AES-SIV : Advanced Encryption Standard in Synthetic Initialization Vector mode
Cryptographie
AES-SIV : Advanced Encryption Standard in Synthetic Initialization Vector mode. « AES en mode vecteur d'initialisation synthétique », par analogie avec une empreinte digitale du message qui sert à la fois de sceau et de point de départ du brouillage.
Construction : Une première passe calcule, avec une fonction pseudo-aléatoire fondée sur AES-CMAC (nommée S2V), un vecteur synthétique à partir des données associées et du texte clair. Ce vecteur sert de tag et d'IV (Initialization Vector, vecteur d'initialisation) pour une seconde passe en AES mode compteur.
Déterministe par nature : Sans nonce, un même message avec les mêmes données associées et la même clé donne toujours le même chiffré. C'est voulu : emballage de clés, déduplication, au prix de révéler l'égalité de messages.
Nonce facultatif : Un nonce peut être fourni comme composante supplémentaire des données associées ; il rend le chiffrement probabiliste, et sa répétition ne révèle toujours que l'égalité de messages identiques.
À ne pas confondre avec AES-GCM-SIV : Même principe SIV, autre moteur : AES-SIV s'appuie sur CMAC (Cipher-based Message Authentication Code) et une clé double longueur (une moitié pour l'authentification, l'autre pour le chiffrement), AES-GCM-SIV sur un hachage polynomial proche de GHASH, plus rapide sur les processeurs récents.
Ce qui arrive si on s'en passe
Sans chiffrement déterministe authentifié, l'emballage de clés et le chiffrement de valeurs indexées retombent souvent sur des bricolages : chiffrement bloc par bloc sans chaînage, IV fixe en CBC ou en mode compteur, IV réutilisé avec AES-GCM. Ces solutions laissent fuiter la structure des données, n'authentifient rien ou, pour AES-GCM, exposent la clé d'authentification dès la répétition du nonce. Un attaquant peut alors modifier des clés emballées ou des champs chiffrés sans être détecté. AES-SIV borne la fuite à l'égalité de messages identiques. Il reste un mauvais choix pour des données à faible entropie, comme des booléens ou des codes courts : le caractère déterministe permet de les retrouver par simple comparaison avec des chiffrés connus.
Explication de la marmotte
Cette méthode brouille un message avec une clé secrète d'une façon particulière : elle lit d'abord tout le message pour en tirer une sorte d'empreinte, puis se sert de cette empreinte à la fois comme point de départ du brouillage et comme sceau de contrôle. Résultat : le même message donne toujours le même résultat brouillé. Pratique pour ranger d'autres clés secrètes ou repérer des doublons, moins discret quand on ne veut pas qu'un espion sache que deux messages sont pareils. Toute retouche du message brouillé est détectée à l'ouverture.
Où ce terme est utilisé
- Chiffrer et authentifier en une seule construction (1 occurrence)