teoría del cifrado de disco

Aunque antes se aceptaba comúnmente que el cifrado de disco debía preservar la longitud, algunas características adicionales justifican el uso de espacio extra. Un ejemplo es el cifrado autenticado , que requiere espacio adicional a cambio de garantizar la integridad del sector. Una aplicación de esta garantía sería impedir que un atacante provoque errores en el núcleo al dañar el sistema de archivos. ^{[ 1 ]}

Los métodos de cifrado de disco también se distinguen en métodos de "bloque estrecho" y de "bloque ancho". Para un texto plano del tamaño de un sector, el método de bloque estrecho lo cifra en múltiples bloques, mientras que el método de bloque ancho lo hace en uno solo. Los métodos de bloque estrecho, como LRW, XES y XTS, permiten a un atacante explotar la granularidad del bloque para realizar análisis y reproducción del tráfico. ^{[ 2 ]} Idealmente, un cifrado de bloque ancho hace que todo el texto cifrado sea irreconocible ante cualquier cambio en el texto plano. ^{[ 3 ]}

El encadenamiento de bloques cifrados (CBC, por sus siglas en inglés) es un modo de encadenamiento común en el que el texto cifrado del bloque anterior se combina mediante la operación XOR con el texto plano del bloque actual antes del cifrado:

${\displaystyle C_{i}=E_{K}(C_{i-1}\oplus P_{i}).}$

Dado que no hay un "texto cifrado del bloque anterior" para el primer bloque, se debe utilizar un vector de inicialización (IV) como${\displaystyle C_{-1}}$Esto, a su vez, hace que CBC sea modificable en algunos aspectos.

CBC presenta algunos problemas. Por ejemplo, si los vectores de inicialización (IV) son predecibles, un adversario podría dejar una "marca de agua" en el disco, es decir, almacenar un archivo o combinación de archivos creados especialmente que sean identificables incluso después del cifrado. El método exacto para construir la marca de agua depende de la función específica que proporciona los IV, pero la receta general consiste en crear dos sectores cifrados con bloques iniciales idénticos.${\displaystyle b_{1}}$y${\displaystyle b_{2}}$; estos dos están entonces relacionados entre sí por${\displaystyle b_{1}\oplus IV_{1}=b_{2}\oplus IV_{2}}$. Por lo tanto, el cifrado de${\displaystyle b_{1}}$es idéntico al cifrado de${\displaystyle b_{2}}$, dejando una marca de agua en el disco. El patrón exacto de "igual-diferente-igual-diferente" en el disco se puede modificar para que la marca de agua sea única para un archivo determinado.

Para protegerse contra el ataque de marca de agua, se utiliza un cifrado o una función hash para generar los vectores de inicialización (IV) a partir de la clave y el número de sector actual, de modo que un adversario no pueda predecir los IV. En particular, el método ESSIV utiliza un cifrado de bloques en modo CTR para generar los IV.

El cifrado de bloque estrecho ajustable (LRW) ^{[ 9 ]} es una instanciación del modo de operaciones introducido por Liskov, Rivest y Wagner ^{[ 10 ]} (véase el Teorema 2). Este modo utiliza dos claves:${\displaystyle K}$es la clave para el cifrado de bloques y${\displaystyle F}$es una clave adicional del mismo tamaño que el bloque. Por ejemplo, para AES con una clave de 256 bits,${\displaystyle K}$es un número de 256 bits y${\displaystyle F}$es un número de 128 bits. Bloque de cifrado${\displaystyle P}$con índice lógico (ajuste)${\displaystyle I}$Utiliza la siguiente fórmula:

${\displaystyle {\begin{aligned}X&=F\otimes I,\\C&=E_{K}(P\oplus X)\oplus X.\end{aligned}}}$

Aquí multiplicación${\displaystyle \otimes }$y adición${\displaystyle \oplus }$se realizan en el campo finito (${\displaystyle {\text{GF}}\left(2^{128}\right)}$(para AES). Con cierta precomputación, solo se requiere una única multiplicación por sector (tenga en cuenta que la suma en un campo binario finito es una simple suma bit a bit, también conocida como xor):${\displaystyle F\otimes I=F\otimes (I_{0}\oplus \delta )=F\otimes I_{0}\oplus F\otimes \delta }$, dónde${\displaystyle F\otimes \delta }$se calculan previamente para todos los valores posibles de${\displaystyle \delta }$Este modo de operación solo requiere un cifrado por bloque y protege contra todos los ataques mencionados, salvo una pequeña vulnerabilidad: si el usuario modifica un único bloque de texto plano en un sector, solo se modifica un único bloque de texto cifrado. (Cabe destacar que esta vulnerabilidad no es la misma que presenta el modo ECB: en el modo LRW, textos planos idénticos en posiciones diferentes se cifran con textos cifrados distintos).

Existen algunos problemas de seguridad con LRW , y este modo de funcionamiento ha sido sustituido por XTS.

LRW es utilizado por BestCrypt y es compatible como opción con los sistemas de cifrado de disco dm-crypt y FreeOTFE .

