Я на php улучшаю, ранее разработанную мной, систему шифрованных команд, которая является частью системы аутентификации пользователей, суть которой в следующем.
1 Сервер создаёт и отправляет пользователю на email ссылку, в которой содержатся зашифрованные командные данными (data) и вектором инициализации (IV
).
2 Сервер, при получении этих данных в GET-запросе, расшифровывает данные, проверяет на валидность, и если всё верно (данные соответствуют некой структуре, данные не просрочены, команда и все данные, необходимые для выполнения указанной команды существуют, и ещё некоторые проверки, в зависимости от команды), тогда сервер предполагает, что эти данные отправил именно тот пользователь, на email которого они отправлялись и немедленно выполняет соответствующую команду (регистрация нового пользователя, подтверждение на восстановление пароля, генерация и отправка пользователю нового пароля, подтверждение на изменение email, изменение email).
3 Шифруемые командные данные могут достигать длины примерно 128 символов.
Ранее я использовал php-модуль mcrypt
$data = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $salt, $data, MCRYPT_MODE_CBC, $iv);
Сейчас хочу использовать php-модуль openssl
$data = openssl_encrypt($data, 'AES-256-CTR', $salt, 0, $iv);
Но вот я не уверен, оптимальный ли я выбрал для этого режим (CTR)?
Я много гуглил по режимам симметричного шифрования, на русских рессурсах, так как с английским у меня плохо, и понял лишь, что.
1 ECB лучше вообще не использовать, если длина данных более одного блока (256 бит = 32 символа), а у меня больше.
2 CBC уязвим из-за своей особенности дополнять последний блок.
3 CFB и CTR быстрее, чем CBC и длина зашифрованных данных меньше, и тут нет авто дополнение последнего блока, как и блоков вообще, так как это поточные алгоритмы, но ни слова про криптостойкость и про сравнение по криптостойкости с CBC.
4 Описание и сравнение GCM и XTS я вообще не нащёл.
Выполнив код:
$get = openssl_get_cipher_methods();
foreach($get as $key=>$val)
echo $key,' = ',$val,' (',openssl_cipher_iv_length($val),')<br/>';
Получил, среди прочего, вот такое:
...
15 = AES-256-CBC (16)
16 = AES-256-CFB (16)
17 = AES-256-CFB1 (16)
18 = AES-256-CFB8 (16)
19 = AES-256-CTR (16)
20 = AES-256-ECB (0)
21 = AES-256-OFB (16)
22 = AES-256-XTS (16)
...
98 = aes-256-cbc (16)
99 = aes-256-ccm (12)
100 = aes-256-cfb (16)
101 = aes-256-cfb1 (16)
102 = aes-256-cfb8 (16)
103 = aes-256-ctr (16)
104 = aes-256-ecb (0)
105 = aes-256-gcm (12)
106 = aes-256-ofb (16)
107 = aes-256-xts (16)
...
157 = id-aes256-CCM (12)
158 = id-aes256-GCM (12)
159 = id-aes256-wrap (8)
...
Чем эти 3 группы друг от друга отличаются, но или хотя бы 1-ая от 2-ой? 3-яя, как я догадываюсь, это передача помимо шифрованных данных не шифрованных для аутентификации, но могу и ошибаться.
До сих пор не знаю. :-(
Опишите мне, достоинства и недостатки этих методов по сравнению друг с другом акцентируя внимание именно на криптостойкости?
Единственные безопасные, которые можно использовать, по рекомендации Нильза Фергюсена (Niels Ferguson), это CBC и CTR.
Какой из этих методов мне стоит использовать, причём единственный значимый критерий для меня - это максимальная криптостойкость?
Если есть возможность генерировать при каждом шифре безопасную, надёжную, псевдослучайную, уникальную последовательность (nonce
) для вектора инициализации (VI
), и передавать его клиенту с шифром, тогда нужно использовать CTR
. Он будет безопаснее, короче, быстрее и будет иметь возможность параллельного вычисления.
Если нет возможности генерировать при каждом шифре безопасную, надёжную, псевдослучайную, уникальную последовательность (nonce
) для вектора инициализации (VI
), и передавать его клиенту с шифром, тогда нужно использовать CBC
. Он Более стойкий к соответствующим атакам подбора вектора инициализации, хотя уязвим к подбору последнего блока.
Вывод - наиболее безопасно генерировать надёжную nonce
для VI
и использовать CTR.
Чем и как, возможно используя openssl
, генерировать вектор инициализации (IV
) и соль (salt
).
Надёжная, безопасная, псевдослучайная последовательность в PHP генерируется функцией openssl_random_pseudo_bytes(16);
.
Она прекрасно подходит как для разовой генерации salt
, так и для постоянного генерирования nonce
для VI
. При этом в обоих случаях в обоих алгоритмах её нужно вызывать с параметром 16
, так как и для CBC
, и для CTR
требуется 16-ти битная nonce
.
При этом нужно отметить, что функция возвращает бинарные данные, и что бы соль сохранить в текстовую строку нужно закодировать в base64
base64_encode($salt);
, а потом, при вызовах
openssl_encrypt($data,'AES-256-CTR',base64_decode($salt),0,$iv);
и openssl_decrypt($data,'AES-256-CTR',base64_decode($salt),0,$iv);
,
декодировать обратно в бинарные данные base64_decode($salt);
.
А чтобы передать вектор инициализации клиенту в GET-запросе, нужно после кодирования в base64
ещё заменить символы +
и /
, например на -
и _
соответственно strtr(base64_encode($iv),'+/','-_'));
.
А получив вектор инициализации от клиента, произвести обратную замену и декодировать вектор инициализации в бинарные данные base64_decode(strtr($_GET['iv'],'-_','+/'));
.
Для более детального изучения вопроса, рекомендую обратиться к англоязычной книге Cryptography Engineering: Design Principles and Practical Applications
, написанной Niels Ferguson
в марте 2010-ого.
ISBN13: 9780470474242
Русскоязычных источников я, к сожалению, не обнаружил, хотя эту книгу я смог найти только тут.