AES-256-GCM e 600.000 iterações de PBKDF2, explicados

As listas de recursos dos cofres de fotos estão cheias de números: AES-256, GCM, 600.000 iterações, PBKDF2. Eles são apresentados como se encerrassem a questão, e a maioria dos leitores, com razão, pula essa parte. Vale gastar dez minutos com eles. Saber o que cada um faz permite separar uma afirmação específica de uma que só soa impressionante. Esta página explica cada termo em palavras simples. Depois, na seção 8, mostra contra o que a criptografia não protege. Essa segunda parte é a que muda decisões.

1. A versão curta

2. O que é o AES-256

AES significa Advanced Encryption Standard (padrão avançado de criptografia). É um método de criptografia publicado pelo National Institute of Standards and Technology dos EUA em 2001, depois de um concurso público que durou vários anos. Não é secreto e não pertence a ninguém. O algoritmo é público. Especialistas de universidades e da indústria o estudam há mais de vinte anos e não encontraram nenhuma forma prática de quebrar o método completo.

O 256 é o tamanho da chave em bits. Testar todas as chaves possíveis desse tamanho significa percorrer 2 elevado a 256 possibilidades. Não é questão de esperar computadores mais rápidos. Está muito além de qualquer coisa que computadores comuns poderiam alcançar. Na prática, é por isso que o próprio método quase nunca é a parte que falha.

É exatamente por isso que “usamos AES-256” diz menos do que parece. É quase o mínimo. As perguntas interessantes são o que é criptografado, como o método é usado e como a chave é gerada.

3. O que o GCM acrescenta

A criptografia sozinha mantém os dados em segredo: sem a chave, eles não podem ser lidos. Sozinha, ela não promete que os dados estão intactos. Ela não consegue dizer que o que você está abrindo é o que foi guardado.

Essa lacuna é real. Com um método que não verifica, alguém que consiga mudar o arquivo armazenado pode alterar os dados embaralhados. Abrir o arquivo produziria dados diferentes, errados, sem nenhuma mensagem de erro. Você recebe dados de volta. Só não são os dados que foram guardados, e nada avisa você.

O GCM acrescenta a verificação. Junto com os dados embaralhados, ele produz um valor de verificação, e esse valor é conferido toda vez que os dados são abertos. Do nosso próprio documento de segurança:

Essa é a coisa mais útil a procurar numa lista de recursos, porque é onde a precisão aparece. “AES-256” cita um método. “AES-256-GCM” cita um método e um modo de usá-lo, e é aí que a verificação contra adulteração existe ou não.

4. Nonces, e o erro clássico

Toda criptografia num sistema GCM usa um nonce, que significa um número usado uma única vez. Ele não precisa ser secreto. Precisa ser único para uma determinada chave.

Repita um nonce com a mesma chave e a proteção do GCM se desfaz gravemente. Não é um caso extremo e raro. É a forma mais comum de sistemas reais que usam GCM terem sido quebrados, e ela vem de atalhos na forma como foram construídos, não de alguma fraqueza do AES.

Há duas formas sólidas de garantir que ele nunca se repita. Uma é um número aleatório novo a cada criptografia. É o que o Obscura Photo Vault faz para arquivos únicos: um novo número aleatório de 96 bits a cada vez, com um valor de verificação de 128 bits. A outra é um contador que comprovadamente nunca se repete. É o que o nosso formato para vídeos grandes usa. Ele combina um número aleatório escolhido por arquivo com o número do pedaço, então nenhum par de pedaços, em nenhum arquivo, compartilha um nonce.

Nenhuma das duas abordagens é mais correta que a outra. O que importa é que o app escolheu uma de propósito. Esse é o tipo de coisa que um documento técnico publicado mostra e uma lista de recursos não consegue mostrar.

5. A sua senha é o elo fraco

Uma chave de 256 bits tem 256 bits de aleatoriedade. A sua senha não. Mesmo uma boa frase-senha tem talvez 60 a 80 bits, e uma senha típica muito menos. Se a senha fosse usada diretamente como chave, o tamanho enorme da chave não importaria. Um atacante tentaria adivinhar senhas, não chaves.

