Perché dovrei mai usare AES-256-CBC se AES-256-GCM è più sicuro?

CBC e GCM sono piuttosto diversi. Entrambi sono sicuri se usati correttamente, ma CBC non è parallelizzabile e manca dell'autenticazione. Per questo motivo, CBC è davvero pratico per la crittografia di file locali che non necessitano di accesso casuale.

Per quanto riguarda i vantaggi che potrebbe avere, CBC non fallisce in modo catastrofico se viene riutilizzato l'IV e può essere più veloce se implementato su hardware di base.

Come per GCM, è fondamentalmente GCM = CTR + Authentication (non CBC). È veloce e sicuro se usato correttamente e molto versatile, quindi la sua popolarità.

1. CBC è più vecchio, il che significa maggiore compatibilità e solo motivi storici generali.
2. Ci sono vantaggi prestazionali , se non hai bisogno di GCM per l'autenticità. Spesso potresti volere il tuo sistema per autenticità con alcune caratteristiche aggiuntive o potresti non averne affatto bisogno.

In poche parole - CBC è arrivato per primo. È possibile che si disponga di sistemi che supportano solo CBC.

Questa sarebbe la stessa domanda di "Perché dovrei mai usare RC4 e MD5 se sono disponibili AES e SHA-2?" Compatibilità e storia. (Lo stesso con molte altre scelte di cifratura.)

Se tutti i sistemi supportano AES-256-GCM e dispongono delle risorse per eseguirlo e hanno esigenze di sicurezza più elevate, utilizzare AES = 256-GCM.

Ad esempio, ho sistemi che non supportano nulla di più recente di SSL3, RC4 e MD5, con certificati a 1024 bit. (Nel 2018, sì). Certo, non è molto meglio di ROT13 in questi giorni, ma fa abbastanza per questi dati che in realtà non richiedono alcuna crittografia. (In questi giorni la gente chiama queste cose IoT.)

Big nitpick:

GCM = CBC + Authentication.

No, GCM = CTR + Autenticazione.

Ma in generale hai ragione; La CBC è una modalità più antica che è stata inventata in epoche buie dal punto di vista crittografico (non più tardi degli anni '70), ed è ora sfavorita a causa della mancanza di autenticazione integrata e di tutti i problemi causati dagli oracoli di riempimento. Un buon esempio pratico di questo è che TLS 1.3 ha eliminato il supporto per CBC.

GCM non è una panacea, comunque. In senso stretto, è corretto, ma nella pratica si è dimostrato tutt'altro che infallibile:

1. Fallisce in modo spettacolare se riutilizzi un nonce. Un singolo nonce ripetuto consente ad un avversario di recuperare la sua sottochiave di autenticazione, oltre ad apprendere lo XOR dei due messaggi con lo stesso nonce.
2. I suoi nonce sono scomodamente brevi (96 bit), che può essere difficile da usare con nonces casuali .

CBC non ha questi problemi. Gli IV casuali funzionano bene (e sono di fatto richiesti), e se si ripete una IV non si ottiene un errore catastrofico, si perdono solo informazioni su uguali prefissi di testo in chiaro.