¿Por qué usaría AES-256-CBC si AES-256-GCM es más seguro?

CBC y GCM son bastante diferentes. Ambos son seguros cuando se usan correctamente, pero CBC no es paralelizable y carece de autenticación. Debido a esto, CBC solo es realmente práctico para cifrar archivos locales que no necesitan acceso aleatorio.

En cuanto a las ventajas que podría tener, CBC no falla tan catastróficamente si la IV se reutiliza, y puede ser más rápido si se implementa en hardware básico.

En cuanto a GCM, es básicamente GCM = CTR + Autenticación (no CBC). Es rápido y seguro si se usa correctamente, y muy versátil, de ahí su popularidad.

1. CBC es más antiguo, lo que significa más compatibilidad y solo razones históricas en general.
2. Hay ventajas de rendimiento , si no necesita GCM para la autenticidad. A menudo, es posible que desee su propio sistema de autenticidad con algunas características adicionales o puede que no lo necesite en absoluto.

En pocas palabras, CBC fue lo primero. Es posible que tenga sistemas que solo admitan CBC.

Esta sería la misma pregunta que "¿Por qué usaría RC4 y MD5 si AES y SHA-2 están disponibles?" Compatibilidad e historia. (Lo mismo con muchas otras opciones de cifrado).

Si todos sus sistemas son compatibles con AES-256-GCM, y tienen los recursos para ejecutarlo, y tienen una mayor necesidad de seguridad, entonces use AES = 256-GCM.

Por ejemplo, tengo sistemas que no admiten nada más nuevo que SSL3, RC4 y MD5, con certificados de 1024 bits. (En 2018, sí). Claro, eso no es mucho mejor que ROT13 en estos días, pero hace lo suficiente para estos datos que en realidad no requieren cifrado. (En estos días la gente llama a estas cosas IoT).

Gran nitpick:

  

GCM = CBC + Autenticación.

No, GCM = CTR + Autenticación.

Pero en general tienes razón; CBC es un modo más antiguo que se inventó en la Edad Oscura de forma criptográfica (no más tarde de la década de 1970) y ahora está desfavorecido debido a la falta de autenticación integrada y todos los problemas causados por el relleno de los oráculos. Un buen ejemplo práctico de esto es que TLS 1.3 eliminó el soporte para CBC.

GCM no es una panacea. Es estrictamente correcto, pero en la práctica ha demostrado que está lejos de ser infalible:

1. Falla espectacularmente si reutilizas un nonce. Un único nonce repetido permite a un adversario recuperar su subclave de autenticación, además de aprender el XOR de los dos mensajes con el mismo nonce.
2. Sus nonces son incómodamente cortos (96 bits), que puede ser Es difícil de usar con fuentes aleatorias .

CBC no tiene estos problemas. Los IV aleatorios funcionan bien (y, de hecho, son necesarios), y si repite un IV, no se produce un fallo catastrófico, simplemente se filtra información sobre prefijos de texto simple igual.