Neste segmento, eu quero dar alguns exemplos de fluxo cifras que são usados na prática.

Vou começar com dois exemplos antigos que na verdade não são

suposto ser usado em sistemas novos. Mas, no entanto, eles ainda são bastante

amplamente utilizada, e assim que eu apenas quero mencionar os nomes para que você esteja familiarizado com

esses conceitos. A cifra de fluxo primeiro eu quero falar é chamado RC4, projetado

em 1987. E eu só vou te dar a descrição de alto nível e, em seguida

nós vamos falar sobre alguns pontos fracos do RC4 e deixar por isso mesmo. Assim RC4 leva um

sementes de tamanho variável, aqui eu só dei como um exemplo onde levaria 128

bits como o tamanho das sementes, que passaria então a ser utilizados como chave para a cifra de fluxo.

A primeira coisa que faz, é que se expande a chave de 128-bit segredo em 2.048 bits, que

vão ser usados como o estado interno para o gerador. E então, quando ele é feito

esta expansão, que basicamente executa um laço muito simples, onde cada iteração do

laço Isso gera um byte de saída. Então, basicamente, você pode executar o gerador de

, enquanto você quer, e gerar um byte de cada vez. Agora RC4 é, na verdade, como eu disse,

bastante popular. É usado no protocolo HTTPS é bastante comum, na verdade.

Estes dias, por exemplo, o Google usa RC4 em suas HTTPS. Também é usado no WEP como nós

discutido no último segmento, mas é claro que no WEP, ele é usado incorretamente e

é completamente inseguro da forma como ele é usado dentro do WEP. Assim, ao longo dos anos,

algumas deficiências foram encontradas no RC4, e como resultado, é recomendado que os novos projetos

na verdade não usar RC4, mas sim usar um mais moderno gerador pseudo-aleatório como veremos

discutir para a extremidade do segmento. Então deixe-me mencionar apenas dois dos pontos fracos.

Então a primeira é que é tipo de bizarra, basicamente, se você olhar para o segundo byte

da produção de RC4. Acontece que o segundo byte é um pouco tendencioso. Se RC4 foi

completamente aleatória, a probabilidade de que o segundo byte acontece ser igual a zero

seria exatamente um sobre 256. Existem 256 bytes possíveis, a probabilidade que

zero, deveria ser um sobre 256. Acontece que para RC4 a probabilidade é

realmente dois por 256, o que significa que se você usar a saída RC4 para criptografar uma

mensagem do segundo byte é provável que não seja encriptada de todo. Em outras palavras, ele vai

ser XOR-ed com zero com o dobro da probabilidade de que é suposto.

Assim, dois sobre 256, em vez de um sobre 256. E pelo jeito que eu deveria dizer que há

nada de especial sobre o segundo byte. Acontece que a primeira e os bytes terceiros

também são tendenciosos. E de fato ele é agora recomendado que se você vai usar RC4,

que você deve fazer é ignorar, basicamente, os primeiros 256 bytes da saída e apenas

começar a utilizar a saída do gerador a partir de byte 257. O primeiro casal

de bytes acabou por ser tendencioso, então você simplesmente ignorá-los. O segundo ataque que

foi descoberto é que de fato se você olhar para uma saída muito longo de RC4 que acontece

que você é mais provável conseguir o 00 de seqüência. Em outras palavras, você é mais

probabilidade de obter dezesseis bits, dois bytes de zero, zero, do que deveria. Novamente, se RC4

foi completamente aleatória a probabilidade de ver zero, zero seria exatamente 1/256

quadrado. Acontece RC4 é um pouco tendencioso eo viés é 1/256 cubos. Ele

Acontece que este viés realmente começa depois de vários gigabytes de dados são produzidos por

