режим OCB
Режим смещенной кодовой книги ( режим OCB ) — это шифрования с проверкой подлинности режим для криптографических блочных шифров . [1] [2] Режим OCB был разработан Филиппом Рогауэем , который благодарит Михира Белларе , Джона Блэка и Теда Кровеца за помощь и комментарии по дизайну. Он основан на распараллеливаемом режиме с учетом целостности (IAPM) аутентифицированного шифрования Чаранджита С. Ютлы. Версия OCB2 оказалась небезопасной, в то время как исходная версия OCB1, а также OCB3 2011 года по-прежнему считаются безопасными.
Шифрование и аутентификация [ править ]
Режим OCB был разработан для обеспечения как аутентификации сообщений , так и конфиденциальности . По сути, это схема интеграции кода аутентификации сообщения (MAC) в работу блочного шифра . Таким образом, режим OCB позволяет избежать необходимости использования двух систем: MAC для аутентификации и шифрования для конфиденциальности. Это приводит к снижению вычислительных затрат по сравнению с использованием отдельных функций шифрования и аутентификации.
Существует три версии OCB: OCB1, OCB2 и OCB3. OCB1 был опубликован в 2001 году. OCB2 является усовершенствованием OCB1, позволяя включать связанные данные в сообщение, обеспечивая аутентифицированное шифрование связанных данных (AEAD; то есть данные, которые не зашифрованы, но должны быть аутентифицированы) и новый метод создания последовательность смещений. OCB2 был впервые опубликован в 2003 году и первоначально назывался режимом аутентификации или расширенным режимом шифрования ( AEM ), а в 2019 году было показано, что он полностью небезопасен . OCB3, опубликованный в 2011 году, снова меняет способ расчета смещений и вносит незначительные улучшения производительности.
OCB2 был стандартизирован в ISO/IEC 19772:2009. [3] (хотя он был удален из стандарта после публикации об атаке) и модифицированный OCB3 в RFC 7253. [4] RFC кодирует длину тега во внутренний формат nonce.
Производительность [ править ]
Накладные расходы на производительность OCB минимальны по сравнению с классическими режимами без аутентификации, такими как цепочка блоков шифра . OCB требует одну операцию блочного шифрования на блок зашифрованного и аутентифицированного сообщения и одну операцию блочного шифрования на блок связанных данных. В конце процесса также требуется одна дополнительная операция блочного шифрования.
Для сравнения, режим CCM, предлагающий аналогичную функциональность, требует вдвое больше операций блочного шифрования на блок сообщения (для связанных данных требуется одна операция, как в OCB).
Патенты [ править ]
Хотя OCB теперь является общественным достоянием, Рогавей изначально запатентовал режим OCB, чтобы они могли взимать плату за коммерческие лицензии и в попытке предотвратить появление их работ в проектах, связанных с военными. [5] Rogaway намеренно отказались от своих патентов OCB в 2021 году. [6]
На режим OCB выдано два патента США. [7] Патенты препятствовали их одобрению Национальным институтом стандартов и технологий . [ нужна ссылка ]
Хотя режим OCB был запатентован, Рогавей предоставил три лицензии, позволяющие свободно использовать режим OCB в программном обеспечении, лицензируемом по Стандартной общественной лицензии GNU (позже любая лицензия с открытым исходным кодом, сертифицированная Open Source Initiative [8] ), некоммерческие невоенные проекты и в OpenSSL .
Поскольку Рогавей подавал заявку на патентную защиту только в США, алгоритм всегда можно было бесплатно использовать в программном обеспечении, которое не разрабатывалось и не продавалось внутри США. [9]
Атаки [ править ]
Нильс Фергюсон указал на коллизионные атаки на OCB, которые ограничивают объем данных, которые могут быть безопасно обработаны под одним ключом, примерно до 280 терабайт. [10] [11]
В октябре 2018 года Иноуэ и Минемацу представили экзистенциальную поддельную атаку на OCB2, которая требует только одного предварительного запроса шифрования и практически не требует вычислительных мощностей или хранилища. [12] Атака не распространяется на OCB1 или OCB3 и требует, чтобы соответствующее поле данных поддельного зашифрованного текста было пустым. Поэттеринг [13] и Ивата [14] усовершенствовал атаку подделки до атаки полного восстановления открытого текста всего пару дней спустя. Позже четыре автора подготовили совместный отчет. [15]
См. также [ править ]
Ссылки [ править ]
- ^ Тед Кровец, Филип Рогауэй (23 июля 2012 г.). «Алгоритм шифрования с аутентификацией OCB» . Проверено 28 мая 2012 г.
- ^ Филипп Рогауэй. «Режим OCB» . Проверено 28 мая 2012 г.
- ^ «ISO/IEC 19772:2009 Информационные технологии. Методы обеспечения безопасности. Шифрование с аутентификацией» . ИСО. 12 февраля 2009 г. Проверено 28 мая 2012 г.
- ^ Кровец, Тед; Рогауэй, Филипп (2014). «Алгоритм шифрования с аутентификацией OCB» . IETF.
- ^ Рогауэй, Филип. «OCB — Схема шифрования с аутентификацией — Лицензирование — Rogaway» . www.cs.ucdavis.edu . Проверено 31 июля 2023 г.
- ^ Филипп Рогауэй. «Патенты OCB отменены; их можно свободно использовать» . mailarchive.ietf.org . Проверено 27 февраля 2021 г.
- ^ Филипп Рогауэй. «Часто задаваемые вопросы по OCB — запатентовано ли OCB» . Проверено 28 мая 2012 г.
- ^ Филип Рогауэй (9 января 2013 г.). «OCB: свободные лицензии» .
- ^ Филип Рогауэй (29 марта 2005 г.). «OCB: Письмо с предложением» . Проверено 28 мая 2012 г.
- ^ Нильс Фергюсон (11 февраля 2002 г.). «Коллизионные атаки на OCB» (PDF) .
- ^ Филип Рогауэй (27 февраля 2015 г.). «ОКБ: Предыстория» .
- ^ Акико Иноуэ и Кадзухико Минемацу (26 октября 2018 г.). «Криптоанализ OCB2» .
- ^ Бертрам Пёттеринг (08.11.2018). «Нарушение конфиденциальности OCB2» .
- ^ Тецу Ивата (11 ноября 2018 г.). «Атака с восстановлением открытого текста OCB2» .
- ^ Иноуэ, Акико; Ивата, Тецу; Минемацу, Кадзухико; Пёттеринг, Бертрам (19 марта 2019 г.). «Криптоанализ OCB2: атаки на подлинность и конфиденциальность» .
- Рогауэй, Филипп; Белларе, Михир; Блэк, Джон (август 2003 г.). «OCB: режим работы блочного шифрования для эффективного шифрования с проверкой подлинности» . Транзакции ACM по информационной и системной безопасности . 6 (3): 365–403. дои : 10.1145/937527.937529 . S2CID 47050629 . Проверено 30 января 2018 г.
