Key wrap

In cryptography, key wrap constructions are a class of symmetric encryption algorithms designed to encapsulate (encrypt) cryptographic key material.^[1] The Key Wrap algorithms are intended for applications such as protecting keys while in untrusted storage or transmitting keys over untrusted communications networks. The constructions are typically built from standard primitives such as block ciphers and cryptographic hash functions.

Key Wrap may be considered as a form of key encapsulation algorithm, although it should not be confused with the more commonly known asymmetric (public-key) key encapsulation algorithms (e.g., PSEC-KEM). Key Wrap algorithms can be used in a similar application: to securely transport a session key by encrypting it under a long-term encryption key.

In the late 1990s, the National Institute of Standards and Technology (NIST) posed the "Key Wrap" problem: to develop secure and efficient cipher-based key encryption algorithms. The resulting algorithms would be formally evaluated by NIST, and eventually approved for use in NIST-certified cryptographic modules. NIST did not precisely define the security goals of the resulting algorithm, and left further refinement to the algorithm developers. Based on the resulting algorithms, the design requirements appear to be (1) confidentiality, (2) integrity protection (authentication), (3) efficiency, (4) use of standard (approved) underlying primitives such as the Advanced Encryption Standard (AES) and the Secure Hash Algorithm (SHA-1), and (5) consideration of additional circumstances (e.g., resilience to operator error, low-quality random number generators). Goals (3) and (5) are particularly important, given that many widely deployed authenticated encryption algorithms (e.g., AES-CCM) are already sufficient to accomplish the remaining goals.

Several constructions have been proposed. These include:

• AES Key Wrap Specification (November 2001, RFC 3394)^[2]
  • Implemented by the WebCrypto subtle API.^[3]
• American Standards Committee ANSX9.102, which defines four algorithms:^[4]
  • AESKW (a variant of the AES Key Wrap Specification)
  • TDKW (similar to AESKW, built from Triple DES rather than AES).
  • AKW1 (TDES, two rounds of CBC)
  • AKW2 (TDES, CBC then CBC-MAC)

Cada uno de los algoritmos propuestos puede considerarse una forma de algoritmo de cifrado autenticado que proporciona confidencialidad para mensajes altamente entrópicos , como las claves criptográficas. La especificación AES Key Wrap, AESKW, TDKW y AKW1 están diseñadas para mantener la confidencialidad bajo ataques adaptativos de texto cifrado elegido , mientras que el algoritmo AKW2 está diseñado para ser seguro solo bajo ataques de texto plano conocido (o más débiles). (El objetivo declarado de AKW2 es su uso en sistemas heredados y dispositivos con recursos computacionales limitados donde el uso de los otros algoritmos sería impracticable). AESKW, TDKW y AKW2 también proporcionan la capacidad de autenticar el "encabezado" en texto plano, un bloque de datos asociado que no está cifrado.

Rogaway y Shrimpton evaluaron el diseño de los algoritmos ANSX9.102 con respecto a los objetivos de seguridad establecidos. Entre sus conclusiones generales, destacaron la falta de objetivos de diseño claramente definidos para los algoritmos y la ausencia de pruebas de seguridad para todas las construcciones.

En su artículo, Rogaway y Shrimpton propusieron un algoritmo de cifrado de clave verificable (SIV, por sus siglas en inglés: Synthetic Initialization Vector mode) que autentica y cifra una cadena arbitraria y autentica, pero no cifra, los datos asociados que pueden vincularse a la clave cifrada. Esto se ha especificado como un nuevo modo AES en el RFC 5297 . 

• Cifrado autenticado
• Cifrado determinista
• Gestión clave
• Protocolo de clave privada sin conexión

• P. Rogaway, T. Shrimpton. Un tratamiento de seguridad demostrable del problema de la envoltura de claves .
• Especificación de encapsulado de clave AES del NIST (noviembre de 2001)
• Publicación especial 800-38F del NIST, Recomendación para los modos de operación de cifrado por bloques: Métodos para el encapsulamiento de claves (diciembre de 2012)
• Comité de Normas Estadounidenses, Solicitud de revisión de algoritmos de cifrado de claves
• Dan Harkins (octubre de 2008). "RFC 5297: Cifrado autenticado mediante vector de inicialización sintética (SIV) utilizando el estándar de cifrado avanzado (AES)" . IETF.
• Krohn, Max; Coyne, Chris. "TripleSec" . Keybase . Archivado del original el 12 de noviembre de 2020. Consultado el 2 de enero de 2021 .