18、MAC算法的安全性及常见攻击

MAC算法的安全性及常见攻击

1. MAC算法攻击分类

对MAC算法的攻击可以根据攻击者对计算或验证MAC值的设备的控制类型进行分类，具体如下：
- 选择文本攻击 ：攻击者在完成攻击前，可以请求并接收对应于其选择的多个文本的MAC值。
- 自适应选择文本攻击 ：攻击者的请求可能取决于先前请求的结果。
- MAC验证攻击 ：攻击者可以将其选择的文本 - MAC对提交给验证设备。

攻击者试图欺骗接收者，他们知道MAC算法的描述，但不知道密钥。攻击还可以根据其目标进一步区分：
|攻击类型|描述|
| ---- | ---- |
|伪造攻击|在不知道密钥K的情况下，预测文本x的MACK(x)值。若能对单个文本做到这一点，称为存在性伪造；若能确定其选择的文本的MAC，则称为选择性伪造。理想情况下，存在性伪造在计算上是不可行的，较弱的要求是只有选择性伪造不可行。实际攻击通常要求伪造是可验证的，即伪造的MAC事先被确认为正确的概率接近1，且伪造MAC的文本应为新文本。|
|密钥恢复攻击|从多个文本/MAC对中找到密钥K本身。这种攻击比伪造攻击更强大，因为它允许进行任意的选择性伪造。可分为穷举搜索和捷径密钥恢复攻击，理想情况下不应存在捷径密钥恢复攻击。|

MAC算法的安全要求是：在自适应选择文本攻击（包括MAC验证查询）下，生成存在性伪造在计算上应是不可行的。攻击者的成功概率通常作为MAC的位长度m和查询次数q的函数来计算。

在某些环境（如批发银行业务应用）中，选择文本攻击不太现实，因为攻击者若