GCM (kryptografie)

GCM (zkratka z anglického Galois/Counter Mode, doslova „Galoisovský/čítačový režim“) je provozní režim blokových šifer, který při použití libovolné blokové šifry (s délkou bloku 128 bitů) zároveň zajišťuje i autentizaci a je tak jedním z příkladů autentizovaného šifrování. Režim kombinuje myšlenku jednoduchého čítačového režimu (CTR) s autentizací násobením v konečném (Galoisově) tělese, od čehož je i odvozeno jeho jméno.

Myšlenku představili John Viega a David A. McGrew v roce 2004 na konferenci Indocrypt.^[1] Jedná se o pokračovatele režimu CWC, který je rovněž nekrytý patenty, ale hůře efektivně implementovatelný v hardwaru.

Režim GCM počítá s blokovou šifrou – typickým příkladem je AES s délkou bloku 128, ale GCM je navržen tak, aby fungoval i s jinými délkami bloku o velikosti alespoň 64 bitů. Podobně jako čítačový režim fakticky využívá danou blokovou šifru po způsobu proudových šifer: otevřený text je postupně xorován s blokově šifrovanými hodnotami zvyšovaného čítače. Pro dosažení bezpečnosti je tedy zapotřebí volit čítač vždy jinak, aby nedošlo v rámci různých zpráv k odhadnutelnému překryvu bloků šifrovaných čítačů.

Zároveň a paralelně k šifrování může probíhat i vytváření autentizačních dat. Ta mají (zhruba) podobu násobku všech jednotlivých šifrových bloků počítaného v konečném tělese GF(2¹²⁸) daném mnohočlenem

${\displaystyle x^{128}+x^{7}+x^{2}+x+1}$

který je dále pronásoben autentizačními daty a nakonec proxorován šifrovým blokem vytvořeným z úvodní hodnoty čítače. Podrobnější specifikace autentizační funkce je ve skutečnosti ale složitější, protože režim GCM nevyžaduje data zarovnaná na velikost bloku nějakým dřívějším výplňovým algoritmem, ale přímo ve své specifikaci zahrnuje i řešení nezarovnaného vstupu.

V roce 2007 byl režim GCM standardizován Národním institutem standardů a technologie.^[2] Dále jej podporují například standardy IEEE 802.1AE, IEEE 802.11ad, IEEE P1619, IPsec^[3][4], Secure Shell^[5] a TLS (od verze 1.2).^[6]

Na některých počítačových platformách byly pro rychlejší výpočet násobení v režimu GCM zavedeny nové instrukce bezpřenosového násobení. Příkladem je instrukční sada CLMUL na architektuře x86, která se poprvé objevuje v procesorech prodávaných v roce 2010, nebo instrukce XMULX a XMULXHI přidané v roce 2011 do platformy SPARC.

V tomto článku byly použity překlady textů z článků Galois/Counter Mode na anglické Wikipedii a Galois/Counter Mode na německé Wikipedii.

• DWORKIN, Morris. Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC [online]. 2007. 2007. Dostupné online. (anglicky)