RC4. Mas, no entanto, este é algo que pode ser utilizado para prever o gerador

e, definitivamente, ele pode ser usado para distinguir a saída do gerador

partir de uma seqüência verdadeiramente aleatória. Basicamente o fato de que zero, zero aparece com mais freqüência

do que deveria é o Distinguisher. E então, no último segmento que falamos

relacionado-chave ataques que foram usados para atacar WEP, que basicamente dizem que

se teclas de um utilizações que estão intimamente relacionadas entre si, então é realmente possível

para recuperar a chave raiz. Assim, estes são os pontos fracos que são conhecidos de RC4 e, como um

resultado, é recomendado que os novos sistemas não realmente usar RC4 e utilizar um

gerador pseudo-aleatório moderna. Ok, segundo exemplo que quero dar-lhe é um

cifra de fluxo gravemente quebrado que é usada para criptografar filmes em DVD. Quando você compra um DVD

na loja, o próprio filme é criptografada usando uma cifra de fluxo chamado de

Content Scrambling System, CSS. CSS acaba por ser uma cifra de fluxo gravemente quebrado

e podemos muito facilmente quebrá-lo, e eu quero mostrar-lhe como o algoritmo de ataque

obras. Estamos fazendo isso para que você possa ver um exemplo de um algoritmo de ataque, mas em

verdade, existem muitos sistemas por aí que, basicamente, usar este ataque para descriptografar

DVDs criptografados. Assim, a cifra de fluxo CSS é baseada em algo que o hardware

projetistas gosta. Ele foi projetado para ser uma cifra de fluxo de hardware que é suposto

ser fácil de implementar em hardware, e baseia-se um mecanismo chamado linear

mudança comentários registar. Assim, um registrador de deslocamento linear feedback é basicamente um registo

que consiste em células em que cada célula contém um bit. Então, basicamente,

que acontece é que existem estas torneiras em certas células, não todas as células, certos

posições são chamados torneiras. E então essas torneiras alimentar em um XOR e, em seguida, em

cada ciclo de clock, o registrador de deslocamento desloca para a esquerda. O último pedaço cair

e, em seguida, o primeiro bit torna-se o resultado deste XOR. Assim você pode ver que

este é um mecanismo muito simples de implementar, e em hardware tem muito poucos

transistores. Apenas o deslocamento para a direita, o último bit cai e apenas o primeiro bit

torna-se o XOR dos bits anteriores. Assim, a semente para este LFSR

, basicamente, é o estado inicial do LFSR.

E é a base de uma série de codificações de fluxo. Então, aqui estão alguns exemplos. Assim, como

eu disse, a criptografia utiliza duas LFSRs DVD. Eu vou te mostrar como isso funciona em apenas um

segundo. Criptografia GSM, estes são chamados algoritmos A51 e A52. E isso

utiliza três LFSRs. Criptografia Bluetooth é um algoritmo chamado, E zero. Estes são todos

cifras de fluxo, e que utiliza quatro LFSRs. Acontece que todos eles são gravemente quebrado

e na verdade realmente não deve ser confiável para criptografar o tráfego, mas todos eles são

implementado em hardware, por isso é um pouco difícil agora para mudar o que o hardware

faz. Mas o mais simples deles, CSS, na verdade, tem um ataque bonito nele, então vamos

me mostrar-lhe como o ataque funciona. Então, vamos descrever como o CSS realmente funciona. Assim,

chave para o CSS é de cinco bytes, ou seja, 40 bits, cinco vezes oito é de 40 bits. O

razão eles tinham que se limitar a apenas 40 bits é que a criptografia do DVD foi

concebidos numa altura em que os regulamentos de exportação dos Estados Unidos só é permitido para a exportação de

algoritmos crpyto onde estava a chave apenas 40 bits. Assim, os designers de CSS foram

já limitados a chaves muito, muito curtos. Apenas 40 teclas bit. Assim, seu projeto trabalha

como se segue. Basicamente, o CSS usa duas LFSR do. Um é um LFSR de 17-bit. Em outras palavras,

registo a contém 17 bits. Eo outro é um LFSR 25-bit,

é um pouco mais, 25 bits LFSR. E a forma como estas são semeadas LFSRs

é como se segue. Portanto, a chave para a criptografia, basicamente, tem a seguinte aparência.

Você começa com um, e você concatenar a ele os dois primeiros bytes de

chave. E esse é o estado inicial do LFSR.

E então o segundo LFSR basicamente é intitialized da mesma maneira.