Otro modo de cifrado modificable, XEX ( xor–encrypt–xor ), fue diseñado por Rogaway ^{[ 11 ]} para permitir el procesamiento eficiente de bloques consecutivos (con respecto al cifrado utilizado) dentro de una unidad de datos (por ejemplo, un sector de disco). La modificación se representa como una combinación de la dirección del sector y el índice del bloque dentro del sector (el modo XEX original propuesto por Rogaway ^{[ 11 ]} permite varios índices). El texto cifrado,${\displaystyle C}$, se obtiene utilizando:

${\displaystyle {\begin{aligned}X&=E_{K}(I)\otimes \alpha ^{j},\\C&=E_{K}(P\oplus X)\oplus X,\end{aligned}}}$

dónde:

${\displaystyle P}$es el texto plano,

${\displaystyle I}$es el número del sector,

${\displaystyle \alpha }$es el elemento primitivo de${\displaystyle {\text{GF}}(2^{128})}$definido por polinomio${\displaystyle x}$; es decir, el número 2 ,

${\displaystyle j}$es el número del bloque dentro del sector. XEX utiliza${\displaystyle j\geq 1}$; XTS utiliza${\displaystyle j\geq 0}$.

Las operaciones básicas del modo LRW (cifrado AES y multiplicación de campos de Galois ) son las mismas que las utilizadas en el modo Galois/Contador (GCM), lo que permite una implementación compacta del hardware universal LRW/XEX/GCM.

El XEX original tiene una debilidad. ^{[ 12 ]}

CMC y EME protegen incluso contra la pequeña fuga mencionada anteriormente para LRW. Desafortunadamente, el precio es una doble degradación del rendimiento: cada bloque debe cifrarse dos veces; muchos consideran que este es un costo demasiado alto, ya que la misma fuga a nivel de sector es inevitable de todos modos.

CMC, introducido por Halevi y Rogaway, significa CBC-máscara-CBC: todo el sector cifrado en modo CBC (con${\displaystyle C_{-1}=E_{A}(I)}$), el texto cifrado se enmascara mediante xor con${\displaystyle 2(C'_{0}\oplus C'_{k-1})}$y se vuelve a cifrar en modo CBC comenzando desde el último bloque. Cuando el cifrado de bloques subyacente es una permutación pseudoaleatoria (PRP) fuerte, entonces a nivel de sector el esquema es una PRP modificable. Un problema es que para descifrar${\displaystyle P_{0}}$Hay que recorrer todos los datos dos veces de forma secuencial.

Para resolver este problema, Halevi y Rogaway introdujeron una variante paralelizable llamada EME (ECB–máscara–ECB). Funciona de la siguiente manera:

• Los textos planos se combinan mediante XOR con${\displaystyle L=E_{K}(0)}$, desplazados en diferentes cantidades hacia la izquierda, y están cifrados:${\displaystyle P'_{i}=E_{K}(P_{i}\oplus 2^{i}L)}$;
• La máscara se calcula:${\textstyle M=M_{P}\oplus M_{C}}$, dónde${\textstyle M_{P}=I\oplus \bigoplus P'_{i}}$y${\displaystyle M_{C}=E_{K}(M_{P})}$;
• Los textos cifrados intermedios están enmascarados:${\textstyle C'_{i}=P'_{i}\oplus 2^{i}M}$para${\displaystyle i=1,\ldots ,k-1}$y${\textstyle C'_{0}=M_{C}\oplus I\oplus \bigoplus _{i=1}^{k-1}C'_{i}}$;
• Los textos cifrados finales se calculan:${\displaystyle C_{i}=E_{K}(C'_{i})\oplus 2^{i}L}$para${\displaystyle i=0,\ldots ,k-1}$.

Tenga en cuenta que, a diferencia de LRW y CMC, solo hay una clave.${\displaystyle K}$.

CMC y EME fueron considerados para la estandarización por SISWG . EME está patentado, por lo que no se favorece como modo principal compatible. ^{[ 21 ]}

HCTR (2005) es un modo de operación para cifrados de bloques que conserva la longitud, es de bloque ancho y configurable. ^{[ 22 ]} Sin embargo, tiene un error en la especificación y otro en su prueba de seguridad, lo que invalida su nivel de seguridad declarado . HCTR2 (2021) es una variante que corrige estos problemas y mejora la seguridad, el rendimiento y la flexibilidad. ^{[ 23 ]} HCTR2 está disponible en el kernel de Linux desde la versión 6.0.

HCTR y HCTR2 utilizan un modo de operación de cifrado por bloques personalizado llamado XCTR; AES-128-XCTR se suele utilizar para HCTR2. HCTR2 utiliza una función hash polinómica llamada POLYVAL. HCTR2 es eficiente en procesadores modernos equipados con conjuntos de instrucciones AES y de multiplicación sin acarreo . ^{[ 23 ]}

El modo de libro de códigos extendido para AES (XCB-AES) se definió en versiones anteriores de la norma IEEE Std 1619.2. Sin embargo, se informó que XCB estaba defectuoso y se eliminó de la versión 2025, IEEE Std 1619.2-2025 .