認証タグ

MACやAEADの方式はタグを生成し、受信側はそれを再計算して比較する。一致しなければメッセージは拒否される。単なる暗号化と認証が異なるのはこの点だ。比較は定数時間で行わなければならない。さもないと、応答時間から何バイト一致したかが漏れる。

タグは短すぎることもある。GCMはタグの切り詰めを認めており、32ビットのタグでは約40億回に1回は偽造が通る。何度も試行できる攻撃者を相手にするには余裕が薄すぎるため、短いタグは意図して選ぶべきである。