Abstrakt. Vi studerar frågan om hur man generiskt komponerar symmetrisk kryptering och autentisering när man bygger "säkra kanaler" för att skydda kommunikation över osäkra nätverk. Vi visar att alla säkra kanaler protokoll utformade för att fungera med någon kombination av säker kryptering (mot valda klartext attacker) och säkra MAC måste använda encrypt-then-autenticate metod. Vi visar detta genom att visa att de andra vanliga metoderna för att komponera kryptering och autentisering, inklusive autentisera-då-kryptmetoden som används i SSL, inte är generiskt säkra. Vi visar ett exempel på en krypteringsfunktion som ger (Shannons) perfekt sekretess men i kombination med någon MAC-funktion under autentisera-då-kryptera metoden ger ett helt osäkert protokoll (till exempel att hitta lösenord eller kreditkortsnummer som överförs under skyddet av ett sådant protokoll blir en enkel uppgift för en aktiv angripare). Detsamma gäller för encrypt-and-autenticate-metoden som används i SSH. På den positiva sidan visar vi att autenticate-then-encrypt metoden är säker om krypteringsmetoden som används är antingen CBC-läge (med en underliggande säker block chiffer) eller en ström chiffer (att xeller data med en slumpmässig eller pseudorandom pad). Således, medan vi visar den allmänna säkerheten för SSL som ska brytas, de nuvarande praktiska implementationer av protokollet som använder ovanstående typer av kryptering är säkra.
Krawczyk REF övervägde också samma problem när man byggde en säker kanal över osäkra nätverk.
The order of encryption and authentication for protecting communications (or: how Secure is SSL?)
{'venue': 'IACR Cryptology ePrint Archive', 'journal': 'IACR Cryptology ePrint Archive', 'mag_field_of_study': ['Computer Science']}