O processo que transforma uma senha numa chave é a ponte. O PBKDF2 pega a senha e um salt e os passa por uma função de embaralhamento repetidamente, um número fixo de vezes, para gerar uma chave. O objetivo da repetição é o custo. Você gera a chave uma vez por desbloqueio e mal percebe o segundo que isso leva. Um atacante testando milhões de tentativas paga esse custo em cada uma delas.

Esse é o número a procurar, e o que mais costuma ficar de fora. Um app pode dizer com verdade que usa AES-256 e, ao mesmo tempo, transformar a sua senha numa chave em um único passo. Isso o deixaria exposto exatamente ao ataque de adivinhação offline que esse processo existe para impedir.

6. Por que 600.000

O número não é aleatório, e não é nosso. O OWASP Password Storage Cheat Sheet é a referência pública mais usada para isso. Ele recomenda PBKDF2 com HMAC-SHA-256 com 600.000 iterações ou mais. É o número que o Obscura Photo Vault usa para as senhas dos cofres.

Duas ressalvas honestas acompanham esse número.

É um alvo móvel. O número recomendado de iterações sobe à medida que o hardware fica mais rápido. O número atual vem de testes com as placas de vídeo de hoje. Um número que servia alguns anos atrás não serve agora, e o de hoje não vai servir para sempre. Trate um número de iterações publicado como uma afirmação com data.

Ele multiplica a sua senha. Não a substitui. As iterações tornam cada tentativa muito mais cara. Elas não mudam quantas tentativas são necessárias. Uma senha escolhida num conjunto pequeno de opções continua fraca depois de 600.000 iterações, porque um atacante só precisa percorrer esse conjunto pequeno. O processo ganha tempo na proporção do quanto a sua senha já era difícil de adivinhar.

Então o conselho prático para qualquer cofre com criptografia é sem graça e correto: use uma frase-senha longa, com palavras sem relação entre si, e anote-a num lugar seguro. Num app em que a chave é de fato gerada a partir da sua senha, essa cópia anotada é a única cópia que existe. Esse é o assunto do nosso guia sobre o que acontece se você esquecer a senha do cofre.

7. Salts

Um salt são dados aleatórios misturados com a senha antes que ela vire uma chave. Ele fica guardado ao lado dos dados criptografados. Não é secreto, e não precisa ser.

A função dele é impedir que atacantes se preparem com antecedência. Sem salts, um atacante poderia calcular as chaves de uma lista de senhas comuns uma vez e depois reaproveitar essa lista contra todos os usuários de um app. Com um salt aleatório e único por cofre, esse trabalho precisa ser refeito do zero para cada alvo. O esforço compartilhado entre usuários deixa de ser possível.

O Obscura Photo Vault usa um salt aleatório de 32 bytes por cofre, guardado no cabeçalho do próprio arquivo do cofre.

8. Contra o que nada disso protege

Tudo o que está acima trata de dados em repouso: arquivos parados no armazenamento, sem uso. Essa é uma proteção real e útil. Também é limitada. A seção 11 do nosso documento de segurança lista o que fica fora dela. Em palavras simples:

• Um celular comprometido enquanto o cofre está aberto. Para mostrar uma foto, o app precisa desembaralhá-la. Então a chave e a foto legível ficam na memória. Qualquer coisa rodando dentro do app nesse momento consegue alcançar as duas. Nenhuma criptografia no nível do app resolve um celular comprometido.
• Qualquer pessoa que tenha a sua senha. A criptografia não consegue distinguir você de alguém que viu você digitar, ou a quem a senha foi contada.
• Capturas de tela, gravação de tela e alguém olhando por cima do ombro. O que está na tela já foi desembaralhado. Isso está fora do que a criptografia cobre.
• Cópias que você fez em outros lugares. O original ainda no rolo da câmera, a versão que você mandou numa mensagem, o backup na nuvem feito antes de você mover a foto. Criptografar uma cópia não faz nada com as outras.
• O fato de o app existir. A criptografia esconde o conteúdo. Não esconde que existe algo a esconder.

