Что такое raAE? Разбираемся в новом выпуске рубрики #криптословарь вместе с экспертами «Криптонита»! 📚Аутентифицированное шифрование со случайным доступом (Random-Access Authenticated Encryption, raAE) — механизм для шифрования больших объектов: файлов, резервных копий, облачных хранилищ данных. ❗️Сообщение делится на пронумерованные сегменты, и любой сегмент можно зашифровать или расшифровать независимо от остальных и в произвольном порядке, т.е. для чтения одного фрагмента не нужно обрабатывать весь объект. Схема при этом должна обеспечивать конфиденциальность, целостность и привязку шифртекста к контексту (commitment). 📌Понятие raAE и формальные определения стойкости ввели А. Фабрега, Дж. Лен, Т. Ристенпарт и Г. Рубин в препринте, опубликованном в декабре 2025 года. Сама работа была представлена на Eurocrypt 2026. Там же предложена схема FLOE (Fast Lightweight Online Encryption) на основе AES-GCM, совместимая с требованиями FIPS и разработанная для облачной платформы Snowflake. На основе этой работы Н. Салливан в марте 2026 года подал в исследовательскую группу CFRG черновик стандарта (draft-sullivan-cfrg-raae). Стандартом он пока не стал: документ не принят группой, планируемый статус — информационный. Начиная с версии 01 в нём описана конструкция SEAL (Segmented Encryption and Authentication Layer), которая расширяет raAE перезаписью отдельных сегментов, дописыванием и усечением. Конкретные наборы параметров вынесены в отдельный документ — draft-sullivan-seal-concrete. 📌В SEAL каждый сегмент шифруется отдельно AEAD-схемой (например, AES-GCM), а номер сегмента и признак последнего сегмента входят в ассоциированные данные или в nonce, что защищает от перестановки сегментов и обрезки сообщения. Для защиты от подмены сегмента его старой версией и от удаления сегментов служит необязательный «снимок» (snapshot) — значение, аутентифицирующее весь набор сегментов и их число. Драфт предлагает три способа его вычисления. 🟦Один из них — маскированный мультимножественный хэш: сумма по модулю 2 псевдослучайных значений, вычисленных по номеру и тегу каждого сегмента. Благодаря линейности при перезаписи сегмента аккумулятор обновляется за постоянное время. 🔴Но открытый линейный аккумулятор позволил бы нарушителю с правом записи комбинировать разности между последовательными значениями и получить корректное значение для набора сегментов, который никогда не записывался. Поэтому аккумулятор хранится замаскированным: к нему прибавляется по модулю 2 маска, выработанная из ключа и самого снимка.