CBC-MAC算法的各种密码分析方法全面盘点CBC-MACCipher Block Chaining Message Authentication Code是一种基于分组密码构造消息认证码的经典算法-。虽然设计精巧但在不同条件下存在多种密码分析方法。以下是针对CBC-MAC及其主要变体的攻击方法全面盘点核心攻击分类针对CBC-MAC的攻击主要分为两大类伪造攻击 (Forgery Attack)攻击者在不知道密钥的情况下为一个新消息生成一个有效的MAC标签。密钥恢复攻击 (Key Recovery Attack)攻击者直接或部分地恢复出MAC计算的密钥。这是更强的一类攻击一旦成功便可伪造任意消息。️针对标准CBC-MAC的攻击长度扩展攻击 (Length Extension Attack)描述这是标准CBC-MAC最典型的弱点。如果消息空间不满足前缀无关prefix-free条件攻击者知道消息M及其标签T后就可以构造一个新消息M || (M ⊕ T)该消息的标签同样是T。其根本原因是CBC-MAC的链式结构允许攻击者在已知标签的情况下像“拼接”一样延长消息。后果攻击者可以100%成功地实施伪造这使得原始CBC-MAC无法安全地处理变长消息。生日攻击 (Birthday Attack)描述这是一种基于“生日悖论”的概率性攻击。攻击者通过收集大约2^(n/2)条消息-标签对期望能找到两个不同消息产生相同内部状态的碰撞。影响攻击者可以利用碰撞来伪造消息。对于使用64位分组的算法如DES其2^32的复杂度在今天是可行的因此不再安全。而使用128位分组的算法如AES2^64的复杂度在目前仍被认为是安全的。剪切-粘贴攻击 (Cut-and-Paste Attack)描述这是长度扩展攻击的一个特例同样利用了CBC-MAC在处理变长消息时的缺陷。后果攻击者可以将两个已知消息的MAC块组合构造出一个全新消息的合法MAC。多碰撞攻击 (Multicollision Attack)描述这是一种更复杂的生日攻击变体旨在寻找多个消息具有相同的MAC标签。后果研究表明即使在基于AES-128的CBC-MAC上也可以较容易地找到多碰撞从而实现存在性伪造。密钥穷举攻击 (Key-Guessing / Exhaustive Search Attack)描述这是一种最直接的暴力破解方法尝试所有可能的密钥。影响其可行性完全取决于密钥长度。对于56位密钥的DES这种攻击是可行的而对于128位或更长密钥的AES则在计算上不可行。控制IV的攻击 (Controlled-IV Attack)描述如果CBC-MAC的初始化向量IV可由攻击者选择或预测则攻击者可以通过操控IV来直接控制第一个明文块的输入。后果攻击者可以轻易构造出两个不同消息拥有相同标签的情况从而破坏MAC的安全性。针对CBC-MAC变体及实施的攻击为了修正标准CBC-MAC的缺陷人们设计了各种变体如EMAC, XCBC, CMAC等但它们也带来了新的攻击面。针对特定变体的密钥恢复攻击MacDES针对Knudsen和Preneel提出的这个CBC-MAC变体存在多种密钥恢复和伪造攻击。零售MAC (Retail MAC)一种广泛使用的CBC-MAC变体存在密钥恢复攻击。攻击者收集约2^32个已知消息-标签对就有约39%的概率恢复密钥。TMAC和OMAC这两种流行的变体被发现存在设计缺陷攻击者可以比理论上更轻松地恢复部分密钥。故障攻击 (Fault Attack)描述这是一种物理攻击攻击者通过干扰密码设备的正常运行如电压波动、时钟毛刺、激光注入等来诱发计算错误。后果研究表明通过故意在CBC-MAC计算过程中注入故障仅需少量错误注入就能恢复出AES-128的密钥。量子攻击 (Quantum Attack)描述这是面向量子计算时代的攻击模型。攻击者可以利用量子叠加态查询superposition queries来发起攻击。后果理论研究显示存在一种量子存在性伪造攻击能够以非常低的复杂度攻破CBC-MAC。多次伪造攻击 (Multiple Forgery Attack)描述在这种攻击中攻击者可以利用从一次伪造中获取的信息来更有效地进行后续的多次伪造。后果研究表明CBC-MAC同样面临此类攻击的威胁。️常见实践缺陷与总结除了算法层面的攻击不正确的实现也会引入严重漏洞变长消息处理直接使用标准CBC-MAC处理变长消息是不安全的。密钥重用将同一个密钥同时用于CBC-MAC和CBC加密是极其危险的。不当的填充(Padding)使用不恰当的填充方案可能导致安全性降级。总而言之原始的CBC-MAC仅适用于固定长度消息。要安全地处理变长消息必须使用其安全变体如CMAC即OMAC。在设计和实现基于CBC-MAC的系统时必须根据具体场景如使用的分组密码、密钥长度、消息长度变化等来评估这些攻击的可行性并采取相应的防御措施。
