MDC — это не MAC, и в PGP нет подтверждения ключа.
RFC6637 был опубликован в 2012 году, до версии 3 или даже 2 SP800-56A; как указано в раздел 15.1 он ссылается на версию 1 марта 2007 года. Это было до того, как NIST начал присваивать DOI, и я не знаю, можете ли вы все еще найти версию 1, но у меня есть копия, которую я сохранил, и схема C(1,1,ECC CDH) в 6.2.2.2 этого документа, который в то время еще не был помечен как «1e,1s», сам по себе не включает никакого подтверждения ключа, но относится к необязательному использованию 8.4.7, который добавляет тег, отправленный обратно от получателя (V) к отправитель (U) по существу такой же, как сейчас описано в 6.2.2.3.1 ред. 3. Это не было указано для PGP и не могло использоваться там, потому что PGP разработан и определен, чтобы разрешить и включить случай, когда нет возврата сообщение от получателя к отправителю, и даже если бы такое сообщение было, отправитель не мог бы предпринять никаких действий, чтобы отреагировать на любой сбой здесь, что делает его бесполезным.
MDC, упомянутый в разделе 8 RFC6637, как прямо и ясно указано там, является RFC4880, раздел 5.13 который определяет
... пакет кода обнаружения модификации (MDC) ...
и объясняет:
Система MDC, как называются пакеты 18 и 19, была создана для
обеспечить механизм целостности, который менее надежен, чем
подпись, но сильнее, чем простое шифрование CFB.
...
Очевидный способ защитить или аутентифицировать зашифрованный блок:
поставить цифровую подпись. Однако многие люди не желают
привычно подписывать данные, по большому количеству причин, выходящих за рамки
объем этого документа. Достаточно сказать, что многие люди
считают такие свойства, как отрицание, столь же ценными, как и
честность.
OpenPGP удовлетворяет это желание иметь больше безопасности, чем необработанные данные.
шифрование и при этом сохранить возможность отрицания с помощью системы MDC. Ан
MDC намеренно не является MAC. Его имя не было выбрано
несчастный случай. Это аналог контрольной суммы.
Таким образом, функциональность MDC технически излишня, когда вы подписываете, но поскольку спецификация не требует и не может требовать подписи, проще требовать MDC, даже если он «на самом деле» не нужен (и, следовательно, несколько сложнее реализовать неправильно) .
