2

Me deparei numa situação que preciso assinar a mensagem que estou enviando, mas não basta somente o conteúdo dela, preciso também enviar um "segredo" pra dizer que fui eu que escrevi essa mensagem. Para isso, eu posso utilizar o HMAC:

digest = hmac(mensagem, "minha chave ultra secreta")

Isso vai produzir um hash diferente por causa da chave usada.

Mas e se eu fizer dessa forma?

digest = hash(mensagem + "minha chave ultra secreta")

Também irá produzir algo diferente e menos propício a ataques de "Tabelas Arco-íris", como o hmac fez.

Considerando que a chave secreta seja compartilhada por ambas pontas, o conteúdo poderá ser validado por igual em ambos exemplos.

Agora queria saber: existe algum impacto notável na segurança da aplicação entre esses dois métodos de "assinar uma mensagem"? Qual é mais seguro? Qual devo evitar e por quê?

2
  • 3
    A primeira resposta da pergunta que você linkou diz: "É melhor usar esse algoritmo do que reinventar a roda pois muitos algoritmos simples como hash(chave + mensagem) são vulneráveis a ataques criptográficos como o ataque de extensão de tamanho"
    – bfavaretto
    Commented 18/01/2022 às 14:09
  • @bfavaretto acho que isso já basta. Commented 18/01/2022 às 14:30

2 Respostas 2

2

Primeiro, existe uma grande diferença entre fazer H(mensagem || chave) e fazer H(chave || mensagem), a ordem dos fatores importam, já que as funções de hashes (do modelo Merkle–Damgard, especificamente) são basedas em blocos e então "comprimidas" e "combinadas" com o bloco anterior. Além disso, a hash utilizada também importa, já que o SHA-3 não possui as mesmas vulnerabilidades do SHA-2. Outros algoritmos, como o Blake2 (e Blake3) possuem recursos de keyed hashing, o que serve para o proposito de PRF (considerando que exigencias de um PRF é "maior" do que um MAC, então ele é válido como MAC).


Dessa forma, ao fazer H(chave || mensagem) você está exposto à Length Extension Attack, caso o H seja vulnerável à isto (não é aplicável no SHA-3 ou Blake2, por exemplo). Isso foi mencionado nos comentários. Isso permite forjar uma "assinatura" com uma mensagem modificada.

Se optar por fazer H(mensagem || chave) você pode estar mais exposto à um ataque de colisão, em relação ao HMAC, o que é melhor explicado aqui (em inglês). Mas, estará seguro contra o "Length Extension Attack", de modo geral. Considerando que a função H seja seguro contra colisão, então não haveria problemas em fazer isso. Esta é a sua construção atual. Mas, ainda continua menos segura do que o HMAC, já que o HMAC oferece maior resistencia à colisões, mesmo que o função de hash "se torne insegura". Este é o mesmo motivo que MD5(mensagem || chave) é inseguro em relação à HMAC-MD5(mensagem, chave).

Isto é num contexto geral, entretanto você menciona chave secreta seja compartilhada por ambas pontas. Nem sempre o H(mensagem || chave) é melhor, depende do proposito do no qual o MAC está sendo utilizado. Num cenário onde esteja criando alguma forma de "challenge–response", onde deseja garantir que uma pessoa não-confiável possua a informação da "mensagem", enviando uma chave aleátoria: essa construção permite forjar uma hash, apenas guardando o último bloco compactado da hash, ao invés de obrigatoriamente possuir toda a informação da mensagem. Novamente, isso é aplicável em hashes baseadas em Merkle–Damgard (SHA-2, por exemplo).


Em geral, acredito que seja melhor utilizar:

  • HMAC: Foi construido para tal função, possui maior resistencia à colisão (do que H(mensagem || chave)) e não há problemas de Lenght-Attack (como no H(chave || mensagem)).

    • HKDF: Caso queira expandir o resultado do HMAC.
  • SHA-3: A construção H(chave || mensagem) é segura, e foi feito para ser seguro contra os problemas já conhecidos do SHA-2.

  • Blake2B: O Blake2 não possui as vulnerabilidades do SHA-2, além de ser teoricamente mais rápido e ainda tem PRF/MAC (sessão 2.9) definido no próprio algoritmo.

    • Blake2X: Caso queira expandir um resultado do Blake2 em até 4GB.
2
  • Comentário: O Blake2 já foi aposentado pelo Blake3. Commented 19/01/2022 às 16:24
  • Eu mencionei o Blake3 no início. Mas, ainda não acredito que seja uma opção viável, dado que não há muitas implementações e a maioria da linguagens não oferecem Blake3 por padrão, enquanto oferecem Blake2 (o Golang é um deles, fora o RustCrypto ou Libsodium,). Não sei se “aposentado” é a palavra certa, já que não há nada de errado com o BLAKE e Blake2.
    – Inkeliz
    Commented 19/01/2022 às 16:32
-2

Mas e se eu fizer dessa forma?

Provavelmente não funcionará. Na sua mensagem você diz que pode usar HMAC. Mas não não diz o que mais você pode usar, e é provável que introduzir uma alteração inesperada fará sua comunicação falhar.

Agora queria saber: existe algum impacto notável na segurança da aplicação entre esses dois métodos de "assinar uma mensagem"? Qual é mais seguro?

Você não sabe. Eu não sei. Você não sabe o quanto eu sei e mesmo que soubesse, não teria como avaliar se isso é suficiente ou não. Essa é a resposta única para toda e qualquer pergunta do tipo "isso é seguro?"

Use apenas resultados de pesquisadores da área. Caso discorde, leia o parágrafo acima.

Qual devo evitar e por quê?

Em um protocolo de comunicação você deve usar exclusivamente o que o protocolo prevê.

2
  • Eu não entendi quase nada na sua resposta. Ela é pouco clara nos detalhes. O parceiro ali citou um exemplo prático sobre o ataque de extensão de tamanho, o que já propõe que o ideal é utilizar o hmac. Commented 18/01/2022 às 14:43
  • Use apenas resultados de pesquisadores da área. e quais são eles no contexto desta pergunta? Commented 18/01/2022 às 14:43

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .