• Asynchronous Stream Ciphers• Key

• Asynchronous Stream Ciphers
• Key stream depends also on the ciphertext (dotted feedback enabled)

DEFINITION OF A GENERATOR

1. Key initialization
Set all the internal variables according to the selected key
IV initialization
Set all the internalvariables according to the IV
2.Run the generator and produce the keystream
Z = z1, z2, z3, …
3. Add the keystreamto the plaintext
ci = pi + z
MOTIVATION FOR
STUDYING STREAM CIPHERS
We need to bring forward new modern
stream ciphers and study them carefully
A modern stream cipher should be superior
to a block cipher in performance (software
and hardware)
A modern stream cipher should provide
security similar to a block cipher, for
example, the ``best’’attack is an exhaustive key search attack
RECENTLY PROPOSED STREAM CIPHERS
Some proposed stream ciphers
2000-2003
SNOW 2.0 Lund Univ.
SOBER –t16, t32, 128 Qualcomm
TURING “
SCREAM IBM
MUGI Hitachi
RABBIT Cryptico
Word-oriented, fast in software
Use of LFSR or buffers
One linear part/update and one nonlinear
eSTREAMproject (2004-2008)
•34 stream ciphers submitted (2005)
•Software: CryptMT, Dragon, HC, LEX,
NLS, Rabbit, Salsa20, Sosemanuk
•Hardware: DECIM, Edon80, F-FCSR,
Grain, Mickey, Moustique, Pomaranche,
Trivium
•Alot of new ideas and techniques being
Evaluate
THE SNOW STREAM CIPHERS
Designedat Lund University, Sweden
(Johansson, Ekdahl)
SNOW 2.0
ISO standard ISO/IEC 18033-4:2005
DPCP (DisplayPortContent Protection)
Reference stream cipher in eSTREAM
SNOW 3G UMTS
A5/1
Another Attack on A5/1
Patrik Ekdahl and Thomas Johansson
IEEEtrans on infor 2002
A GSM conversation is sent as a sequence of frames, where one frame is sent every 4.6 millisecond. Each frame contains 114 bits representing the communication from A to B, andanother 114 bits representing the communication from B toA. Each conversation is encrypted by a new session key ..
For each frame to be sent, the session key .is mixed with a publicly known frame counter, denoted , and the result serves as the initial state of the shift registers in the A5/1
generator . It then produces 228 bits of running key , which is xored with the 228 bits of plaintext to produce the ciphertext.
Guang Gong
Dept. of Electrical and Computer Engineering
University of Waterloo


The layout of the A5/1 cipher is as follows

Figure
A5/1 consists of three short binary linear feedback shift registers (LFSRs) of lengths 19, 22, 23, denoted by R1, R2,R3, respectively . The three LFSRs all have primitive feedback polynomials. The running key of A5/1 is given as the XOR
of the output of the three LFSRs, as illustrated in Figure 1.
The LFSRs are clocked in an irregular fashion. It is a type of stop/go clocking with a majority rule as follows. Each register
has a certain clocking tap, denoted , respectively .
Each time the LFSRs are clocked, the three clocking taps -determine which of the LFSRs that are clocked. R1and R2 are clocked, but not R3, if
; R1 and R3 are clocked, but not R2, if
; R2 and R3 are clocked, but not R1, if
-; finally, R1, R2 and R3 are all clocked, if
-. Note that at each step at least two LFSRs are clocked, and that the probability
for an individual LFSR being clocked is
¾.
The key initialization.
For each frame, the LFSR is initialized by
Registers are zeroed,


and ignoring the ‘stop/go’ (clock bits), the registers are then
clocked 64 times, being fed a bit from the session key , outputs are discarded.

· Registers are clocked 22 more times (still ignoring the stop/go control), being fed
in data from the 22 bit frame counter , discarding the outputs.



· Registers are clocked 100 times without any input data, but still outputs are
discarded.



· Registers are then clocked 228 times (using the stop/go control), and a bit of the
keystream is generated by XOR’ing the output bit of each of R1, R2, and R3.



· These 228 bits are used for encryption of a frame between the two parties.


LFSR and Stream Ciphers: Correlation Attacks
A very powerful attack on stream ciphers that use LFSR is a correlation attack. The basis for the attack is the notion that there is some relationship between one of the registers in the scheme and the output of the boolean function . The attack starts as a brute force attack, but if a correlation can be determined, it becomes a divide and conquer attack.
There are numerous ways to determine whether or not a register is correlated to the
output of , including a way to exhaustively search, proposed by Siegenthaler[3].
When an attacker starts a correlation (brute force) attack on a stream cipher, he must
consider the system as a whole. The states of the registers are usually independent of each other, but that information is private, so the attacker can only know the structure of the register, and the output bit of . Therefore, he must break the entire system via brute force. However, if he can determine that a correlation exists between a single register and the output of , then he can break that register individually, vastly improving the speed of the attack.
Generally, we consider the following complexity of a brute force attack on a stream cipher using LFSR. Given registers , with lengths , to break the system, we must exhaustively try all possible keys and compare, so we have .
However, if we can correlate one register, say , then the complexity then is reduced
to .
We look at a concrete example to further this point. Assume we have a system with 3
LFSR, each of 16 bits. Then, to brute force the whole system and determine the key used, we have a complexity of . If we can attack one register with a correlation attack, then the complexity decreases to , a savings of 65535. If we can attack two registers with correlation attacks, then complexity decreases even further to a much lower , a massive savings.
Although this ‘correlation’ property seems unlikely if is a well-chosen, non-linear
function, there have been improvements to [Siegenthaler’s] exhaustive search, including “a very interesting way of exploring the correlation in a fast correlation attack provided that the feedback polynomial of the LFSR has a very low weight” [3]. So, one way to combat correlation attacks on a stream cipher is to choose as many tap positions as possible – or – choose a polynomial that has as many non-zero coefficients as possible.
Correlation attacks have improved as time has gone by. A new attack on any feedback
polynomial for an LFSR stream cipher (regardless of weight of the polynomial) is presented in [3] using convolutional codes. Therefore, it has become practice to avoid the use of LFSR in stream ciphers wherever possible – for example in RC4, RC5, and RC6.NFSR(nonlinear feedback shift register) is the most adequate choice!
VI. LFSR and Stream Ciphers: A5/1
The most serious attack of A5/1 came after Barkan, Biham, and Keller determined an
inherent weakness in all phones that were capable of using A5/2 encryption. There are numerous attacks on A5/2 that are well known, and also known to be extremely fast [5]. While the details will not be discussed, the A5/2 cipher can have its key recovered in less than a second.
(Interestingly, A5/2 was also developed simultaneously with A5/1, but it was intended for use in “export regions”, namely not the US and UK. Its implementation is sufficiently and purposefully weaker and thus more vulnerable. The plan was to keep both A5/1 and A5/2’s algorithms secret, but in 1999 they were reverse engineered and designs were made publicly available. The very insecure A5/2 is very similar to A5/1, and this fact helped bring the demise of the A5/ stream cipher.)
The idea that Barkan, Biham, and Keller proposed is an attack on either A5/1 or the
newer A5/3 (also known as KASUMI). The attack is a man in the middle attack, where the adversary acts as the network to the victim, and the victim to the network. This attack assumes the victim’s phone has the capability to encrypt using the A5/2 protocol. The steps to break A5/1
[5]:
· The network asks for authentication of the victim, and the attacker allows this to take place, so both the network and victim believe they are talking securely.
· The network asks the victim which protocol he would like to use for encryption. While this is taking place, the attacker asks the victim to start encrypting with A5/2. The
attacker quickly recovers the key. This key is used for A5/1 or A5/3 as well as being used for A5/2, so the attacker now has the correct key to be used for decryption.
· The attacker then tells the network that the victim would like either A5/1 or A5/3, and then lets the victim and the network talk normally, being able to recover any
transmissions and decrypt it.
With this attack and others (including a class-mark attack), A5/1 was officially
broken by Barkan, Biham, and Keller in 2006. The interest in breaking this scheme has continued through today. More attacks including a brute force attack with highly parallel FPGA’s (called COPACOBANA), and GPU’s have surfaced in an effort to more efficiently recover the keys used for the stream cipher.
IN SHORT:
What does A5/1 suffer ?
• It can be broken with few hours by a PC.
• Short period problem: Without stop/go operation, the period of sum of the three LFSRs is given by (2^19-1)
( 2^22-1)(2^23-1).
However, the experiement shows that the period of A5/1 is arround (4/3)(2^23-1).
• Collision problem: different seeds (i.e., different initial
states of three LFSRs) may result in the same key stream (G.Gong new results shows that only 70% seeds produce
different key streams.)
• The maority function is the worst function in terms of correlation with all affine functions.
[R]Cryptographic Data Protection in the GSM Cellular System
Andrey A. Chusov et alpacific Science Review, vol. 10, no. 3, 2008, pp. 265~267
To overcom

