A Note on the Influence of a Zero Length Nonce on GCM and GMAC

技术摘要：关于零长度 Nonce 对 GCM 和 GMAC 影响的说明

问题陈述
本文探讨了在 Galois/Counter Mode (GCM) 及其特化形式 GMAC 中，由于处理零长度 Nonce（随机数）而引发的一个特定漏洞。尽管 GCM 和 GMAC 已被广泛部署为认证加密和消息认证码方案，但其安全规范在不同标准之间存在差异。NIST 版本明确规定 Nonce 必须至少为 1 bit 长。相比之下，ISO/IEC 版本（具体为 ISO/IEC 9797-3 和 ISO/IEC 19772）允许 Nonce 为变长字符串，且未强制执行最小长度限制，从而允许使用零长度字符串（记作 $\{\}$）。作者研究了在 ISO/IEC 框架下使用此类零长度 Nonce 的安全后果。

方法论
本文提出了一种利用 Nonce 为空时 GHASH 函数数学特性的密钥恢复攻击。该攻击在两种场景下运行：一种是选择明文设置（攻击者可以使用零长度 Nonce 向加密预言机发起查询），另一种是特定的已知密文设置（攻击者观察到与零长度 Nonce 对应的有效加密）。

攻击流程如下：

1. 初始化： 当 Nonce $N$ 为零长度字符串时，初始化向量 $Y_0$ 计算为 $GHASH(H, \{\}, \{\})$。根据 GHASH 的定义，这导致结果为 $0^n \cdot H$，即等于 $0^n$。
2. 标签生成： 认证标签 $T$ 的生成方式为 $T = GHASH(H, A, C) \oplus E_K(Y_0)$。由于 $Y_0 = 0^n$，则 $E_K(Y_0)$ 变为 $E_K(0^n)$，该值被定义为哈希密钥 $H$。
3. 方程构建： 标签方程简化为 $T = GHASH(H, A, C) \oplus H$。鉴于 $A$（关联数据）和 $C$（密文）是已知的，且 $T$ 是可观测的，该方程变为关于未知变量 $H$（哈希密钥）的三次多项式。
4. 密钥恢复： 通过求解该三次多项式，攻击者可以恢复哈希密钥 $H$。
5. 伪造： 一旦恢复了 $H$，只要重复使用该零长度 Nonce，攻击者即可为任何关联数据和消息对伪造任意密文和标签。此外，通过满足线性关系 $GHASH(H, A', C') \oplus T' = GHASH(H, A_1, C_1) \oplus T_1$，攻击者还可以使用之前观察到的任何 Nonce 来伪造消息。

论文还指出，该攻击可能对机密性产生部分影响。如果恢复的哈希密钥允许攻击者为伪造的查询计算 $E_K(Y'_0)$，并且在 $Y'_0$ 与用于加密另一个消息的计数器之间发生计数器碰撞，则攻击者可以恢复相应的明文块。

主要贡献与结果

• 攻击向量： 本文展示了一种简单且实用的攻击，仅需通过一次带有零长度 Nonce 的加密查询，即可恢复 GCM/GMAC 的秘密哈希密钥 $H$。
• 标准差异： 本研究强调了 NIST 与 ISO/IEC 规范之间的关键分歧。该攻击仅对遵循 ISO/IEC 标准（允许零长度 Nonce）的实现有效，而对强制执行至少 1 bit Nonce 长度的 NIST 合规实现无效。
• 后果： 恢复哈希密钥会导致认证机制的完全失效，从而允许伪造任意密文（在 GCM 中）或消息（在 GMAC 中）。

意义与主张
本文声称，证明了 ISO/IEC 规范中允许零长度 Nonce 会产生一种破坏 GCM 和 GMAC 安全性的漏洞。其重要性在于，这种攻击仅需极少量的数据（单次查询）即可恢复作为该方案安全基础组件的内部哈希密钥。

作者对于攻击范围保持了审慎的态度，明确指出该攻击仅适用于 ISO/IEC 版本，无法应用于 NIST 版本。本文并不声称破解了底层分组密码或 GCM 在使用长度 $\ge 1$ bit 的 Nonce 时的通用安全性。相反，它旨在针对 ISO/IEC 标准中特定参数选择的警告。作者指出，若干实际应用中的实现似乎接受零长度 Nonce，但他并未公开识别这些实现，而是选择独立通知受影响的各方，以避免立即被利用。