CBC-MAC

Aktuální verze stránky ještě nebyla zkontrolována zkušenými přispěvateli a může se výrazně lišit od verze recenzované 2. ledna 2020; kontroly vyžadují 4 úpravy .

CBC MAC -in kryptografie je technologie pro konstrukci autentizačního kódu zprávy z blokové šifry . Zpráva je zašifrována pomocí nějakého algoritmu blokové šifry v režimu CBC, aby se vytvořil řetězec bloků s pravidlem, že každý blok závisí na správném (správném) šifrování předchozího. Tato vzájemná závislost zajišťuje, že změna libovolného bitu otevřeného textu povede ke změně konečného zašifrovaného bloku způsobem, který nelze předvídat ani vypočítat, pokud není znám klíč blokové šifry .

Byl použit (s substitucí jako E algoritmu DES ) jako americký vládní standard - DAA .

Referenční informace

Algoritmus CBC MAC je dobře známá metoda pro generování ověřovacího kódu zprávy na základě blokové šifry .

Bellare, Kilian a Rogaway prokázali bezpečnost ( zabezpečení ) algoritmu pro pevnou délku zprávy m * n bitů, kde n je délka šifry základního bloku E.

Je však dobře známo, že MAC CBC není bezpečný, pokud není pevně stanovena délka zprávy. Bylo tedy navrženo několik variant algoritmu pro proměnnou délku zprávy. Jako první bylo navrženo vkládání šifrované imitace (EMAC) , získává se zašifrováním hodnoty CBC MAC pomocí E a nového klíče . To znamená $K^{2}$

EMAC_{K_1,K_2}(M) = E_{K_2}(CBC_{K_1}(M)))

kde M je zpráva, je klíč CBC MAC a hodnota CBC MAC zprávy. M. Petrank a Rackoff později prokázali, že EMAC je bezpečný, pokud je délka zprávy násobkem n (Vaudenay, s použitím teorie dekorací , publikoval další důkaz). EMAC však vyžaduje dva plány klíčů pro základní blokovou šifru E. $K_1$ $CBC_{K_1}(M)$

Dále Black a Rogaway navrhli XCBC, které vyžaduje pouze jeden klíčový plán základní blokové šifry E. XCBC poskytuje tři klíče: jeden klíč blokové šifry K1 a dva klíče, každý o n bitech. XCBC je popsána následujícím diagramem

Tabulka ukazuje srovnání délek klíčů.

	XCBC	TMAC	OMAC
Délka klíče	(k + 2n) bit	(k + n) bitů	k bitů

Je-li pro některé m > 0, pak se XCBC vypočítá přesně jako CBC MAC, s výjimkou operace XOR ("exclusive or") klíče (n bitů), dokud není zašifrován poslední blok. $\left | M\vpravo | = mn$ $K_{2}$

Jinak se k M přidá (kde ) a XCBC se vypočítá přesně jako MAC CBC pro přijatou zprávu. Kromě XORingu další klíč (n bitů), dokud není zašifrován poslední blok. Nevýhodou XCBC však je, že vyžaduje tři klíče, tedy celkem (k + 2n) bitů. V důsledku toho Kurosawa a Iwata navrhli dvouklíčový CBC MAC (TMAC). TMAC přijímá dva klíče o součtu (k + n) bitů: klíč blokové šifry a klíč (n bitů). TMAC se získá z XCBC přesunem (nebo nahrazením) s , kde u je nějaká nenulová konstanta a "•" označuje násobení v . Jak již bylo zmíněno, OMAC ( one-key CBC MAC ) akceptuje pouze jeden klíč K z blokové šifry E. Délka klíče, k bitů, je minimální, protože základní šifra musí obsahovat klíč K, který se v každém případě skládá z k bitů. . $\ 10^i$ $i = n-1-\levý | M\vpravo | \mod\n$ $K_{3}$ $K_1$ $K_2$ $\(K_2,K_3)$ $(K_2\cdot u,K_2)$ $\GF(2^n)$

OMAC

OMAC je nadřazený název pro OMAC1 a OMAC2. OMAC1 se získá z XCBC nahrazením za nějakou nenulovou konstantu u v , kde L je dáno následujícím výrazem: . OMAC2 se podobně získá za použití . Můžeme vypočítat , a efektivně s jediným posunem a XOR na a , resp. OMAC1 (resp. OMAC2) je popsán následujícím diagramem: $\(K_2,K_3)$ $(L \cdot u, L \cdot u^2)$ $\GF(2^n)$ $L \ = \ EK( 0 ^ n )$ $(L \cdot u, L \cdot u^{-1})$ $(L\cdot u)$ $(L \cdot u^{-1})$ $(L \cdot u^2) = \{(L \cdot u) \cdot u\}$ $\ L$ $(L\cdot u)$

