התקפת איזון זמן/זיכרון

תיאור ההתקפה

הכנה: תחילה ${\displaystyle N=2^{n}}$ שהוא מרחב כל המפתחות האפשריים. התוקף בוחר מתוך המרחב ${\displaystyle \{1,2,...,N\}}$, ${\displaystyle m}$ נקודות התחלה start point אקראיות שונות שיהיו מפתחות הצפנה, אותן מסמנים: ${\displaystyle {\text{SP}}_{1},{\text{SP}}_{2},...,{\text{SP}}_{m}}$. ואז עבור כל נקודת התחלה מחשב את 'שרשרת ההצפנה' כדלהלן: (א) מציב בכניסה הראשונה בשורה ${\displaystyle i}$ את נקודת ההתחלה ${\displaystyle X_{i,0}={\text{SP}}_{i}}$ ואז (ב) כל כניסה הבאה אחריה מכילה את ${\displaystyle X_{i,j+1}=f(X_{i,j})}$ עבור ${\displaystyle 1\leq j\leq t}$, כלומר כל כניסה היא הצפנה של ${\displaystyle P}$ עם מפתח שהוא תוצאת ההצפנה של כניסה קודמת. הטקסט המוצפן עצמו משמש כמפתח הצפנה לאחר שעבר המרה מתאימה עם הפונקציה ${\displaystyle g}$. למעשה שורה אחת היא שרשרת של ${\displaystyle t}$ הצפנות חוזרות של ${\displaystyle P}$ על ידי ${\displaystyle f}$, עם סדרה של מפתחות שהאחד נוצר מהשני, עד שמגיעים לנקודת הסיום ${\displaystyle X_{i,t}={\text{EP}}_{i}}$. לסיכום הטבלה היא:

${\displaystyle {\text{SP}}_{1}=X_{1,0}\ \ \ {\xrightarrow {f}}\ \ \ X_{1,1}\ \ \ {\xrightarrow {f}}\ \ \ X_{1,2}\ \ \ {\xrightarrow {f}}\ \ \ \cdots \cdots \ \ \ {\xrightarrow {f}}\ \ \ X_{1,t}={\text{EP}}_{1}}$

${\displaystyle {\text{SP}}_{2}=X_{2,0}\ \ \ {\xrightarrow {f}}\ \ \ X_{2,1}\ \ \ {\xrightarrow {f}}\ \ \ X_{2,2}\ \ \ {\xrightarrow {f}}\ \ \ \cdots \cdots \ \ \ {\xrightarrow {f}}\ \ \ X_{2,t}={\text{EP}}_{2}}$

${\displaystyle {\text{SP}}_{3}=X_{3,0}\ \ \ {\xrightarrow {f}}\ \ \ X_{3,1}\ \ \ {\xrightarrow {f}}\ \ \ X_{3,2}\ \ \ {\xrightarrow {f}}\ \ \ \cdots \cdots \ \ \ {\xrightarrow {f}}\ \ \ X_{3,t}={\text{EP}}_{3}}$

${\displaystyle \vdots }$

${\displaystyle {\text{SP}}_{m}=X_{m,0}\;\;\;{\xrightarrow {f}}\;\;\ X_{m,1}\;\;{\xrightarrow {f}}\;\;\ X_{m,2}\;\;\;{\xrightarrow {f}}\;\;\;\cdots \cdots \;\;\;{\xrightarrow {f}}\;\;\ X_{m,t}={\text{EP}}_{m}}$

כדי לצמצם דרישות זיכרון לא מאחסנים את ערכי הביניים אלא את נקודות ההתחלה והסיום ${\displaystyle {\text{SP}}_{i},{\text{EP}}_{i}}$ בלבד וממיינים אותן בסדר נומרי לפי נקודות הסיום ${\displaystyle {\text{EP}}_{i}}$.

התקפה: לצורך הפשטות (כאמור לעיל) משתמש מסוים בחר במפתח סודי ${\displaystyle K}$ כלשהו, הצפין את הבלוק הקריא ${\displaystyle P}$ (שידוע לתוקף, למשל הבלוק יכול להיות מחרוזת אפסים או כל טקסט קבוע ומוסכם) ובדרך מסוימת התוצאה ${\displaystyle C=E_{K}(P)}$ נפלה לידי התוקף ועליו לגלות את ${\displaystyle K}$. התוקף מיישם את הפונקציה ${\displaystyle g}$ כדי לקבל את ${\displaystyle Y_{1}=g(C)=f(K)}$ ואז מבצע את המהלכים הבאים:

