CBC-MAC
この結果は C n {\displaystyle C_{n}} と等しくなる。
t ′ = E K ( C n − 1 ′ ⊕ E K − 1 ( C n ) ⊕ C n − 1 ′ ) = E K ( E K − 1 ( C n ) ) = C n {\displaystyle t'=E_{K}(C_{n-1}'\oplus E_{K}^{-1}(C_{n})\oplus C_{n-1}')=E_{K}(E_{K}^{-1}(C_{n}))=C_{n}}
ゆえに t ′ = C n = t {\displaystyle t'=C_{n}=t} となる。
このように、イブは通信経路上において、元の平文を知ることなく暗号文を改変することができ、そのCBC-MACタグも元のタグと等しいため、ボブは通信経路上でコンテンツが改変されたことを検知することができない。すなわち、メッセージ認証符号として破綻している。
暗号化と認証に異なる鍵 K 1 {\displaystyle K_{1}} および K 2 {\displaystyle K_{2}} を用いた場合には、この攻撃は成功しない。
この例は、CBC-MACを衝突耐性のある一方向関数として用いることができないことも示している。
FIPS PUB 113 Computer Data Authentication において、DESをブロック暗号として用いるCBC-MACがアメリカ合衆国の標準 (FIPS) として指定されている。また、CBC-MACはISO/IEC 9797-1 MAC Algorithm 1と等価である。