Uma concatenado os últimos três bytes da chave. E isso é

carregado para o estado inicial do LFSR. Você pode ver que os dois primeiros bytes são

16 bits, mais um líder, que tem dezessete pedaços geral, enquanto o segundo

LFSR é de 24 bits, mais um que é de 25 bits. E você percebe usamos todos os cinco pedaços de

chave. Então essas são basicamente LFSRs correr para oito ciclos, de modo que elas geram

oito bits de saída. E então eles passam por este componente que faz basicamente

adição módulo 256. É assim que esta é uma caixa disso, módulo 256. Há mais uma

coisa técnica que acontece. Na verdade vamos realmente, também adicionada é o transporte do

bloco anterior. Mas isso não é tão importante. Isso é um detalhe que não é tão

relevante. OK, então todos os blocos, você percebe que estamos fazendo além modulo 256 e

estamos ignorando o transporte, mas o transporte é basicamente adicionado como um zero ou um um ao

além do bloco seguinte. Ok? E então, basicamente, esta saída um byte por round.

Ok, e então este byte é usado, então é claro, XOR-ed com o adequado

byte do filme que está sendo criptografado. Ok, então é um fluxo muito simples

cifra, é preciso hardware muito pouco para implementar. Ele irá correr rápido, mesmo em muito

hardware barato e vai criptografar filmes. Então, acontece que este é fácil de quebrar

no tempo cerca de dois a 17. Agora deixe-me mostrar-lhe como.

Então, suponha que você interceptar os filmes, então aqui nós temos um

filme criptografado que você deseja descriptografar. Então, digamos que tudo isso é criptografado para

você não tem idéia do que está dentro de aqui. No entanto, acontece que só porque

criptografia DVD está usando arquivos MPEG, acontece se você souber de um prefixo da

texto simples, vamos apenas dizer que talvez esta é de vinte bytes. Bem, sabemos que se você

XOR essas duas coisas juntas, então, em outras palavras, você faz o XOR aqui,

que você vai conseguir é o segmento inicial do PRG. Assim, você terá a

primeiros vinte bytes de a saída do CSS, a saída do presente PRG. Ok, então agora

aqui é o que nós vamos fazer. Assim, temos os primeiros vinte bytes de saída. Agora

nós fazemos o seguinte. Nós experimentar todos dois para os valores possíveis de 17 a primeira

LFSR. Ok? Assim, duas aos dezassete valores possíveis. Assim, para cada valor, portanto, para

cada um destes dois aos dezassete valores iniciais do LFSR, vamos executar o

LFSR por vinte bytes, ok? Então, vamos gerar de vinte bytes de saídas a partir deste

LFSR primeiro, assumindo-para cada um dos dois para os dezassete configurações possíveis.

Agora, lembre-se que temos o resultado completo do sistema de CSS. Então o que podemos fazer é nos

pode tomar esta saída que temos. E subtrair os vinte mordidas que nós

obtido a partir do LFSR primeiro, e se de fato o nosso palpite para o estado inicial do primeiro

LFSR está correta, o que devemos começar é a saída 20-primeiro byte do

LFSR segundo. Certo? Porque isso é, por definição, o que a saída do CSS

sistema é. Agora, descobre-se que olhar para uma seqüência de 20 bytes, é muito fácil

dizer se essa seqüência de 20-byte veio de um LFSR 25-bit ou não. Se

não, então sabemos que o nosso palpite para o LFSR 17-bit foi

incorreto e, em seguida, passamos para o próximo palpite para o LFSR 17-bit e

suposição o seguinte e assim por diante e assim por diante. Até que finalmente chegamos ao direito inicial

estado para o LFSR 17-bit, e depois vamos realmente começar, vamos ver que

os 20 bytes que obtemos como a saída candidato para o LFSR 25-bit é

, de facto, uma saída possível para um LFSR 25-bit. E então, não só teremos

aprendeu o estado inicial correto para o LFSR 17-bit, nós também teremos

aprendeu o estado inicial correto do LFSR 25-bit. E então podemos prever o

saídas restantes do CSS, e é claro, usar isso, podemos, então, decifrar o resto

o filme. Na verdade, podemos recuperar o texto restante. Okay. Isto é

coisas que falamos antes. Então, eu disse isso um pouco rápido, mas espero que,

ficou claro. Nós também vamos estar fazendo um exercício de dever de casa neste tipo de fluxo

cifras e você vai espécie de chegar ao ponto de como esses algoritmos de ataque

trabalho. E devo mencionar que existem muitos sistemas open-source, agora que realmente

usar esse método para descriptografar CSS dados criptografados. Ok, então agora que já vimos dois

