为什么不带伪数发生器的一次性垫

评论

---

$ \ begingroup $
很棒的答案。谢谢。但是，如果两方之间的密钥绝对是秘密的，那么攻击者如何更改消息？ Wiki文章涉及RSA加密，其中除私钥外还存在一个共享的公钥。我可能会丢失连接。
$ \ endgroup $
–dardawk
2013年9月19日下午13:27

---

$ \ begingroup $
One Time Pads无法提供数据完整性。因此，攻击者可以更改消息，而接收方将不会知道数据已更改。攻击者无法恢复纯文本，但是他们可以更改密文。 Mayank的是/否就是一个例子。攻击者可以看到“是”或“否”的密文，并且可以更改此密文，以便在接收方解密时更改纯文本。我从pg1989推荐的课程中学到了这一点。
$ \ endgroup $
–瑞安
2013年9月19日13:41

---

$ \ begingroup $
嗯，但是如果使用填充板对“是”进行了加密，则攻击者将不知道消息或填充板，因此，如果他们尝试发送其他内容，使用原始填充板解密攻击者的消息肯定会产生垃圾吗？当然，这种方法对纯文本攻击毫无用处，因为用户gen非常容易地推断出该便笺簿。你是这个意思吗？同样，我才刚刚开始学习课程，所以也许我只需要耐心一点。 :)
$ \ endgroup $
–dardawk
2013年9月19日下午14:35

---

$ \ begingroup $
@dardawk好吧，让我们想象一下，您正在使用接收者和接收者之间共享的一次性填充发送正在加密的单位是/否消息。通过对该位与共享的秘密位进行异或运算，可以确保无论发送什么消息，在线路上侦听的人都不会知道该消息是是还是否。但是，仅通过反转消息位，攻击者就可以为相反的值得出有效的密码。然后他们可以将其发送给收件人，如果您发送“否”，收件人将看到“是”，而如果您发送“是”，则将看到“否”。
$ \ endgroup $
– AJMansfield
2013年9月19日15:03

---

$ \ begingroup $
设$ m \ in \ left \ {{\ text {yes}，\ text {no！}} \ right \} $，$ k $为随机密钥，密文$ c = k \ oplus m $。您希望修改$ c $，以便将其解密为其他可能的明文。令$ x = \ text {yes} \ oplus \ text {no！} $。计算$ c ^ \ prime = c \ oplus x $。这是您的新密文。请注意，如果$ m = \ text {yes} $，则$ c'= k \ oplus \ text {yes} \ oplus \ text {yes} \ oplus \ text {no！} = k \ oplus \ text {no！} $，如果$ m = \ text {no！} $，$ c'= k \ oplus \ text {no！} \ oplus \ text {no！} \ oplus \ text {yes} = k \ oplus \ text {yes } $。
$ \ endgroup $
–斯蒂芬·托瑟（Stephen Touset）
2013年9月19日17:35

---

评论

---

$ \ begingroup $
对。我所说的伪随机数生成器是确定性f'n，它将输出密钥唯一的长字符串。我使用伪随机数生成器只是因为它在我脑海中是新鲜的。感谢您的回答！
$ \ endgroup $
–dardawk
2013年9月19日下午13:31

---

评论

---

$ \ begingroup $
，布拉德，这就是为什么我提到伪随机数生成器（我应该将其称为确定性f'n，它基于短得多的输入键生成一个长而唯一的字符串-pad）。密钥仍然需要商定，“间谍”可以像使用任何（非RSA \公钥）密码一样获得密钥。当然，我想知道您的观点是，一次性键盘如果要重用该键将无用。我只是想将这种简单的算法与其他私钥密码进行比较：AES，蛇，Twofish等。
$ \ endgroup $
–dardawk
2013年9月19日下午14:41

---

$ \ begingroup $
啊，是的-我同意有关“重塑流密码”的评论；-)最大的要点是（我想说，但我认为它可能太明显了）是“安全性仅在于就像“密码本”数据不可破解的随机性一样。
$ \ endgroup $
–布拉德
2013年9月20日15:09

