Este AES GCM cu PBKDF2 100k iterații încă ok din 2022?

Utilizarea AES GCM cu PBKDF2 și 100 000 de iterații este încă considerată sigură din 2022?

În modelul nostru de amenințare, dacă ignorăm riscurile legate de calculul cuantic, este acest lucru sigur?

Iată un exemplu de implementare Python de lucru:

import Crypto.Random, Crypto.Protocol.KDF, Crypto.Cipher.AES
text clar = b"bună lume bună lume bună lume bună lume bună lume lume bună"
parola = b"capsă corectă a bateriei calului"
nonce = Crypto.Random.new().read(16)
cheie = Crypto.Protocol.KDF.PBKDF2(parolă, nonce, număr=100000)
cipher = Crypto.Cipher.AES.new(cheie, Crypto.Cipher.AES.MODE_GCM, nonce=nonce, mac_len=16)
ciphertext = (nonce,) + cipher.encrypt_and_digest(plaintext) # nonce | text cifrat | etichetă
print(text cifrat)

Notă: folosind același lucru nonce pentru PBKDF2 și AES.nou(...) pare să nu fie o problemă dacă nu reutilizam niciodată acest lucru nonce pentru criptări viitoare, vezi Reutilizarea sării PBKDF2 pentru AES/GCM ca IV: periculoasă?

Depinde în întregime de cât de puternică este parola. 100.000 de runde de PBKDF2 pentru o parolă cu un hash dat adaugă echivalentul $\log_2(100000) \aproximativ 16,6 $ biți de entropie în comparație cu o singură rundă din acel hash. Dacă parola în sine este deja foarte puternică, atunci nici măcar nu o faci nevoie PBKDF2. Singurul scop al unui KDF lent este de a îmbunătăți securitatea parolelor cu putere marginală. Dacă parola dvs. are doar, să zicem, 64 de biți de entropie, atunci 1000.000 de iterații ar fi probabil să nu fie la îndemâna unui atacator cu \$1 milion de active, deoarece 64 + 16,6 = 80,6 biți, ceea ce ar costa probabil mai mult de \ 1 milion de dolari de spart.

Este mai bine să utilizați un KDF cu memorie. Acest lucru nu se datorează faptului că PBKDF2 este stricat în sine, dar se datorează faptului că un atacator poate extinde mai ușor un atac datorită hashing-ului care se pretează la paralelism extrem.