6、认证加密：重新排序如何影响性能

认证加密：重新排序如何影响性能

1. 引言

认证加密是保障信息安全传输的重要技术，通常可通过组合加密算法和消息认证码（MAC）算法来实现，主要有三种通用组合方法：加密后认证（Encrypt-and-MAC，E&M）、先加密后认证（Encrypt-then-MAC，EtM）和先认证后加密（MAC-then-Encrypt，MtE）。此前研究多聚焦于不同组合方式的安全影响，对其性能影响的研究较少。

本文重点关注当加密算法基于块密码，MAC 算法基于通用哈希函数族时，不同组合方式的性能表现。以典型的 EtM 组合为例，先将明文分块，用块密码处理得到密文块，再使用基于通用哈希函数族的 MAC 对密文块进行认证。例如，Kohno 等人提出的 Carter - Wegman 计数器（CWC）块密码认证加密模式，美国国家标准与技术研究院（NIST）已将其应用于标准化的伽罗瓦/计数器模式（GCM）认证加密中。CWC 模式通过结合计数器加密模式和 Wegman - Carter 通用哈希函数族进行认证，实现了高性能的认证加密。

2. OKH 解决方案

本文深入研究了加密和认证这两个操作执行顺序对性能的影响，并提出了奇密钥哈希（OKH）认证加密模式。OKH 模式受 CWC 模式启发，但与 CWC 和 GCM 方案不同的是，OKH 模式将先加密后认证的顺序颠倒，即在块密码加密之前对明文进行哈希操作。

研究表明，在 EtM 组合中构建 MAC 所使用的哈希族必须是通用的，但在 MtE 组合中并非如此。这一结果具有重要的性能和理论意义：从性能上看，由于哈希族不必是通用的，其计算速度可比现有最快的通用哈希族更快；从理论上看，放宽 MAC 算法的安全要求不会