💻 computer science

A Note on the Influence of a Zero Length Nonce on GCM and GMAC

Este artigo apresenta um ataque simples que recupera a chave de hash do GCM e do GMAC quando um nonce de comprimento zero é utilizado, permitindo falsificação arbitrária, uma vulnerabilidade específica do padrão ISO/IEC que permite tais nonces, mas não da versão NIST que exige um comprimento mínimo.

Autores originais: Yaobin Shen

Publicado 2026-08-07

📖 3 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Yaobin Shen

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine o mundo digital como uma cidade movimentada onde cada mensagem enviada é como uma carta lacrada. Para manter essas cartas seguras, usamos cadeados especiais chamados criptografia e, para garantir que ninguém tenha adulterado o conteúdo, anexamos um selo de cera único chamado "tag". Uma das formas mais populares de fazer isso é um sistema chamado GCM (Galois/Counter Mode). Pense no GCM como um correio de alta tecnologia que não apenas tranca sua carta, mas também a carimba com uma impressão digital matemática. Essa impressão digital é criada usando uma "chave de hash" secreta, um número especial conhecido apenas pelo remetente e pelo destinatário. Se a impressão digital coincidir quando a carta chega, todos sabem que ela é genuína. Se a impressão digital estiver errada, a carta é rejeitada. Este sistema é usado em todos os lugares, desde o seu Wi-Fi até o seu banco, por isso manter a chave de hash secreta segura é crucial. Se um agente mal-intencionado roubar essa chave, ele poderá forjar suas próprias cartas, enganando o correio para que pense que elas são reais.

Uma nota recente do pesquisador Yaobin Shen explora uma brecha muito específica e um tanto incomum na forma como esse sistema é configurado às vezes. O artigo foca em um detalhe minúsculo: o "nonce". No mundo do GCM, o nonce é como um número de série exclusivo ou uma senha de uso único que deve ser diferente para cada carta enviada. Ele garante que, mesmo que você envie a mesma mensagem duas vezes, o cadeado e o selo pareçam completamente diferentes. O artigo investiga o que acontece se alguém, acidentalmente ou intencionalmente, usar um "nonce de comprimento zero", que é essencialmente uma caixa vazia sem nada dentro. Embora alguns manuais oficiais para este sistema (especificamente as versões ISO/IEC) permitam essa caixa vazia, outros (como a versão NIST) a proíbem estritamente, exigindo pelo menos um pouquinho de dados. O trabalho de Shen mostra que, se você seguir as regras que permitem a caixa vazia, um atacante astuto pode usar essa caixa vazia para quebrar a matemática por trás do selo.

O artigo demonstra um truque inteligente onde um atacante, simplesmente observando uma mensagem criptografada com este nonce vazio, pode resolver um quebra-cabeça matemático complexo para recuperar a chave de hash secreta. É como se um ladrão percebesse que, quando você tranca uma porta com um buraco de fechadura vazio, a fechadura faz um clique de tal forma que revela o formato da chave mestra. Uma vez que o atacante possui essa chave, ele pode forjar qualquer mensagem que desejar. Eles podem criar cartas falsas com selos perfeitos que o sistema aceitará como reais. O autor observa que este ataque funciona especificamente contra as versões do sistema que permitem o nonce vazio, mas falha completamente contra as versões que exigem um nonce não vazio. O artigo não apenas sugere que isso pode acontecer; ele fornece um método claro e passo a passo mostrando exatamente como a matemática falha nesse cenário específico, provando que a "caixa vazia" é uma fraqueza perigosa em certas implementações.

Resumo Técnico: Uma Nota sobre a Influência de um Nonce de Comprimento Zero em GCM e GMAC

Definição do Problema
O artigo aborda uma vulnerabilidade específica no Galois/Counter Mode (GCM) e sua especialização, GMAC, decorrente do tratamento de nonces de comprimento zero. Embora o GCM e o GMAC sejam amplamente implementados como esquemas de criptografia autenticada e código de autenticação de mensagem, suas especificações de segurança diferem entre os padrões. A versão da NIST exige explicitamente que um nonce deve ter pelo menos um bit de comprimento. Em contraste, as versões ISO/IEC (especificamente ISO/IEC 9797-3 e ISO/IEC 19772) permitem que o nonce seja uma string de comprimento variável sem impor um comprimento mínimo, permitindo, assim, uma string de comprimento zero (denotada como $\{\}$ ). O autor investiga as consequências de segurança da utilização deste nonce de comprimento zero dentro do framework ISO/IEC.

