一、AEAD 基础原理
1.1 定义与核心特
AEAD(Authenticated Encryption with Associated Data) 是一种同时提供机密性、完整性和认证性的加密技术，能够在单一算法中处理数据加密和验证，解决了传统加密与认证分离方案的安全隐患。其核心特性包括如下几点:
- 机密性:保护明文不被未授权方读取
- 完整性:确保数据传输中未被篡改
- 认证性:验证数据来源真实性
- 关联数据保护:对不加密但需认证的元数据提供完整性保证
1.2 工作流程
AEAD 加密:
C, T = AEAD.Encrypt(K, N, M, A)- K:密钥 (128/256 位)
- N:随机数 (nonce, 12 字节，每个记录唯一)
- M:明文数据
- A:关联数据 (如协议头，不加密但需认证)
- C:密文
- T:认证标签 (Tag）
AEAD 解密验证:
M = AEAD.Decrypt(K, N, C, A, T)- 验证失败返回错误 (防止伪造)
1.3 安全模型与设计优势
与传统方案对比:
| 方案 | 实现方式 | 安全风险 |
|---|---|---|
| MAC-then-Encrypt | 先计算 MAC 再加密 | 存在填充 oracle 攻击https://ctf-wiki.org/crypto/blockcipher/mode/padding-oracle-attack/ |
| Encrypt-then-MAC | 先加密再计算 MAC | 无法防止重放攻击 |
| AEAD | 一体化加密 + 认证 | 抗自适应选择密文攻击 (IND-CCMA) |
AEAD 优势:
- 单步操作完成加密和认证，减少计算开销
- 内置防止重放攻击机制 (通过 nonce 唯一性)
- 简化密码库实现，降低集成复杂度
- 对关联数据提供额外保护 (如 HTTP 请求头)
二、主流 AEAD 算法详解
2.1 AES-GCM 算法
全称:Galois/Counter Mode, 基于 AES 的认证加密模式
核心结构:
- 加密:使用 AES-CTR (计数器模式) 生成密钥流与明文异或
- 认证:使用 GMAC (Galois Message Authentication Code) 生成认证标签
数学原理:
- CTR 模式:
C = M XOR AES(K, N || counter) - GMAC: 使用 Galois 域乘法高效计算认证码，支持并行处理
特性:
- 支持硬件加速 (Intel AES-NI 指令集), 性能极高
- 每个分组独立处理，适合并行计算
- 要求 nonce 绝对唯一，重复使用导致完全破密
2.2 ChaCha20-Poly1305 算法
全称:ChaCha20 流密码 + Poly1305 消息认证码组合
核心结构:
- ChaCha20:基于字节的流密码，生成伪随机密钥流
- Poly1305:基于多项式的消息认证码，提供完整性保护
数学原理:
- ChaCha20: 使用 20 轮 Feistel 网络生成密钥流
- Poly1305: 计算
(m × R + S) mod p生成认证标签，其中 R 为密钥派生值，S 为消息哈希
特性:
- 无依赖操作，适合移动端和无硬件加速环境
- 对缓存不友好的平台性能优于 AES
- 256 位密钥提供更强安全性
2.3 算法对比
| 特性 | AES-GCM | ChaCha20-Poly1305 |
|---|---|---|
| 基础算法 | AES (分组密码) | ChaCha20 (流密码) |
| 硬件加速 | 支持 (Intel AES-NI) | 不支持 (纯软件实现) |
| 性能优势 | 服务器 / 桌面 (有 AES-NI) | 移动端 / 嵌入式设备 |
| 适用场景 | 高吞吐量服务器应用 | 移动应用、低功耗设备 |
| 安全性 | 128/256 位密钥强度 | 256 位密钥强度 |
| nonce 要求 | 12 字节，严格唯一 | 12 字节 (或 XChaCha20 的 24 字节) |
| 专利状态 | 已进入公共领域 | Google 开发，免费使用 |
三、TLS1.3 中的 AEAD 应用
3.1 TLS1.3 概述
TLS 1.3(RFC 8446, 2018 年发布) 是传输层安全协议最新版本，其核心改进包括:
- 强制使用 AEAD 加密算法
- 简化握手流程 (减少 RTT)
- 增强安全性 (移除不安全算法)
- 优化密钥管理 (使用 HKDF)
3.2 TLS1.3 中的 AEAD 实现
强制使用 AEAD 的意义:
- 取代 TLS 1.2 中分离的加密 + MAC 方案
- 提供端到端的机密性和完整性保护
- 简化协议设计，减少安全漏洞点
TLS 1.3 支持的 AEAD 套件:
| 套件名称 | AEAD 算法 | 哈希函数 | 推荐场景 |
|---|---|---|---|
| TLS_AES_128_GCM_SHA256 | AES-128-GCM | SHA-256 | 通用场景 (推荐) |
| TLS_AES_256_GCM_SHA384 | AES-256-GCM | SHA-384 | 高安全性需求 |
| TLS_CHACHA20_POLY1305_SHA256 | ChaCha20-Poly1305 | SHA-256 | 移动端 / 无 AES-NI 环境 |
注:TLS 1.3 仅支持这三种 AEAD 套件，移除所有非 AEAD 加密模式
TLS 1.3 配置推荐:
# 推荐加密套件顺序(按安全性排序) ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256';选择建议:
- 服务器环境: 优先使用 AES-GCM (利用硬件加速)
- 移动 / 嵌入式设备: 优先使用 ChaCha20-Poly1305 (无硬件加速下性能更好)
- 安全审计: 定期检查 AEAD 实现是否存在 nonce 重用漏洞
四、参考文献
- RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3
- RFC 5116: An Interface and Algorithms for Authenticated Encryption
- NIST SP 800-38D: Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC
- RFC 8439: ChaCha20 and Poly1305 for IETF Protocols
- RFC 8447: IANA Registry Updates for TLS and DTLS
- "The Security Impact of a New Cryptographic Library"- Daniel J. Bernstein
- "AES-GCM-SIV: Specification and Analysis"- Shay Gueron, Adam Langley, Yehuda Lindell
- NIST Lightweight Cryptography Project: https://csrc.nist.gov/projects/lightweight-cryptography
