Was ist GCM?

Der Galois/Counter-Modus (GCM) ist ein authentifizierter Verschlüsselungsmodus, bei dem eine Blockverschlüsselung – fast immer AES – mit einem Galois-Feld-Hash kombiniert wird, um in einem einzigen Durchlauf sowohl den Chiffretext als auch ein Integritäts-Tag zu erzeugen. Er ersetzt den älteren Ansatz, bei dem Daten zunächst verschlüsselt und anschließend separat gehasht wurden, und ist mittlerweile der Standardmodus für IPsec, TLS und DTLS.

Die wichtigsten Erkenntnisse

• GCM verschlüsselt und authentifiziert Daten in einem einzigen kryptografischen Durchlauf.
• Es kombiniert eine Blockverschlüsselung, in der Regel AES, mit einer GHASH-Authentifizierung.
• GCM benötigt für jede Operation einen eindeutigen Nonce; die Wiederverwendung eines Nonce beeinträchtigt die Sicherheit.
• Hardwarebeschleunigtes GCM ist schneller als CBC in Kombination mit einem separaten Hash.
• VersaDie IPsec-, TLS- und DTLS-Transformationen bieten alle AES-GCM-Verschlüsselungsalgorithmen an.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Bestandteile des GCM · GCM & Versa · Häufig gestellte Fragen

Warum ist GCM wichtig?

Jeder verschlüsselte Tunnel erfordert zwei Garantien: dass ein Lauscher die Daten nicht lesen kann und dass ein Angreifer sie während der Übertragung nicht unbemerkt verändern kann. Ältere Entwürfe erfüllten beide Ziele in zwei getrennten Schritten – erst verschlüsseln, dann einen Hash über das Ergebnis berechnen –, was den kryptografischen Aufwand verdoppelt und den Implementierern mehr Möglichkeiten bietet, bei der Kombination Fehler zu machen. GCM fasst beide Schritte in einem Algorithmus zusammen, sodass Vertraulichkeit und Integrität aus einer einzigen, genau spezifizierten Operation resultieren statt aus einer manuell zusammengestellten Kombination.

Diese Effizienz ist gerade bei großem Umfang von entscheidender Bedeutung. Moderne CPUs verfügen über spezielle Befehle sowohl für AES als auch für die übertragungsfreie Multiplikation, auf der der Authentifizierungsschritt von GCM basiert, sodass AES-GCM auf fast aller aktuellen Hardware schneller läuft als AES-CBC mit Hash. Diese Kombination aus stärkeren Sicherheitsgarantien und geringeren Kosten ist der Grund, warum die IETF-Spezifikationen für IPsec, TLS 1.2/1.3 und DTLS AES-GCM durchweg als empfohlene oder Standard-Verschlüsselungsmethode nennen und warum es CBC-basierte Transformationen in neuen Implementierungen branchenweit verdrängt hat, darunter auch bei Versa.

Was ist GCM?

GCM baut auf dem Zählermodus (CTR) auf: Eine Blockverschlüsselung verschlüsselt eine Folge von Zählerwerten, um einen Schlüsselstrom zu erzeugen, der mit dem Klartext XOR-verknüpft wird, um den Chiffretext zu erzeugen – dieselbe Konstruktion, die AES zu einer schnellen Stromverschlüsselung macht. GCM fügt darüber eine Authentifizierungsebene namens GHASH hinzu, die den Chiffretext (und etwaige zusätzliche unverschlüsselte Header-Daten) durch Multiplikation in einem Galois-Feld verarbeitet, um ein Authentifizierungs-Tag fester Größe zu erzeugen, typischerweise 128 Bit.

Da beide Vorgänge über unabhängige, parallelisierbare Blöcke ablaufen, verarbeitet GCM Daten wesentlich schneller als Verfahren, bei denen die Verschlüsselung abgeschlossen sein muss, bevor die Authentifizierung beginnen kann. Der Nachteil sind strenge Eingabeanforderungen: Jeder Verschlüsselungsvorgang benötigt unter einem bestimmten Schlüssel einen eindeutigen Nonce (Initialisierungsvektor). Die Wiederverwendung eines Nonce bei GCM schwächt nicht nur die Sicherheit schrittweise – sie kann auch den Authentifizierungsschlüssel offenlegen und es einem Angreifer ermöglichen, gültigen Chiffretext zu fälschen. Aus diesem Grund schreiben Protokolle, die GCM verwenden, eine sorgfältige Nonce-Konstruktion vor, bei der häufig eine feste Absenderkennung mit einem streng inkrementierenden Zähler kombiniert wird.

Bestandteile des GCM

GCM ist eher eine Familie verwandter Konfigurationen als ein einziger fester Algorithmus. Die Tag-Länge ist die wichtigste Variable: 128 Bit sind die Standardwahl und bieten die höchste Sicherheit; die zugrunde liegende Spezifikation definiert jedoch auch kürzere, gekürzte Tags für Verbindungen mit begrenzter Bandbreite, was allerdings auf Kosten einer schwächeren Fälschungssicherheit geht. GMAC ist das rein auf Authentifizierung ausgerichtete Pendant zu GCM – es führt denselben GHASH-Schritt durch, ohne etwas zu verschlüsseln. Dies ist nützlich zum Schutz von Daten, die im Klartext bleiben müssen, aber dennoch einer Integritätsprüfung bedürfen, wie beispielsweise Paket-Header.

