Sử dụng CMAC thay vì hàm băm để ký tin nhắn

Điều gì sẽ xảy ra nếu thay vì hàm băm H, chúng ta sẽ sử dụng CMAC với khóa K, sau đó ký kết quả của CMAC(M, K) bằng khóa riêng? Hoạt động như vậy có an toàn bằng mật mã không?

Nếu $K$ được sử dụng cho một chữ ký cụ thể là công khai (chữ ký này phải được xác minh bởi người nắm giữ khóa chung và chữ ký và không có gì bí mật), sau đó có thể dễ dàng tìm thấy thông báo thứ hai $M'$ như vậy mà $\text{CMAC}(M, K) = \text{CMAC}(M', K)$; nghĩa là, chữ ký cũng sẽ xác minh bằng tin nhắn thứ hai đó $M'$.

Trên thực tế, kẻ tấn công sẽ có rất nhiều sự linh hoạt trong việc lựa chọn $M'$; anh ta có thể chỉ định toàn bộ $M'$ tin nhắn ngoại trừ khối 16 byte được căn chỉnh ở bất kỳ đâu trong tin nhắn đó - sau đó anh ta có thể tính toán hiệu quả giá trị 16 byte đó phải là bao nhiêu; điều đó mang lại cho anh ta toàn bộ $M'$.

Mặt khác, nếu $K$ là bí mật, điều trên không áp dụng. Tất nhiên, điều đó đặt ra một câu hỏi rõ ràng: nếu người ký và người xác minh chia sẻ một bí mật (và bạn có thể tin tưởng rằng người xác minh sẽ không cố gắng tạo ra các giả mạo), tại sao bạn không sử dụng CMAC và không bận tâm đến thao tác ký ?