Valores únicos, nonces y contadores

El nonce no es secreto, pero sí único por clave: la pareja (clave, nonce) no puede repetirse jamás. Si se repite, dos mensajes distintos quedan cifrados con el mismo flujo de bytes y, en GCM, además se compromete la comprobación de integridad del modo. El daño no depende de que alguien lo note hoy: la repetición queda guardada en los datos.

Observa que la unicidad es por clave. El mismo nonce con claves distintas no es el problema; el mismo nonce con la misma clave, sí. Esto importa en cuanto hay varios procesos que comparten una clave.

El caso más claro de leer es el nonce escrito a mano en la configuración. Suele nacer como una comodidad de las pruebas —«que el resultado sea reproducible»— y pasa a producción porque nadie lo revisa. Un nonce constante es una repetición garantizada desde el segundo mensaje.

Abre las tres configuraciones de /srv/marimba/nonces y localiza el emisor que no genera un valor distinto por cifrado.

Un contador parece seguro: va subiendo y no se repite. Pero un contador en memoria nace en cada arranque y vive en cada proceso. Con dos instancias que comparten clave, las dos arrancan en uno y producen la misma secuencia; y tras un reinicio, la secuencia vuelve a empezar. El contador solo es válido si el espacio de valores está repartido de forma que nadie más pueda generar el mismo, por ejemplo con un campo fijo propio de cada instancia delante del contador y con el estado persistido.

La bitácora de facturas registra qué instancia selló cada sobre y con qué nonce. Busca la repetición.

Hay dos diseños correctos. Aleatorio: un generador criptográfico produce el nonce en cada cifrado; es simple y funciona con varias instancias, pero cuantos más cifrados hace una clave más crece la probabilidad de coincidencia, así que se limita el número de cifrados por clave y se rota antes de llegar al tope. La norma de NIST para GCM (SP 800-38D) fija un límite de 2^32 cifrados por clave con nonces aleatorios de 96 bits; muchas organizaciones fijan uno propio, más bajo. Contador: exige que cada instancia tenga su parte fija y que el contador sobreviva a los reinicios.

El tercer emisor de Marimba usa el primer diseño y declara su propio tope.

El tope por clave solo sirve si alguien lo vigila. El informe mensual de contadores permite calcular cuánto margen queda antes de rotar. Es una resta entre el tope de la política del emisor aleatorio y los cifrados que ya hizo su clave.