Modo de funcionamiento del cifrado por bloques

Artículo principal: Encriptación autenticada

El modo ECB también puede hacer que los protocolos sin protección de integridad sean aún más susceptibles a los ataques de repetición, ya que cada bloque se descifra exactamente de la misma manera.

Encadenamiento de bloques de cifrado (CBC)Editar

CBC

Encadenamiento de bloques de cifrado

Encriptación paralelizable

No

Descifrado paralelizable

Sí

Acceso de lectura aleatorio

Sí

Ehrsam, Meyer, Smith y Tuchman inventaron el modo de operación de encadenamiento de bloques de cifrado (CBC) en 1976. En el modo CBC, cada bloque de texto plano es XOR con el bloque de texto cifrado anterior antes de ser cifrado. De este modo, cada bloque de texto cifrado depende de todos los bloques de texto plano procesados hasta ese momento. Para que cada mensaje sea único, se debe utilizar un vector de inicialización en el primer bloque.

Si el primer bloque tiene índice 1, la fórmula matemática del cifrado CBC es

C i = E K ( P i ⊕ C i – 1 ) , {\displaystyle C_{i}=E_{K}(P_{i}\oplus C_{i-1}),}

C 0 = I V , {\displaystyle C_{0}=IV,}

mientras que la fórmula matemática para el descifrado CBC es

P i = D K ( C i ) ⊕ C i – 1 , {\displaystyle P_{i}=D_{K}(C_{i})\oplus C_{i-1},}

C 0 = I V . {\displaystyle C_{0}=IV.}

ExampleEdit

CBC ha sido el modo de funcionamiento más utilizado. Sus principales inconvenientes son que el cifrado es secuencial (es decir, no se puede paralelizar) y que el mensaje debe rellenarse con un múltiplo del tamaño del bloque de cifrado. Una forma de resolver este último problema es mediante el método conocido como robo de texto cifrado. Tenga en cuenta que un cambio de un bit en un texto plano o vector de inicialización (IV) afecta a todos los bloques de texto cifrado siguientes.

Descifrar con el IV incorrecto hace que el primer bloque de texto plano esté corrupto, pero los bloques de texto plano posteriores serán correctos. Esto se debe a que cada bloque se XORiza con el texto cifrado del bloque anterior, no con el texto plano, por lo que no es necesario descifrar el bloque anterior antes de utilizarlo como IV para el descifrado del actual. Esto significa que un bloque de texto plano puede recuperarse a partir de dos bloques adyacentes de texto cifrado. En consecuencia, el descifrado se puede paralelizar. Obsérvese que un cambio de un bit en el texto cifrado provoca la corrupción completa del bloque de texto plano correspondiente, e invierte el bit correspondiente en el siguiente bloque de texto plano, pero el resto de los bloques permanecen intactos. Esta peculiaridad se explota en diferentes ataques de oráculo de relleno, como POODLE.

Los vectores de inicialización explícitos se aprovechan de esta propiedad anteponiendo un único bloque aleatorio al texto plano. El cifrado se realiza de forma normal, excepto que el IV no necesita ser comunicado a la rutina de descifrado. Cualquiera que sea el IV que se utilice en el descifrado, sólo el bloque aleatorio se «corrompe». Se puede descartar con seguridad y el resto del descifrado es el texto plano original.

Encadenamiento de bloques de cifrado de propagación (PCBC)Editar

PCBC

Encadenamiento de bloques de cifrado de propagación

Encriptación paralelizable

No

Descifrado paralelizable

No

Acceso de lectura aleatorio

No

El encadenamiento de bloques de cifrado propagante o cifrado de texto plano-El modo de encadenamiento de bloques fue diseñado para hacer que los pequeños cambios en el texto cifrado se propaguen indefinidamente al descifrar así como al cifrar. En el modo PCBC, cada bloque de texto plano se XORiza con el bloque de texto plano anterior y con el bloque de texto cifrado anterior antes de ser cifrado. Al igual que en el modo CBC, se utiliza un vector de inicialización en el primer bloque.

Los algoritmos de cifrado y descifrado son los siguientes:

C i = E K ( P i ⊕ P i – 1 ⊕ C i – 1 ) , P 0 ⊕ C 0 = I V , {\displaystyle C_{i}=E_{K}(P_{i}\oplus P_{i-1}\oplus C_{i-1}),P_{0}\oplus C_{0}=IV,}

P i = D K ( C i ) ⊕ P i – 1 ⊕ C i – 1 , P 0 ⊕ C 0 = I V . {\displaystyle P_{i}=D_{K}(C_{i})\N-plus P_{i-1}\N-plus C_{i-1},P_{0}\N-plus C_{0}=IV.}

PCBC se utiliza en Kerberos v4 y WASTE, sobre todo, pero por lo demás no es común. En un mensaje cifrado en modo PCBC, si se intercambian dos bloques de texto cifrado adyacentes, esto no afecta al descifrado de los bloques siguientes. Por esta razón, PCBC no se utiliza en Kerberos v5.

