GCM-SIV : Galois/Counter Mode with Synthetic Initialization Vector
Cryptographie
GCM-SIV : Galois/Counter Mode with Synthetic Initialization Vector. « Mode Galois/compteur à vecteur d'initialisation synthétique », par analogie avec un plan d'architecte qu'on bâtit ensuite avec un matériau précis.
Construction générique : GCM-SIV décrit comment assembler un chiffrement par blocs, une fonction de hachage universelle sur un corps de Galois et le mode compteur selon le principe SIV. AES-GCM-SIV en est l'instanciation standardisée avec AES.
Ordre des opérations : On hache d'abord données associées et texte clair, on chiffre ce résultat combiné au nonce pour obtenir le tag, puis ce tag sert de bloc compteur initial pour chiffrer le message. GCM fait l'inverse : il chiffre, puis authentifie le chiffré.
Pas GCM avec une option : Malgré le nom, l'ordre des opérations et le calcul du tag diffèrent : un déchiffreur GCM ne lit pas un chiffré GCM-SIV. Les suffixes rassurent sur une slide ; les formats, eux, ne se laissent pas convaincre.
Face à AES-SIV : SIV est le principe ; AES-SIV et GCM-SIV sont deux façons de le réaliser, l'une avec CMAC (Cipher-based Message Authentication Code), l'autre avec un hachage polynomial rapide sur les processeurs dotés de multiplication sans retenue.
Ce qui arrive si on s'en passe
Sans construction de type GCM-SIV, les protocoles fondés sur GCM dépendent entièrement de l'unicité des nonces. Une seule répétition sous la même clé suffit pour obtenir le XOR de deux textes clairs et calculer la clé d'authentification de GHASH, puis forger des messages acceptés. GCM-SIV change ce contrat : la répétition ne révèle plus que l'égalité de messages identiques. Le prix est une double passe sur les données, qui empêche d'émettre le chiffré avant d'avoir lu tout le message. Cette résistance ne dispense pas de nonces uniques quand c'est possible : elle sert de filet, pas de méthode de travail.
Explication de la marmotte
Il s'agit d'un mode d'emploi pour brouiller et sceller des messages, décrit de façon générale, sans imposer la serrure exacte. Son idée : avant de brouiller un message, on le relit en entier pour en tirer un résumé secret, et c'est ce résumé qui sert à la fois de point de départ au brouillage et de sceau. Ainsi, même si l'expéditeur réutilise par erreur un numéro censé ne servir qu'une fois, un espion n'apprend presque rien : il voit seulement que deux messages identiques ont été envoyés. La version la plus connue utilise la serrure standard employée partout dans le monde.
Où ce terme est utilisé
- Chiffrer et authentifier en une seule construction (1 occurrence)