وضع جالوا/كاونتر

في التشفير ، يعد وضع جالوا/كاونتر ( GCM ) ^[1] أحد أوضاع التشغيل للتشفير الكتلي المتماثل المفتاح والذي يتم اعتماده على نطاق واسع لأدائه. يمكن تحقيق معدلات إنتاجية GCM لقنوات الاتصال عالية السرعة الحديثة باستخدام موارد أجهزة غير مكلفة. ^[2]

توفر خوارزمية GCM كلاً من صحة البيانات (سلامتها) والسرية وتنتمي إلى فئة التشفير الموثق باستخدام طرق البيانات المرتبطة (AEAD). وهذا يعني أنه كمدخلات، فإنها تأخذ مفتاح K وبعض النص العادي P وبعض البيانات المرتبطة AD؛ ثم تقوم بتشفير النص العادي باستخدام المفتاح لإنتاج النص المشفر C، وتحسب علامة مصادقة T من النص المشفر والبيانات المرتبطة (التي تظل غير مشفرة). يمكن للمستلم الذي لديه معرفة بـ K، عند استلام AD وC وT، فك تشفير النص المشفر لاستعادة النص العادي P ويمكنه التحقق من العلامة T للتأكد من عدم العبث بالنص المشفر أو البيانات المرتبطة.

يستخدم GCM تشفيرًا كتليًا بحجم كتلة 128 بت (عادةً AES-128 ) يتم تشغيله في وضع العداد للتشفير، ويستخدم الحساب في حقل Galois GF(2 ¹²⁸ ) لحساب علامة المصادقة؛ ومن هنا جاء الاسم.

يعد رمز مصادقة رسالة Galois ( GMAC ) أحد أشكال GCM المخصصة للمصادقة فقط، والذي يمكنه تكوين رمز مصادقة رسالة تزايدي . يمكن لكل من GCM وGMAC قبول متجهات تهيئة ذات طول عشوائي.

يمكن أن تختلف خصائص الأداء والكفاءة بشكل كبير في أنماط تشغيل التشفير الكتلي المختلفة، حتى عند استخدامها مع نفس التشفير الكتلي. يمكن لـ GCM الاستفادة الكاملة من المعالجة المتوازية ، ويمكن لتطبيق GCM الاستفادة بكفاءة من خط أنابيب التعليمات أو خط أنابيب الأجهزة. على النقيض من ذلك، فإن نمط تشغيل تسلسل كتلة التشفير (CBC) يتسبب في توقف خط الأنابيب مما يعوق كفاءته وأدائه.

كما هو الحال في وضع العداد العادي ، يتم ترقيم الكتل بشكل متسلسل، ثم يتم دمج رقم الكتلة هذا مع متجه تهيئة (IV) وتشفيره باستخدام شفرة كتلة E ، عادةً AES . ثم يتم إجراء عملية XOR لنتيجة هذا التشفير مع النص العادي لإنتاج النص المشفر . ومثل جميع أوضاع العداد، يعد هذا في الأساس تشفيرًا متدفقًا ، وبالتالي فمن الضروري استخدام متجه تهيئة مختلف لكل مجرى مشفر.

تعتبر كتل النص المشفر معاملات لكثيرة حدود يتم تقييمها بعد ذلك عند نقطة تعتمد على المفتاح H ، باستخدام حساب المجال المحدود . ثم يتم تشفير النتيجة، مما ينتج عنه علامة مصادقة يمكن استخدامها للتحقق من سلامة البيانات. يحتوي النص المشفر بعد ذلك على المتجه الرابع والنص المشفر وعلامة المصادقة.