Kết quả (Việt) 1:

• Stream không đồng bộ mật mã• Chìa khóa stream cũng phụ thuộc vào ciphertext (chấm phản hồi được kích hoạt) ĐỊNH NGHĨA CỦA MỘT MÁY PHÁT ĐIỆN 1. khóa khởi tạoĐặt tất cả các yếu tố nội bộ theo phím đã chọnKhởi tạo IVĐặt tất cả các internalvariables theo IV2. chạy máy phát điện và sản xuất keystreamZ = z1 z2, z3,...3. Thêm keystreamto văn bản thuần ci = pi + zĐỘNG LỰC CHO STREAM NGHIÊN CỨU THUẬT TOÁN MẬT MÃChúng tôi cần phải mang theo về phía trước mới hiện đại dòng thuật toán mật mã và nghiên cứu chúng cẩn thậnMật mã hiện đại dòng nên được cấp trên để mật mã khối trong hoạt động (phần mềm và phần cứng)Mật mã dòng hiện đại sẽ cung cấp bảo mật tương tự như một thuật toán mật mã khối, cho Ví dụ, các cuộc tấn công '' tốt nhất '' là một cuộc tấn công tìm quan trọng đầy đủMỚI ĐƯỢC ĐỀ XUẤT STREAM THUẬT TOÁN MẬT MÃMột số thuật toán mật mã đề xuất stream 2000-2003TUYẾT 2.0 Lund Univ.SOBER-t16, t32, 128 QualcommTURING"SCREAM IBMMUGI Hitachi THỎ CrypticoTheo định hướng từ, nhanh chóng trong phần mềmSử dụng LFSR hoặc bộ đệmMột tuyến tính phần/Cập Nhật và một phi tuyếneSTREAMproject (2004-2008)•34 dòng thuật toán mật mã gửi (2005)•Software: CryptMT, Dragon, HC, LEX, Đội NLS, thỏ, Salsa20, Sosemanuk•Hardware: DECIM, Edon80, F-FCSR, Ngũ cốc, Mickey, Moustique, Pomaranche, Trivium•Alot của những ý tưởng mới và kỹ thuật Đánh giáTHUẬT TOÁN MẬT Mà DÒNG TUYẾTDesignedat đại học Lund, Thuỵ Điển (Johansson, Ekdahl)TUYẾT 2.0ISO tiêu chuẩn ISO/IEC 18033-4:2005 DPCP (DisplayPortContent bảo vệ)Mật mã dòng tài liệu tham khảo trong eSTREAMTUYẾT 3G UMTSA5/1 Một cuộc tấn công trên A5/1Patrik Ekdahl và Thomas JohanssonIEEEtrans trên thông tin năm 2002Một hội thoại GSM được gửi như một chuỗi các khung, nơi một khung được gửi mỗi millisecond 4.6. Mỗi khung chứa 114 bit đại diện cho các giao tiếp từ A đến B, andanother 114 bit đại diện cho các giao tiếp từ B toA. Mỗi hội thoại được mã hóa bởi một chìa khóa phiên làm việc mới...Cho mỗi khung sẽ được gửi, phiên làm việc chính là trộn với một số lượt truy cập công khai được biết đến khung, biểu hiện, và kết quả phục vụ như bang đăng ký thay đổi trong A5/1, ban đầuMáy phát điện. Nó sau đó tạo ra 228 bit của key chạy, mà là xored với đoạn văn bản thuần để sản xuất ciphertext, 228.Guang GongKhoa điện và kỹ thuật máy tínhĐại học Waterloo Bố cục của những con số đó A5/1 là như sau Con số A5/1 bao gồm ba ngắn phản hồi nhị phân tuyến tính thay đổi đăng ký (LFSRs) của độ dài 19, 22, 23, biểu hiện bằng R1, R2, R3, tương ứng. LFSRs ba tất cả có đa thức thông tin phản hồi nguyên thủy. Phím A5/1, chạy được cho là XORsản lượng của ba LFSRs, như minh họa trong hình 1.Các LFSRs được tốc độ trong một thời trang bất thường. Nó là một loại dừng/đi chấm công với một đa số quy tắc như sau. Mỗi đăng kýcó một số chấm công khai thác, biểu hiện, tương ứng.Mỗi thời gian các LFSRs tốc độ, ba chấm công Mũi Taro - xác định của LFSRs được tốc độ. R1and R2 tốc độ, nhưng không R3, nếu ; R1 và R3 tốc độ, nhưng không R2, nếu ; R2 và R3 tốc độ, nhưng không R1, nếu -; cuối cùng, R1, R2 và R3 là tất cả tốc độ, nếu -. Lưu ý rằng mỗi bước LFSRs ít nhất hai tốc độ, và có xác suấtĐối với một LFSR cá nhân được tốc độ là¾.Khởi tạo quan trọng.Cho mỗi khung, LFSR được khởi tạo bởiĐăng ký zeroed, và bỏ qua 