Uma suíte de cifras TLS parece uma coisa só, mas é uma montagem de peças tiradas de poucas famílias de algoritmos - e ler suítes com fluência significa conhecer as famílias, não decorar as strings. Esta é a contraparte de criptografia do mapa de famílias de hash: para que serve cada família, quanto custa, e onde estão enterrados os seus corpos. O artigo de anatomia da suíte mostra como as peças se encaixam; aqui conhecemos as peças em si.
Cifras simétricas: as operárias do volume
Cifras simétricas criptografam os dados de fato, com a mesma chave nas duas pontas. Existem duas formas. Uma cifra de bloco transforma blocos de tamanho fixo (: 128 bits por vez) e precisa de um modo de operação para lidar com mensagens de tamanho real. Uma cifra de fluxo gera um keystream e aplica XOR sobre os dados, qualquer tamanho, sem padding. O AES (Advanced Encryption Standard) é a cifra de bloco operária da internet: padronizado desde 2001, chaves de 128 ou 256 bits e - decisivamente - acelerado em silício em quase todo lugar (as instruções AES-NI), o que o torna rápido e resistente a canais laterais de tempo. Sua desvantagem é que o AES é tão bom quanto o seu modo, e a história dos modos é exatamente onde morou o problema. O ChaCha20 é a cifra de fluxo moderna: projetada para implementação em software em tempo constante, supera o AES em dispositivos sem aceleração de hardware - por isso frotas com muito mobile a adoram - e forma par com o autenticador Poly1305. As duas coexistem de propósito: a orientação atual deixa o cliente escolher AES- ou ChaCha20-Poly1305 conforme o próprio hardware. Os membros aposentados desta família ensinam os modos de falha: o DES caiu pela chave de 56 bits (forçável por busca bruta há décadas), o 3DES se arrastou até seu bloco de 64 bits virar alvo de ataque de aniversário em sessões longas (), e o RC4, um dia a cifra de fluxo favorita da web, acumulou vieses estatísticos até o RFC 7465 bani-lo do TLS de vez.
Modos e AEAD: por que a montagem manual morreu
Cifra de bloco mais modo mais um mecanismo separado de integridade era um kit que você montava - e a montagem vivia dando errado. O modo (cipher block chaining, encadeamento de blocos de cifra) com MAC-depois-cifra produziu uma década de ataques de oráculo de padding ( contra o SSLv3, contra o timing do CBC no TLS). A correção foi estrutural: modos (authenticated encryption with associated data, criptografia autenticada com dados associados) soldam confidencialidade e integridade em UMA primitiva, com uma chave e sem escolhas de montagem. O GCM (Galois/Counter Mode) é o AEAD do AES e o padrão da internet; o é seu irmão conservador para hardware restrito; o ChaCha20-Poly1305 é o AEAD de cifra de fluxo. O TLS 1.3 tornou o veredicto definitivo: só existem suítes AEAD lá. A vantagem do AEAD é precisamente a ausência de escolhas; sua única desvantagem real é a disciplina implacável de nonce - reutilize um nonce sob a mesma chave no GCM e a autenticidade desaba - o que o desenho do protocolo, e não o administrador, passou a garantir.
Famílias assimétricas: identidade e acordo de chaves
As famílias assimétricas nunca tocam o volume de dados; elas estabelecem quem você é e qual chave usar. O faz os dois trabalhos - assinar e criptografar - o que historicamente foi seu apelo e operacionalmente sua armadilha: usar a chave RSA de longa duração do servidor para transportar a chave da sessão ("troca de chaves RSA estática") significa que uma chave privada roubada abre retroativamente toda sessão gravada. Essa propriedade - a ausência de sigilo futuro (forward secrecy) - é o motivo de a troca RSA estática ter sumido do TLS 1.3 e de toda configuração moderna, enquanto as assinaturas RSA seguem vivas nos certificados. Assinaturas de curva elíptica ( na P-256, e as mais novas EdDSA/Ed25519) entregam a mesma autenticação com chaves bem menores e matemática mais rápida. Para acordo de chaves, a família - de corpo finito e, esmagadoramente hoje, o de curva elíptica em X25519 ou P-256 - gera um par de chaves novo por conexão, que é exatamente o que sigilo futuro significa: o tráfego de ontem continua selado mesmo que a chave do servidor vaze hoje. A coluna de vantagens do ECDHE é tão forte que a orientação moderna simplesmente o exige; os únicos membros desta família na gaveta dos proibidos são o DH anônimo (sem autenticação, trivialmente interceptável) e os graus EXPORT deliberadamente enfraquecidos que e ressuscitaram como ataques.
Lendo o mapa adiante
A alfabetização em famílias torna cada string de suíte autoexplicativa: o artigo de anatomia decompõe a nomenclatura, o artigo do 1.3 mostra a lista moderna encolhida, e o livro-razão de veredictos transforma famílias em decisões de configuração. A próxima mudança de família já está visível: a troca de chaves resistente a quântica está chegando como híbridos que rodam X25519 ao lado de um KEM de reticulados, coberta no artigo de troca de chaves híbrida - o mapa das famílias ganha um continente novo, mas a habilidade de leitura continua a mesma. E quando uma string de suíte cruzar o seu terminal, o decodificador de suítes de cifras aplica este mapa inteiro por você, família por família.