認証付き暗号

機密性だけでは足りない。攻撃者が暗号文のビットを気づかれずに反転できれば、復号結果は良くてもゴミ、悪ければ攻撃者の望む内容になる。認証付き暗号は一つの部品で両方をこなす。一つの鍵で秘匿と完全性を守り、タグが一致しなければ復号は平文を返すことを拒否する。

暗号とMACをまずく組み合わせた実装は歴史上いくつもあり、パディングオラクル攻撃がその典型的な結果だった。現在の標準はAES-GCMやChaCha20-Poly1305といったAEAD構成で、そのインターフェースは2008年のRFC 5116で定式化された。