1. בודק בטבלה אם ${\displaystyle Y_{1}={\text{EP}}_{i}}$, עבור כל ${\displaystyle i}$ מ-${\displaystyle 1}$ עד ${\displaystyle m}$. במקרה שכן, התוקף יודע שהמפתח הנכון הוא הערך האחד לפני אחרון בשורה ${\displaystyle i}$ כי כאמור הערך האחרון הוא תוצאה של הצפנת המקור עם מפתח אחד לפניו. היות שתוצאות הביניים לא שמורות, עליו לחשב את כל השורה מנקודת ההתחלה לפי הסדר עד הגיעו לנקודה הרצויה במקרה זה ${\displaystyle X_{i,t-1}}$ וזהו בדיוק המפתח אותו הוא מחפש. כעת עליו רק לוודא שפענוח ${\displaystyle C}$ אכן מוביל ל-${\displaystyle P}$ וההתקפה הסתיימה בהצלחה. ייתכן מצב שבו ל-${\displaystyle {\text{EP}}_{i}}$ יש יותר ממקור אחד ואז השוויון האחרון אינו נכון, כלומר למרות שקיימת התאמה עם ${\displaystyle {\text{EP}}_{i}}$, בפענוח ${\displaystyle C}$ התגלה שהתוצאה אינה תואמת את ${\displaystyle P}$. זהו מצב אפשרי והוא מכונה כאן 'אזעקת שווא'. מתייחסים אליו כאילו לא הייתה התאמה. הוכח שמספר אזעקות השווא הצפוי חסום על ידי ${\displaystyle mt(t+1)/2N}$.
2. אם ${\displaystyle Y_{1}\neq {\text{EP}}_{i}}$. כלומר אף אחת מנקודות הסיום אינה מתאימה, או שהייתה אזעקת שווא מסעיף 1, התוקף מחשב את ${\displaystyle Y_{2}=f(Y_{1})}$ וחוזר לשלב 1. בשלב זה הבדיקה תוכיח אם המפתח הוא בעמודה השנייה מימין (${\displaystyle X_{i,t-2}}$), בסבב השלישי ייבדק אם המפתח הוא אחד מ-${\displaystyle X_{i,t-3}}$ וכן הלאה עד לבדיקת כל הערכים בטבלה, שאז במידה שלא נמצאה התאמה ההתקפה נכשלה.

יש לשים לב שהתוקף צריך לגשת לטבלה בכל פעם שמחושב ${\displaystyle Y}$ חדש. אם כל ${\displaystyle m\times t}$ האלמנטים שבטבלה שונים, ההסתברות להצלחה היא ${\displaystyle \textstyle P(S)={\frac {m\times t}{2^{k}}}}$. בפועל סיכויי ההצלחה נמוכים יותר כי הם תלויים באופן שבו השרשראות מתפרסות על פני מרחב המפתח. קיימת גם אפשרות ששרשרת הצפנה שהתחילה עם מפתח אחד תתנגש ותתמזג עם שרשרת אחרת שהתחילה עם מפתח אחר (מנקודה זו ועד לנקודת הסיום כל החוליות בשתי השרשראות תהיינה זהות). ככל שהטבלה גדולה יותר כך גדלים הסיכויים להתנגשות. כל התמזגות מצמצמת למעשה את מספר האפשרויות שהטבלה מכסה. אם ${\displaystyle f}$ היא פונקציה ראנדומלית, ההסתברות להצלחה חסומה ב:

${\displaystyle P(S)\geq {\frac {1}{N}}\sum _{i=1}^{m}\sum _{j=0}^{t-1}\left(1-{\frac {it}{N}}\right)^{j+1}}$

מהמשוואה עולה כי הערכים האופטמיליים של ${\displaystyle t}$ ו-${\displaystyle m}$ הם כאלו שמקיימים ${\displaystyle mt^{2}=N}$ שאז הסיכויים הם בערך ${\displaystyle 1/0.80=1.25}$. שזהו לא שיפור משמעותי כפי שהיינו מצפים. כדי לקבל סיכויי הצלחה גבוהים יותר משתמשים בטבלאות מרובות, כל אחת עם פונקציה ${\displaystyle f}$ שונה, בכך מבטיחים פריסה טובה יותר של אלמנטים והימנעות מהתמזגויות ובכך מגבירים את הסיכויים בפקטור שהוא ביחס לכמות הטבלאות (או סך כל האלמנטים). אי אפשר למנוע התנגשות לגמרי אך גם אם ערך כלשהו מתנגש בנקודה כלשהי היות שהפונקציה שונה לא תתרחש התמזגות. בכללות עבור ${\displaystyle r}$ טבלאות הסיכויים הם:

${\displaystyle P(S)_{\text{total}}\geq 1-(1-P(S)_{\text{table}})^{r}}$

כאשר ${\displaystyle P(S)_{\text{table}}}$ מתייחס לסיכויים עם טבלה אחת. אם מציבים ${\displaystyle m=t=N^{1/3}}$ ההסתברות לטבלה אחת היא בערך ${\displaystyle P(S)=N^{1/3}}$, לכן עם ${\displaystyle N^{1/3}}$ טבלאות אפשר להשיג סיכויים של ${\displaystyle N^{2/3}}$. כמות הזיכרון תהיה במקרה זה ${\displaystyle M=N^{2/3}}$ מילים וסך כל הפעולות הוא ${\displaystyle T=N^{2/3}}$. החיפוש בטלבאות יכול להתבצע באופן סידרתי או מקבילי להאצה נוספת וכמובן שאפשר להשתמש ביותר טבלאות לפי הצורך כדי להגביר סיכויים. למשל אם ${\displaystyle N=2^{128}}$, הערכים יכולים להיות ${\displaystyle t=m=2^{21.33}}$ בערך. זמן החישוב הכולל מתקצר ל-${\displaystyle 2^{42.66}}$ בקירוב, עם כמות דומה של זיכרון (בסך הכול ${\displaystyle 2^{21.33}}$ טבלאות עם ${\displaystyle 2^{21.33}}$ כניסות) שזה בערך 2 מיליון טבלאות כפול 2 מיליון כניסות.