'dừng/đi' (đồng hồ bit), các thanh ghi sau đó tốc độ 64 lần, đang được cho ăn một chút từ chìa khóa phiên, kết quả đầu ra được bỏ đi. · Đăng ký là tốc độ 22 hơn thời gian (vẫn còn bỏ qua điều khiển dừng/đi), đang được cho ăn trong dữ liệu từ 22 chút khung số lượt truy cập, discarding kết quả đầu ra. · Đăng ký được tốc độ 100 lần mà không có bất kỳ dữ liệu đầu vào, nhưng vẫn còn kết quả đầu ra bỏ đi. · Đăng ký sau đó được tốc độ 228 lần (sử dụng điều khiển dừng/đi), và một chút của các keystream được tạo ra bởi XOR'ing đầu ra chút mỗi R1, R2, và R3. · Những bit 228 được sử dụng để mã hóa của một khung giữa hai bên. LFSR và mật mã Stream: cuộc tấn công tương quanCuộc tấn công rất mạnh mẽ vào thuật toán mật mã dòng sử dụng LFSR là một cuộc tấn công tương quan. Cơ sở cho các cuộc tấn công là khái niệm là có một số mối quan hệ giữa một trong đăng ký vào chương trình và đầu ra của các chức năng phép. Cuộc tấn công bắt đầu như một brute lực lượng tấn công, nhưng nếu một sự tương quan có thể được xác định, nó sẽ trở thành một phân chia và chinh phục tấn công.Có rất nhiều cách để xác định có hay không một đăng ký tương quan đến các output of , including a way to exhaustively search, proposed by Siegenthaler[3].When an attacker starts a correlation (brute force) attack on a stream cipher, he must consider the system as a whole. The states of the registers are usually independent of each other, but that information is private, so the attacker can only know the structure of the register, and the output bit of . Therefore, he must break the entire system via brute force. However, if he can determine that a correlation exists between a single register and the output of , then he can break that register individually, vastly improving the speed of the attack.Generally, we consider the following complexity of a brute force attack on a stream cipher using LFSR. Given registers , with lengths , to break the system, we must exhaustively try all possible keys and compare, so we have . However, if we can correlate one register, say , then the complexity then is reduced to . We look at a concrete example to further this point. Assume we have a system with 3 LFSR, each of 16 bits. Then, to brute force the whole system and determine the key used, we have a complexity of . If we can attack one register with a correlation attack, then the complexity decreases to , a savings of 65535. If we can attack two registers with correlation attacks, then complexity decreases even further to a much lower , a massive savings.Although this ‘correlation’ property seems unlikely if is a well-chosen, non-linear function, there have been improvements to [Siegenthaler’s] exhaustive search, including “a very interesting way of exploring the correlation in a fast correlation attack provided that the feedback polynomial of the LFSR has a very low weight” [3]. So, one way to combat correlation attacks on a stream cipher is to choose as many tap positions as possible – or – choose a polynomial that has as many non-zero coefficients as possible.Correlation attacks have improved as time has gone by. A new attack on any feedback polynomial for an LFSR stream cipher (regardless of weight of the polynomial) is presented in [3] using convolutional