Скользящая атака - Slide attack

В скользящая атака это форма криптоанализ разработан, чтобы справиться с распространенной идеей, что даже слабые шифры может стать очень сильным, увеличив количество раундов, что может отразить дифференциальная атака. Атака скольжения работает таким образом, что количество раундов в шифре не имеет значения. Вместо того, чтобы смотреть на аспекты рандомизации данных блочного шифра, атака скольжения работает, анализируя ключевой график и используя его слабые стороны, чтобы взломать шифр. Самый распространенный - это циклическое повторение клавиш.

Нападение было впервые описано Давид Вагнер и Алексей Бирюков. Брюс Шнайер впервые предложил термин скользящая атака им, и они использовали его в своей статье 1999 года, описывающей атаку.

Единственное требование, чтобы атака скольжения работала с шифром, - это то, что она может быть разбита на несколько раундов идентичного F функция. Вероятно, это означает, что у него есть расписание циклических ключей. В F функция должна быть уязвима для атака с известным открытым текстом. Скользящая атака тесно связана с атака по связанным ключам.

Идея скользящей атаки уходит корнями в статью, опубликованную Эдна Гроссман и Брайант Такерман в техническом отчете IBM в 1977 году. Гроссман и Такерман продемонстрировали атаку на слабую блочный шифр названный Новая печать данных (NDS). Атака основывалась на том факте, что шифр имеет идентичные подключи в каждом раунде, поэтому у шифра было расписание циклических ключей с циклом только одного ключа, что делает его ранней версией скользящей атаки. Краткое изложение отчета, включая описание блочного шифра NDS и атаки, приведено в Системы шифрования (Бекер и Пайпер, 1982).

Фактическая атака

Сначала введем некоторые обозначения. В этом разделе предполагается, что шифр принимает п битовые блоки и имеет расписание ключей, использующее ${ displaystyle K_ {1} cdots K_ {m}}$ как ключи любой длины.

Атака скольжения работает, разбивая шифр на идентичные функции перестановки, F. Этот F функция может состоять из более чем одного раунда шифра; это определяется ключевым расписанием. Например, если шифр использует расписание с чередующимися ключами, где он переключается между ${ displaystyle K_ {1}}$ и ${ displaystyle K_ {2}}$ для каждого раунда F функция будет состоять из двух раундов. Каждый из ${ displaystyle K_ {i}}$ появится хотя бы один раз в F.

Следующим шагом будет сбор ${ Displaystyle 2 ^ {п / 2}}$ пары открытый текст-зашифрованный текст. В зависимости от характеристик шифра меньшего количества может хватить, но проблема дня рождения не более чем ${ Displaystyle 2 ^ {п / 2}}$ должно быть необходимо. Эти пары, обозначенные как ${ displaystyle (P, C)}$ затем используются, чтобы найти скользящая пара который обозначается ${ displaystyle (P_ {0}, C_ {0}) (P_ {1}, C_ {1})}$ . Скользящая пара обладает тем свойством, что ${ Displaystyle P_ {0} = F (P_ {1})}$ и это ${ Displaystyle C_ {0} = F (C_ {1})}$ . После идентификации скользящей пары шифр ломается из-за уязвимости к атакам с использованием известного открытого текста. Ключ может быть легко извлечен из этой пары. Скользящую пару можно рассматривать как то, что происходит с сообщением после одного применения функции. F. Он «скользит» по одному раунду шифрования, и именно здесь атака получает свое название.

Процесс поиска скользящей пары несколько отличается для каждого шифра, но следует той же базовой схеме. Один использует тот факт, что относительно легко извлечь ключ всего за одну итерацию F. Выберите любую пару пар простой текст-зашифрованный текст, ${ displaystyle (P_ {0}, C_ {0}) (P_ {1}, C_ {1})}$ и проверьте, какие ключи соответствуют ${ Displaystyle P_ {0} = F (P_ {1})}$ и ${ Displaystyle C_ {0} = F (C_ {1})}$ находятся. Если эти ключи совпадают, это скользящая пара; в противном случае переходите к следующей паре.

С ${ Displaystyle 2 ^ {п / 2}}$ Ожидается, что пары открытый текст-зашифрованный текст - одна скользящая пара, а также небольшое количество ложных срабатываний в зависимости от структуры шифра. Ложные срабатывания можно устранить, используя ключи в другой паре сообщение-зашифрованный текст, чтобы проверить правильность шифрования. Вероятность того, что неправильный ключ правильно зашифрует два или более сообщения, очень мала для хорошего шифра.

Иногда структура шифра значительно сокращает количество необходимых пар открытый текст-зашифрованный текст и, следовательно, также требует большого объема работы. Самым наглядным из этих примеров является Шифр Фейстеля с использованием циклического ключевого расписания. Причина этого - ${ displaystyle P = (L_ {0}, R_ {0})}$ поиски для ${ Displaystyle P_ {0} = (R_ {0}, L_ {0} bigoplus F (R_ {0}, K))}$ . Это уменьшает количество возможных парных сообщений от ${ Displaystyle 2 ^ {п}}$ вплоть до ${ Displaystyle 2 ^ {п / 2}}$ (поскольку половина сообщения зафиксирована) и поэтому не более ${ Displaystyle 2 ^ {п / 4}}$ Пары открытый текст-зашифрованный текст необходимы для того, чтобы найти скользящую пару.

Скользящая атака - Slide attack

Фактическая атака

Рекомендации