fracos exemplos, vamos passar para exemplos melhores, e em particular o melhor

pseudo-aleatórios geradores vêm do que é chamado de Projeto eSTREAM. Esta é uma

projeto que concluiu em 2008, e que se qualifiquem, basicamente, cinco fluxo diferente

cifras, mas aqui quero apresentar apenas um. Então, primeiro de todos os parâmetros para

essas cifras de fluxo é um pouco diferente do que estamos acostumados. Então, essas

fluxo cifras normalmente eles têm uma semente. Mas, além disso eles também têm, o que é

chamado nonce e vamos ver o que é um nonce é usada em apenas um minuto. Assim

tomam duas entradas de uma semente e um nonce. Vamos ver o que o nonce é usada no

apenas um segundo. E claro que o de produzir uma saída muito grande, então n é aqui

muito, muito, muito maior do que s. Agora, quando eu digo nonce, o que quero dizer é um valor que é

nunca indo para repetir enquanto a chave é fixo. E eu vou explicar isso em mais

detalhe em apenas um segundo. Mas, por agora, basta pensar nisso como um valor único que nunca

repete, desde que a chave é a mesma. E então é claro que quando você tem este PRG,

você criptografar, você obtém uma cifra de fluxo tal como antes, só que agora como você vê, o

PRG toma como entrada tanto a chave eo nonce. E a propriedade do nonce é

que o par, k vírgula r, de modo a vírgula chave nonce, é nunca, nunca se repete. É

nunca usou mais de uma vez. Assim a linha inferior é que você pode reutilizar a chave, reutilizar

a chave, porque o uso único faz com que o par único, porque K e R são apenas

usado uma vez. Eu vou dizer que é único. Ok então este nonce é uma espécie de truque bonito que

nos salva a dificuldade de se mudar para uma nova chave de cada vez. Ok, então o particular

exemplo do eSTREAM que eu quero lhe mostrar é chamado Salsa 20. É uma

cifra de fluxo que é projetado para implementações de software e hardware

implementações. É uma espécie de interessante. Você percebe que algumas cifras de fluxo são

projetado para software, como RC4. Tudo que ele faz é projetado para fazer

implementação de software de correr rápido, enquanto o fluxo cifras outros são projetados para

hardware, como CSS, utilizando um LFSR que está particularmente desenhado para fazer hardware

implementações muito baratos. É também, a única coisa boa disso é que é

projetado de modo que seja fácil de implementar em hardware e seu software

implementação também é muito rápido. Então deixe-me explicar como Salsa obras. Bem, Salsa

leva ou 128 ou 256-bit chaves. Eu só vou explicar a versão de 128 bits do Salsa.

Então esta é a semente. E então ele também leva um nonce, tal como antes, que

passa a ser de 64 bits. E então ele vai gerar uma grande saída. Agora, como faz

realmente funciona? Bem, a própria função é definida como se segue. Basicamente, dado

chave eo nonce, ele irá gerar um tempo muito longo, bem, pseudorandom uma longa

sequência, enquanto for necessário. E vai fazê-lo usando essa função que eu vou denotar por

H. Este H função recebe três entradas. Basicamente a chave. Bem, a semente k,

o r nonce, e, em seguida, um contador que incrementa a partir do passo a passo. Assim vai

de zero a um, dois, três, quatro, contanto que inaudível] [ser. Ok? Então, basicamente,

avaliando este H nesta kr, mas usando este contador incrementar, podemos obter uma

seqüência que é tão longo como nós queremos. Então, tudo o que tenho a fazer é descrever como esta função

H funciona. Agora, deixe-me fazer isso aqui para você. O modo como funciona é o seguinte. Bem, nós

começar pela expansão dos estados em algo muito grande que é de 64 bytes

longo, e fazemos isso da seguinte forma. Basicamente, manter uma constante no início, de modo

há tao zero, estes são quatro bytes, é uma de quatro bytes constante, de modo a especificação para

Salsa, basicamente dá-lhe o valor tao zero. Então nós colocamos k em que é

bytes dezesseis. Então nós colocamos uma outra constante. Novamente, isto é quatro bytes. E

como eu disse, a especificação basicamente especifica o que esta constante é fixo. Então nós colocamos

nonce o que é de oito bytes. Então vamos colocar o índice. Este é o zero do contador,

um, dois, três, quatro, que é mais oito bytes. Então nós colocamos uma outra constante

tau dois, que é mais quatro bytes. Então nós colocamos novamente a tecla, este é outro

bytes dezesseis. E então, finalmente, colocar a terceira constante, tau três, que é

mais quatro bytes. Ok então, como eu disse, se você somar estes acima, você vê que você tem 64

bytes. Então, basicamente, nós expandimos a chave eo nonce eo contador em 64

bytes. Basicamente a chave é repetido duas vezes, eu acho. E então o que fazemos é aplicar uma

função, eu vou chamar isso de h pouco funcional. Ok, então nós aplicamos essa função, h pouco.