يجمع GCM بين وضع العداد المعروف للتشفير ووضع Galois الجديد للمصادقة. الميزة الرئيسية هي سهولة الحساب المتوازي لضرب حقل Galois المستخدم للمصادقة. تسمح هذه الميزة بإنتاجية أعلى من خوارزميات التشفير، مثل CBC ، التي تستخدم أوضاع التسلسل. يتم تعريف حقل GF(2 ¹²⁸ ) المستخدم بواسطة متعدد الحدود

${\displaystyle x^{128}+x^{7}+x^{2}+x+1}$

يتم إنشاء علامة المصادقة عن طريق إدخال كتل البيانات في دالة GHASH وتشفير النتيجة. يتم تعريف دالة GHASH هذه بواسطة

${\displaystyle \operatorname {GHASH} (H,A,C)=X_{m+n+1}}$

حيث H = E _k (0 ¹²⁸ ) هو مفتاح التجزئة ، وسلسلة من 128 بت صفر مشفرة باستخدام التشفير الكتلي ، و A هي البيانات التي تم المصادقة عليها فقط (غير المشفرة)، وC هو النص المشفر ، و m هو عدد الكتل المكونة من 128 بت في A (مقربًا للأعلى)، و n هو عدد الكتل المكونة من 128 بت في C (مقربًا للأعلى)، والمتغير X _i لـ i = 0، ...، m + n + 1 معرف أدناه. ^[3]

أولاً، يتم تعبئة النص الموثق والنص المشفر بشكل منفصل بمضاعفات 128 بت ودمجهما في رسالة واحدة S _i :

${\displaystyle S_{i}={\begin{cases}A_{i}&{\text{for }}i=1,\ldots,m-1\\A_{m}^{*}\parallel 0^{128-v}&{\text{for }}i=m\\C_{im}&{\text{for }}i=m+1,\ldots,m+n-1\\C_{n}^{*}\parallel 0^{128-u}&{\text{for }}i=m+n\\\operatorname {len} (A)\parallel \operatorname {len} (C)&{\text{for }}i=m+n+1\end{cases}}}$

حيث أن len( A ) وlen( C ) هما تمثيلان مكونان من 64 بتًا لأطوال البتات في A و C على التوالي، v  = len( A ) mod 128 هو طول البت في الكتلة النهائية في A ، u  = len( C ) mod 128 هو طول البت في الكتلة النهائية في C ، ويشير إلى تسلسل سلاسل البتات. ${\displaystyle \parallel }$

ثم يتم تعريف X _{i على النحو التالي:}

${\displaystyle X_{i}=\sum _{j=1}^{i}S_{j}\cdot H^{i-j+1}={\begin{cases}0&{\text{for }}i=0\\\left(X_{i-1}\oplus S_{i}\right)\cdot H&{\text{for }}i=1,\ldots ,m+n+1\end{cases}}}$

الشكل الثاني هو خوارزمية تكرارية فعّالة (كل X _i يعتمد على X _{i −1} ) يتم إنتاجها من خلال تطبيق طريقة هورنر على الشكل الأول. فقط X _{m + n +1} النهائي يبقى ناتجًا.

إذا كان من الضروري إجراء حساب التجزئة بالتوازي، فيمكن القيام بذلك عن طريق تداخل k مرة:

${\displaystyle {\begin{aligned}X_{i}^{'}&={\begin{cases}0&{\text{for }}i\leq 0\\\left(X_{ik}^{'}\oplus S_{i}\right)\cdot H^{k}&{\text{for }}i=1,\ldots ,m+n+1-k\\\end{cases}}\\[6pt]X_{i}&=\sum _{j=1}^{k}\left(X_{i+j-2k}^{'}\oplus S_{i+jk}\right)\cdot H^{k-j+1}\end{aligned}}}$

إذا لم يكن طول IV يساوي 96، فسيتم استخدام دالة GHASH لحساب العداد 0 :

${\displaystyle \mathrm {Counter0} ={\begin{cases}IV\parallel 0^{31}\parallel 1&{\text{for }}\operatorname {len} (IV)=96\\\operatorname {GHASH} \left(IV\parallel 0^{s}\parallel 0^{64}\parallel \operatorname {len} _{64}(IV)\right){\text{ with }}s=128-\operatorname {len} (IV)\mod 128&{\text{otherwise}}\end{cases}}}$

