1

Я на php улучшаю, ранее разработанную мной, систему шифрованных команд, которая является частью системы аутентификации пользователей, суть которой в следующем.

1 Сервер создаёт и отправляет пользователю на email ссылку, в которой содержатся зашифрованные командные данными (data) и вектором инициализации (IV).

2 Сервер, при получении этих данных в GET-запросе, расшифровывает данные, проверяет на валидность, и если всё верно (данные соответствуют некой структуре, данные не просрочены, команда и все данные, необходимые для выполнения указанной команды существуют, и ещё некоторые проверки, в зависимости от команды), тогда сервер предполагает, что эти данные отправил именно тот пользователь, на email которого они отправлялись и немедленно выполняет соответствующую команду (регистрация нового пользователя, подтверждение на восстановление пароля, генерация и отправка пользователю нового пароля, подтверждение на изменение email, изменение email).

3 Шифруемые командные данные могут достигать длины примерно 128 символов.

Ранее я использовал php-модуль mcrypt

$data = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $salt, $data, MCRYPT_MODE_CBC, $iv);

Сейчас хочу использовать php-модуль openssl

$data = openssl_encrypt($data, 'AES-256-CTR', $salt, 0, $iv);

Но вот я не уверен, оптимальный ли я выбрал для этого режим (CTR)?

Я много гуглил по режимам симметричного шифрования, на русских рессурсах, так как с английским у меня плохо, и понял лишь, что.

1 ECB лучше вообще не использовать, если длина данных более одного блока (256 бит = 32 символа), а у меня больше.

2 CBC уязвим из-за своей особенности дополнять последний блок.

3 CFB и CTR быстрее, чем CBC и длина зашифрованных данных меньше, и тут нет авто дополнение последнего блока, как и блоков вообще, так как это поточные алгоритмы, но ни слова про криптостойкость и про сравнение по криптостойкости с CBC.

4 Описание и сравнение GCM и XTS я вообще не нащёл.

Выполнив код:

$get = openssl_get_cipher_methods();
foreach($get as $key=>$val)
    echo $key,' = ',$val,' (',openssl_cipher_iv_length($val),')<br/>';

Получил, среди прочего, вот такое:

...
15 = AES-256-CBC (16)
16 = AES-256-CFB (16)
17 = AES-256-CFB1 (16)
18 = AES-256-CFB8 (16)
19 = AES-256-CTR (16)
20 = AES-256-ECB (0)
21 = AES-256-OFB (16)
22 = AES-256-XTS (16)
...
98 = aes-256-cbc (16)
99 = aes-256-ccm (12)
100 = aes-256-cfb (16)
101 = aes-256-cfb1 (16)
102 = aes-256-cfb8 (16)
103 = aes-256-ctr (16)
104 = aes-256-ecb (0)
105 = aes-256-gcm (12)
106 = aes-256-ofb (16)
107 = aes-256-xts (16)
...
157 = id-aes256-CCM (12)
158 = id-aes256-GCM (12)
159 = id-aes256-wrap (8)
...

Чем эти 3 группы друг от друга отличаются, но или хотя бы 1-ая от 2-ой? 3-яя, как я догадываюсь, это передача помимо шифрованных данных не шифрованных для аутентификации, но могу и ошибаться.

До сих пор не знаю. :-(

Опишите мне, достоинства и недостатки этих методов по сравнению друг с другом акцентируя внимание именно на криптостойкости?

Единственные безопасные, которые можно использовать, по рекомендации Нильза Фергюсена (Niels Ferguson), это CBC и CTR.

Какой из этих методов мне стоит использовать, причём единственный значимый критерий для меня - это максимальная криптостойкость?

Если есть возможность генерировать при каждом шифре безопасную, надёжную, псевдослучайную, уникальную последовательность (nonce) для вектора инициализации (VI), и передавать его клиенту с шифром, тогда нужно использовать CTR. Он будет безопаснее, короче, быстрее и будет иметь возможность параллельного вычисления.

Если нет возможности генерировать при каждом шифре безопасную, надёжную, псевдослучайную, уникальную последовательность (nonce) для вектора инициализации (VI), и передавать его клиенту с шифром, тогда нужно использовать CBC. Он Более стойкий к соответствующим атакам подбора вектора инициализации, хотя уязвим к подбору последнего блока.

Вывод - наиболее безопасно генерировать надёжную nonce для VI и использовать CTR.

Чем и как, возможно используя openssl, генерировать вектор инициализации (IV) и соль (salt).