E esta é uma função que é 12:59 assim que mapeia 64 bytes para 64 bytes. É uma

função completamente invertida, ok? Portanto, esta função é h, o que eu digo, é uma

função invertable. Assim, dada a entrada que você pode obter o resultado e dada a

saída você pode voltar para a entrada. E ele é projetado especificamente por isso é um fácil

de implementar em hardware e b-on um x86, é extremamente fácil de implementar, porque

x86 tem este conjunto de instruções SSE2 que suporta todas as operações que você precisa fazer

para esta função. É muito, muito rápido. Como resultado, salsa tem um fluxo muito rápido

cifra. E então ele faz isso, basicamente, uma e outra vez. Por isso, aplica-se este

função h de novo e fica outros 64 bytes. E assim por diante e assim por diante, basicamente

ele faz isso dez vezes. Ok então a coisa toda aqui, dizer repete dez vezes, de forma

basicamente aplicar h dez vezes. E, em seguida, por si só, isto não é na verdade muito aleatória.

Não vai parecer aleatória, pois como dissemos, H é completamente invertable. Portanto, dado

este resultado final, é muito fácil basta inverter h e depois voltar para o original

insumos e faça o teste que a de entrada tem a estrutura correta. Então você faz mais um

coisa, que é basicamente XOR as entradas e as saídas finais. Na verdade,

pena. Não é um XOR. É realmente uma adição. Então você faz uma palavra além de

palavra. Então, se existem 64 bytes, você faz uma adição palavra por palavra e quatro bytes de cada

tempo e, finalmente, chegar a saída 64-byte, e é isso. Esse é o todo

gerador pseudo-aleatório. Então, isso, isso é toda a função, h pouco. E como eu

explicou, esta construção inteira aqui é a grande função H. E então você avaliar

H grande, incrementando o I contador de zero, um, dois, três em diante. E isso

lhe dará uma seqüência pseudo-aleatório que é o tempo que você precisa que ele seja. E

basicamente, não há ataques signifigant sobre isso. Isto tem a segurança que é

muito perto de duas para o 128. Vamos ver o que isso significa mais precisamente mais tarde.

É uma cifra de fluxo muito rápido, tanto em hardware e em software. E, na medida do

podemos dizer, parece ser imprevisível como necessário para uma cifra de fluxo. Então, eu

deve dizer que o projeto eSTREAM realmente tem cinco cifras de fluxo como

presente. Eu só escolhi Salsa porque eu acho que é o mais elegante. Mas posso dar-lhe

alguns números desempenho aqui. Assim você pode ver, estes são os números de desempenho em um

gigahertz 2.2, você sabe, tipo de máquina x86. E você pode ver que na verdade é o RC4

mais lento. Porque, essencialmente, bem, realmente não tirar proveito da

hardware. Ele só faz operações de byte. E por isso há uma grande quantidade de ciclos de desperdício que

não estão sendo utilizados. Mas os candidatos E-Stream, tanto Salsa e outros

candidato chamado Sosemanuk. Devo dizer que estes são finalistas eSTREAM. Estes são

realmente fluxo cifras que são aprovados pelo projeto eSTREAM. Você pode ver que

de terem atingido uma taxa significativa. Esta é a 643 megabytes por segundo nesta

arquitetura, mais do que suficiente para um filme e estas são realmente muito impressionante

taxas. E agora que você já viu exemplos de duas cifras de fluxo antigos que não devem ser

utilizado, incluindo ataques a essas cifras de fluxo. Você viu o que as cifras de fluxo modernos

parecido com este nonce. E você vê os números de desempenho para estes

fluxo cifras modernas por isso, se acontecer de você precisar de uma cifra de fluxo, você poderia usar um dos

os finalistas eSTREAM. Em particular, você poderia usar algo como Salsa.