28、OpenPGP加密与格最短向量问题研究

OpenPGP加密与格最短向量问题研究

一、OpenPGP认证加密方案探讨

OpenPGP提供带有完整性保护的加密，宣称使用先哈希后加密的范式，但此范式不满足最新的完整性要求。不过，在加密和哈希计算前添加到明文前的第一个随机块R，可作为一种形式为H(K||M)的消息认证码（MAC）的会话密钥，这使得OpenPGP实际上似乎实现了先MAC后加密的范式，但其完整的安全分析仍是一个开放问题。

二、定制密文适配格式预言机

1. 猜测C∗2[3]和C∗2[4]
   • 实际中，根据接收者密钥中的偏好，可能出现两种情况：
     • 数据被压缩，对应Tc标签，随后是压缩算法Ta，此时C∗2[3] = Tc且C∗2[4] = Ta。
     • 数据为纯文本，C∗2[3] = Tℓ，后续字节编码文本长度，该长度（即C∗2[4]）可从整体加密数据包大小推导得出。
2. 随机前缀冗余
   • 加密前，带有基本冗余的随机前缀会添加到有效负载前。解密开始时对冗余的检查用于早期检测是否使用了错误密钥。若密钥从密码短语派生，可检测错误的密码输入。为确保随机前缀冗余检查始终满足，攻击者可在攻击中考虑的任何密文前添加目标密文的前两个块。
3. 压缩处理
   • 像GnuPG这样的实现会并行处理解密和解压缩，若检测到解压缩错误则中止解密。为确保不出