Symmetrisk kryptering

Symmetriske ciffre findes i to former. Blokciffre som AES (Rijndael, standardiseret i FIPS 197 i 2001) omdanner faste blokke på 128 bit under en nøgle på 128, 192 eller 256 bit i 10, 12 eller 14 runder; stream-ciffre som ChaCha20 genererer en nøglestrøm, der XOR'es med klarteksten. Et blokciffer alene er kun en nøglet permutation. Det, der faktisk bruges, er en driftsform (mode of operation, NIST SP 800-38-serien), og den afgør det meste af sikkerheden. ECB krypterer ens blokke til ens chiffertekst og lækker struktur; CBC kræver en uforudsigelig IV og er uden integritetsbeskyttelse udsat for padding oracle-angreb (Vaudenay 2002, senere POODLE og Lucky Thirteen i TLS); CTR gør blokcifret til et stream-ciffer.

Moderne praksis er autentificeret kryptering med tilknyttede data (AEAD), som giver fortrolighed og integritet i én primitiv: AES-GCM (SP 800-38D), ChaCha20-Poly1305 (RFC 8439) og AES-CCM. TLS 1.3 tillader kun AEAD-suiter. AEAD flytter det kritiske krav over på noncen: genbruges en 96-bit nonce under samme nøgle i GCM, afsløres XOR af klarteksterne, og angriberen kan udlede autentificeringsnøglen og forfalske beskeder. SP 800-38D begrænser derfor GCM med tilfældige nonces til 2^32 kald pr. nøgle, og nonce-misuse-resistente driftsformer som AES-GCM-SIV (RFC 8452) findes til situationer, hvor unikhed ikke kan garanteres. Encrypt-then-MAC er den sikre generiske kombination, når der skal bruges en separat MAC.

Diskkryptering er et særtilfælde, fordi der ikke er plads til nonce eller tag i en sektor på 512 eller 4096 byte: XTS-AES (SP 800-38E, IEEE 1619), som bruges af BitLocker, FileVault og LUKS, giver fortrolighed pr. sektor, men ingen autentificering, så en angriber med skriveadgang kan ødelægge data uden at blive opdaget. Blokstørrelsen betyder også noget: blokciffre på 64 bit som 3DES og Blowfish er sårbare over for angreb ved fødselsdagsgrænsen efter omkring 32 GB under én nøgle (Sweet32, 2016), og NIST SP 800-131A Rev. 2 forbød 3DES-kryptering efter 2023. DES' 56-bit nøgle blev brudt med brute force af EFF's specialbyggede maskine i 1998.

Nøglelængde over for kvantecomputere bliver ofte overdrevet: Grovers algoritme giver højst en kvadratisk hastighedsforøgelse, så AES-128 reduceres til ca. 64 bits sikkerhed i en idealiseret model, der ser bort fra de enorme omkostninger ved at køre den, og AES-256 er det konservative valg til data med lang levetid. De reelle svagheder ved symmetrisk kryptering ligger næsten aldrig i selve cifret, men i nøgledistribution, håndtering af nonces, manglende autentificering og sidekanaler i softwareimplementeringer, og derfor betyder hardwareinstruktioner som AES-NI og biblioteker med konstant køretid noget. Symmetrisk kryptering adskiller sig fra hashing (ingen nøgle, kan ikke vendes om) og fra asymmetrisk kryptografi, som typisk kun bruges til at etablere den symmetriske nøgle, der derefter beskytter data.