Retroalimentación de cifrado (CFB)Edit

Full-bloque CFBEdit

CFB

Cipher feedback

Encryption parallelizable

No

Descifrado paralelizable

Sí

Acceso de lectura aleatorio

Sí

El modo de retroalimentación de cifrado (CFB), en su forma más simple, utiliza toda la salida del cifrado en bloque. En esta variación, es muy similar al CBC, convierte un cifrado de bloques en un cifrado de flujo autosincronizado. El descifrado CFB en esta variación es casi idéntico al cifrado CBC realizado a la inversa:

C i = { IV , i = 0 E K ( C i – 1 ) ⊕ P i , de lo contrario P i = E K ( C i – 1 ) ⊕ C i , {\displaystyle {\begin{aligned}C_{i}&={begin{cases}{texto{IV}},&i=0\\E_{K}(C_{i-1})\oplus P_{i},&{\text{otherwise}}\end{cases}}\\P_{i}&=E_{K}(C_{i-1})\oplus C_{i},\end{aligned}}}

CFB-1, CFB-8, CFB-64, CFB-128, etc.Edit

El NIST SP800-38A define CFB con un ancho de bits. El modo CFB también requiere un parámetro entero, denotado s, tal que 1 ≤ s ≤ b. En la especificación del modo CFB a continuación, cada segmento de texto plano (Pj) y segmento de texto cifrado (Cj) consta de s bits. El valor de s se incorpora a veces al nombre del modo, por ejemplo, el modo CFB de 1 bit, el modo CFB de 8 bits, el modo CFB de 64 bits o el modo CFB de 128 bits.

Estos modos truncarán la salida del cifrado de bloques subyacente.

I 0 = IV . {\displaystyle I_{0}={\text{IV}}.}

I i = ( I i – 1 ≪ s ) + C i ) mod 2 b , {\displaystyle I_{i}={big (}(I_{i-1}\ll s)+C_{i}{big )}{bmod {2}^{b},}

C i = MSB s ( E K ( I i – 1 ) ) ⊕ P i , {\displaystyle C_{i}={operatorname} {MSB} {{s} {\big (}E_{K}(I_{i-1}){\big )} {\big P_{i},}

P i = MSB s ( E K ( I i – 1 ) ) ⊕ C i , {\displaystyle P_{i}=\Nnombre del operador {MSB} _{s} {\big (}E_{K}(I_{i-1}){\big )}oplus C_{i},}

CFB-1 se considera autosincronizado y resistente a la pérdida de texto cifrado; «Cuando se utiliza el modo CFB de 1 bit, la sincronización se restablece automáticamente b+1 posiciones después del bit insertado o eliminado. Para otros valores de s en el modo CFB, y para los otros modos de confidencialidad en esta recomendación, la sincronización debe ser restaurada externamente». (NIST SP800-38A). Es decir, la pérdida de 1 bit en un cifrado de bloque de 128 bits como AES hará que 129 bits no sean válidos antes de emitir bits válidos.

CFB también puede auto sincronizarse en algunos casos especiales distintos de los especificados. Por ejemplo, un cambio de un bit en CFB-128 con un cifrado de bloque de 128 bits subyacente, se resincronizará después de dos bloques. (Sin embargo, CFB-128 etc. no manejará la pérdida de bits con gracia; una pérdida de un bit causará que el descifrador pierda la alineación con el cifrador)

CFB comparado con otros modosEditar

Al igual que el modo CBC, los cambios en el texto plano se propagan para siempre en el texto cifrado, y el cifrado no puede ser paralelizado. También como CBC, el descifrado puede ser paralelizado.

CFB, OFB y CTR comparten dos ventajas sobre el modo CBC: el cifrado en bloque sólo se utiliza en la dirección de cifrado, y el mensaje no necesita ser rellenado a un múltiplo del tamaño del bloque de cifrado (aunque el robo de texto cifrado también se puede utilizar para el modo CBC para hacer el relleno innecesario).

Retroalimentación de salida (OFB)Editar

OFB

Retroalimentación de salida

Encriptación paralelizable

No

Descriptación paralelizable

No

Acceso de lectura aleatorio

No

El modo de retroalimentación de salida (OFB) convierte un cifrado de bloques en un cifrado de flujo síncrono. Genera bloques de flujo de claves, que luego se XOR con los bloques de texto plano para obtener el texto cifrado. Al igual que ocurre con otros cifradores de flujo, la inversión de un bit en el texto cifrado produce un bit invertido en el texto plano en el mismo lugar. Esta propiedad permite que muchos códigos de corrección de errores funcionen normalmente incluso cuando se aplican antes del cifrado.

