是否认为80位密钥大小可以防止暴力攻击？

#1 楼

TL; DR：不再是无条件的。
根据该消息来源，截至2020年11月23日，比特币矿工的总哈希值为$ \ approx140 \ cdot10 ^ {18} H / s $，其中一个哈希为两个嵌套的SHA-256；这是每年$ \ approx2 ^ {92.8} $ SHA-256。我相信2010-2011年的显着增长是GPU的增长，而2013-2014年的时期则是ASIC使用的增加。如今，比特币的开采主要是使用高度专业化的ASIC进行的。最近的硬件以15pJ / SHA-256（3250 W功率在墙上）宣传220 T SHA-256 / s，价格为2684美元。它已经卖完了，地球正在为碳排放而苦苦挣扎。

因此，今天不能盲目地认为80位安全性足够好。取决于多种因素，80位可能非常安全，或者显然不够；

目标值
有意义的时间范围
多么容易（或更难）是由于与

相比使用SHA-256进行了密钥检查，
每个搜索引擎所需的内存量>
多目标攻击的可能性，其中攻击者的目标是在几个目标密钥中找到一个，而他们设法使针对所有目标密钥测试候选密钥的成本大体上与它们的数目无关。这有时很简单（例如，当在所有目标密钥下都可以对相同的已知明文块的密文块进行块加密时）。


加法：我将Thomas Pornin的答案中的所有内容均列为第二（二月） （2014年），但也许“现在，80位似乎仍然很坚固”，仅在某些情况下（包括问题的情况），至少在当时有效。
在针对KATAN（真正的低端设备，例如RFID标签）的上下文中，密钥恢复的预期结果是能够克隆一个单个RFID标签。不管密钥大小如何，通过旁通道攻击或微探测来恢复密钥的成本都可能比暴力破解成本低得多，而与密钥大小无关（尽管测试KATAN密钥所需的工作比执行SHA-256要少得多）。因此，目前（2015年11月），基于合理的经济理由，80位密钥对于单个RFID标签密钥来说并不是主要弱点（如果我们不考虑宣布任何中断所产生的非理性破坏性影响，更理性的愿望是不要如果发生这种中断，则必须争论密钥的大小）。对于使用RFID标签密钥的主密钥或KATAN的其他一些用途，80位是不够的。

#2 楼

80位的密钥大小是不可行的历史限制；这就是1990年代的经验法则。这就是Skipjack使用80位密钥，而SHA-1提供160位输出的原因。许多人还估计1024位RSA，DH或DSA密钥可提供“ 80位等效”保护（请参阅此网站）。

摩尔定律最乐观的说法之一是：每三年，我们可以在给定的硅面积中放置四倍的晶体管，并将其时钟速度提高一倍。对于加密破解工作，这意味着每年可以多赚一点钱。从这个意义上讲，1994年的“ 80位”将是如今的“ 100位”。但是，这种关于“法律”的观点确实是不现实的，并且在以后的几年中没有得到验证（晶体管密度一直保持上升，但是时钟频率却停滞了。）

当前公开的对称密钥记录破解是一个64位的密钥。 Distributed.net的人们已经发起了一个72位尝试。 4000天后（将近11年！），他们探索了3％的关键空间。目前，80位仍然很坚固。转到128位是过大的，但是我们还是这样做，因为它具有较大的“安全裕度”（一个相当不合理的原因），并且出于美学原因（一个非常不合理的原因，但是，嘿，“ 128”是两个的幂，并且幂两个看起来不错）。

#3 楼

这取决于您要保证数据安全的时间。您
想要这个秘密的保险箱一星期，还是一辈子？如果将这个秘密透露给错误的人，您会遇到麻烦，入狱还是被杀死？
这还取决于您想保护数据安全的人。您是否希望您的数据受到国家级对手的保护，例如美国，英国，中国，俄罗斯？
您想考虑那些可能已经秘密使用或可能在未来<5年内很快推出的可行量子计算机的对手吗？

假设我们想要保护来自某个机构的数据，该机构有大量黑预算（每年108亿美元），其任务是获取和解密世界范围的通信。我们还假设他们拥有可行的量子计算机，我们知道他们一直在尝试建造一台量子计算机，而且在某一点上它比密码学领域的学术界领先约20年。如果他们还没有，那么他们将在接下来的<5年内这样做。因此，您需要考虑是否希望数据保密的时间更长。在评估针对暴力搜索的安全性时，攻击者无需执行全部尝试。假设您有一个128位密钥，即$ 2 ^ {128} $个搜索操作。那是最坏的情况。如果他们在$ 2 ^ {64} $次操作或$ 2 ^ {72} $次操作后找到了正确的密钥，那么他们可以停在那里，他们已经破解了您的数据。可能存在一些统计分析可以用来确定在特定密钥空间中比蛮力搜索更快地找到密钥的可能性。另外，请记住，针对各种算法的攻击会降低所需的暴力搜索次数。

您希望80位密钥是安全的，当有人与世界上顶级常规超级计算机（包括GPU和具有AES- NI说明）。在最坏的情况下，可以使用当前最好的量子搜索算法（格罗弗算法）在量子计算机上花费2 ^ {40} $的时间来破解它。 $ 2 ^ {40} $的安全性根本不是安全的。

给定一个128位密钥，对于普通的超级计算机，它被某些人认为是过大的，因此可以破解$ 2量子计算机上^^ 64的时间仍然不是很安全。

如果我们使用192位密钥，那么量子计算机将花费$ 2 ^ {96} $的时间。如今可能只有最低限度的安全裕度，它可能会再保护您的数据几年。

如果我们升级到256位密钥，则花费$ 2 ^ {128} $的时间花费一个量子电脑。如果我们假设$ 2 ^ {80} $处于世界顶级超级计算机的范围之内，并且根据摩尔定律，它们每年额外获得1位处理能力，那么这将是安全的，直到2062年。到那时还活着，您可能仍然希望保护您的秘密。既定的极权政府可能会强行将您从退休之家中遣送并入狱，因为您仅向您的朋友发送了一个256位加密消息，谈论在2013年进行一次反政府集会。您想冒险吗？

您的下一个选择是高于256位，以阻止它们在您的一生中破解数据，然后您可以安心地休息。使用Threefish算法，您可以拥有512位或1024位密钥。对于512位密钥，该密钥至少对量子计算机具有$ 2 ^ {256} $的安全性。他们将在那里待到2190年左右。您最好希望他们不会抓到您，让您进入低温睡眠状态，然后在他们解密后再次唤醒您，以证明自己并惩罚您。找出真实数据？如果您厌倦了估算袜子使用的“安全”级别和供您使用的“安全”算法的政府袜子木偶呢？如果您希望能够在胁迫下为他们提供任意数量的假密钥，并且仍将其解密为合理的东西，从而不会遇到麻烦，该怎么办？好吧，那你应该使用一次性垫。他们可以尝试每一个键并让其显示所有可能的明文，但仍然不知道确切的真实数据是什么。这就是间谍，军队和政府使用它的原因-合理的可否认性。只是不要使用像英特尔的RDRAND这样的后门或可能躲闪的随机数生成器。使用正确的TRNG。