Salsa20

Salsa20 (auch Snuffle 2005) ist eine Stromverschlüsselung, die 2005 von Daniel J. Bernstein entwickelt wurde. Im EU-Projekt eSTREAM ist die auf 12 Runden reduzierte Version Salsa20/12 einer der Finalisten (Profil 1 – Software-Anwendungen).^[1] Salsa20 ist frei von Patenten.

Daniel J. Bernstein entwickelte Snuffle 2005 als Antwort auf die früheren Versuche der USA, kryptographische Publikationen zu beschränken. Von den Beschränkungen waren Hashfunktionen ausgenommen; mit Snuffle 2005 wurde gezeigt, dass eine starke Verschlüsselung auch mittels Hashfunktionen vorgenommen werden kann.^[2]

Salsa20 Core ist der Kern verschiedener Hashfunktionen und Stromverschlüsselungen.

• Salsa20 oder Snuffle 2005 ist eine Familie von 256-Bit-Stromverschlüsselungen:^[3]
  • Salsa20/20 mit 20 Runden ist als Standard gedacht.
  • Salsa20/12 mit 12 Runden für zeitkritische Anwendungen war Finalist im eSTREAM-Projekt, einem europäischen Auswahlverfahren für Stromverschlüsselungen.
  • Salsa20/8 mit 8 Runden für zeitkritische Anwendungen wird in der Schlüsselableitungsfunktion scrypt benutzt.^[4]
• XSalsa20 ist eine Variante mit erweiterter Nonce (192 Bit statt 64 Bit).^[5]
• ChaCha

Salsa10^[6] ist der 2004 eingeführte Vorläufer von Salsa20.

Komponenten von Salsa20 werden auch in der Kompressionsfunktion Rumba20^[7] benutzt.

ChaCha (oder Snuffle 2008) ist eine Variante von Salsa20, die entwickelt wurde, um die Diffusion pro Runde bei gleichbleibender bis schnellerer Geschwindigkeit zu erhöhen. Der Zahlensuffix bei ChaCha entspricht der Rundenzahl, also entspricht ChaCha8 beispielsweise einem modifizierten Salsa20/8.^[8][9]

Analog zu XSalsa20 gibt es auch die XChaCha-Variante mit erweiterter Nonce.^[10]

ChaCha20-Poly1305 ist ein AEAD-Betriebsmodus, der auf ChaCha20 und der ebenfalls von Bernstein entwickelten Poly1305-Hashfunktion basiert. Es ist neben AES-GCM und AES-CCM das einzige andere Verfahren das in TLS 1.3 angewendet wird.^[11]

ChaCha20 wird als kryptographisch sicherer Zufallszahlengenerator in Linux^[12], FreeBSD^[13], OpenBSD,^[14] NetBSD^[15] und DragonFly BSD^[16] verwendet. Die Programmiersprache Rust nutzt dafür ChaCha12^[17] und Go nutzt ChaCha8.^[18]

Außerdem basiert die Hashfunktion BLAKE auf ChaCha.^[19]

Salsa20 beruht auf wenigen einfachen Operationen und ist damit ähnlich aufgebaut wie die Verschlüsselungsfunktionen XTEA und IDEA. Durch das konservative Design wird eine gute und konstante Software-Performance auf vielen CPUs und eine weitgehende Resistenz gegen einige Seitenkanalattacken (time-attacks) erreicht. Der Kern besteht aus einer Funktion, die Schlüssel, Nonce und Zähler auf einen 64-Byte-Block abbildet. Die Funktion besteht aus einer langen Verkettung von nur drei Operationen: 32-Bit-Addition, 32-Bit-XOR, 32-Bit-Rotation (mit konstanten Abständen). Für die Stromverschlüsselung wird das Ergebnis der Funktion im Counter Mode benutzt und mit dem Klartext exklusiv-Oder-verknüpft (XOR). Die empfohlene Schlüssellänge beträgt 256 Bit, kürzere Schlüssel sind jedoch möglich. Salsa20 hat eine kompakte Implementierung, ist schnell und Speicher-schonend.

In einem neuen Verfahren, basierend auf den probabilistic neutral bits (PNBs), stellten Aumasson et al. 2008 einen Angriff auf Salsa20/7, Salsa20/8, ChaCha6, ChaCha7 und Rumba3 vor, in dem unter anderem Salsa20/7 (128-Bit-Schlüssel) mit einer Zeitkomplexität von 2¹¹¹, einer Datenkomplexität von 2²¹ und einer Erfolgsquote von 50 % gebrochen werden konnte.^[20] 2012 wurde dieser Angriff von Shi et al. noch einmal verbessert.^[21] Die besten Kryptoanalysen für die rundenreduzierten Varianten von Salsa20 und ChaCha sind demnach (Stand: September 2014):

• Salsa20/7 (128-Bit-Schlüssel): Zeitkomplexität 2¹⁰⁹, Platzkomplexität 2¹⁹. Zur Veranschaulichung: der Superrechner Roadrunner bräuchte ungefähr 20.580.831.662 Jahre dafür und müsste außerdem für frei gewählte Klartexte Zugang zu den entsprechenden Geheimtexten haben (Chosen-Plaintext-Attacke). Unberücksichtigt bleibt dabei jedoch die Möglichkeit der Parallelisierung; Daniel J. Bernstein, der Erfinder von Salsa20, hält daher 128-Bit-Schlüssel für „uncomfortably risky“ („beunruhigend riskant“).^[22]
• ChaCha6 (128-Bit-Schlüssel): Zeitkomplexität 2¹⁰⁵, Platzkomplexität 2²⁸.

• D. J. Bernsteins Seite zu Salsa20 (englisch)
• eSTREAM Portfolio zu Salsa20/12. ecrypt.eu.org (englisch).
• S. Josefsson: The Salsa20 Stream Cipher for Transport Layer Security. ietf.org (englisch).
• Erläuterung und Implementierung von ChaCha20 in Excel infsec.de (deutsch).