Debido a la simetría de la operación XOR, el cifrado y el descifrado son exactamente iguales:

C j = P j ⊕ O j , {\displaystyle C_{j}=P_{j}\oplus O_{j},}

P j = C j ⊕ O j , {\displaystyle P_{j}=C_{j}\oplus O_{j},}

O j = E K ( I j ) , {\displaystyle O_{j}=E_{K}(I_{j}),}

I j = O j – 1 , {\displaystyle I_{j}=O_{j-1},}

I 0 = IV . {\displaystyle I_{0}={\text{IV}}.}

Cada operación de cifrado en bloque de retroalimentación de salida depende de todas las anteriores, por lo que no puede realizarse en paralelo. Sin embargo, dado que el texto plano o el texto cifrado sólo se utiliza para el XOR final, las operaciones de cifrado por bloques pueden realizarse por adelantado, permitiendo que el paso final se realice en paralelo una vez que el texto plano o el texto cifrado estén disponibles.

Es posible obtener un flujo de claves en modo OFB utilizando el modo CBC con una cadena constante de ceros como entrada. Esto puede ser útil, porque permite el uso de implementaciones de hardware rápidas del modo CBC para el cifrado en modo OFB.

El uso del modo OFB con un bloque parcial como retroalimentación, como el modo CFB, reduce la longitud media del ciclo en un factor de 232 o más. Un modelo matemático propuesto por Davies y Parkin y corroborado por resultados experimentales demostró que sólo con retroalimentación completa se puede lograr una longitud de ciclo promedio cercana al máximo obtenible. Por esta razón, se eliminó de la especificación de OFB el apoyo a la retroalimentación truncada.

Contador (CTR)Edit

CTR

Contador

Encriptación paralela

Sí

Descifrado paralelizable

Sí

Acceso de lectura aleatorio

Sí

Nota: El modo CTR (CM) también se conoce como modo contador de enteros (ICM) y modo contador de enteros segmentado (SIC).

Al igual que OFB, el modo contador convierte un cifrado de bloque en un cifrado de flujo. Genera el siguiente bloque de flujo de claves cifrando valores sucesivos de un «contador». El contador puede ser cualquier función que produzca una secuencia que se garantice que no se repita durante mucho tiempo, aunque un contador real de incremento por uno es el más simple y popular. El uso de una simple función de entrada determinista solía ser controvertido; los críticos argumentaban que «exponer deliberadamente un criptosistema a una entrada sistemática conocida representa un riesgo innecesario». Sin embargo, hoy en día el modo CTR está ampliamente aceptado y cualquier problema se considera una debilidad del cifrado de bloques subyacente, del que se espera que sea seguro independientemente del sesgo sistémico de su entrada. Junto con CBC, el modo CTR es uno de los dos modos de cifrado por bloques recomendados por Niels Ferguson y Bruce Schneier.

El modo CTR fue introducido por Whitfield Diffie y Martin Hellman en 1979.

El modo CTR tiene características similares a OFB, pero también permite una propiedad de acceso aleatorio durante el descifrado. El modo CTR es muy adecuado para operar en una máquina multiprocesadora en la que se pueden cifrar bloques en paralelo. Además, no sufre el problema del ciclo corto que puede afectar a OFB.

Si el IV/nonce es aleatorio, entonces pueden combinarse junto con el contador utilizando cualquier operación invertible (concatenación, suma o XOR) para producir el bloque de contador único real para el cifrado. En el caso de un nonce no aleatorio (como un contador de paquetes), el nonce y el contador deben concatenarse (por ejemplo, almacenando el nonce en los 64 bits superiores y el contador en los 64 bits inferiores de un bloque de contador de 128 bits). La simple adición o XOR del nonce y el contador en un solo valor rompería la seguridad bajo un ataque de texto plano elegido en muchos casos, ya que el atacante puede ser capaz de manipular todo el par IV-contador para causar una colisión. Una vez que un atacante controla el par IV-contador y el texto plano, el XOR del texto cifrado con el texto plano conocido produciría un valor que, al ser XORado con el texto cifrado del otro bloque que comparte el mismo par IV-contador, descifraría ese bloque.

Nótese que el nonce en este diagrama es equivalente al vector de inicialización (IV) en los otros diagramas. Sin embargo, si la información de desplazamiento/ubicación está corrupta, será imposible recuperar parcialmente esos datos debido a la dependencia del desplazamiento de bytes.