鍵分離
一つの鍵は一つの用途にしか使わず、用途ごとの鍵は別々に導出するという原則。
同じAES鍵をCBC暗号化とCBC-MACの両方に使うのは倹約に見えて無害そうだが、メッセージの偽造を許してしまう。MACは最後の暗号文ブロックそのものだからだ。RSA鍵で署名と復号の両方を行う場合や、二つのプロトコルがマスター鍵を共有し一方が他方へのオラクルになる場合にも、似た問題が起きる。
対策は安価だ。マスター秘密を一つ持ち、KDFで用途ごとにラベルを付けてサブ鍵を導出する。"client write key"、"server write key"、"mac" といった具合だ。TLS 1.3やSignalは全体でこれを行っている。コストはハッシュ呼び出し数回分で、見返りは、システムの一角での過ちがその一角に留まることである。