Есть ли хорошая модель атаки HMAC?

Существуют ли хорошие модели атаки HMAC? Например, как его можно атаковать? Если есть какие-либо возможные атаки HMAC, я был бы рад узнать об этом.

HMAC как код аутентификации сообщений должен быть устойчив к экзистенциальной подделке. при атаке с выбранным сообщением это известно как EUF-CMA.

HMAC как псевдослучайная функция должна быть устойчива к атаке различения, опять же, при атаке с выбранным сообщением, которая известна как IND-CMA.

Я совершенно уверен в части MAC, но я не совсем уверен в части PRF. Я не знаю хороших ссылок на это, не стесняйтесь добавлять сюда.

Помимо грубой силы и утечки простого ключа, единственными возможными атаками против HMAC являются атаки на реализации.

Один из них: Соня Белаид, Люк Беттале, Эммануэль Доттакс, Лори Женель, Франк Рондепьер: Дифференциал Анализ мощности HMAC SHA-2 в весовой модели Хэмминга, в материалы SECRYPT 2013.

Другим является поиск общего ключа с использованием инжекция неисправности, который находит $n$-bit MAC-ключ в $n+1$ запросы (независимо от алгоритма), предполагая, что устройство вычисляет и выводит (H)MAC фиксированного сообщения; это устройство последовательно копирует ключ из долговременного хранилища (например, флэш-памяти) в ОЗУ при каждом вычислении MAC; и (это сложный момент) злоумышленник может заменить бит по своему выбору на ноль во время этой передачи (например, с помощью лазерного освещения нужного места в нужный момент выполнения). Чтобы найти ключевой бит, злоумышленник сравнивает MAC с заменой и без нее.