codes. Therefore, it has become practice to avoid the use of LFSR in stream ciphers wherever possible – for example in RC4, RC5, and RC6.NFSR(nonlinear feedback shift register) is the most adequate choice!VI. LFSR and Stream Ciphers: A5/1The most serious attack of A5/1 came after Barkan, Biham, and Keller determined an inherent weakness in all phones that were capable of using A5/2 encryption. There are numerous attacks on A5/2 that are well known, and also known to be extremely fast [5]. While the details will not be discussed, the A5/2 cipher can have its key recovered in less than a second.(Interestingly, A5/2 was also developed simultaneously with A5/1, but it was intended for use in “export regions”, namely not the US and UK. Its implementation is sufficiently and purposefully weaker and thus more vulnerable. The plan was to keep both A5/1 and A5/2’s algorithms secret, but in 1999 they were reverse engineered and designs were made publicly available. The very insecure A5/2 is very similar to A5/1, and this fact helped bring the demise of the A5/ stream cipher.) The idea that Barkan, Biham, and Keller proposed is an attack on either A5/1 or the newer A5/3 (also known as KASUMI). The attack is a man in the middle attack, where the adversary acts as the network to the victim, and the victim to the network. This attack assumes the victim’s phone has the capability to encrypt using the A5/2 protocol. The steps to break A5/1[5]:· The network asks for authentication of the victim, and the attacker allows this to take place, so both the network and victim believe they are talking securely.· The network asks the victim which protocol he would like to use for encryption. While this is taking place, the attacker asks the victim to start encrypting with A5/2. The attacker quickly recovers the key. This key is used for A5/1 or A5/3 as well as being used for A5/2, so the attacker now has the correct key to be used for decryption.· The attacker then tells the network that the victim would like either A5/1 or A5/3, and then lets the victim and the network talk normally, being able to recover any transmissions and decrypt it.With this attack and others (including a class-mark attack), A5/1 was officially broken by Barkan, Biham, and Keller in 2006. The interest in breaking this scheme has continued through today. More attacks including a brute force attack with highly parallel FPGA’s (called COPACOBANA), and GPU’s have surfaced in an effort to more efficiently recover the keys used for the stream cipher.IN SHORT:What does A5/1 suffer ?• It can be broken with few hours by a PC. • Short period problem: Without stop/go operation, the period of sum of the three LFSRs is given by (2^19-1)( 2^22-1)(2^23-1). However, the experiement shows that the period of A5/1 is arround (4/3)(2^23-1).• Collision problem: different seeds (i.e., different initial states of three LFSRs) may result in the same key stream (G.Gong new results shows that only 70% seeds produce different key streams.)• The maority function is the worst function in terms of correlation with all affine functions.[R]Cryptographic Data Protection in the GSM Cellular System Andrey A. Chusov et alpacific Science Review, vol. 10, no. 3, 2008, pp. 265~267To overcom

