AEAD (Authentifizierte Verschlüsselung mit assoziierten Daten).

Authentifizierte Verschlüsselung mit assoziierten Daten (AEAD) ist der moderne Baustein der symmetrischen Kryptographie. Ein AEAD-Schema nimmt einen Schlüssel, eine Nonce, einen Klartext und beliebige assoziierte Daten (AD) entgegen und erzeugt einen Chiffretext sowie ein Authentifizierungs-Tag; bei der Entschlüsselung gibt es den Klartext nur dann zurück, wenn das Tag verifiziert wird, andernfalls verweigert es die Ausgabe. Die assoziierten Daten werden authentifiziert, aber nicht verschlüsselt, wodurch Protokolle unverschlüsselten Kontext wie Paket-Header, Sequenznummern oder Versions-Metadaten an den Chiffretext binden können, ohne diese jemals verschlüsselt zu übertragen.

Im Vergleich zu Encrypt-then-MAC- oder MAC-then-encrypt-Kompositionen eliminiert AEAD ganze Klassen von Fehlern und ist das, was jedes moderne Protokoll – TLS 1.3, QUIC, IPsec ESP-GCM, Signal, Noise, WireGuard, JWE – verwendet. Die Geschichte zeigt, warum dies wichtig ist: Die Angriffe Lucky 13 (2013) und POODLE (CVE-2014-3566) nutzten beide die fragile MAC-then-encrypt-CBC-Konstruktion in TLS aus, und der Wechsel zum AEAD-basierten Record-Schutz schloss diese Türen. Das formale Modell wurde 2002 von Rogaway definiert und als RFC 5116 standardisiert, wobei konkrete Schemata bei der IANA registriert sind.

Die dominierenden AEAD-Schemata sind AES-GCM (hardwarebeschleunigt über AES-NI und PCLMULQDQ) und ChaCha20-Poly1305 (RFC 8439, schnell in Software auf mobilen CPUs). Beide versagen katastrophal, wenn sich ein (Schlüssel-, Nonce-)Paar wiederholt – die Wiederverwendung der Nonce bei GCM kann den Authentifizierungsschlüssel preisgeben. Wo eindeutige Nonces nicht garantiert werden können, begrenzt das gegen Nonce-Missbrauch resistente AES-GCM-SIV (RFC 8452) das Leck darauf, ob zwei Klartexte gleich waren. Bevorzugen Sie stets ein geprüftes AEAD gegenüber einer selbstgebauten Encrypt-and-MAC-Komposition.

flowchart LR
  K[Schlüssel] --> ENC
  N[Nonce] --> ENC
  P[Klartext] --> ENC[AEAD-Verschlüsselung]
  AD[Assoziierte Daten<br/>Header · IDs] --> ENC
  ENC --> CT[Chiffretext]
  ENC --> TAG[Authentifizierungs-Tag]
  CT --> DEC[AEAD-Entschlüsselung]
  TAG --> DEC
  AD --> DEC
  K --> DEC
  N --> DEC
  DEC --> V{Tag gültig?}
  V -->|Ja| OUT[Klartext zurückgeben]
  V -->|Nein| REJ[Ablehnen · kein Klartext preisgegeben]