1. Pokud pro některé m > 0, pak se OMAC vypočítá přesně jako CBC MAC, kromě operace XOR před zašifrováním posledního bloku. 2. V opačném případě je (kde ) přidáno k M a OMAC Vypočteno přesně jako CBC MAC pro přijatou zprávu M, kromě operace XOR pro (resp. před zašifrováním posledního bloku. $\left | M\vpravo | = mn$ $(L\cdot u)$
$\ 10^i$ $i = n-1-\levý | M\vpravo | \mod\n$ $(L\cdot u^2)$ $(L \cdot u^{-1})$

V TMAC je klíč součástí klíče, zatímco v OMAC není L součástí klíče a je generován z K. Toto zachování délky klíče činí zabezpečení OMAC mnohem obtížnějším prokázat než TMAC, jak je uvedeno níže. . Na obrázku 2 nechť M[1] = . Pak L je výstupem prvního . L se vždy objeví znovu v posledním bloku. V zásadě by takové opětovné použití L vedlo k uváznutí v bezpečnostním důkazu. (V režimu OCB a PMAC se také používá jako univerzální hash klíč. L se však objevuje jako výstup nějakého vnitřního bloku se zanedbatelnou pravděpodobností.) Dokázali jsme však, že OMAC je stejně bezpečný jako XCBC, kde bezpečnostní analýza je příkladem absolutní bezpečnosti [1]. Dále OMAC získal všechny další pozitivní vlastnosti, kterými byl obdařen XCBC (a TMAC). Oblast OMAC je tedy {0,1}, je potřeba jednoklíčový plán volání (referencí) základní blokové šifry E a blokové šifry. $K_{2}$ $0^n$ $E_{K}$ $L = EK(0^n)$ $\max\{1,[\left|M\right|/n]\}$

Notace

Pro množinu A x←A znamená, že x je vybráno náhodně z A a výběr libovolné hodnoty z množiny A je ekvipravděpodobný. Jestliže a, b (∈ {0, 1}*) jsou řetězce stejné velikosti, pak a ⊕ b je jejich bitová operace XOR. Pokud a, b (∈ {0, 1}*) nejsou stejné řetězce, pak a ◦ b značí jejich zřetězení . (Pro zjednodušení je zaveden následující zápis: ab:= a ◦ b). Pro n-bitový řetězec ∈ {0, 1}* označte << 1 = n-bitový řetězec, který je posunut doleva o 1 bit, mezitím označte >> 1 = n-bitový řetězec, který je posunut o jeden bit doprava. Je-li a ∈ {0, 1}* řetězec, pak |a| označují jeho bitovou délku. Pro libovolný bit je řetězec a ∈ {0, 1}* takový, že |a| ≤ n, definujme , kde se prázdný řetězec počítá jako jeden blok. $a = a_{n-1} ... a_1a_0$ $A$ $a_{n-2}...a_1a_00$ $0a_{n-1} ... a_2a_1$
$(1) \ pad_n(a) = \begin{cases} & \ a10^{n-\left| a \right|-1}, \if \left| a \right|<n,\\ & \ a, \if \left| a \right|= n. \end{cases}$
$\left\| a \right \|_n = max\{1, [\left|a\right|/n]\}$

CBC MAC

Bloková šifra E je funkce E : × → , kde každé E(K, •) = EK(•) je permutací , dále je sada možných klíčů a n je délka bloku. CBC MAC [6, 7] je nejjednodušší a nejznámější algoritmus pro vytvoření MAC z blokové šifry E. Nechť zpráva je M = M[1] ◦M[2] ◦ … ◦M[m], kde | M [1]| = |M[2]| = … = |M[m]| = n. Potom CBCK(M), CBC MAC zprávy M, daný klíč K, je definován jako Y [m], kde Y [i] = EK(M[i] ⊕ Y [i − 1]) pro i = 1, … ,ma Y[0] = . Bellare, Kilian a Rogaway prokázali bezpečnost CBC MAC pro pevnou délku zprávy mn bitů. $K_E$ $\{0, 1\}^n$ $\{0,1\}^n$ $\{0,1\}^n$ $K_E$ $0^n$

