Poly1305

Klucz i parametry

Jednorazowy klucz Poly1305 składa się z dwóch 128-bitowych części, oznaczanych jako ${\displaystyle r}$ i ${\displaystyle s}$. Obie są interpretowane jako liczby całkowite zapisane w kolejności od najmniej znaczącego bajtu (little-endian).

Przed rozpoczęciem obliczeń wartość ${\displaystyle r}$ podlega ograniczeniu określanemu w dokumentacji anglojęzycznej jako clamping. Polega ono na wyzerowaniu wybranych bitów klucza (przy numerowaniu bajtów od zera):

• czterech najstarszych bitów bajtów o indeksach 3, 7, 11 i 15;
• dwóch najmłodszych bitów bajtów o indeksach 4, 8 i 12.

W rezultacie 22 spośród 128 bitów wartości ${\displaystyle r}$ zostają wyzerowane, co pozostawia ${\displaystyle 2^{106}}$ dopuszczalnych wartości. Ograniczenie to jest elementem konstrukcji algorytmu i ułatwia bezpieczne oraz wydajne wykonywanie działań arytmetycznych.

Obliczanie znacznika

Wiadomość dzielona jest na kolejne bloki o długości 16 bajtów. Ostatni blok może być krótszy. Każdy blok jest interpretowany jako liczba całkowita w porządku little-endian, do której dodaje się bit o wartości 1 bezpośrednio za ostatnim bitem danych. Dla pełnego bloku odpowiada to dodaniu ${\displaystyle 2^{128}}$, natomiast dla bloku zawierającego ${\displaystyle b}$ bajtów – dodaniu ${\displaystyle 2^{8b}}$.

Po oznaczeniu kolejnych wartości bloków jako ${\displaystyle n_{1},n_{2},\ldots ,n_{q}}$ wyniki kolejnych działań przechowywane są w zmiennej nazywanej akumulatorem. Początkowo ma ona wartość ${\displaystyle a_{0}=0}$. Dla każdego kolejnego bloku oblicza się:

${\displaystyle a_{i}=(a_{i-1}+n_{i})\cdot r{\bmod {(}}2^{130}-5).}$

Po przetworzeniu wszystkich bloków do akumulatora dodawana jest druga część klucza, ${\displaystyle s}$. Wynikowy kod uwierzytelniający oblicza się według wzoru:

${\displaystyle t=(a_{q}+s){\bmod {2}}^{128}.}$

Wartość ${\displaystyle t}$ zapisywana jest jako 16-bajtowy ciąg w porządku little-endian. Stanowi ona znacznik uwierzytelniający wiadomość. Odbiorca dysponujący właściwym kluczem może ponownie obliczyć znacznik i porównać go z wartością otrzymaną od nadawcy.

Poly1305-AES

Pierwotna konstrukcja Poly1305-AES, przedstawiona przez Bernsteina w 2005 roku, łączy uniwersalną funkcję skrótu Poly1305 z szyfrem blokowym AES-128. Wykorzystuje 128-bitowy klucz AES, dodatkowy 128-bitowy parametr ${\displaystyle r}$ oraz 128-bitową wartość nonce, która nie musi pozostawać tajna.

AES służy w tej konstrukcji do przekształcenia wartości nonce w tajną wartość ${\displaystyle s}$, wykorzystywaną podczas tworzenia znacznika. Pozwala to uwierzytelniać wiele wiadomości za pomocą tego samego długoterminowego klucza, pod warunkiem zachowania niepowtarzalności wartości nonce. Autor konstrukcji wskazał, że AES można zastąpić inną odpowiednią funkcją kryptograficzną generującą wartości jednorazowe.

XSalsa20-Poly1305

Poly1305 jest wykorzystywany w bibliotekach kryptograficznych NaCl i libsodium w połączeniu z szyfrem strumieniowym XSalsa20. Konstrukcja XSalsa20-Poly1305 zapewnia uwierzytelnione szyfrowanie danych.

XSalsa20 generuje strumień pseudolosowych bajtów, którego początkowa część służy do wyprowadzenia jednorazowego klucza Poly1305. Pozostała część strumienia wykorzystywana jest do szyfrowania wiadomości, natomiast Poly1305 uwierzytelnia szyfrogram. Rozwiązanie to stanowi podstawę interfejsu crypto_secretbox w bibliotekach NaCl i libsodium.

ChaCha20-Poly1305

Jednym z najważniejszych zastosowań Poly1305 jest konstrukcja ChaCha20-Poly1305, łącząca szyfr strumieniowy ChaCha20 z uwierzytelnianiem wiadomości. Należy ona do algorytmów uwierzytelnionego szyfrowania z danymi dodatkowymi (AEAD, authenticated encryption with associated data).

W konstrukcji opisanej w RFC 8439 jednorazowy klucz Poly1305 wyprowadzany jest z pierwszych 32 bajtów bloku wygenerowanego przez ChaCha20 przy liczniku bloku równym zero. Kolejne bloki strumienia szyfrującego służą do szyfrowania danych. Poly1305 uwierzytelnia szyfrogram oraz ewentualne dodatkowe dane, które nie są szyfrowane, ale mają podlegać ochronie integralności.

ChaCha20-Poly1305 znajduje zastosowanie między innymi w protokołach TLS, IPsec i WireGuard. Jego zastosowanie w IPsec określa RFC 7634, natomiast wykorzystanie w WireGuard opisuje dokumentacja tego protokołu. Użycie w TLS 1.2 i DTLS 1.2 opisuje RFC 7905, natomiast algorytm ChaCha20-Poly1305 został również uwzględniony w TLS 1.3.