Надёжная, безопасная, псевдослучайная последовательность в PHP генерируется функцией openssl_random_pseudo_bytes(16);. Она прекрасно подходит как для разовой генерации salt, так и для постоянного генерирования nonce для VI. При этом в обоих случаях в обоих алгоритмах её нужно вызывать с параметром 16, так как и для CBC, и для CTR требуется 16-ти битная nonce.

При этом нужно отметить, что функция возвращает бинарные данные, и что бы соль сохранить в текстовую строку нужно закодировать в base64 base64_encode($salt);, а потом, при вызовах openssl_encrypt($data,'AES-256-CTR',base64_decode($salt),0,$iv); и openssl_decrypt($data,'AES-256-CTR',base64_decode($salt),0,$iv);, декодировать обратно в бинарные данные base64_decode($salt);. А чтобы передать вектор инициализации клиенту в GET-запросе, нужно после кодирования в base64 ещё заменить символы + и /, например на - и _ соответственно strtr(base64_encode($iv),'+/','-_'));. А получив вектор инициализации от клиента, произвести обратную замену и декодировать вектор инициализации в бинарные данные base64_decode(strtr($_GET['iv'],'-_','+/'));.

Для более детального изучения вопроса, рекомендую обратиться к англоязычной книге Cryptography Engineering: Design Principles and Practical Applications, написанной Niels Ferguson в марте 2010-ого. ISBN13: 9780470474242 Русскоязычных источников я, к сожалению, не обнаружил, хотя эту книгу я смог найти только тут.

6
  • Если вы так беспокоитесь о безопасности, то может стоит вообще никогда не передавать на клиента никаких данных, которые потом будут непосредственно выполнятся. Например, подтверждение почты: фиксируете в БД таблице пользователей, что почта не подтверждена, записывая в спец. поле случайное число, клиенту высылаете SHA-1 от этого числа и доп. информации о клиенте, а так же что то чем потом идентифициреуте клиента (user id, напртимер). Получив с GET эту инфу находите в БД запись сверяете SHA, совпал - вносите в БД что email подтвержден.
    – Mike
    10 мая 2016 в 6:34
  • Мусор и лишние данные и поля в БД мне тоже не нужны. Если пользователя регистрировать сразу, а активировать по мылу, то так могут боты налететь и всю таблицу, точнее поле автоинкрементное поле в ней забить до максимума BIGINT неподтверждёнными регистрациями, даже за месяц. И в этом случае даже не знаю что делать, потом, без закрытия сайта минимум на день, а то и дольше не разобраться. Так что решил пользователей сразу регистрировать вместо активации. По поводу смены email там есть небольшая защита, что не позволит сменить её если пользователь сам это не сделал. 10 мая 2016 в 6:55
  • А обо всём остальном, восстановление/изменение пароля, и запрос на смену email, пользователю сообщиться на мыло и мимо глаз это не пройдёт и он будет сам в состоянии вернуть себе контроль. Это в худшем случае, если взломают. А так боюсь того же, что в случае взлома, алгоритма, забьют БД пользователей до верха ботами. По этому и хочу быть уверенным в алгоритме, хотя бы выбрать самый надёжный режим из имеющихся. 10 мая 2016 в 6:59
  • И вы думаете создатели ботов ради вашего сайта будут гадать что за алгоритм был применен и потратят месяцы на вскрытиеп любого AES, при условии конечно, что вы на клиента не весь ключ отдаете. кроме того можно отдать на клиента и слабошифрованный или вообще не шифрованный блок данных и его подпись тем же SHA-1 при создании которой использовалась часть не отдаваемая клиенту
    – Mike
    10 мая 2016 в 7:00
  • Кстати, большинство платежных систем при сообщении о прохождении платежа посылают все поля открытыми и считают достаточной подпись MD5 с неким секретным словом. И на основе этого шлюзы переводят реальные деньги ... А что касается ботов и забития базы, лучше бы их заранее максимально отсеивать капчами и т.п., хотя они не панацея, но подтверждение по email так же от ботов не спасает. У ботов под контролем тысячи почтовых ящиков специально для таких целей ...
    – Mike
    10 мая 2016 в 7:15

1 ответ 1

0

Для изучения данного вопроса мне всё же пришлось прибегнуть к анголоязычному источнику, а именно книге, Cryptography Engineering: Design Principles and Practical Applications, написанной Niels Ferguson, Bruce Schneier, Tadayoshi Kohno в марте 2010-ого. ISBN: 978-0-470-47424-2