Tečkované pole $2^{n}$

Bod a můžeme považovat některým z následujících způsobů: (1) jako abstraktní bod v poli a ; (2) jako n-bitový řetězec ∈ ; (3) jako formální polynom s binárními koeficienty. Chcete-li přidat 2 body k , zvažte bitovou operaci XOR na nich. Tuto operaci označte a ⊕ b. Pro vynásobení dvou bodů fixujeme nějaký polynom f(u) s binárními koeficienty a stupněm n. Pro větší přesnost volíme lexikograficky první polynom ze stejných polynomů stupně n s minimálním počtem koeficientů. Vyjmenujeme některé z těchto polynomů pro n = 64, pro n = 128 a pro n = 256. Chcete-li vynásobit dva body a ∈ a b ∈ , uvažujte a a b jako polynomy a , výsledek operace c(u), kde koeficienty v GF(2) se sečtou a vynásobí a vezme se zbytek oddělení c(u) pomocí f(u). Navíc je obzvláště snadné vynásobit bod a ∈ u. Například, je-li n = 128, také vydělte bod a ∈ u, přičemž mějte na paměti, že a je násobeno převrácenou hodnotou u v poli: . Například, $GF(2^n)$ $a_{n-1} ... a_1a_0$ $\{0,1\}^{n}$ $a(u) = a_{n-1}u^{n-1}+ ... +a_1u + a_0$ $GF(2^n)$
$\ f(u) = u^{64} + u^4 + u^3 + u + 1$
$\ f(u) = u^{128} + u^7 + u^2 + u + 1$
$\ f(u) = u^{256} + u^{10} + u^5 + u^2 + 1$
$GF(2^n)$ $GF(2^n)$ $a(u) = a_{n-1}u^{n-1} + ... + a_1u + a_0$ $b(u) = b_{n-1}u^{n-1} + ... + b_1u + b_0$ $\{0,1\}^{n}$
$(2) \ a \cdot u = \begin{cases} & \ a\ll 1 \ if \ a_{127} = 0, \\ & \ (a\ll 1)\oplus 0^{120}10000111 \ jinak . \end{cases}$
$\{0,1\}^{n}$ $a \cdot u^{-1}$
$(3) \ a \cdot u = \begin{cases} & \ a\gg 1 \ if \ a_{0} = 0, \\ & \ (a\gg 1)\oplus 0^{120}10000111 \ jinak . \end{cases}$

Základní návrh rodiny OMAS

Rodina OMAC je definována blokovou šifrou E : KE × → , n-bitovou konstantou Cst, univerzální hašovací funkcí H : × X → a dvěma jedinečnými konstantami ∈ X , kde X je konečný obor funkce H. H, a musí splňovat následující podmínku: (konstanty jsou náhodné. Zapišme HL(•) pro H(L, •). $\{0,1\}^{n}$ $\{0,1\}^{n}$ $\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_1$ $Cst_2$ $Cst_1$ $Cst_2$

1. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) = y nejvýše pro některé dostatečně malé . 2. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) = y nejvýše pro některé dostatečně malé . 3. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) ⊕ HL( ) = y maximálně pro nějaké dostatečně malé . 4. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) ⊕L = y nejvýše pro některé dostatečně malé . 5. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) ⊕L = y nejvýše pro některé dostatečně malé . 6. Pro libovolné y ∈ je číslo L ∈ takové, že HL( ) ⊕ HL(Cst2) ⊕ L = y nejvýše pro nějaké dostatečně malé . $\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_1$ $\epsilon_1 \cdot 2^n$ $\epsilon_1$
$\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_2$ $\epsilon_2 \cdot 2^n$ $\epsilon_2$
$\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_1$ $Cst_2$ $\epsilon_3 \cdot 2^n$ $\epsilon_3$
$\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_1$ $\epsilon_4 \cdot 2^n$ $\epsilon_4$
$\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_2$ $\epsilon_5 \cdot 2^n$ $\epsilon_5$
$\{0,1\}^{n}$ $\{0,1\}^{n}$ $Cst_1$ $\epsilon_6 \cdot 2^n$ $\epsilon_6$

Následuje pseudokód, který popisuje rodinu OMAC.

