10、流密码VEST与Achterbahn-128/80的密码分析

流密码VEST与Achterbahn-128/80的密码分析

1. VEST流密码攻击分析

1.1 时间/内存权衡攻击

通过猜测密钥的前l位或后F - l位，可以计算出步骤l + 15 - r之前寄存器r的值。具体操作如下：
1. 构建5个感兴趣寄存器在步骤l + 15 - r时的53位值的表A，这需要2^l的内存。
2. 对于密钥末尾的每个2^(F - l)个值j，执行以下操作：
- 假设j，回溯寄存器值，记录得到的53位值为x。
- 寻找i，使得A[i] = x，匹配概率为2^(-53)。
- 对于每个匹配，检查密钥(i||j)，其中||表示连接。
这种攻击使用2^max(F - 53, F - l)的时间和2^l的内存来恢复密码使用的密钥，平均需要测试的密钥数量为2^(F - 53)。

1.2 相关密钥攻击

假设有两个分别用密钥K和K’加密的密码，K’与K仅在第F - l - 1位不同。通过选择IV攻击，可以检索两个密钥下感兴趣寄存器的密钥状态。具体步骤如下：
1. 猜测密钥的最后l位，将其从密钥状态回溯到每个寄存器引入密钥差异后的步骤。
2. 对于正确的猜测，回溯后寄存器的第1位应该只有一个差异，这种情况发生的概率为2^(-53)。因此，如果l < 53，就可以检查猜测。
3. 为了使寄存器表现出随机行为，l还应该大于其长度。
对于128位密钥，取l = 16，使用8个相关密钥，执行约2^26次IV设置和约2^19次部分密钥引入回溯，就可以恢复整个密钥。

1.3 安全讨论

上述攻击表明，差分攻击结