На 71-ой странице пункт 4.7

4.7 Which Mode Should I Use?
We have discussed several modes, but there are really only two modes we
would consider using: CBC and CTR. We've already explained that ECB is not
secure enough. OFB is a good mode, but CTR is better in some respects and
doesn't suffer from the short cycle problem. There is no reason to choose OFB
over CTR.
So, should you use CBC or CTR? In the first edition of this book, we
recommended CTR. However, we are always learning more, and we now
recommend CBC with random IV. Why the change? We have seen too many
applications that are insecure because they do not generate the nonce correctly.
CTR is a very good mode, but only if the application can guarantee that then
once is unique, even when the system is under attack. That turns out to be
a major source of problems and security weaknesses. CBC with random IV
has some disadvantages (the ciphertext is larger, the plaintext needs padding,
and the system needs a random number generator), but it is robust and stands
up well to abuse. Nonce generation turns out to be a really hard problem in
many systems, so we do not recommend exposing to application developers
any mode that uses nonces. That is even true of CBC with nonce-generated IV.
So if you're developing an application and need to use an encryption mode,
play it safe and use random IV CBC mode.
Always keep in mind that an encryption mode only provides confidentiality.
That is, the attacker cannot find any information about the data you are
communicating, other than the fact that you are communicating, when you
are communicating, how much you are communicating, and whom you are
communicating with. Analyzing these sorts of external information is called
traffic analysis.
Also recall that the encryption modes in this chapter are only designed to
provide confidentiality against eavesdroppers; they do not stop the attacker
from changing the data. We will come back to protecting both confidentiality
and authenticity in Chapter 7.

Затем на 106-ой странице пункт 7.3.3

7.3.3 Encryption
For encryption, we will use AES in CTR mode. But wait, in Section 4.7 didn't
we say that CTR mode is dangerous because of the nonce? Yes, we did-sort of.
We said that exposing the control of the nonce to developers is risky,
and that we have seen too many applications that are insecure because they
did not generate the nonce correctly. However, our secure channel handles
the nonce internally-it never gives control of nonce generation to any other
party. We use the message number as the unique nonce value that CTR mode
needs. So our secure channel uses CTR mode. But we still wouldn't expose the
generation of nonces to external systems. We recommend that you never use
CTR mode directly.
We limit the size of each message to 16.2 32 bytes, which limits the block
counter to 32 bits. Of course, we could use a 64-bit counter, but 32 bits is
to implement on many platforms, and most applications don't need to process
such huge messages.

Из чего можно сделать вывод, что лучше использовать только методы CBC и CTR. При этом при использовании CTR очень важно, что бы вектор инициализации был псевдослучайным, то есть достаточно не предсказуемым, и уникальным для каждого шифра. В моём случае, это достигается вызовом $iv = openssl_random_pseudo_bytes(16); при каждом шифре, и вектор инициализации должен отправляться в открытом виде клиенту вместе с шифром. А вот соль, должна быть тоже псевдослучайной, быть сгенерированной той же функцией $salt = openssl_random_pseudo_bytes(16);, но единожды и не передаваться клиенту. В таком случае алгоритм CTR безопаснее, так как защищён и не подвержен авто дополнению последнего блока, а также быстрее, короче и имеет возможность параллельной обработки. В случае, если не возможно гарантировать надёжный, псевдослучайный и уникальный вектор инициализации, то CBC будет более безопасным вариантом.

5
  • 1
    Насколько помню, CBC имеет конечный "шум", позволяя дешифровать блоки N + 2 даже при неправильной дешифрации блока N. IGE (не могу такого сказать про CTR), такого не позволяет. Но это, правда, немного покрывшиеся пылью знания.
    – etki
    8 июн 2016 в 11:48
  • Этот "шум" - это дополнение последнего блока, одинаковыми данными, что позволяет его быстрее декодировать. Но, на сколько я понял, этот момент и от реализации зависит. CTR, в свою очередь, сильно от случайности и уникальности вектора инициализации зависит, а в случае его компрометации или халатности программиста, становится очень не безопасным методом. 8 июн 2016 в 12:52
  • 1
    Нет, я не про паддинг, я про участие предыдущих блоков в шифровании последующих.
    – etki
    8 июн 2016 в 13:08
  • А вот как, даже так. Про это я не читал. А про IGE вообще впервые слышу. 8 июн 2016 в 13:50
  • 1
    Этот режим известен в основном тем, что его использует телеграм, большой популярности не получил. Расшифровывается как infinite garble extension, вроде.
    – etki
    8 июн 2016 в 14:35

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.