تم تصميم GCM بواسطة جون فيجا وديفيد أ. ماكجرو ليكون تحسينًا لوضع عداد كارتر ويجمان (وضع CWC). ^[4]

في نوفمبر 2007، أعلن المعهد الوطني للمعايير والتكنولوجيا عن إصدار منشور خاص من المعهد الوطني للمعايير والتكنولوجيا 800-38D لتوصيات أوضاع تشغيل التشفير الكتلي: وضع جالوا/العداد (GCM) وجعل GMAC وضع جالوا/العداد وGMAC معايير رسمية. ^[5]

يستخدم وضع GCM في أمان Ethernet IEEE 802.1AE (MACsec)، وبروتوكول أمان WPA3-Enterprise Wifi، و IEEE 802.11ad (يُطلق عليه أيضًا WiGig )، وبروتوكولات أمان قناة الألياف ANSI ( INCITS ) (FC-SP)، وتخزين الشريط IEEE P1619 .1، ومعايير IETF IPsec ، ^{[6] [7]} SSH ، ^[8] TLS 1.2 ^{[9] [10]} وTLS 1.3. ^[11] تم تضمين AES-GCM في تشفير NSA Suite B وأحدث بديل له في مجموعة خوارزمية الأمن القومي التجاري (CNSA) لعام 2018. [ 12 ^] يتم استخدام وضع GCM في خادم وعميل SoftEther VPN ، ^[13] بالإضافة إلى OpenVPN منذ الإصدار 2.4.

تتطلب GCM عملية تشفير كتلة واحدة وضرب 128 بت في حقل Galois لكل كتلة (128 بت) من البيانات المشفرة والموثقة. يمكن تنفيذ عمليات التشفير الكتلي بسهولة أو موازية؛ يمكن تنفيذ عمليات الضرب بسهولة ويمكن موازنتها ببعض الجهد المتواضع (إما عن طريق موازاة العملية الفعلية، أو عن طريق تكييف طريقة Horner وفقًا للتقديم الأصلي لـ NIST، أو كليهما).

أضافت شركة Intel تعليمة PCLMULQDQ ، مما يسلط الضوء على استخدامها في GCM. ^[14] في عام 2011، أضافت SPARC تعليمتي ​​XMULX وXMULXHI، اللتين تقومان أيضًا بضرب 64 × 64 بت بدون حمل . في عام 2015، أضافت SPARC تعليمة XMPMUL، التي تقوم بضرب XOR لقيم أكبر بكثير، حتى قيم إدخال 2048 × 2048 بت مما ينتج عنه نتيجة 4096 بت. تمكن هذه التعليمات من الضرب السريع على GF (2 ⁿ )، ويمكن استخدامها مع أي تمثيل حقل.

تم نشر نتائج أداء مبهرة لـ GCM على عدد من المنصات. وصف Käsper وSchwabe " AES-GCM أسرع ومقاوم للهجوم المؤقت " ^[15] والذي يحقق 10.68 دورة لكل بايت من التشفير الموثق AES-GCM على معالجات Intel ذات 64 بت. أفاد Dai et al. عن 3.5 دورة لكل بايت لنفس الخوارزمية عند استخدام تعليمات Intel's AES-NI وPCLMULQDQ. حقق Shay Gueron وVlad Krasnov 2.47 دورة لكل بايت على معالجات Intel من الجيل الثالث. تم إعداد التصحيحات المناسبة لمكتبات OpenSSL و NSS . ^[16]

