摘要

  • 第 13 版明确把关联认证数据与明文一起计入总量。只统计密文负载，算的不是安全界限要求的那个数。
  • 加密成功次数、验证失败次数、随机数是否重复、密钥总数以及单把密钥的最大暴露是不同凭证。按进程或连接分割的计数器很容易把它们拆散。
  • 草案给出公式和示例，不提供通用轮换周期。风险目标由应用负责，计数、拒绝、启用与退役则必须由运行中的系统给出证据。

研究公式不会替运营团队计数

Crypto Forum Research Group 于 2026 年 9 月 3 日发布《AEAD 算法用量限制》第 13 版。文本新增了“CFRG 共识产物”的表述，但它仍是 IRTF Internet-Draft，可能继续修改、到期，或最终不成为 RFC。

重复使用同一密钥会逐步提高攻击者优势，这一结论并不新鲜。困难在于如何把“少用一点”变成具体服务的准入规则。RFC 5116 统一了接口：密钥、随机数、明文和关联数据进入，密文以及成功或失败结果出来。它却不知道生产系统有多少副本，重启后计数是否保留，被拒绝的输入走过哪个验证器，也不知道若干连接是否属于同一多密钥范围。

因此，草案提供的是最低共同边界，而不是远程接管运营权。接受多大风险、怎样证明在线流量受此边界约束，仍是本地决策。

“足够小”必须由应用明说

草案区分认证加密优势、机密性优势和完整性优势。应用选择可接受目标，再结合构造和部署参数推导实际限制。顺序不能倒过来。

把示例表的一行抄进轮换任务，并不能形成合规策略。表里的数字依赖消息大小、离线攻击工作量和目标概率。标签长度一变，失败验证可能先于正常流量成为最稀缺的资源。

每个阈值都应附着可审计上下文：具体算法、标签长度、消息范围、离线工作假设、风险目标和密钥集合定义。缺少这些信息，“预算用了 60%”只是没有含义的界面数字。

AAD 不是负载，却会消耗预算

第 13 版把 s 明确定义为明文加关联认证数据（AAD）的总块数，L 也同时覆盖二者。这一修改修补了真实的计量缝隙。

AAD 不被加密，却参加认证计算。协议头、序号、上下文标签或路由元数据可能不出现在秘密正文中，但仍然增加密码学工作量。若遥测只按应用负载收费，仪表盘会显示尚有余量，而构造已经处理了更多数据。

CCM 把边界展示得很清楚：底层操作包括 AAD、密文和明文的块数，再加一次操作；草案用 2L 作保守近似。具体公式属于具体构造，但一般原则很稳定：可见流量不等于安全计量对象。

成功与拒绝花费两种权限

q 表示受保护消息数，v 表示失败解密或伪造尝试数。写端掌握前者，读端与防御层看到后者。若它们没有进入同一个记账域，服务可能严守机密性预算，却完全丢失完整性预算。

AES-CCM_8 的 64 位标签说明了后果。第 13 版解释了受保护消息和失败尝试为何获得不同额度。单密钥示例里的 2^13 只是特定假设下的演示，不能直接作为普遍阈值。真正重要的是：被系统成功拒绝的恶意流量，也可能消耗最紧缺的密码学权限。

所以失败请求不能在错误处理里先消失再计数。限速可以降低压力，但除非它覆盖公式所指的确切验证动作与密钥范围，否则它不是密码学账本。

既要看全体，也要看最热的一把钥匙

第 6 节只讨论单密钥，并明确要求多密钥场景不得套用这组限制。一次连接内的重设密钥、多条连接之间的不同密钥，都可能进入第 7 节的多密钥模型。在那里，攻击者击破任意一把密钥都算成功。

轮换减少单密钥工作量，却扩大密钥总体。多密钥公式既需要汇总 q 与 v，也可能需要单把密钥的最大块数：GCM 使用 B，CCM 使用包含加密与解密的 C。只看总体平均，会藏住热点密钥；只看单钥，又会忽略攻击者从大量密钥中任选一个目标的优势。

容器重启、地区切换、租户迁移或监控换代不能凭空生成新预算。计量范围必须追随密钥与分析，而不能追随仪表盘的生命周期。

随机数是独立闸门

对 GCM 等构造，同一密钥下重复随机数可能严重破坏机密性与完整性。用量尚未到阈值，不能为重复组合开脱。系统必须证明谁分配随机数，怎样处理并发、崩溃与回滚，以及违规后如何隔离。

第 13 版还说明，当概率推导出的 GCM 限制接近上界时，s + q + v < 2^64 会成为实际约束。这再次表明，准入应听从最先到达的限制，而不是最方便展示的计数器。

轮换至少有四个时刻

新密钥被创建、分发、启用于新写入，随后从读取接受集合中退役。这四个时刻并不相同。写端已经切换时，读端可能仍需旧密钥；在途工作也会跨过边界。

准入闸门要为延迟遥测、并发预留、重试和在途操作留出余量。计数服务不可用时，是关闭密码路径、使用严格限额的应急额度，还是接受明示风险，必须事先决定。观测消失不应自动变成权限增加。

这次修订没有证明什么

本报告没有测试 TLS 栈、QUIC 端点、云服务、VPN、数据库、设备或密钥管理器。成功握手不显示剩余预算，认证标签有效不证明此前计量完整，轮换日志也不证明所有写端都已放弃旧密钥。

来源没有证明事故、入侵、采用率、性能或实现一致性。第 13 版的价值更窄也更可靠：它帮助管理者准确地追问生产系统欠缺哪些证据。

来源