Kết quả (Việt) 2:

• Asynchronous Suối mật mã
• dòng chính cũng phụ thuộc vào các bản mã (phản hồi chấm kích hoạt) ĐỊNH NGHĨA VỀ MỘT PHÁT 1. Khởi Key Đặt tất cả các biến nội bộ theo khóa đã chọn được khởi tạo IV Đặt tất cả các internalvariables theo IV 2.Run máy phát điện và sản xuất các keystream Z = z1, z2, z3, ... 3. Thêm keystreamto bản rõ ci = pi + z ĐỘNG LỰC CHO HỌC mật mã STREAM Chúng tôi cần phải mang về phía trước mới hiện đại thuật toán mã hóa dòng và nghiên cứu chúng một cách cẩn thận Một dòng mật mã hiện đại nên được cấp trên cho một thuật toán mã khối trong hoạt động (phần mềm và phần cứng) Một dòng mật mã hiện đại nên cung cấp bảo mật tương tự như một thuật toán mã hóa khối, cho ví dụ, các `` best''attack là một cuộc tấn công tìm kiếm chìa khóa đầy đủ gần đây ĐỀ XUẤT STREAM mật mã Một số thuật toán mã hóa dòng đề xuất 2000-2003 SNOW 2.0 Lund Univ. Sober -t16, T32, 128 Qualcomm Turing "Scream IBM mugi Hitachi THỎ Cryptico Word-định hướng, nhanh chóng trong phần mềm Sử dụng LFSR hoặc đệm Một phần tuyến tính / cập nhật và một phi tuyến eSTREAMproject (2004-2008) • 34 thuật toán mã hóa dòng trình (2005) • Phần mềm: CryptMT, Dragon, HC, LEX, NLS, Rabbit, Salsa20, Sosemanuk • Phần cứng: DECIM, Edon80, F-FCSR, ngũ cốc, Mickey, Moustique, Pomaranche, trivium • Rất nhiều ý tưởng mới và kỹ thuật được Đánh giá THE SNOW STREAM mật mã Designedat Đại học Lund, Thụy Điển (Johansson, Ekdahl) SNOW 2.0 ISO tiêu chuẩn ISO / IEC 18.033-4: 2005 DPCP (DisplayPortContent Protection) mật mã dòng Reference trong eSTREAM SNOW 3G UMTS A5 / 1 Một Tấn công A5 / 1 Patrik Ekdahl và Thomas Johansson IEEEtrans trên infor 2002 chuyện A GSM được gửi như là một chuỗi các khung hình, nơi mà một khung được gửi mỗi 4,6 phần nghìn giây. Mỗi khung chứa 114 bit đại diện cho các thông tin liên lạc từ A đến B, andanother 114 bit đại diện cho các giao tiếp từ B Toa. Mỗi cuộc trò chuyện được mã hóa bằng một khóa phiên mới .. Đối với mỗi khung được gửi đi, .là khóa phiên trộn với một khung truy cập công khai gọi, ký hiệu, và kết quả phục vụ như trạng thái ban đầu của sổ đăng ký thay đổi trong thuật toán A5 / 1 máy phát điện . Sau đó nó tạo ra 228 bit chạy chính, mà là XORed với 228 bit của bản rõ để sản xuất các bản mã. Guang Công Dept. Kỹ thuật điện và máy tính của Đại học Waterloo Việc bố trí các mật mã A5 / 1 như sau Hình A5 / 1 bao gồm ba ngắn nhị phân tuyến tính ghi dịch phản hồi (LFSRs) có độ dài 19, 22, 23, ký hiệu là R1, R2, R3 , tương ứng . Ba LFSRs tất cả các đa thức có phản hồi nguyên thủy. Chìa khóa chạy của A5 / 1 được cho là XOR của sản lượng của ba LFSRs, như minh họa trong Hình 1. Các LFSRs được tốc độ trong một thời trang không thường xuyên. Nó là một loại stop / go clocking với một nguyên tắc đa số như sau. Mỗi thanh ghi có một vòi clocking nhất định, biểu hiện, tương ứng. Mỗi lần LFSRs được tốc độ, ba clocking vòi -determine đó của LFSRs được tốc độ. R1and R2 có tốc độ, nhưng không R3, nếu; R1 và R3 là tốc độ, nhưng không R2, nếu; R2 và R3 là tốc độ, nhưng không R1, nếu -; Cuối cùng, R1, R2 và R3 được tất cả các tốc độ, nếu -. Lưu ý rằng tại mỗi bước ít nhất hai LFSRs được tốc độ, và rằng xác suất cho một LFSR cá nhân được tốc độ được ¾. Việc khởi trọng. Đối với mỗi khung hình, các LFSR được khởi tạo bởi thanh ghi xóa trắng, và bỏ qua các 'dừng / đi' (bit đồng hồ), các thanh ghi được sau đó tốc độ gấp 64 lần, được cho ăn một chút từ khóa phiên, kết quả đầu ra sẽ bị loại