عندما يلزم إجراء كل من المصادقة والتشفير على رسالة، يمكن لتطبيق برمجي تحقيق مكاسب في السرعة من خلال تداخل تنفيذ هذه العمليات. يتم زيادة الأداء من خلال استغلال التوازي على مستوى التعليمات من خلال عمليات التداخل. تسمى هذه العملية خياطة الوظائف، ^[17] وبينما يمكن تطبيقها من حيث المبدأ على أي مجموعة من الخوارزميات التشفيرية، فإن GCM مناسبة بشكل خاص. يوضح مانلي وجريج ^[18] سهولة التحسين عند استخدام خياطة الوظائف مع GCM. يقدمان مولد برنامج يأخذ نسخة C الموضحة من خوارزمية تشفير ويولد كودًا يعمل بشكل جيد على المعالج المستهدف.

لقد تعرضت GCM لانتقادات في عالم الأجهزة المضمنة (على سبيل المثال من قبل Silicon Labs) لأن المعالجة المتوازية غير مناسبة للاستخدام عالي الأداء لمحركات الأجهزة التشفيرية. ونتيجة لذلك، تعمل GCM على تقليل أداء التشفير لبعض الأجهزة الأكثر حساسية للأداء. ^[19] تعد مسرعات الأجهزة المتخصصة لـ ChaCha20-Poly1305 أقل تعقيدًا مقارنة بمسرعات AES. ^[20]

وفقًا لبيان المؤلفين، فإن GCM غير مثقلة بالبراءات. ^[21]

ثبت أن GCM آمن في نموذج الأمان الملموس . ^[22] فهو آمن عند استخدامه مع تشفير كتلة لا يمكن تمييزه عن التباديل العشوائية؛ ومع ذلك، يعتمد الأمان على اختيار متجه تهيئة فريد لكل تشفير يتم إجراؤه بنفس المفتاح ( انظر هجوم تشفير التدفق ). بالنسبة لأي مفتاح معين، يقتصر GCM على تشفير 2 ³⁹ − 256 بت من النص العادي (64 جيجا بايت). يتضمن منشور NIST الخاص 800-38D ^[5] إرشادات لاختيار متجه التهيئة.

تعتمد قوة المصادقة على طول علامة المصادقة، كما هو الحال مع جميع أكواد مصادقة الرسائل المتماثلة. لا يُنصح باستخدام علامات مصادقة أقصر مع GCM. طول البت للعلامة، المشار إليه بـ t ، هو معلمة أمان. بشكل عام، قد يكون t أيًا من القيم الخمس التالية: 128 أو 120 أو 112 أو 104 أو 96. بالنسبة لتطبيقات معينة، قد يكون t 64 أو 32، لكن استخدام هذين الطولين للعلامة يقيد طول بيانات الإدخال وعمر المفتاح. يوفر الملحق C في NIST SP 800-38D إرشادات لهذه القيود (على سبيل المثال، إذا كانت t = 32 وكان الحد الأقصى لحجم الحزمة هو 2 ¹⁰ بايت، فيجب استدعاء وظيفة فك تشفير المصادقة لا أكثر من 2 ¹¹ مرة؛ إذا كانت t = 64 وكان الحد الأقصى لحجم الحزمة هو 2 ¹⁵ بايت، فيجب استدعاء وظيفة فك تشفير المصادقة لا أكثر من 2 ³² مرة).

كما هو الحال مع أي رمز مصادقة للرسالة، إذا اختار الخصم علامة بت t عشوائيًا، فمن المتوقع أن تكون صحيحة للبيانات المعطاة بمقياس احتمال 2 ^{- t} . ومع ذلك، مع GCM، يمكن للخصم زيادة احتمالية نجاحه عن طريق اختيار علامات تحتوي على n كلمة - الطول الإجمالي للنص المشفر بالإضافة إلى أي بيانات مصادقة إضافية (AAD) - بمقياس احتمال 2 ^{- t} بعامل n . على الرغم من ذلك، يجب على المرء أن يضع في الاعتبار أن هذه العلامات المثالية لا تزال تهيمن عليها مقياس بقاء الخوارزمية 1 - n ⋅2 ^{- t} لـ t كبير بشكل تعسفي . علاوة على ذلك، فإن GCM غير مناسب للاستخدام مع أطوال علامات قصيرة جدًا ولا رسائل طويلة جدًا.

