CBC-MAC

In crittografia, un Cipher Block Chaining Message Authentication Code, abbreviato CBC-MAC, è una tecnica per costruire un codice di autenticazione di messaggio usando un cifrario a blocchi. Il messaggio è crittografato con qualche algoritmo di crittografia a blocchi in modalità CBC per creare una catena di blocchi in cui ognuno di essi dipende dalla cifratura del blocco precedente. Questa interdipendenza assicura che un cambiamento ad un qualsiasi bit del testo in chiaro causerà un cambiamento nel blocco finale crittografato che non può essere predetto o calcolato senza conoscere la chiave di codifica.

Per calcolare il CBC-MAC del messaggio m si cripta m in modalità CBC con il vettore di inizializzazione a zero. La figura seguente mostra il calcolo del CBC-Mac di un messaggio diviso in blocchi ${\displaystyle m_{1}\|m_{2}\|\dots \|m_{x}}$ usando una chiave segreta k e un cifrario a blocchi E.

Lunghezza dei messaggi variabile

Dato un cifrario a blocchi sicuro, CBC-MAC è sicuro per messaggi a lunghezza fissa. Tuttavia, di per sè, non è sicuro per messaggi di lunghezza variabile. Un attaccante che conosce coppie messaggio-codice CBM-MAC ${\displaystyle (m,t)}$ , ${\displaystyle (m',t')}$  può generare un terzo messaggio ${\displaystyle m''}$  il cui CBC-MAC sia ${\displaystyle t'}$ . Ciò è possibile semplicemente effettuando lo XOR tra il primo blocco di ${\displaystyle m'}$  con ${\displaystyle t}$  e quindi concatenando ${\displaystyle m}$  con questa versione modificata di ${\displaystyle m'}$ , es.facendo ${\displaystyle m''=m\|[(m_{1}'\oplus t)\|m_{2}'\|\dots \|m_{x}']}$ .

Questo problema non può essere risolto aggiungendo un blocco di lunghezza del messaggio (e.g., con Merkle-Damgård strengthening) ed è raccomandato l'uso di una differente modalità operativa, per esempio, CMAC per proteggere l'integrità dei messaggi a lunghezza variabile.

Utilizzo della stessa chiave per crittografare e autenticare

Un errore comune è riutilizzare la stessa chiave ${\displaystyle k}$  per la crittografia CBC e il CBC-MAC. Anche se un riutilizzo della chiave per scopi differenti è una pratica sconsigliata in generale, in questo caso particolare l'errore porta ad un attacco spettacolare.

Supponiamo che un utente effettui la crittografia di un messaggio ${\displaystyle m_{0}\|m_{1}\|\cdots \|m_{x-1}}$  in modalità CBC usando un IV ${\displaystyle c_{-1}}$  ed ottenendo il seguente testo cifrato: ${\displaystyle c_{0}\|c_{1}\|\cdots \|c_{x-1}}$ , dove ${\displaystyle c_{i}=E_{k}(m_{i}\oplus c_{i-1})}$ . Inoltre, genera il codice CBC-MAC per IV e per il messaggio: ${\displaystyle t=M(m_{-1}\|\cdots \|m_{x-1}).}$ .

Adesso un attaccante può cambiare ogni bit prima dell'ultimo blocco ${\displaystyle c_{x-1}}$  e il codice MAC sarà ancora valido. La ragione è che ${\displaystyle t=E_{k}(m_{x-1}\oplus c_{x-2})=c_{x-1}}$  (questa è attualmente la ragione per cui le persone commettono questo errore così frequentemente—ciò permette di incrementare le performance di un fattore pari a due). Da adesso finchè l'ultimo blocco non è cambiato l'equivalenza ${\displaystyle t=\ c_{x-1}}$  rimane valida e cos' il codice CBC-MAC è corretto.

Questo esempio mostra, inoltre, che un CBC-MAC non può essere usato come funzione monodirezionale resistente alle collisioni: data una chiave è banale creare un messaggio differente che generi lo stesso codice.

Voci correlate

• CBC
• MAC
• CMAC

Riferimenti

• (EN) ISO/IEC 9797-2:2002
• (EN) (PDF)The security of the cipher block chaining message authentication code.

  Portale Crittografia: accedi alle voci di Wikipedia che trattano di crittografia

Template:Crittografia