La primitive AEAD (Authenticated Encryption with Associated Data) est la plus courante pour le chiffrement des données et convient à la plupart des besoins.
Le chiffrement AEAD possède les propriétés suivantes :
- Secrecy : rien n'est connu du texte en clair, à l'exception de sa longueur.
- Authenticité : il est impossible de modifier le texte brut chiffré sous-jacent au texte chiffré sans que la modification ne soit détectable.
- Symétrie : le chiffrement du texte en clair et le déchiffrement du texte chiffré s'effectuent avec la même clé.
- Randomisation : le chiffrement est aléatoire. Deux messages comportant le même texte brut renverront des textes chiffrés différents. Les pirates informatiques ne peuvent pas identifier le texte chiffré correspondant à un texte brut donné. Si vous souhaitez éviter cela, utilisez plutôt AEAD déterministe.
Données associées
AEAD peut être utilisé pour lier le texte chiffré à des données associées spécifiques. Supposons que vous disposiez d'une base de données avec les champs user-id et encrypted-medical-history. Dans ce scénario, user-id peut être utilisé comme données associées lors du chiffrement de encrypted-medical-history. Cela empêche un pirate informatique de transférer l'historique médical d'un utilisateur à un autre.
Les données associées sont facultatives. Si des données associées sont spécifiées, le déchiffrement ne réussit que si les mêmes données associées sont transmises aux appels de chiffrement et de déchiffrement.
Choisir un type de clé
Bien que nous recommandions AES128_GCM pour la plupart des utilisations, il existe différents types de clés pour différents besoins (pour une sécurité de 256 bits, remplacez AES128 par AES256 ci-dessous). En général :
- AES128_CTR_HMAC_SHA256 avec un vecteur d'initialisation (IV) de 16 octets est le mode le plus conservateur avec de bonnes limites.
- AES128_EAX est légèrement moins conservateur et légèrement plus rapide qu'AES128_CTR_HMAC_SHA256.
- AES128_GCM est généralement le mode le plus rapide, avec les limites les plus strictes sur le nombre de messages et leur taille. Lorsque ces limites de longueur de texte brut et de données associées (ci-dessous) sont dépassées, AES128_GCM échoue et divulgue des informations clés.
- AES128_GCM_SIV est presque aussi rapide qu'AES128_GCM. Il présente les mêmes limites que AES128_GCM en termes de nombre de messages et de taille des messages, mais lorsque ces limites sont dépassées, il échoue de manière moins catastrophique : il ne peut que révéler que deux messages sont identiques. Il est donc plus sûr que AES128_GCM, mais il est moins utilisé en pratique. Pour l'utiliser en Java, vous devez installer Conscrypt.
- XChaCha20Poly1305 a une limite beaucoup plus élevée sur le nombre de messages et la taille des messages qu'AES128_GCM, mais lorsqu'il échoue (très peu probable), il divulgue également des éléments clés. Il n'est pas accéléré par le matériel. Il peut donc être plus lent que les modes AES dans les situations où l'accélération matérielle est disponible.
Garanties de sécurité
Les implémentations AEAD offrent les avantages suivants :
- Sécurité CCA2.
- Niveau d'authentification d'au moins 80 bits.
- La possibilité de chiffrer au moins 232 messages totalisant 250 octets. Aucune attaque avec jusqu'à 232 textes en clair ou textes chiffrés choisis n'a une probabilité de succès supérieure à 2-32.
Exemples de cas d'utilisation
Consultez les sections Chiffrer des données et Lier un texte chiffré à son contexte.