AES GCM với PBKDF2 100 nghìn lần lặp lại có còn ổn kể từ năm 2022 không?

Việc sử dụng AES GCM với PBKDF2 và 100 000 lần lặp có còn được coi là an toàn kể từ năm 2022 không?

Trong mô hình mối đe dọa của chúng tôi, nếu chúng tôi bỏ qua các rủi ro liên quan đến điện toán lượng tử, điều này có an toàn không?

Đây là một ví dụ về triển khai Python đang hoạt động:

nhập Crypto.Random, Crypto.Protocol.KDF, Crypto.Cipher.AES
bản rõ = b"xin chào thế giới xin chào thế giới xin chào thế giới xin chào thế giới xin chào thế giới"
mật khẩu = b"ghim pin ngựa chính xác"
nonce = Crypto.Random.new().read(16)
khóa = Crypto.Protocol.KDF.PBKDF2(mật khẩu, nonce, đếm=100000)
cipher = Crypto.Cipher.AES.new(key, Crypto.Cipher.AES.MODE_GCM, nonce=nonce, mac_len=16)
ciphertext = (nonce,) + cipher.encrypt_and_digest(plaintext) # nonce | bản mã | nhãn
in (bản mã)

Lưu ý: sử dụng cùng nonce vì PBKDF2 và AES.new(...) dường như không có vấn đề gì nếu chúng ta không bao giờ sử dụng lại cái này nonce để mã hóa trong tương lai, xem Tái sử dụng muối PBKDF2 cho AES/GCM dưới dạng IV: nguy hiểm?

Nó hoàn toàn phụ thuộc vào độ mạnh của mật khẩu. 100.000 vòng PBKDF2 cho một mật khẩu có hàm băm nhất định sẽ thêm tương đương với $\log_2(100000) \khoảng 16,6$ các bit entropy so với một vòng duy nhất của hàm băm đó. Nếu bản thân mật khẩu đã rất mạnh, thì bạn thậm chí không cần PBKDF2. Mục đích duy nhất của KDF chậm là cải thiện tính bảo mật của mật khẩu có độ mạnh cận biên. Nếu mật khẩu của bạn chỉ có 64 bit entropy, thì 1000.000 lần lặp lại có thể sẽ khiến kẻ tấn công có \$1 triệu tài sản không thể truy cập mật khẩu đó, vì 64 + 16,6 = 80,6 bit, có thể sẽ tốn nhiều hơn \ 1 triệu đô la để phá vỡ.

Tốt hơn là sử dụng KDF cứng bộ nhớ. Điều này không phải do PBKDF2 bị hỏng mỗi gia nhập, mà là bởi vì kẻ tấn công có thể dễ dàng mở rộng quy mô tấn công hơn do bản thân hàm băm cho phép tính song song cực độ.