ChaCha20-Poly1305 — это шифр AEAD, и для каждой операции шифрования требуется уникальный входной параметр nonce. RFC 7539 указывает, что зн…

ChaCha20-Poly1305 — это шифр AEAD, и для каждой операции шифрования требуется уникальный входной параметр nonce. RFC 7539 указывает, что значение nonce (IV) должно составлять 96 бит (12 байт). OpenSSL допускает переменную длину nonce и заполняет nonce спереди 0 байтами, если его длина меньше 12 байт. Однако он также некорректно разрешает установку nonce длиной до 16 байт. В этом случае значимыми являются только последние 12 байт, а все дополнительные начальные байты игнорируются. Требуется, чтобы значения nonce были уникальными при использовании этого шифра. Сообщения, зашифрованные с использованием повторно использованного значения nonce, подвержены серьезным атакам, нарушающим конфиденциальность и целостность. Если приложение изменяет длину nonce по умолчанию, чтобы она была больше 12 байт, а затем вносит изменение в начальные байты nonce, ожидая, что новое значение будет новым уникальным nonce, то такое приложение может непреднамеренно зашифровать сообщения с повторно использованным nonce. Кроме того, игнорируемые байты в длинном nonce не покрываются гарантией целостности этого шифра. Любое приложение, которое полагается на целостность этих игнорируемых начальных байтов длинного nonce, может быть дополнительно затронуто. Любое внутреннее использование этого шифра в OpenSSL, в том числе в SSL/TLS, безопасно, поскольку ни одно такое использование не устанавливает такое длинное значение nonce. Однако пользовательские приложения, которые используют этот шифр напрямую и устанавливают длину nonce, отличную от длины по умолчанию, больше 12 байт, могут быть уязвимы. Эта проблема затрагивает OpenSSL версий 1.1.1 и 1.1.0. Из-за ограниченной области затронутых развертываний это было оценено как низкая серьезность, и поэтому мы не создаем новые выпуски в настоящее время. Исправлено в OpenSSL 1.1.1c (затронуты версии 1.1.1-1.1.1b). Исправлено в OpenSSL 1.1.0k (затронуты версии 1.1.0-1.1.0j).