Algorithm $OMAC-family_K(M)$
L ← $E_K(Cst)$ ;
Y [0] ← $0^n$ ;
Partition M into M[1] ... M[m]
for i ← 1 to m − 1 do
X[i] ← M[i] ⊕ Y [i − 1];
Y [i] ← $E_K(X[i]$ );
X[m] ← $pad_n(M[m]$ ) ⊕ Y [m − 1];
if |M[m]| = n then X[m] ← X[m] ⊕ $H_L(Cst_1)$ ;
else X[m] ← X[m] ⊕ $H_L(Cst_2)$ ;
T ← $E_K(X[m]$ );
return T;

Algoritmus rodiny OMAC je znázorněn na obr. 3, kde (•) je definováno v (1). Klíčový prostor K rodiny OMAC: . Přebírá hodnotu klíče K ∈ a zprávu M ∈ {0, 1}* a vrací řetězec z oblasti . $pad_n$ $K=K_E$ $K_E$ $\{0,1\}^{n}$

Navrhovaná specifikace

V OMAC1 nastavíme Cst = , (x) = L•x, = u a = , kde "•" znamená násobení v . a jsou ekvivalentní. OMAC2 je podobný OMAC1 kromě . a jsou ekvivalentní. Navíc , a lze efektivně vypočítat s jedním posunem a jednou operací XOR z a , jak je znázorněno v (2) a (3). Je snadné vidět, že podmínky v Sec. 3 jsou prováděny pro v OMAC1 a OMAC2. OMAC1 a OMAC2 jsou znázorněny na obrázku 2 a jsou popsány následovně: 1. Pro OMAC1: $0^n$ $H_L$ $Cst_1$ $Cst_2$ $u^2$ $GF(2^n)$ $L = E_K(0^n)$ $H_L(Cst_1) = L \cdot u$ $H_L(Cst_2) = L \cdot u^2$ $Cst_2 = u^{-1}$ $Cst_2 = u^2$ $L = E_K(0^n)$ $H_L(Cst_1) = L \cdot u$ $H_L(Cst_2) = L \cdot u^{-1}$ $L\cdot u$ $L \cdot u^{-1}$ $L \cdot u^2 = (L \cdot u) \cdot u$ $L$ $L\cdot u$ $\epsilon_1 = ... = \epsilon_6 = 2-n$

Algorithm $OMAC1_K(M)$
L ← $E_K(0^n)$ ;
Y [0] ← $0^n$ ;
Partition M into M[1] ... M[m]
for i ← 1 to m − 1 do
X[i] ← M[i] ⊕ Y [i − 1];
if |M[m]| = n
then X[m] ← X[m] ⊕ $L \cdot u$ ;
else Y[i] ← E_k(X[i]);
X[m] ← $pad_n(M[m]$ ) ⊕ Y [m − 1];
if |M[m]| = n then X[m] ← X[m] ⊕ $L \cdot u$ ;
else X[m] ← X[m] ⊕ $L \cdot u^2$ ;
T ← $E_K(X[m]$ );
return T;

1. Pro OMAC2:

Algorithm $OMAC2_K(M)$
L ← $E_K(0^n)$ ;
Y [0] ← $0^n$ ;
Partition M into M[1] ... M[m]
for i ← 1 to m − 1 do
X[i] ← M[i] ⊕ Y [i − 1];
if |M[m]| = n
then X[m] ← X[m] ⊕ $L \cdot u$ ;
else Y[i] ← E_k(X[i]);
X[m] ← $pad_n(M[m]$ ) ⊕ Y [m − 1];
if |M[m]| = n then X[m] ← X[m] ⊕ $L \cdot u$ ;
else X[m] ← X[m] ⊕ $L \cdot u^{-1}$ ;
T ← $E_K(X[m]$ );
return T;

Bezpečnost rodiny OMAC

Definice bezpečnosti

Nechť Perm(n) je množina všech permutací z , a nechť P je náhodná permutace , pokud P je náhodný vzorek z Perm(n). Bezpečnost blokové šifry E lze kvantifikovat jako maximální výhodu, kterou může protivník A získat, když se pokusí extrahovat (s náhodně vybraným klíčem K) z náhodné permutace P(•), když jsou povoleny doby dotazu t a q ( což je buď ). Tato výhoda je definována následovně. Řekněme, že bloková šifra E je bezpečná, pokud je v podstatě malá. Podobně algoritmus MAC je F : × → , kde je sada klíčů, pak píšeme pro F(K, •). Řekněme, že protivník se zlomí, pokud se A vrátí , kde A nikdy nepožaduje M od . Pak definujeme výhodu jako $\{0,1\}^{n}$ $Adv^{prp}_E(t; q)$ $E_K( \cdot )$ $E_K(\cdot)$ $P(\cdot )$
$\begin{cases} & Adv^{prp}_E(A):= \left|Pr(K\overset{R}{\leftarrow}K_E : A^{E_K(\cdot)} = 1) - Pr(( K\overset{R}{\leftarrow}Perm(n):A^{P(\cdot)} = 1)\right|\\ & Adv_E^{prp}(t,q) := max\{Adv^ {prp}_E(A)\} \end{cases}$
$K_F$ $\{0,1\}^{n}$ $\{0,1\}^{n}$ $K_F$ $F_K(\cdot)$ $A^{F_K(\cdot)}$ $(M,F_K(M))$ $F_K(\cdot)$

