Cifrado autenticado de verdad

Un servicio de CifraLab cifra con AES en modo CBC y no añade ninguna comprobación de integridad. CBC oculta el contenido, pero no detecta cambios: un atacante que no puede leer el texto cifrado todavía puede manipular bloques y voltear bits concretos, y el sistema descifra el resultado alterado sin notar nada. En la práctica esto abre ataques donde, observando cómo responde el servicio a textos cifrados modificados, se llega a descifrar o falsificar datos. El arreglo no es cambiar de algoritmo —AES está bien— sino añadir autenticación: pasar a un modo que compruebe integridad al descifrar, o combinar el cifrado con un MAC bien puesto.

El fallo es tratar «cifrado» como si fuera «cifrado y protegido de cambios»: son dos cosas, y CBC a secas solo da la primera.

Otro servicio sí añade un MAC al cifrado CBC, pero lo calcula sobre el texto plano antes de cifrar, y comprueba el MAC después de descifrar. El orden importa: si primero descifras y luego verificas, procesas un texto cifrado que un atacante pudo alterar antes de saber si es legítimo, y ese procesamiento es justo lo que filtra información. El orden seguro es cifrar primero y calcular el MAC sobre el texto cifrado (cifrar-luego-autenticar): al recibir, se verifica el MAC antes de descifrar nada, y un texto alterado se rechaza sin tocarlo. Armar esto a mano es fácil de equivocar; por eso en la práctica se prefiere un modo que ya traiga las dos cosas integradas.

El fallo es sutil: el mismo MAC, en el orden equivocado, deja una rendija que el orden correcto cierra.

El servicio que lo hace bien usa un modo AEAD —cifrado autenticado con datos asociados, como AES-GCM o ChaCha20-Poly1305—, que cifra y autentica en una sola operación, sin que nadie tenga que acordarse del orden. Además aprovecha los «datos asociados»: información que no se cifra pero sí se autentica junto al dato, como el identificador del registro o el contexto al que pertenece. Eso impide un ataque clásico: tomar un texto cifrado legítimo de un registro y pegarlo en otro. Si el contexto va en los datos asociados, un texto cifrado movido a otro registro falla la verificación. Es el patrón correcto: AEAD para cifrar y autenticar de una vez, y los datos asociados para atar el texto cifrado a su contexto.

Un modo AEAD con sus datos asociados cierra a la vez los dos huecos anteriores: la falta de autenticación y el orden mal hecho.

Viste cifrado sin autenticar, el MAC en el orden equivocado y un modo AEAD con datos asociados bien usado. Abre el laboratorio, recorre esos tres servicios y lee el código que la auditoría anotó al cerrar la sala.