bỏ. · Thanh ghi tốc độ hơn 22 lần (vẫn còn bỏ qua các điểm dừng / đi kiểm soát), được cho ăn trong dữ liệu từ 22 khung bit truy cập, loại bỏ các kết quả đầu ra. · Thanh ghi tốc độ 100 lần mà không có bất kỳ dữ liệu đầu vào, nhưng đầu ra vẫn còn đang bỏ đi. · Thanh ghi sau đó tốc độ 228 lần (bằng cách sử dụng stop / đi kiểm soát), và một chút của keystream được tạo ra bởi XOR'ing bit đầu ra của mỗi R1, R2, R3 và. · Những 228 bit được sử dụng để mã hóa của một khung hình giữa hai bên. LFSR và Suối mật mã: Tương Attacks Một cuộc tấn công rất mạnh mẽ trên thuật toán mã hóa dòng có sử dụng LFSR là một cuộc tấn công tương quan. Cơ sở cho các cuộc tấn công là quan điểm cho rằng có một số mối quan hệ giữa một trong các thanh ghi trong chương trình và đầu ra của hàm boolean. Cuộc tấn công bắt đầu như là một cuộc tấn công sức mạnh vũ phu, nhưng nếu một mối tương quan có thể được xác định, nó sẽ trở thành một phân chia và chinh phục cuộc tấn công. Có rất nhiều cách để xác định có hay không đăng ký một là tương quan với sản lượng, trong đó có một cách triệt để tìm kiếm, bởi Siegenthaler [3]. đề xuất Khi kẻ tấn công bắt đầu một mối tương quan (brute force) tấn công vào một mật mã dòng, ông phải xem xét các hệ thống như một toàn thể. Các trạng thái của các thanh ghi thường là độc lập với nhau, nhưng thông tin đó là riêng tư, vì kẻ tấn công chỉ có thể biết được cấu trúc của thanh ghi, và bit đầu ra của. Vì vậy, ông phải phá vỡ toàn bộ hệ thống thông qua sức mạnh vũ phu. Tuy nhiên, nếu anh ta có thể xác định rằng một mối tương quan tồn tại giữa một đăng ký duy nhất và đầu ra của, sau đó ông có thể phá vỡ mà đăng ký cá nhân, bao la cải thiện tốc độ của cuộc tấn công. Nói chung, chúng ta xem xét sự phức tạp sau đây của một cuộc tấn công sức mạnh vũ phu trên một dòng mật mã sử dụng LFSR. Đăng ký cho, với độ dài, để phá vỡ hệ thống, chúng ta phải triệt thử tất cả các phím có thể và so sánh, vì vậy chúng tôi có. Tuy nhiên, nếu chúng ta có thể tương quan một đăng ký, nói, sau đó sự phức tạp sau đó được giảm xuống tới. Chúng tôi nhìn vào một ví dụ cụ thể hơn nữa thời điểm này. Giả sử chúng ta có một hệ thống với 3 LFSR, mỗi 16 bit. Sau đó, để brute buộc toàn bộ hệ thống và xác định các phím được sử dụng, chúng tôi có một sự phức tạp của. Nếu chúng ta có thể tấn công một đăng ký với một cuộc tấn công tương quan, sau đó sự phức tạp giảm xuống, một khoản tiết kiệm của 65535. Nếu chúng ta có thể tấn công hai thanh ghi với các cuộc tấn công tương quan, sau đó giảm độ phức tạp hơn nữa để một thấp hơn rất nhiều, tiết kiệm lớn. Mặc dù điều này 'tương quan 'tài sản có vẻ không chắc nếu là một được lựa chọn kỹ, phi tuyến tính chức năng, đã có những cải tiến để [Siegenthaler của] tìm kiếm đầy đủ, bao gồm cả "một cách rất thú vị của việc khảo sát tương quan trong một vụ tấn công tương quan nhanh chóng với điều kiện là các đa thức thông tin phản hồi của LFSR có một trọng lượng rất thấp "[3]. Vì vậy, một trong những cách để chống lại các cuộc tấn công tương quan trên một dòng mật mã là để lựa chọn như nhiều vị trí vòi càng tốt - hoặc -. Chọn một đa thức có nhiều hệ số khác không có thể tấn công tương quan đã được cải thiện như thời gian đã trôi qua. Một cuộc tấn công mới vào bất kỳ thông tin phản hồi đa thức cho một mật mã dòng LFSR (bất kể trọng lượng của đa thức) được trình bày trong [3] sử dụng mã chập. Vì vậy, nó đã trở thành thực hành để tránh việc sử dụng các thuật toán mã hóa dòng LFSR