Quelltext der Seite XTS-AES

'''XTS-AES''' ist ein [[Betriebsmodus (Kryptographie)|Betriebsmodus]] für [[Blockchiffre]] für den Einsatzzweck der [[Festplattenverschlüsselung]]. Er wurde im Jahr 2008 von der [[Institute of Electrical and Electronics Engineers|IEEE]] als IEEE-[[Standard]] 1619 veröffentlicht.<ref name="IEEE1619-2007" /><ref name="IEEE1619-2018" />

Je nach Quelle steht XTS für „XEX Tweakable Block Cipher with Ciphertext Stealing“<ref name="NIST800-38E" />, „XEX encryption mode with tweak and ciphertext stealing“<ref name="IEEE1619-2007" /> oder „XEX-based tweaked-codebook mode with ciphertext stealing“<ref name="Ball2012" />, und AES steht für die Blockchiffre [[Advanced Encryption Standard]].

== Konzept ==
XTS-AES basiert auf dem von [[Phillip Rogaway]] eingeführten XEX-Modus ([[XOR-Gatter|XOR]]-Encrypt-XOR).<ref name="Rogaway2004" /> Dieser verwendet einen [[Blockverschlüsselung#Kryptographische Betriebsmodi|Tweak]] als zusätzliche Eingabe für die Blockchiffre, der die Abbildung des Klartexts auf den [[Geheimtext]] verändert. Bei XTS-AES kann wie beim [[Electronic Code Book Mode|ECB-Modus]] ein Block unabhängig von anderen Blöcken ver- und entschlüsselt werden, was von Vorteil für eine Festplattenverschlüsselung ist, die einen [[Wahlfreier Zugriff|wahlfreien Zugriff]] ermöglicht. Durch die Verwendung unterschiedlicher Tweaks wird allerdings die fundamentale Schwäche des ECB-Modus umgangen, da identische Klartextblöcke nicht auf identische Geheimtextblöcke abgebildet werden.<ref name="Stallings2023" />

=== Tweak ===
Als Tweak wird eine fortlaufende Nummer verwendet, die sich implizit aus der Adressierung von [[Datenblock|Datenblöcken]] des [[Datenträger]]s ergibt, beispielsweise der [[Logical Block Addressing|LBA-Adresse]].<ref name="IEEE1619-2018" /> Eine solche Dateneinheit kann größer sein als die 128 Bit Blocklänge, mit der AES arbeitet. Deswegen wird der Tweak zusätzlich mit einem Indexparameter verknüpft, der sich ähnlich wie beim [[Counter Mode]] aus der Sequenz der 128-Bit-Blöcke innerhalb einer Dateneinheit ergibt. Somit ist sichergestellt, dass derselbe Klartext an unterschiedlichen Positionen einen unterschiedlichen Geheimtext ergibt, aber an derselben Position denselben Geheimtext. Da sich die Parameter aus der Speicherposition berechnen lassen, brauchen keine [[Metadaten]] wie [[Nonce]] oder [[Initialisierungsvektor]] gespeichert werden.<ref name="Stallings2023" />

=== Ciphertext-Stealing ===
Wenn die Länge einer Dateneinheit auf dem Datenträger kein Vielfaches von 128 Bit darstellt, ist eine besondere Behandlung der letzten zwei Klartextblöcke erforderlich. XTS-AES wendet eine Technik namens ''Ciphertext-Stealing'' an. Hierbei wird der letzte Klartextblock mit einem Teil des Geheimtexts des vorletzten Blocks aufgefüllt, bevor er verschlüsselt wird. Ausgegeben werden der partielle Geheimtext des vorletzten Blocks (gekürzt um den Teil, der „entwendet“ wurde) und der ganze Geheimtext des letzten Blocks. Die Ausgabereihenfolge dieser beiden Blöcke wird vertauscht.<ref name="Stallings2023" />

Der Vorteil dieses Verfahrens ist, dass kein [[Padding (Informatik)|Padding]] erforderlich ist, bei dem der Geheimtext länger als der Klartext werden würde. Bei XTS-AES ist der Geheimtext exakt so lang wie der Klartext, sodass keine Änderung an der Anordnung der Daten auf dem Datenträger erforderlich ist.<ref name="Stallings2023" />

== Verschlüsselung ==
Die Verschlüsselung erfolgt bei XTS-AES nach folgendem Schema:

[[Datei:XTS_mode_encryption.svg|Verschlüsselung bei XTS-AES]]

Parameter und Operatoren:
* Key1: [[Schlüssel (Kryptologie)|Schlüssel]] für die eigentliche Datenverschlüsselung
* Key2: Schlüssel für die Erzeugung des Tweak
* i: Sequentielle Nummer der Dateneinheit auf dem Datenträger
* &alpha;: primitives Element in einem [[Galoiskörper]] <math>\operatorname{GF}(2^{128})</math>
* &otimes;: Multiplikation in <math>\operatorname{GF}(2^{128})</math>
* &oplus;: bitweises [[XOR-Gatter|XOR]]

