AES-GCM 암복호화 (키·논스·AAD)

AES-GCM은 지금 거의 모든 곳이 쓰는 인증 암호 모드이고, 딱 한 가지 점에서 가차 없습니다. 같은 키와 같은 논스로 서로 다른 두 메시지를 절대 암호화하지 않는 한에서만 안전합니다. 한 번이라도 그러면 두 암호문의 XOR이 두 평문의 XOR이 되므로 한쪽 메시지를 알면 다른 쪽이 그대로 넘어갑니다. 더 나쁜 것은 인증 서브키가 새어 나가, 공격자가 보낸 적 없는 메시지에 유효한 태그를 붙일 수 있게 된다는 점입니다. 이 페이지는 암호화에 쓴 키·논스 조합을 기억해 두고 같은 조합이 반복되면 빨간 글씨로 알려 줍니다. 출력만 봐서는 아무것도 이상해 보이지 않기 때문입니다.

또 하나, Web Crypto API가 굳이 붙여 놓는 두 조각을 여기서는 떼어 줍니다. crypto.subtle.encrypt는 태그가 뒤에 붙은 하나의 버퍼를 돌려주지만, 문제의 반대편에 있는 거의 모든 라이브러리와 전송 형식은 암호문과 태그를 각각의 필드로 원합니다. 여기서는 둘 다 나오고, 이어 붙인 형태도 hex와 base64로 함께 나옵니다.

감추지 않고 드러내는 세부 세 가지. 논스는 96비트여야 합니다. GCM은 비어 있지 않은 어떤 길이든 받지만 그대로 쓰이는 것은 96비트뿐이고, 다른 길이는 먼저 96비트로 해시되므로 더 느리기만 합니다. 태그는 128, 120, 112, 104, 96, 64, 32비트 중 하나여야 하고 그 밖의 값은 안 됩니다. 48은 브라우저가 바로 거부합니다. 그리고 AES-192는 아예 동작하지 않습니다. Chromium은 24바이트 키에 OperationError: 192-bit AES keys are not supported로 답합니다. 이는 AES의 한계가 아니라 Chromium의 결정이고, 이 페이지는 조용히 대체하지 않고 브라우저가 말한 그대로 보고합니다.

페이지를 벗어나지 않고 알고리즘 명세와 대조할 수도 있습니다. 키를 0 서른두 개, 논스를 0 스물네 개로 두고 아무것도 암호화하지 마세요. 태그가 58e2fccefa7e3061367f1d57a4e7455a로 나오는데, 이는 최초 GCM 제안서의 테스트 케이스 1입니다. 같은 키와 논스로 0 바이트 열여섯 개를 암호화하면 암호문은 0388dace60b6a392f328c2b971b2fe78, 태그는 ab6e47d42cec13bdf53a67b21257bddf입니다. 256비트 0 키로 빈 메시지를 처리하면 530f8afbc74536b9a963b4f1c4cb738b이 나옵니다.

복호화 실패는 실패했다는 사실 외에 아무것도 알려 주지 않는데, 이는 이 페이지의 결함이 아니라 올바른 동작입니다. 틀린 태그와 틀린 추가 데이터를 구분해 주는 복호기는 공격자가 수천 번 물어볼 수 있는 오라클이 됩니다. 모든 계산은 Web Crypto API를 통해 브라우저에서 이뤄지고, 키·논스·메시지는 어디로도 전송되지 않습니다.