В своей статье "Слабые места аутентификации в GCMФергюсон описывает, как можно обнулить некоторые биты полинома ошибок, тем самым значительно увеличив вероятность подделки.
В: Что это означает в деталях? Что полученные уравнения не решают проблему получения подделки полностью, но пространство решения значительно сокращается? Значит, мы можем исправить некоторые биты полинома ошибок, а остальные биты нужно проверить методом проб и ошибок?
Утверждается, что (для примера) после $2^{16}$ испытания мы ожидаем удачной подделки. Что следует дальше, я не совсем понимаю: каким-то образом, повторяя какую-то стратегию, можно получить все больше и больше информации о H.
В: Повторение с разными шифрами? Мне нужен только один зашифрованный результат шифрования или много разных?
Q: Это довольно интересный материал, но кроме оригинальной статьи я не могу найти никакой литературы, которая разъясняла бы эту идею более подробно. Есть ли какой-нибудь другой источник, из которого я могу узнать, что стоит за этой идеей «более дидактически подготовленным способом»?
Я был бы рад, если бы кто-нибудь пролил свет на это и, возможно, дал мне ссылку на материалы для чтения.
