Кратко

  • Редакция 13 явно включает аутентифицируемые дополнительные данные в общий объём вместе с открытым текстом. Счётчик одной полезной нагрузки измеряет не ту величину.
  • Защищённые сообщения, неудачные проверки, nonce, число ключей и пик на одном ключе — разные квитанции, которые локальный счётчик способен разорвать.
  • Формулы и таблицы иллюстративны. Риск выбирает приложение, а работающая система доказывает учёт, отказ, активацию и вывод ключа.

Формула не является производственным счётчиком

3 сентября 2026 года Crypto Forum Research Group опубликовала редакцию 13 Usage Limits on AEAD Algorithms. Текст теперь называет себя результатом консенсуса CFRG, но остаётся Internet-Draft потока IRTF и может измениться, истечь либо не стать RFC.

Повторное использование ключа увеличивает преимущество атакующего. Чтобы превратить принцип в правило допуска, нужен измеримый охват. RFC 5116 задаёт интерфейс из ключа, nonce, открытого текста и связанных данных, но не ведёт бюджет реплик, регионов и перезапусков. Стандарт не знает, какие отклонённые пакеты дошли до проверки.

Проект задаёт общую техническую границу. Допустимый риск и доказательство исполнения остаются у оператора.

«Достаточно мало» определяет приложение

Документ разделяет преимущества против аутентифицированного шифрования, конфиденциальности и целостности. Приложение выбирает цели и выводит пределы из конструкции и параметров среды.

Строка примера не превращается в политику после копирования в расписание ротации. Числа зависят от размера сообщения, офлайн-работы и целевой вероятности. Короткий тег способен сделать ошибки проверки дефицитнее успешного трафика.

У порога должны храниться алгоритм, длина тега, диапазон сообщений, модель противника и множество ключей. Процент без этих предпосылок непроверяем.

AAD расходует бюджет

Редакция 13 определяет s как сумму открытого текста и аутентифицируемых дополнительных данных, а L охватывает оба. AAD не шифруется, но участвует в аутентификации. Заголовки, последовательности и контекст увеличивают работу, не появляясь в секретном теле.

Счётчик только прикладных байтов занижает нагрузку. Для CCM учитываются блоки AAD, шифртекста и открытого текста плюс операция; проект использует консервативное приближение 2L. Видимый объём не равен величине безопасности.

Успехи и отказы тратят разные резервы

q считает защищённые сообщения, v — неудачные расшифрования или попытки подделки. Писатели видят первое, читатели и защита — второе. Без общей книги служба может соблюдать бюджет конфиденциальности и потерять бюджет целостности.

AES-CCM_8 показывает цену 64-битного тега. 2^13 в одноключевом примере не является универсальным порогом. Важно другое: правильно отклонённый враждебный трафик всё равно расходует ограниченный ресурс проверки.

Ошибка должна попасть в учёт до исчезновения в обработчике. Ограничение частоты полезно, но не заменяет журнал, если не охватывает те же операции и ключи.

Сумма парка и самый нагруженный ключ

Раздел 6 предназначен для одного ключа и не применяется к многоключевой среде, включая смену ключей внутри соединения. В разделе 7 атакующему достаточно взломать любой ключ из множества.

Ротация снижает работу на ключ, но увеличивает популяцию. Помимо суммарных q и v, требуются максимумы на одном ключе: B для зашифрованных блоков или C для зашифрованных и расшифрованных. Среднее скрывает горячий ключ; одни локальные показатели скрывают преимущество выбора из множества.

Перезапуск контейнера, смена региона или перенос клиента не создают новый бюджет, если криптографическая модель не изменилась. Охват следует за ключами и анализом.

Nonce остаётся отдельным шлюзом

Повтор nonce под одним ключом GCM может нарушить конфиденциальность и целостность даже ниже остальных пределов. Нужны отдельные доказательства назначения, конкурентности, восстановления после сбоя и отката.

Редакция 13 также уточняет, когда условие s + q + v < 2^64 становится связывающим для GCM. Допуск закрывает первое достигнутое ограничение.

У ротации четыре момента

Создание, распространение, активация для новых сообщений и удаление из приёма происходят не одновременно. Читателям может быть нужен старый ключ после перехода писателей, а работа в полёте пересекает границу.

До допуска резервируют запас на задержку телеметрии, конкуренцию и повторы. При отказе счётчика заранее выбирают закрытие пути либо строго ограниченную аварийную квоту. Отсутствие наблюдения не должно становиться разрешением.

Чего источники не доказывают

Не тестировались TLS, QUIC, облако, VPN, база, устройство или менеджер ключей. Успешное рукопожатие не показывает остаток, корректный тег не доказывает историю, журнал ротации не подтверждает переход всех писателей.

Источники не устанавливают инцидент, эксплуатацию, распространённость, производительность или соответствие реализации. Они уточняют, какие доказательства следует требовать.

Источники