== Sicherheit ==
Das [[National Institute of Standards and Technology|NIST]] billigt die Nutzung von XTS-AES mit der Anforderung, nicht mehr als 2<sup>20</sup> 128-Bit-Blöcke (entspricht 16 MB) pro Dateneinheit zu verschlüsseln.<ref name="NIST800-38E" /> Betriebssysteme verwenden [[Cluster (Datenträger)|Cluster]] üblicherweise in der Größenordnung von wenigen Kilobytes. Laut dem [[Bundesamt für Sicherheit in der Informationstechnik|BSI]] biete XTS-AES „relativ gute Sicherheitseigenschaften und gute Effizienz“ für das Anwendungsszenario der Festplattenverschlüsselung, sofern ein Angreifer nicht mehrere Abbilder der Festplatte zu verschiedenen Zeitpunkten analysieren kann.<ref name="BSI2102" />

XTS-AES bietet keine Authentifizierung der verschlüsselten Daten und fällt somit nicht in die Kategorie von [[Authenticated Encryption]].<ref name="NIST800-38E" />

== Verbreitung ==
XTS-AES wird von gängiger Festplattenverschlüsselungssoftware wie [[BitLocker]], [[dm-crypt]], [[FileVault]], [[TrueCrypt]] oder [[VeraCrypt]] unterstützt.

== Literatur ==
* {{Literatur |Autor=William Stallings |Titel=Cryptography and Network Security: Principles and Practice |TitelErg=Global Edition. |Auflage=8. |Verlag=Pearson Education |Ort=Harlow, Vereinigtes Königreich |Datum=2023 |ISBN=1292437480 }}

== Einzelnachweise ==
<references>
<ref name="Ball2012">{{Literatur |Autor=Matthew V. Ball, Cyril Guyot, James P. Hughes, Luther Martin, Landon Curt Noll |Titel=The XTS-AES Disk Encryption Algorithm and the Security of Ciphertext Stealing |Sammelwerk=[[Cryptologia]] |Datum=2012-01-12 |DOI=10.1080/01611194.2012.635115 |Online=https://www.tandfonline.com/doi/full/10.1080/01611194.2012.635115 }}</ref>
<ref name="BSI2102">{{Literatur |Titel=BSI TR-02102-1 – Kryptographische Verfahren: Empfehlungen und Schlüssellängen |Hrsg=BSI |Datum=2023-01-09 |Online=https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.pdf?__blob=publicationFile&v=9 }}</ref>
<ref name="IEEE1619-2007">{{Literatur |Titel=1619-2007 – IEEE Standard for Cryptographic Protection of Data on Block-Oriented Storage Devices |Hrsg=IEEE |Datum=2008-03-04 |DOI=10.1109/IEEESTD.2008.4493450 |ISBN=978-1-5044-5523-7 |Online=https://ieeexplore.ieee.org/document/4493450 }}</ref>
<ref name="IEEE1619-2018">{{Literatur |Titel=1619-2018 – IEEE Standard for Cryptographic Protection of Data on Block-Oriented Storage Devices |Hrsg=IEEE |Datum=2019-01-25 |DOI=10.1109/IEEESTD.2019.8637988 |ISBN=978-1-5044-5280-9 |Online=https://ieeexplore.ieee.org/document/8637988 }}</ref>
<ref name="NIST800-38E">{{Literatur |Autor=Morris Dworkin |Titel=NIST Special Publication 800-38E – Recommendation for Block Cipher Modes of Operation: The XTS-AES Mode for Confidentiality on Storage Devices |Hrsg=NIST |Datum=2010-01 |DOI=10.6028/NIST.SP.800-38E |Online=https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38e.pdf }}</ref>
<ref name="Rogaway2004">{{Literatur |Autor=Phillip Rogaway |Titel=Efficient Instantiations of Tweakable Blockciphers and Refinements to Modes OCB and PMAC |Sammelwerk=Advances in Cryptology - ASIACRYPT 2004 |Reihe=Lecture Notes in Computer Science |Verlag=Springer |DOI=10.1007/978-3-540-30539-2_2 |ISBN=978-3-540-30539-2 |Online=https://www.cs.ucdavis.edu/~rogaway/papers/offsets.pdf }}</ref>
<ref name="Stallings2023">Stallings 2023, Abschnitt 7.7, Seiten 218–225.</ref>
</references>

{{Navigationsleiste Blockchiffremodi}}

[[Kategorie:Symmetrisches Kryptosystem]]