$\begin{cases} & Adv^{mac}_E(A):= \Pr(K\overset{R}{\leftarrow}K_F : A^{F_K(\cdot)} ková) \\ & Adv_E^{mac }(t,q,\mu) := max\{Adv^{mac}_F(A)\} \end{cases}$

kde maximum je převzato ze všech protivníků, kteří „pracují“ ne déle než čas t, nedávají více než q požadavků a každý požadavek ne více než μ bitů. Řekneme, že algoritmus MAC je chráněný (safe), pokud je hodnota zanedbatelná. Označme Rand(∗, n) množinu všech funkcí od {0, 1}* do . Tato množina je dána mírou pravděpodobnosti za předpokladu, že náhodný prvek R množiny Rand(∗, n) je spojen nebo asociován s každým řádkem M ∈ {0, 1}* náhodného řádku R(M)∈ . Dále definujeme výhodu jako místo, kde je maximum převzato ze všech protivníků, kteří „odpracují“ čas ne více než t, nedělají více než q požadavků a každý požadavek ne více než μ bitů. Pak můžeme říci, že MAC algoritmus je pseudonáhodný, pokud je hodnota zanedbatelná (viprf je nastaven pro Variablelength Input PseudoRandom Function - vstupní pseudonáhodné funkce proměnné délky). Bez ztráty obecnosti se předpokládá, že protivníci nikdy nepodávají požadavky mimo doménu a také nikdy žádosti neopakují. $\{0,1\}^{n}$ $\{0,1\}^{n}$
$\begin{cases} & Adv^{viprf}_F(A):= \left|Pr(K\overset{R}{\leftarrow}K_F : A^{F_K(\cdot)} = 1) - Pr(( K\overset{R}{\leftarrow}Rand(*,n):A^{R(\cdot)} = 1)\right|\\ & Adv_F^{viprf}(t,q,\mu) := max\{Adv^{viprf}_F(A)\} \end{cases}$
$\{0,1\}^{n}$

Dále uvedeme hlavní věty (jejich formulace bez důkazů).

Lemma 5.1 (hlavní lemma pro rodinu OMAC). Předpokládejme, že H, Cst1 a Cst2 splňují podmínky Sec. 3 pro nějaké zanedbatelně malé , a také nechť Cst je libovolná n-bitová konstanta. Předpokládejme také, že v rodině OMAC (rodina OMAC) je jako základní bloková šifra použita náhodná permutace P ∈ Perm(n). Nechť A je protivník, který nevydává více než q požadavků a každý požadavek ne více než nm bitů. (m je maximální počet bloků v každém dotazu.) Nechť m ≤ 2n/4. Pak kde . Následující výsledky platí pro OMAC1 i OMAC2. Nejprve jsme získali následující lemma nahrazením є = 2−n v lemmatu 5.1. $\epsilon_1, ... , \epsilon_6$
$\left|Pr(P\overset{R}{\leftarrow}Pern(n) : A^{OMAC-family_P(\cdot)} = 1) - Pr((R\overset{R}{\leftarrow}Rand( *,n):A^{R(\cdot)} = 1)\right|\leq \frac{q^2}{2} \cdot (\frac{7m^2+2}{2^n}+ 3m^2\epsilon)$
$\epsilon = max{ \epsilon_1, . . . ,\epsilon_6}$

Lemma 5.2 (hlavní lemma pro rodinu OMAC). Předpokládejme, že náhodná permutace P ∈ Perm(n) je použita v OMAC jako základní bloková šifra. Nechť A je protivník, který odešle nejvýše q požadavků a každý požadavek má nejvýše nm bitů. Nechť m ≤ 2n/4. Dále ukážeme, že OMAC je pseudonáhodný, pokud je základní bloková šifra E bezpečná.
$\left|Pr(P\overset{R}{\leftarrow}Pern(n) : A^{OMAC_P(\cdot)} = 1) - Pr((R\overset{R}{\leftarrow}Rand(*, n):A^{R(\cdot)} = 1)\right|\leq \frac{(5m^2+1)q^2}{2^n}$

