30、基于IV的流密码安全性分析

基于IV的流密码安全性分析

1. 引言

流密码和分组密码是对称加密算法中最受欢迎的两类。与分组密码不同，流密码不产生大空间上的密钥相关置换，而是生成小字母表（通常是二进制字母表 {0, 1}）上的密钥相关数字序列。加密时，每个明文符号与密钥流序列的对应符号通过群运算（通常是 {0, 1} 上的异或运算）相结合。

近期的流密码大多使用两个输入来生成密钥流序列：一个秘密密钥和一个初始值（IV），IV 通常不是秘密的。IV 的作用是从单个密钥派生多个“独立”的密钥流序列，从而提供一种方便的方法，通过每次用新的 IV 值“重新同步”流密码，在同一秘密密钥下加密多个明文序列。这比早期仅以秘密密钥为单一输入的流密码具有明显的实际优势。

然而，IV 的使用对密码分析和流密码安全要求的形式化产生了重大影响。在密码分析方面，过去几年发表的众多针对基于 IV 的流密码的攻击表明，IV 带来了额外的攻击机会，密钥和 IV 设置过程仍是流密码设计中不太被理解的方面之一。攻击者可以比较与多个已知、相关或选定 IV 值相关的密钥流序列，并可能推导出从单个密钥流序列无法获得的有关内部状态值的信息。在安全要求形式化方面，对于无 IV 的流密码，其安全性要求可通过伪随机数生成器理论来描述；而对于基于 IV 的流密码，目前尚未有被一致接受的形式化定义，但大多数密码学家可能认为，一个充分的安全条件是将秘密密钥映射到 IV 到密钥流函数的相关函数生成器是一个伪随机函数生成器（PRF）。

2. 主要结果概述

对于本文所考虑的所有流密码，密钥流的派生与几乎所有现有的基于 IV 的流密码一样，分为以下两个独立阶段：
- 密钥和 IV 设置