Cifrado convergente

El cifrado convergente , también conocido como clave hash de contenido , es un criptosistema que produce texto cifrado idéntico a partir de archivos de texto plano idénticos . Esto tiene aplicaciones en la computación en la nube para eliminar archivos duplicados del almacenamiento sin que el proveedor tenga acceso a las claves de cifrado. ^{[ 1 ]} La combinación de deduplicación y cifrado convergente se describió en una patente de sistema de respaldo presentada por Stac Electronics en 1995. ^{[ 2 ]} Esta combinación ha sido utilizada por Farsite, ^{[ 3 ]} Permabit , ^{[ 4 ]} Freenet , MojoNation , GNUnet , flud y Tahoe Least-Authority File Store . ^{[ 5 ]}

El sistema ganó mayor visibilidad en 2011 cuando el proveedor de almacenamiento en la nube Bitcasa anunció que estaba utilizando cifrado convergente para permitir la deduplicación de datos en su servicio de almacenamiento en la nube . ^{[ 6 ]}

1. El sistema calcula un hash criptográfico del texto plano en cuestión.
2. A continuación, el sistema cifra el texto sin formato utilizando el hash como clave.
3. Finalmente, el hash en sí se almacena, cifrado con una clave elegida por el usuario.

El cifrado convergente es vulnerable a un "ataque de confirmación de archivo", en el que un atacante puede confirmar si un objetivo posee un archivo determinado cifrando una versión sin cifrar, o en texto plano , y luego simplemente comparando el resultado con los archivos que posee el objetivo. ^{[ 7 ]} Este ataque supone un problema para un usuario que almacena información no única, es decir, que también está disponible públicamente o que ya está en posesión del adversario; por ejemplo: libros prohibidos o archivos que causan infracción de derechos de autor . Se podría argumentar que un ataque de confirmación de archivo se vuelve menos efectivo al agregar un dato único, como algunos caracteres aleatorios, al texto plano antes del cifrado; esto hace que el archivo cargado sea único y, por lo tanto, resulta en un archivo cifrado único. Sin embargo, algunas implementaciones de cifrado convergente donde el texto plano se divide en bloques según el contenido del archivo, y cada bloque se cifra convergentemente de forma independiente, pueden frustrar inadvertidamente los intentos de hacer que el archivo sea único agregando bytes al principio o al final. ^{[ 8 ]}

Aún más alarmante que el ataque de confirmación es el "ataque de obtención de información restante" descrito por Drew Perttula en 2008. ^{[ 9 ]} Este tipo de ataque se aplica al cifrado de archivos que son solo ligeras variaciones de un documento público. Por ejemplo, si el defensor cifra un formulario bancario que incluye un número de cuenta bancaria de diez dígitos, un atacante que conozca el formato genérico de los formularios bancarios puede extraer el número de cuenta bancaria del defensor creando formularios bancarios para todos los números de cuenta posibles, cifrándolos y luego comparando esos cifrados con el archivo cifrado del defensor para deducir el número de cuenta bancaria. Cabe destacar que este ataque puede extenderse para atacar a un gran número de objetivos simultáneamente (todas las variantes ortográficas del nombre de un cliente bancario objetivo en el ejemplo anterior, o incluso todos los clientes potenciales), y afecta a cualquier tipo de documento: declaraciones de impuestos, documentos financieros, formularios sanitarios, formularios de empleo, etc. Además, no existe ningún método conocido para reducir la gravedad de este ataque: añadir unos pocos bytes aleatorios a los archivos durante su almacenamiento no sirve de nada, ya que esos bytes también pueden ser atacados mediante la técnica de "aprender la información restante". La única forma eficaz de mitigar este ataque es cifrar el contenido de los archivos con una clave secreta no convergente antes de almacenarlos (lo que anula cualquier beneficio del cifrado convergente), o simplemente no utilizar el cifrado convergente desde el principio.

• Sal (criptografía)
• Cifrado determinista