيحاً أو خطأً

لـ SIV نمطان. في النمط القائم على nonce يكون هذا الأخير آخر مكوّن AD قبل النص الصريح. تحدد طبقة التطبيق بقية المكونات. يوصي RFC بأن يكون nonce العشوائي 128 بت على الأقل ومن حوض يملك 128 بت من الإنتروبيا، ويمكن استعمال عدّاد أو ختم زمني إذا حُفظ شرط التفرد.

أما النمط الحتمي فلا يحتاج إلى nonce، ويصلح خصوصاً للف بيانات لا يستطيع الخصم توقعها مثل مفتاح تشفيري. يمكن مع ذلك ربط الغرض أو المستلم أو الجيل ببيانات مرتبطة.

لا يدل الخرج وحده على النمط المأذون. قد يكون غياب nonce قراراً صحيحاً في لف مفتاح، وقد يكون اختصاراً لإزالة الحالة من خدمة تحمي قيماً متوقعة. يجب أن يسجل الإيصال النمط وملف التطبيق وجهة التفويض وسبب صلاحية البيانات للنمط الحتمي.

المتجه عبارة مصادق عليها

يعالج S2V سلسلة مرتبة من مكونات متفاوتة الطول. حدود المكونات وترتيبها جزء من المعنى. دمج ab وc دون أطوال لا ينبغي أن يساوي a وbc. كما أن تبديل المستلم والغرض يغير العبارة حتى لو بقي مجموع البايتات قريباً.

توفر واجهة RFC 5116 مكوّناً واحداً لـ AD. وعند تمرير SIV عبرها ينبغي ترميز المتجه في سلسلة واحدة غير ملتبسة تحتوي الطول والنوع وإصدار المخطط. نجاح الوسم يثبت تطابق البايتات، ولا يثبت أن نسختين من البرنامج فسرتا الحدود والأسماء بالطريقة نفسها.

العدد محدود أيضاً: لا يتجاوز S2V 127 مكوّناً، ويشغل النص الصريح واحداً منها، فتتبقى 126 خانة لـ AD. حذف حقل أو دمجه أو نقله بصمت كي يمر الطلب يبدل الادعاء المحمي.

النص المرشح لا يملك سلطة

يولد CTR أثناء فك التشفير نصاً مرشحاً، ثم يعاد حساب S2V فوقه مع AD. لا يعاد النص إلا إذا تطابق الناتج مع المتجه المستلم؛ وإلا فالنتيجة FAIL.

وجود البايتات المرشحة في الذاكرة لا يجيز تمريرها. إذا وصلت قبل المقارنة إلى محلل أو سجل أو مخبأ أو محرك سياسة، فقد وقع الأثر قبل فشل التوثيق. صحة النواة التشفيرية لا تثبت صحة واجهة الإفراج.

لذلك تفصل الأحداث بين بدء الفك، عزل المرشح، المقارنة، نجاح التوثيق، الإفراج، فحص البنية، التفويض، والنتيجة النهائية. لا يستطيع علم واحد باسم «نجاح الفك» إثبات السلسلة.

حدود منفصلة لا تتبادل الشهادة

يسجل IANA الأرقام 15 و16 و17 لخيارات AES-SIV-CMAC. ينسق السجل الأسماء، لكنه لا يراقب الكود المنفذ أو جيل المفتاح أو النمط أو تفرد nonce أو مخطط AD أو بوابة الإفراج.

ويناقش RFC 5297 ميزانية الاستدعاءات تحت المفتاح ويقترح الحذر عند 2^48 استدعاءً متميزاً اقتداءً بـ CMAC. هذه ليست ميزانية nonce. قد تنفد إحداهما فيما تبقى الأخرى سليمة.

يربط الإيصال غير السري: الخوارزمية والبناء، هوية المفتاح وجيله، النمط، أسماء مكونات AD وبصماتها وترتيبها، مصدر nonce وحكم تفرده، هوية الكائن، بصمة المتجه الاصطناعي، نتيجة التوثيق، قرار الإفراج، تصنيف التكرار، أثر المساواة، قبول التطبيق، والعدادات لكل مفتاح.

Sources