为什么CBC-MAC需要PRF？

Question

我被困在练习4.19从现代密码学入门。

让F是一个键控函数，它是长度为n的消息的安全(确定性) MAC。(请注意，F不一定是伪随机排列。)说明当用F实例化时，基本的CBC并不一定是一个安全的MAC (即使对于固定长度的消息)。

我的想法是构建安全的MAC F'_k = m \| F_k(m)，它将泄漏F_k(m_1)上的信息。然而，这将使MAC的规模每一步都翻一番。

是否还有另一种/更好/更有效的解决办法？

为什么CBC-MAC域扩展需要PRF？

编辑:基本CBC-MAC指以下结构：

这本书说，基本的CBC-MAC是安全的固定长度的消息时，实例化与PRF。

Answer 1

一般来说，固定长度的CBC是安全的.然而，在本例中，F是一个“安全(确定性) MAC”，这意味着我们可以在其上进行消息验证实验，并将该结果用于CBC。