---

$ \ begingroup $
政府和外交官还可以选择使用外交邮袋将物品转移到其在另一个国家的使馆。根据《维也纳外交关系公约》，这些人享有免于搜查或扣押的外交豁免权。因此，它并不像您确定的那样困难。但是，可能仍需要使用防篡改（或防篡改）密封件将其戴在手腕上的带锁手提箱。显然，当您用完随机数据时就不会出现恐慌。您将有一个程序可以提前提醒您。
$ \ endgroup $
– NDF1
2015年1月14日在10:25

---

评论

---

$ \ begingroup $
接收者将如何解密数据呢？ （不是我的不赞成。）
$ \ endgroup $
–用户
2013年9月19日9:31

---

$ \ begingroup $
@MichaelKjörling通过单独的渠道获得一次性垫的副本。这是一次性垫的问题：从某种理论上讲，它们最终是安全的，但不切实际。
$ \ endgroup $
–吉尔斯'所以-不再是邪恶的'
2013年9月19日上午11:53

---

$ \ begingroup $
@Gilles正是。如果您具有安全的通道来传输OTP，为什么不首先使用该通道来传输消息？另一方面，如果第二个通道不比第一个通道更安全，那么从机密性的角度来看，您没有解决任何问题-任何可以窃听一个通道的人也可以窃听另一个通道。它可能给花园变种攻击者带来一个问题，但对确定的对手却不是一个问题，并且为了保护自己免受花园变种攻击者的侵害，合理的AES-256模式已绰绰有余，仅需要安全分配32个字节的密钥即可。
$ \ endgroup $
–用户
2013年9月19日在12:23

---

$ \ begingroup $
@Gilles我确实在某个地方（可能是IT安全部门）评论说，OTP现在可以在您拥有安全通道的地方使用，但稍后需要传输可证明的安全消息。但是即使那样，您仍然至少有在需要之前存放垫子的问题。
$ \ endgroup $
–用户
2013年9月19日在12:24

---

$ \ begingroup $
@MichaelKjörling该频道可能很安全，但延迟较高。例如，考虑一个需要信任的快递员，他需要几个小时才能环游世界。或一些同谋者亲自会面以进行密钥设置，然后再交换加密的消息。一次性键盘可让您将消息交换的时间与拥有可信通道的时间分开。
$ \ endgroup $
– CodesInChaos
2013年9月19日15:52

---

评论

---

$ \ begingroup $
1）任何体面的流密码只会在超过2 ^ 60个输出字节后重复，因此此限制与实际无关。2）不同流的数量和一个流的长度无关。典型的流密码将具有至少2 ^ 128个不同的流。 3）使用好的流密码比组合多个密码更为重要。自己修改常数的理由很少，只需选择一个随机密钥和IV作为种子即可。
$ \ endgroup $
– CodesInChaos
2014年1月29日上午10:19

---

$ \ begingroup $
我缺少什么吗？在第4步中，您将种子附加到密文中，并且显然以明文形式发送它们。为何攻击者无法使用这些种子来解密邮件？如果答案是“因为攻击者不知道密钥流中的'非标准'常量”，那意味着这些非标准常量实际上是该系统的密钥；使用固定在系统中的钥匙至少会带来非常可疑的安全性。
$ \ endgroup $
–雨披
2014年7月28日在17:29

---

$ \ begingroup $
要猜测用于加密明文的PRN流，攻击者需要猜测：-（a）我使用的PRNG算法，以及（b）我插入该算法的确切“非标准”常量。诚然，我生成的PRN流绝对不是严格的密码安全性，但是我认为它的安全性足以满足我的目的。如果我犯了一个错误并且有人犯了错，那么我将不得不承担责任。
$ \ endgroup $
–马克·泰勒（Mark Taylor）
2014年7月28日在17:33

---

$ \ begingroup $
PS ..如果有人认为自己可以打破它，我将非常有兴趣知道。
$ \ endgroup $
–马克·泰勒（Mark Taylor）
2014年7月28日在17:41

---

$ \ begingroup $
@MarkTaylor关于您…攻击者需要猜测：-（a）我使用的PRNG算法，以及（b）我插入该算法的确切“非标准”常量...以及您的“如果有人认为”可以打破它，我很想知道。 –也许您还不知道，但是密码学家采用了Kerckhoff的原理。其他所有内容都是“默默无闻的安全性”，而不是加密技术。在密码术中，假定完整的算法被攻击者/敌人/夏娃知道，并且只有密钥代表未知秘密。
$ \ endgroup $
– e-sushi
2014年7月28日在18:51

---