Cuando tenemos firmas digitales, ¿por qué necesitamos el concepto de código de autenticación de mensaje?

TL; DR: Ambos conceptos tienen casi el mismo propósito, pero la implementación de MAC es más rápida y pequeña.

Una firma digital es un hash del mensaje cifrado bajo una clave privada del remitente (el firmante) utilizando un algoritmo criptográfico de clave pública. Cualquiera puede validar una firma si se le da la clave pública correspondiente (para descifrar la firma y compararla con un hash calculado del mensaje realmente recibido). Para implementar uno, necesitamos una función hash criptográficamente segura y un cifrado asimétrico.

Un MAC es efectivamente un hash con clave (un hash que también es una función de alguna clave), que generalmente se implementa como ejecutar un cifrado de bloque (con una clave que se comparte entre el firmante y el verificador) sobre bloques de mensaje y combinar el salida del paso anterior con el siguiente para hacer que la salida amplia de un bloque dependa de la clave y el mensaje completo, al tiempo que satisface los requisitos de la función hash (por ejemplo, el efecto de avalancha). De esta manera podemos hacer un hash del mensaje y al mismo tiempo firmar ese hash, porque para reproducir el mismo resultado, quien verifica nuestra firma (o quiere falsificarla) debe tener exactamente la misma clave que tenemos. Entonces, un MAC certifica a los que conocen la clave que el remitente es alguien de ellos y conoce la misma clave.

Es el único inconveniente real de MAC que se basa en un cifrado simétrico, por lo tanto, todas las partes tienen que compartir la misma clave y mantenerla en secreto, y seguirán siendo indistinguibles entre sí. El principal beneficio es que un MAC es muy simple de implementar: solo necesita un cifrado en bloque, y los cifrados en bloque son rápidos y se ajustan convenientemente dentro de chips especializados bajo estrictas restricciones de sistemas integrados y similares.

Por otro lado, una firma digital hecha con un algoritmo criptográfico de clave pública como RSA o DSA o ECDSA es mucho más fácil de usar en la práctica, ya que la clave pública para verificar que la firma no es sensible y se puede distribuir fácilmente. Pero para implementarlo bajo restricciones estrictas, tendríamos que lidiar con dos algoritmos y claves más grandes, y potencialmente toda la infraestructura de clave pública.