为什么CBC-MAC在每一步都加密？

Question

考虑到CBC-MAC为：

\qquad H_0 = IV = 0

\qquad H_i = E_k(P_i \oplus H_{i-1})

\qquad MAC = H_n

使这种“安全”(较少暴露于失败)的属性是什么，而不是仅仅：

\qquad H_0 = IV = 0

\qquad H_i = P_i \oplus H_{i-1}

\qquad MAC = E_k(H_n)

请使用简单的术语(非常感谢对非密码者的说教解释)。

Answer 1

使这个“更安全”(更少暴露于失败)的属性是什么？简单结构

对简单的构造有一个简单的攻击:选择任何消息块P并构造一个消息M=P\|P (所以P两次)。现在计算消息的MAC标记：\text{MAC}=E_k(\text{IV}\oplus P\oplus P)，这只是E_k(\text{IV})，因为x\oplus x=0。现在选择任何不同的消息P'和M'=P'\|P'，并计算该消息的标记：\text{MAC}'=E_k(\text{IV}\oplus P'\oplus P')，也就是E_k(\text{IV})。所以这两条消息都有相同的标签。一旦你看到其中任何一个的标签，你也可以让别人接受另一个。这是我们不想从MACs那里得到的财产。

如果这有助于你的想象力：P=0^n和P'=1^n，也就是说，它们是全零和全1的信息。