30、广播RC4攻击再探

广播RC4攻击再探

1. Pr(zr = 0)的理论与实验对比

图2展示了Pr(zr = 0)的理论推导值与实验获得值随r（3 ≤ r ≤ 255）变化的对比情况。实验进行了10亿次试验，每次试验使用一个随机生成的16字节密钥。

从图2中可以观察到，理论曲线与实验曲线的平均线并不完全重合。这可以通过定理1中的近似公式进行代数表达。这种近似是由于引理1的证明中使用了理想随机性假设，而在实际情况中这些假设并不成立。

2. 新型区分器

• 定理1引出的区分器 ：定理1直接给出了一类区分器。根据相关理论，如果事件e在分布X和Y中发生的概率分别为p和p(1 + ϵ)，对于较小的p和ϵ，大约需要$O[p^{-1}\epsilon^{-2}]$个样本就可以以恒定的成功概率区分X和Y。在当前的情境下，设X和Y分别表示随机流和RC4密钥流对应的分布，$e_r$表示事件$(z_r = 0)$（r = 3到255）。根据公式，$p = \frac{1}{N}$，$\epsilon = \frac{c_r}{N}$。因此，基于事件$(z_r = 0)$来区分RC4密钥流和随机流，大约需要$O(N^3)$个样本。
• 结合区分器效果 ：根据定理2，我们可以通过计算RC4初始密钥流中零的数量来结合所有这些区分器的效果。
  • 定理2 ：RC4密钥流第3轮到第255轮中0的期望数量约为0.9904610515。
  • 证明过程 ：设$X_r$是一个随机变量，当