Poznámka 5.1. Nechť E : × → je základní bloková šifra, která se používá v OMAC. Potom , kde t' = t + O(mq) a q' = mq + 1. Nakonec ukážeme, že OMAC je chráněn jako algoritmus aMAC z poznámky 5.1 v obvyklém smyslu. Věta 5.1. Nechť E : KE × → je základní bloková šifra používaná v OMAC. Potom , kde t' = t + O(mq) a q' = mq + 1. $K_E$ $\{0,1\}^{n}$ $\{0,1\}^{n}$ $Adv_{OMAC}^{viprf}(t,q,nm)\leq \frac{(5m^2+1)q^2}{2^n} + Adv_{E}^{prp}(t',q ')$
$\{0,1\}^{n}$ $\{0,1\}^{n}$
$Adv_{OMAC}^{mac}(t,q,nm)\leq \frac{(5m^2+1)q^2+1}{2^n} + Adv_{E}^{prp}(t' ,q')$

Analogy

Většina technologií pro konstrukci autentizačního kódu zprávy je reprezentována jako hashovací funkce odesílané zprávy a specifický klíč, který odesílatel a příjemce znají, mezi ně patří: RIPE-MAC, IBC-MAC, UMAC, VMAC. CBC-MAC se zásadně liší od MAC pomocí proudové šifry (pomocí generátoru pseudonáhodných čísel se informační proud rozdělí na dva proudy, které se odesílají odděleně), nevýhodou jsou však slabé změny s malou změnou zpráva. Zvažte také Poly1305-AES, kde je jako klíč použit 128bitový klíč pro AES, 106bitový dvojkový doplňkový kód a také je vytvořeno 128bitové pseudonáhodné generování. Jako nevýhodu CBC-MAC můžete označit menší zabezpečení a jako výhodu - menší náročnost na výpočetní zdroje.

Poznámky

Literatura

Tetsu Iwata a Kaoru Kurosawa. OMAC: One-key CBC MAC . - 4-12-1 Nakanarusawa, Hitachi, Ibaraki 316-8511, Japan.: Department of Computer and Information Sciences, Ibaraki University, 2003. - S. 32.
M. Bellare, J. Kilian a P. Rogaway. Zabezpečení autentizačního kódu zprávy s řetězením šifry. JCSS, sv. 61, č.p. 3, 2000. Starší verze v Advances in Cryptology - CRYPTO '94, LNCS 839, s. 341–358, Springer-Verlag, 1994 . Archivováno 5. února 2012 na Wayback Machine
J. Black a P. Rogaway. CBC MAC pro zprávy libovolné délky: Tři klíčové konstrukce. Pokroky v kryptologii - CRYPTO 2000, LNCS 1880, pp. 197–215, Springer-Verlag, 2000 .
J. Black a P. Rogaway. Poznámky k NIST týkající se provozních režimů AES: Návrh pro zpracování zpráv libovolné délky pomocí CBC MAC. Workshop o druhých provozních režimech .
R. Lidl a H. Niederreiter. Úvod do konečných polí a jejich aplikací, přepracované vydání. Cambridge University Press, 1994 .
E. Petrank a C. Rackoff. CBC MAC pro zdroje dat v reálném čase. J. Cryptology, sv. 13, č. 3, str. 315–338, Springer-Verlag, 2000 .
S. Vaudenay. Dekorelace nad nekonečnými doménami: Zašifrovaný případ CBC-MAC. Communications in Information and Systems (CIS), sv. 1, str. 75–85, 2001. Starší verze ve vybraných oblastech kryptografie, SAC 2000, LNCS 2012, pp. 57–71, Springer-Verlag, 2001 .
P. Rogaway. Bucket hash a jeho aplikace pro rychlou autentizaci zpráv. Pokroky v kryptologii - CRYPTO '95, LNCS 963, pp. 29–42, Springer-Verlag, 1995 .
P. Rogaway, M. Bellare, J. Black a T. Krovetz. OCB: režim blokové šifry pro efektivní autentizované šifrování. Sborník z konference ACM o bezpečnosti počítačů a komunikací, ACM CCS 2001, ACM, 2001 .