وقد وصف فيرجسون وسارينن بشكل مستقل كيف يمكن للمهاجم تنفيذ هجمات مثالية ضد مصادقة GCM، والتي تلبي الحد الأدنى من الأمان. وأظهر فيرجسون أنه إذا كان n يشير إلى العدد الإجمالي للكتل في الترميز (المدخلات إلى وظيفة GHASH)، فهناك طريقة لبناء تزوير نص مشفر مستهدف من المتوقع أن ينجح باحتمالية تقريبية تبلغ n ⋅2 ^{− t} . وإذا كان طول العلامة t أقصر من 128، فإن كل تزوير ناجح في هذا الهجوم يزيد من احتمالية نجاح عمليات التزوير المستهدفة اللاحقة، وتسريب المعلومات حول مفتاح التجزئة الفرعي،  H. وفي النهاية، قد يتم اختراق H بالكامل وفقدان ضمان المصادقة تمامًا. ^[23]

بصرف النظر عن هذا الهجوم، قد يحاول الخصم تخمين العديد من العلامات المختلفة بشكل منهجي لإدخال معين لفك التشفير الموثق وبالتالي زيادة احتمال اعتبار واحدة (أو أكثر) منها صالحة في النهاية. لهذا السبب، يجب على النظام أو البروتوكول الذي ينفذ GCM مراقبة عدد محاولات التحقق غير الناجحة لكل مفتاح، وإذا لزم الأمر، الحد منها.

وصف سارينن مفاتيح GCM الضعيفة . ^[24] يقدم هذا العمل بعض الأفكار القيمة حول كيفية عمل المصادقة القائمة على التجزئة متعددة الحدود. بتعبير أدق، يصف هذا العمل طريقة معينة لتزوير رسالة GCM، مع إعطاء رسالة GCM صالحة، والتي تعمل باحتمالية تبلغ حوالي n ⋅2 ⁻¹²⁸ للرسائل التي يبلغ طولها n × 128 بت. ومع ذلك، لا يُظهر هذا العمل هجومًا أكثر فعالية مما كان معروفًا سابقًا؛ يتطابق احتمال النجاح في الملاحظة 1 من هذه الورقة مع احتمالية lemma 2 من تحليل INDOCRYPT 2004 (الإعداد w = 128 و l = n × 128 ). كما وصف سارينن أيضًا متغير GCM وضع عداد صوفي جيرمان (SGCM) استنادًا إلى الأعداد الأولية لصوفي جيرمان .

• تشفير معتمد
• طريقة تشغيل التشفير الكتلي
• AES-GCM-SIV

• منشور خاص من NIST SP800-38D يحدد GCM وGMAC
• RFC 4106: استخدام وضع Galois/Counter (GCM) في الحمولة الأمنية المغلفة لـ IPsec (ESP)
• RFC 4543: استخدام رمز مصادقة رسالة Galois (GMAC) في IPsec ESP وAH
• RFC 5288: مجموعات تشفير AES Galois Counter Mode (GCM) لـ TLS
• RFC 6367: إضافة مجموعات تشفير Camellia إلى أمان طبقة النقل (TLS)
• IEEE 802.1AE – أمان التحكم في الوصول إلى الوسائط (MAC)
• طورت مجموعة عمل أمن التخزين التابعة لمعهد مهندسي الكهرباء والإلكترونيات معيار P1619.1
• تعمل اللجنة الفنية INCITS T11 على مشروع بروتوكولات أمان قنوات الألياف.
• تشفير AES-GCM وAES-CCM المعتمد في بروتوكول RTP الآمن (SRTP)

• طريقة عمل جالوا/كاونتر (GCM)