trong bất cứ nơi nào có thể - ví dụ như trong RC4, RC5, và RC6.NFSR (phi tuyến thay đổi thông tin phản hồi đăng ký) là sự lựa chọn thích hợp nhất! VI. LFSR và Suối mật mã: A5 / 1 Cuộc tấn công nghiêm trọng nhất của A5 / 1 được đưa ra sau Barkan, Biham và Keller xác định một điểm yếu cố hữu trong tất cả các điện thoại có khả năng sử dụng mã hóa A5 / 2. Có rất nhiều cuộc tấn công vào A5 / 2 cũng được biết đến, và cũng được biết đến là cực kỳ nhanh [5]. Trong khi các chi tiết sẽ không được thảo luận, các mật mã A5 / 2 có thể đã chủ chốt của nó hồi phục trong vòng chưa đầy một giây. (Thật thú vị, A5 / 2 cũng được triển khai đồng thời với A5 / 1, nhưng nó được dự định để sử dụng trong "khu vực xuất khẩu" , cụ thể là không có Mỹ và Anh. thực hiện của nó là đầy đủ và có mục đích yếu hơn và dễ bị tổn thương hơn. Kế hoạch là để giữ cho cả hai A5 / 1 và thuật toán bí mật A5 / 2, nhưng năm 1999 họ đã đảo ngược thiết kế và thiết kế đã được công bố công khai. Các rất không an toàn A5 / 2 là rất giống với A5 / 1, và thực tế điều này đã giúp mang lại sự sụp đổ của các thuật toán mã hóa / dòng A5.) Ý tưởng rằng Barkan, Biham và Keller đề xuất là một cuộc tấn công vào một trong hai A5 / 1 hoặc mới hơn A5 / 3 (còn được gọi là Kasumi). Các cuộc tấn công là một người đàn ông trong cuộc tấn công trung, nơi mà các đối thủ hoạt động như mạng để các nạn nhân, và các nạn nhân vào mạng. Cuộc tấn công này giả định điện thoại của nạn nhân có khả năng mã hóa bằng cách sử dụng giao thức A5 / 2. Các bước để phá vỡ A5 / 1 [5]: · Các mạng yêu cầu xác thực của các nạn nhân, và những kẻ tấn công cho phép điều này xảy ra, vì vậy cả hai mạng và nạn nhân tin rằng họ đang nói chuyện một cách an toàn. · Các mạng hỏi nạn nhân mà giao thức ông muốn sử dụng để mã hóa. Trong khi điều này đang diễn ra, kẻ tấn công, hỏi nạn nhân để bắt đầu mã hóa với A5 / 2. Những kẻ tấn công một cách nhanh chóng phục hồi phím. Khóa này được sử dụng cho A5 / 1 hoặc A5 / 3 cũng như được sử dụng cho A5 / 2, do đó kẻ tấn công có các phím đúng sẽ được sử dụng để giải mã. · Những kẻ tấn công sau đó nói với các mạng mà nạn nhân muốn hoặc A5 / 1 hoặc A5 / 3, và sau đó cho phép các nạn nhân và nói chuyện mạng bình thường, có thể khôi phục bất kỳ truyền và giải mã nó. Với cuộc tấn công này và những người khác (kể cả một trận class-mark), A5 / 1 đã chính thức bị phá vỡ bởi Barkan , Biham và Keller vào năm 2006. Sự quan tâm trong việc phá vỡ kế hoạch này đã tiếp tục cho đến ngày nay. Nhiều cuộc tấn công bao gồm cả một cuộc tấn công sức mạnh vũ phu với cao song song FPGA (gọi là COPACOBANA), và GPU của nổi lên trong một nỗ lực để phục hồi hiệu quả hơn các phím được sử dụng cho các dòng mật mã. TRONG NGẮN: gì A5 / 1 chịu? • Nó có thể được chia . với vài giờ bởi một PC • vấn đề ngắn thời gian: Nếu không có dừng / đi hoạt động, thời gian tổng của ba LFSRs được cho bởi (2 ^ 19-1) (2 ^ 22-1) (2 ^ 23-1) . Tuy nhiên, Thí nghiệm cho thấy rằng thời gian của A5 / 1 là arround (4/3) (2 ^ 23-1). • Vấn đề Collision: hạt giống khác nhau (ví dụ, ban đầu khác nhau bang ba LFSRs) có thể dẫn đến cùng một phím dòng (G.Gong kết quả mới cho thấy chỉ có 70% hạt giống sản xuất dòng phím khác nhau.) • Các chức năng maority là chức năng tồi tệ nhất về mối tương quan với tất cả các chức năng affine. [R] Cryptographic Bảo vệ dữ liệu trong hệ thống GSM Cellular Andrey A . Chusov et alpacific Khoa học Review, vol. 10, không có. 3, 2008, tr. 265 ~ 267 Để overcom