CRC-MAC算法的各种密码分析方法全面盘点

将CRC（循环冗余校验）这种线性、非加密的校验和直接用作或改造为MAC（消息认证码），在密码学上是高度不安全的。其根本原因在于CRC的设计目标是检测随机传输错误，而非抵御恶意攻击。

以下是针对CRC-MAC各类密码分析方法的全面盘点。

🧬根本弱点：线性与代数结构性

CRC算法的核心缺陷是其数学上的线性结构，这为多种攻击打开了大门。

• 线性叠加攻击 (Linearity Attack)：CRC函数满足CRC(A) XOR CRC(B) = CRC(A XOR B)。攻击者可以利用此性质，通过异或操作分离出消息和MAC值，从而在不掌握密钥的情况下，为两条已知消息的异或结果构造出合法的MAC。
• 代数攻击 (Algebraic Attack)：CRC的每个输出位都可以表示为输入消息位和密钥位的代数方程。攻击者可以通过收集足够的（消息，MAC）对，建立并求解这些方程来恢复密钥-。有研究者指出，CRC-MAC可能无法抵御此类攻击。

🔓直接攻击：伪造与消息修改

由于CRC不依赖密钥，攻击者可以轻易实施以下攻击。

• 平凡伪造 (Trivial Forgery)：这是最直接的攻击。一旦攻击者得知CRC多项式，就可以在消息上异或（XOR）该多项式的任意倍数，而CRC校验值保持不变。攻击者能随意修改消息并重新计算CRC。
• 消息修改攻击 (Message Modification Attack)：攻击者可以修改密文，并精确预测出需要如何修改CRC值来“匹配”修改后的消息。有研究指出，仅靠加密CRC-32来构建MAC的方案已被证明是不安全的。

🎯特定场景攻击

针对特定实现或场景，还存在以下攻击方法。

• 选择明文攻击 (Chosen-Plaintext Attack)：攻击者可以诱导系统对特定消息（如全零消息）计算MAC。通过观察返回的CRC值，攻击者能获取伪随机数发生器（PRN）的部分输出，从而可能预测后续密钥或MAC。
• 碰撞攻击 (Collision Attack)：CRC函数无法避免碰撞。虽然理论上构造碰撞是可行的，但在实际协议中，利用CRC的线性特性实施攻击更为常见。

🛠️实践与工具

• CTF挑战实例：在MMA CTF 2015中，参赛者成功利用CRC的线性性质，破解了使用HMAC-CRC512的登录系统。
• 自动化工具：存在如CrcHack等工具，可帮助在已知CRC多项式的情况下，自动构造能产生特定CRC值的消息。

💎总结

总而言之，任何依赖CRC核心算法构建的MAC都是不安全的。

• 直接使用CRC：由于不包含密钥，任何人都可以重新计算，完全不具备MAC的安全性。
• 密钥化CRC：即使引入密钥（如加密CRC值），其底层的线性代数结构仍是致命弱点，无法提供可靠的安全保障。

因此，在需要确保数据完整性和真实性的场景中，必须使用标准的、经过密码学验证的MAC算法，例如HMAC或基于分组密码的CMAC。