O motivo de dizer tudo isso numa página que, fora isso, fala de como as peças são boas: numa falha real, o método de criptografia quase nunca é o que deu errado. Normalmente é um dos cinco pontos acima.

9. Sobre “nível militar”

A expressão não tem significado técnico. Normalmente se refere ao AES, que é um padrão público que qualquer um pode usar e não é exclusivo dos militares. Todos os grandes sistemas operacionais, navegadores e apps de mensagens o usam.

O problema não é que a expressão seja falsa. É que ela não promete nada. Não cita método, nem modo de uso, nem tamanho de chave, nem processo para transformar uma senha numa chave. Então um app que criptografa todos os arquivos pode usá-la com verdade, e um que criptografa só os ajustes também.

Isso não é uma reclamação sobre a expressão em si. Uma página pode usá-la e ainda assim dizer algo a você. O que torna uma afirmação útil para quem quer conferi-la é o que vem depois: o método, o modo, o processo da chave, o número de iterações e o que está coberto. Uma descrição que para na expressão não prometeu nada. Uma que continua e cita essas coisas pode ser conferida, seja qual for a frase de abertura.

10. Perguntas frequentes

O que significa AES-256-GCM?

AES é um método de criptografia publicado. AES-256 é a versão com chave de 256 bits. GCM é um modo de usá-lo que também verifica se os dados não foram adulterados. Essa verificação é a parte que mais importa no dia a dia. Um arquivo que foi alterado não abre, em vez de abrir silenciosamente com dados errados.

Qual a diferença entre AES-256 e AES-256-GCM?

O segundo diz como o método é usado, não só qual é o método. O GCM acrescenta uma verificação contra adulteração, então dados alterados são detectados quando você os abre, em vez de voltarem errados sem aviso.

Por que apps de cofre de fotos usam 600.000 iterações de PBKDF2?

Uma senha é curta e pode ser adivinhada. Uma chave de criptografia não. Então a senha precisa ser transformada em chave por um processo lento de propósito. Cada iteração acrescenta trabalho a cada tentativa de um atacante. 600.000 iterações é o número que o OWASP Password Storage Cheat Sheet recomenda para esse método, PBKDF2 com HMAC-SHA-256.

A criptografia AES-256 é segura?

O AES-256 é um padrão público. Especialistas o estudam há mais de vinte anos e não encontraram nenhuma forma prática de quebrar o método completo. Em apps reais, o método raramente é o ponto fraco. Um erro na forma de usá-lo, uma senha fácil de adivinhar ou alguém com acesso ao celular desbloqueado são problemas mais prováveis.

O AES-256 é melhor que o AES-128?

A chave maior dá mais margem. Os dois são considerados seguros contra testar todas as chaves com os métodos e o hardware de hoje. Na prática, é muito improvável que a escolha entre eles decida se um app resiste ou não.

O que significa “criptografia de nível militar”?

Não tem significado técnico. Normalmente se refere ao AES, que é um padrão público que qualquer um pode usar e não é exclusivo dos militares. Como a expressão não cita método, modo nem tamanho de chave, um app que criptografa tudo pode usá-la, e um que não criptografa quase nada também.

Computadores quânticos conseguem quebrar o AES-256?

O atalho quântico conhecido, o algoritmo de Grover, reduz mais ou menos à metade a força de uma chave como esta. Para uma chave de 256 bits, isso ainda deixa uma margem muito grande. Esse é um dos motivos pelos quais chaves de 256 bits são vistas como uma escolha sensata a longo prazo. O tipo de criptografia usado para trocar chaves pela internet tem um problema quântico muito maior que o AES.

600.000 iterações deixam o desbloqueio lento?

Leva cerca de um segundo num iPhone moderno, uma vez por desbloqueio. Esse desequilíbrio é o objetivo: quase imperceptível feito uma vez, devastador feito milhões de vezes.

Mais iterações significam que posso usar uma senha mais fraca?

Não, e esse é o mal-entendido mais comum. Mais iterações tornam cada tentativa mais cara. Elas não reduzem quantas tentativas uma senha fraca exige. Uma senha curta continua fraca.