AES-GCM-SIV : Advanced Encryption Standard in Galois/Counter Mode with Synthetic Initialization Vector
Cryptographie
AES-GCM-SIV : Advanced Encryption Standard in Galois/Counter Mode with Synthetic Initialization Vector. « AES en mode Galois/compteur à vecteur d'initialisation synthétique », par analogie avec un coffre dont la combinaison dépend en partie de ce qu'on y range : oublier de la changer ne suffit pas à l'ouvrir.
Instance concrète : C'est la construction générique GCM-SIV instanciée avec AES : chiffrement AES en mode compteur, authentification par POLYVAL (hachage polynomial sur un corps de Galois), une fonction de hachage universelle très proche de GHASH.
Clés dérivées par nonce : Pour chaque nonce, des sous-clés de chiffrement et d'authentification sont dérivées de la clé principale. Les limites de volume par clé s'en trouvent repoussées par rapport à AES-GCM.
Réutilisation de nonce : Avec un nonce répété, la seule fuite est l'égalité : deux messages identiques avec les mêmes données associées donnent le même chiffré. Ni clé d'authentification récupérable ni falsification, contrairement à AES-GCM ; le mode pardonne une erreur de nonce, il ne transforme pas un compteur cassé en stratégie.
Coût : Le tag doit être calculé sur tout le message avant de chiffrer : deux passes, donc pas d'émission du chiffré au fil de l'eau. Pour de gros flux, on découpe en segments.
Ce qui arrive si on s'en passe
Sans résistance à la réutilisation de nonce, un mode comme AES-GCM se brise dès qu'un même nonce sert deux fois sous la même clé : le XOR des deux chiffrés donne le XOR des deux clairs, et la clé d'authentification devient calculable, ce qui permet de forger des messages acceptés comme authentiques. Le risque existe partout où l'unicité est difficile à garantir : nonces aléatoires courts sur de gros volumes, plusieurs instances partageant une clé, machines virtuelles clonées, compteurs remis à zéro au redémarrage. AES-GCM-SIV ramène la perte à la révélation de messages identiques. Il ne dispense ni de viser des nonces uniques ni de respecter les limites de volume par clé.
Explication de la marmotte
Pour brouiller un message avec une clé secrète, beaucoup de méthodes demandent en plus un numéro à usage unique, un peu comme un ticket qu'on ne doit jamais réutiliser. Si par erreur le même ticket sert deux fois, certaines méthodes s'effondrent et laissent un pirate fabriquer de faux messages. Celle-ci est conçue pour encaisser ce genre d'étourderie : le point de départ réellement utilisé est calculé à partir du message lui-même. En cas de ticket répété, un espion peut seulement remarquer que deux messages envoyés sont exactement identiques, rien de plus.
Où ce terme est utilisé
- Chiffrer et authentifier en une seule construction (2 occurrences)
- Choisir, combiner et migrer les algorithmes symétriques (1 occurrence)
- Transformer un bloc en chiffrement de message (1 occurrence)