O que é um Nonce criptográfico?

No campo da criptografia, é importante que as coisas que deveriam ser secretas permaneçam secretas. Um problema enfrentado é a pré-computação. É aqui que um invasor pode gastar um poder de processamento considerável para determinar quais saídas uma combinação de entradas produz preventivamente. Com poder de processamento e tempo suficientes, você pode testar qual saída obtém com uma seleção de entradas especificadas e várias chaves de criptografia diferentes.

Você pode então verificar vastas faixas de transmissões criptografadas para ver se alguma de suas saídas conhecidas já surgiu e conhecer a mensagem e a chave usadas. Infelizmente, não há uma maneira real de evitar completamente esse cenário. É possível torná-lo muito mais difícil, no entanto.

Já é difícil adivinhar o conteúdo exato de uma mensagem e a chave de criptografia usada para criptografá-la. Embora as diferenças de um único caractere na mensagem tornem todo o esforço inútil, isso só é viável para mensagens curtas e simples. Caso contrário, há muitas variações possíveis de frases e palavras, e até mesmo o risco de erros de digitação e gírias. Mas mesmo esse risco da capacidade de adivinhar as coisas é alto demais. Para tornar as coisas ainda mais difíceis, a maioria dos esquemas de criptografia requer um terceiro valor chamado “vetor de inicialização”, ou IV para abreviar.

4

O IV é outro valor inserido no algoritmo de criptografia e descriptografia. É uma terceira variável para a equação, que por sua própria presença, aumenta enormemente a dificuldade de adivinhar corretamente as entradas necessárias para gerar uma saída específica. Curiosamente, o IV nem precisa ser secreto. O que precisa ser é único.

Todo o problema de evitar ataques de pré-computação é tornar ainda mais inviável adivinhar o conteúdo das mensagens. Para esse fim, você não pode simplesmente escolher um IV e ficar com ele; você deve mudá-lo. Além disso, usar um IV diferente a cada vez dificulta a criptoanálise dos textos cifrados resultantes. Para ter um valor exclusivo confiável, você deseja usar um “nonce”, especificamente um nonce criptográfico.

Um nonce criptográfico é um valor gerado por um PRNG criptograficamente seguro ou Pseudo Random Number Generator destinado a ser usado precisamente uma vez. Normalmente, isso é obtido incorporando alguma forma de carimbo de data/hora ao valor.

Dica: especialmente ao lidar com um falante nativo de inglês britânico, é essencial usar especificamente a frase “nonce criptográfico” em vez de apenas a palavra “once”. No Reino Unido, “once” é uma gíria para pedófilo. Em geral, para evitar qualquer confusão, é melhor usar o termo nonce criptográfico especificamente.

Outros usos

Embora a maioria dos casos de uso em potencial para valores exclusivos não precise necessariamente de um número aleatório criptograficamente seguro, um nonce criptográfico atende aos requisitos. Por exemplo, um ataque de repetição é um ataque baseado na Web em que um invasor envia repetidamente o mesmo tráfego, repetindo-o com frequência. Digamos que essa solicitação diga ao servidor para gastar tempo gerando um relatório. O invasor pode multiplicar a quantidade de trabalho necessária repetindo a solicitação várias vezes.

Freqüentemente, o invasor também pode modificar ligeiramente a solicitação de maneira automatizada. Por exemplo, se uma loja online usa números de produtos sequenciais na URL da página, o invasor pode automatizar o processo de solicitação de todos eles.

Para contornar isso, o servidor pode fornecer ao navegador um token de uso único a cada solicitação que ele fizer. O servidor rastreia os tokens usados ​​e elimina automaticamente o tráfego que não inclui um token válido e não utilizado. Nesse cenário, o token precisa ser exclusivo e não deve ser reutilizado. Assim, um nonce criptográfico se encaixa no projeto.

Conclusão

Um nonce criptográfico é um número aleatório criptograficamente seguro que deve ser usado apenas uma vez. Isso torna os ataques de pré-computação impossíveis, ao mesmo tempo em que não exige que o próprio nonce criptográfico permaneça secreto. Seu uso principal é como vetor de inicialização em esquemas de criptografia.

Muitas vezes, o termo significa “número usado UMA VEZ”; no entanto, esta é uma falsa etimologia. A palavra vem do inglês médio para significar algo usado uma vez ou temporariamente. No entanto, o conceito de “número usado uma vez” ajuda a explicar para que serve um nonce criptográfico. Para ajudar com esse objetivo, geralmente inclui alguma forma de registro de data e hora.