先加密后认证为何优于先认证后加密

组合加密和 MAC 时，有三种顺序：先加密后 MAC（EtM）、先 MAC 后加密（MtE）以及加密并 MAC（E&M）。每种顺序的安全属性都截然不同，只有其中一种在所有场景下都能得到可证明的安全性。

在先加密后 MAC 中，明文首先被加密生成密文，然后对密文计算 MAC。接收方无需尝试解密即可先验证 MAC，这意味着篡改的消息会立即被拒绝，不会泄露信息。

在先 MAC 后加密中，先对明文计算 MAC，然后将明文和 MAC 一起加密。接收方必须先解密消息才能验证 MAC，这为填充预言机和解密预言机攻击打开了大门。

SSL 3.0 和 TLS 1.0 在 CBC 模式的分组密码中使用先 MAC 后加密的顺序。这一设计缺陷分别被 2011 年的 BEAST 攻击和 2014 年的 POODLE 攻击利用；两者都利用了解密发生在 MAC 验证之前时存在的预言机。

2000 年，Bellare 和 Namprempre 从形式上证明，在三种组合顺序中，只有先加密后 MAC 对所有安全加密原语和 MAC 原语的组合都能实现 IND-CCA2 安全性（选择密文安全性）。在某些组合中，先 MAC 后加密和加密并 MAC 可能失效。

SSH 使用加密并 MAC：MAC 根据明文计算，并以明文形式与密文一同发送。尽管 SSH 没有遭受 SSL/TLS 先 MAC 后加密那样的攻击，但这种组合从理论上说同样存在缺陷，因为它可能通过未加密的 MAC 泄露明文信息。

带关联数据的认证加密（AEAD）是通过设计解决组合问题的现代抽象。AEAD 将加密和认证整合到单个原语中，确保二者始终以正确方式组合，而不要求开发者选择组合顺序。

AES-GCM（伽罗瓦/计数器模式）是部署最广泛的 AEAD 密码套件。它结合 CTR 模式加密和 GHASH 认证来提供认证加密，并且在现代 CPU 上通过 AES-NI 和 CLMUL 指令实现硬件加速。

TLS 1.3 通过移除所有非 AEAD 密码套件，与过去彻底决裂。每个 TLS 1.3 密码套件都使用 AEAD，消除了因不当手动组合加密原语和 MAC 原语而引发的整类漏洞；这些漏洞曾困扰早期 TLS 版本。

数十年来的密码学攻击带来的重要教训是，即使对专家而言，手动组合加密原语和 MAC 原语也容易出错。现代密码学库专门提供 AEAD 接口，以防止开发者犯下会导致现实世界漏洞的组合错误。

如今构建系统时，应始终优先使用 AES-GCM 或 ChaCha20-Poly1305 等 AEAD 原语。如果必须与使用独立 MAC 和加密的旧系统互操作，请确保采用先加密后 MAC 的顺序，绝不要使用先 MAC 后加密或加密并 MAC。

哪项陈述正确描述了先加密后 MAC 与先 MAC 后加密之间的安全差异？

先加密后 MAC 是独立加密原语和 MAC 原语唯一可证明安全的组合顺序。TLS 1.3 通过强制仅使用 AEAD 的密码套件彻底消除了这个问题。当无法确定时，请使用 AES-GCM 或 ChaCha20-Poly1305 等 AEAD 原语，并让库正确处理组合。