Metodologia
O artigo apresenta um ataque de recuperação de chave que explora as propriedades matemáticas da função GHASH quando o nonce é vazio. O ataque opera sob dois cenários: um cenário de texto simples escolhido (onde o adversário pode consultar o oráculo de criptografia com um nonce de comprimento zero) ou um cenário específico de texto cifrado conhecido onde o adversário observa uma criptografia válida correspondente a um nonce de comprimento zero.

O ataque procede da seguinte forma:

Inicialização: Quando o nonce $N$ é uma string de comprimento zero, o vetor de inicialização $Y_0$ é computado como $GHASH(H, \{\}, \{\})$ . De acordo com a definição de GHASH, isso resulta em $0^n \cdot H$ , que é igual a $0^n$ .
Geração de Tag: A tag de autenticação $T$ é gerada como $T = GHASH(H, A, C) \oplus E_K(Y_0)$ . Como $Y_0 = 0^n$ , $E_K(Y_0)$ torna-se o valor $E_K(0^n)$ , que é definido como a chave de hash $H$ .
Formulação da Equação: A equação da tag simplifica-se para $T = GHASH(H, A, C) \oplus H$ . Dado que $A$ (dados associados) e $C$ (texto cifrado) são conhecidos, e $T$ é observado, esta equação torna-se um polinômio cúbico em termos da variável desconhecida $H$ (a chave de hash).
Recuperação de Chave: Ao resolver este polinômio cúbico, o adversário pode recuperar a chave de hash $H$ .
Falsificação: Uma vez que $H$ é recuperada, o adversário pode falsificar textos cifrados e tags arbitrários para quaisquer pares de dados associados e mensagens, desde que reutilize o nonce de comprimento zero. Além disso, o adversário pode falsificar mensagens usando qualquer nonce previamente observado ao satisfazer a relação linear $GHASH(H, A', C') \oplus T' = GHASH(H, A_1, C_1) \oplus T_1$ .

O artigo também nota um potencial impacto na confidencialidade. Se a chave de hash recuperada permitir que o adversário compute $E_K(Y'_0)$ para uma consulta falsificada, e se ocorrer uma colisão de contador entre $Y'_0$ e um contador usado na criptografia de uma mensagem diferente, o adversário poderá recuperar o bloco de texto simples correspondente.

Principais Contribuições e Resultados

Vetor de Ataque: O artigo demonstra um ataque simples e prático que recupera a chave de hash secreta $H$ de GCM/GMAC usando uma única consulta de criptografia com um nonce de comprimento zero.
Discrepância de Padrão: O trabalho destaca uma divergência crítica entre as especificações NIST e ISO/IEC. O ataque é eficaz apenas contra implementações que aderem ao padrão ISO/IEC, que permite nonces de comprimento zero, e é ineficaz contra implementações em conformidade com a NIST, que impõem um comprimento mínimo de nonce de 1 bit.
Consequências: A recuperação da chave de hash leva a uma quebra total do mecanismo de autenticação, permitindo a falsificação de textos cifrados arbitrários (em GCM) ou mensagens (em GMAC).

Significância e Alegações
O artigo alega demonstrar que a permissão de nonces de comprimento zero na especificação ISO/IEC cria uma vulnerabilidade que compromete a segurança de GCM e GMAC. A significância reside no fato de que este ataque recupera a chave de hash interna, um componente fundamental da segurança do esquema, utilizando uma quantidade mínima de dados (uma única consulta).

O autor mantém um tom modesto quanto ao escopo do ataque, declarando explicitamente que ele se aplica apenas à versão ISO/IEC e não pode funcionar para a versão NIST. O artigo não pretende quebrar o cifra de bloco subjacente ou a segurança geral de GCM quando usado com nonces de comprimento $\ge 1$ bit. Em vez disso, serve como um alerta em relação a escolhas específicas de parâmetros no padrão ISO/IEC. O autor observa que várias implementações do mundo real parecem aceitar nonces de comprimento zero, mas evita identificar essas implementações publicamente para evitar exploração imediata, optando por notificar as partes afetadas de forma independente.

Mais como este