Zugrundeliegende Verschlüsselung ist die andere Variable: GCM ist ein generischer Modus, der jede 128-Bit-Blockverschlüsselung einbinden kann, in der Praxis wird er jedoch fast ausschließlich mit AES eingesetzt, da erst die AES-NI-Hardwarebeschleunigung den Leistungsvorteil von GCM zum Tragen bringt. Diese Kombination wird als AES-GCM bezeichnet und zusätzlich durch die Schlüsselgröße – AES-128-GCM oder AES-256-GCM – sowie, in den Namen der Verschlüsselungssuiten, durch den Hash-Algorithmus spezifiziert, der für die Schlüsselableitung des Handshakes verwendet wird, wie in AES-256-GCM-SHA384.

GCM & Versa

GCM wird überall dort angezeigt, wo der Secure Access Service von „ Versa“ die Tunnelkryptografie konfiguriert. In den IKE/IPsec-Einstellungen für einen Secure Access Server oder ein „ SASE “-Clientprofil bietet die IPsec (ESP)-Transformationsliste „ESP mit AES-128-Bit-Verschlüsselung und GCM-Hash“ sowie „ESP mit AES-256-Bit-Verschlüsselung und GCM-Hash“ als einzeln benannte Transformationen an – im Gegensatz zu den CBC-Optionen, bei denen ein Verschlüsselungsalgorithmus und ein Hash-Algorithmus separat kombiniert werden, sind bei GCM beide bereits gebündelt.

GCM ist außerdem in den TLS- und DTLS-Verschlüsselungssuiten-Listen verankert, die für sichere Zugangsportale und SASE -Client-Sitzungen angeboten werden, wie beispielsweise TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384 und TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256. Diese Optionen gelten einheitlich für „ Secure SD-WAN “, den allgemeinen sicheren Zugriff und Bereitstellungen mit NGFW als Frontend. Sofern ein Peer dies unterstützt, ist AES-GCM die bevorzugte IPsec-, TLS- und DTLS-Transformation gegenüber einer Kombination aus AES-CBC und Hash, da dadurch der separate Hash-Schritt entfällt und auf moderner Hardware eine bessere Leistung erzielt wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen GCM und CBC?

CBC verschlüsselt Daten, benötigt jedoch einen separaten Hash-Wert, wie beispielsweise SHA, zur Integritätsprüfung – dabei werden die Daten zweimal durchlaufen. GCM führt Verschlüsselung und Integritätsprüfung gemeinsam in einem Durchgang durch, was auf moderner Hardware schneller ist und mittlerweile der bevorzugte Modus für neue IPsec-, TLS- und DTLS-Implementierungen ist.

Warum benötigt GCM für jeden Vorgang einen eindeutigen Nonce-Wert?

Der Sicherheitsnachweis von GCM geht davon aus, dass die von ihm generierte Zählsequenz unter demselben Schlüssel niemals wiederverwendet wird. Die Wiederverwendung einer Nonce ermöglicht es einem Angreifer, den Authentifizierungsschlüssel zu ermitteln und gültigen Chiffretext zu fälschen. Daher müssen Implementierungen Nonces sorgfältig bilden, in der Regel aus einem festen Wert und einem streng inkrementierenden Zähler.

Was ist GMAC?

GMAC ist die reine Authentifizierungsvariante von GCM. Es führt denselben GHASH-Schritt aus, der auch das Integritäts-Tag von GCM erzeugt, jedoch ohne die damit verbundene Verschlüsselung. So können Daten authentifiziert werden, die lesbar bleiben müssen, wie beispielsweise unverschlüsselte Paket-Header neben einer verschlüsselten Nutzlast.

Ist GCM schneller als CBC mit einem separaten Hash?

Im Allgemeinen ja. Sowohl die Counter-Mode-Verschlüsselung als auch die GHASH-Authentifizierung von GCM verarbeiten unabhängige Blöcke parallel, und moderne CPUs beschleunigen beide Vorgänge auf Hardwareebene. CBC-plus-Hash erfordert zwei aufeinanderfolgende Durchläufe durch die Daten, sodass GCM auf derselben Hardware in der Regel einen höheren Durchsatz erzielt.

Was bedeutet „AES-256-GCM“?

Es wird eine bestimmte Transformation festgelegt: AES als Blockchiffre, ein 256-Bit-Schlüssel und GCM als Betriebsmodus, der sowohl Verschlüsselung als auch Integrität gewährleistet. Es handelt sich um eine der stärksten und am weitesten verbreiteten Optionen für IPsec, TLS und DTLS und ist direkt in den ESP- und Chiffre-Suite-Listen von Versaaufgeführt.

Mehr zu GCM

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über GCM informieren, sollten Sie sich als Nächstes diese Artikel ansehen.