鍵コミットメント

認証付き暗号が保証するのは、メッセージが改ざんされていないことである。鍵と暗号文が結び付いていることまでは保証しない。AES-GCMやChaCha20-Poly1305では、作為的な条件のもとで、1つの暗号文が2つの異なる鍵で検証を通ってしまうことがある。

これは些末な話ではない。パスワードベースの暗号化や、受信者が複数いる方式では、攻撃者が複数のパスワードで開けるファイルを作れる。そして、ユーザーが中身を信用するまで、それに気づく手段はない。この問題の研究は2020年代を通じて活発になった。