Modos de cifrado, IV y aleatoriedad

Un cifrado de bloque como AES procesa 16 bytes cada vez; el modo dice cómo se encadenan los bloques. En el modo ECB, cada bloque se cifra por separado con la misma clave, de modo que dos bloques iguales de texto dan dos bloques iguales de cifrado. El resultado conserva la estructura de los datos: registros repetidos, cabeceras iguales, campos que se repiten, todo queda a la vista aunque no se pueda leer. Los modos autenticados como GCM, además de ocultar, detectan si alguien alteró lo cifrado.

En un informe se escribe el modo exacto (la cadena de configuración, como aparece en el código) y se recomienda un modo autenticado.

La cadena de configuración de un cifrado tiene tres partes: algoritmo, modo y relleno (por ejemplo, el nombre del algoritmo, el del modo y el del esquema de relleno, separados por barras). Es lo primero que se busca al revisar una clase que cifra, porque ahí está la decisión de diseño. Abre el laboratorio y lee la revisión de modos y aleatoriedad. Una sola clase usa el modo que conserva la estructura.

En GCM el IV (a veces llamado nonce) debe ser único para cada cifrado hecho con la misma clave. Si se repite, un observador que tenga dos cifrados puede obtener información sobre los textos, y la autenticación deja de proteger: es de los fallos más graves del modo. No hace falta que el IV sea secreto; hace falta que no se repita. Un IV escrito como constante en el código se repite por definición, en cada instalación y en cada cifrado. La corrección es generar un IV nuevo con una fuente de azar apta para criptografía en cada operación y guardarlo junto al texto cifrado.

Un código de recuperación, un token o un IV deben salir de un generador apto para criptografía: en Android y Java, SecureRandom; en iOS, las funciones de azar seguro del sistema. Un generador de uso general, sobre todo si se inicializa con la hora, es predecible: quien sepa aproximadamente cuándo se pidió el código puede probar un puñado de valores en lugar de un millón. En el informe se reporta la clase, la operación y el generador usado; nunca un valor generado.

Saber qué no reportar protege la credibilidad del informe. Guardar el IV delante del texto cifrado es la práctica normal: el descifrado lo necesita y no es secreto. Un identificador aleatorio de instalación tampoco es un secreto si no se usa para autenticar nada. Si se listan como fallos, el equipo aprende a descartar los hallazgos que sí importan.