Безопасно ли использование CFB в SIV?

Я не знаю, имеет ли это большое значение, но имеете ли вы в виду конкретную конструкцию MAC (подобную)? Сам по себе CFB не создает тег аутентификации, который можно использовать как синтетический IV.

SIV обычно имеет CMAC.

SIV обычно также использует два отдельных ключа (хотя они определяют их как один ключ, yuk). В этом случае синтетический IV/тег будет полностью отличен от шифра.Вот почему я спрашиваю, так как в противном случае нам, возможно, придется предположить, что MAC-адреса используют одну и ту же ключевую перестановку и могут помешать безопасности CFB.

Да, ключи должны быть разными для MAC и шифрования. Проблема в том, что я не знаю, почему SIV безопасен, а другие Encrypt-and-MAC обычно нет. Возможно это потому, что IV не защищен MAC и вы можете изменить IV, который не работает в SIV, потому что это одновременно MAC. Я прав?

Вы можете увидеть 4 пункта о шифровании и MAC [здесь] (https://crypto.stackexchange.com/a/205/1172). CFB — это потоковый режим, поэтому во время расшифровки не должно быть никаких ошибок (например, атаки оракула заполнения невозможны). Конечно, вы не должны использовать открытый текст без проверки, но это всегда так. Конечно, будут появляться полностью повторяющиеся сообщения, но это ожидаемый результат. В противном случае я думаю, что он должен быть похож на CTR, за исключением того, что вы не можете распараллелить шифрование.

Этот вопрос на других языках: