但是，我记得在一个课程中得知曾经有一种特定的加密方法很流行，但突然变得非常糟糕过去存在漏洞（例如量子计算机和Shor的算法将用于RSA），并且每个人都必须继续前进（是吗？）。
我在过去找不到任何相关信息，有人我在说哪种密码系统的任何想法吗？
#1 楼
您可能正在考虑Merkle-Hellman背包密码系统。它是在1978年发明的，一切看起来都很好，直到六年后的Shamir于1984年将其彻底破坏-这是一次彻底的彻底突破，即密码系统在一夜之间变得无法使用。不知道背包式密码系统在现代意义上是否曾经“流行”（毕竟是1978年），但是肯定是一个不幸的早期公钥密码系统。
另一方面，对于渐进式磨损算法的一个示例（相对于立即中断算法而言），当然还有MD5的抗碰撞性。
评论
$ \ begingroup $
我不确定那是不是那个，但这就是我所需要的！谢谢！只是想指出一些消息来源指出，该加密系统于1982年针对未来的读者而推出（在Crypto '82上）。但是，其他一些资料也提到了1984年。我认为1984年是该论文的发表日期，而1982年是该系统的发布日期。
$ \ endgroup $
– Kevin Van Ryckegem
16年6月5日，0：49
#2 楼
这是黑暗中的一枪，但您能想到Needham-Schroeder协议吗？它于1978年发表[1]，并在18年后的1996年发表了一次攻击[2]。但是，它不是加密方法，而是协议。实际上，原始论文甚至没有指定要使用的加密方法，而是象征性地使用加密。因此，发现的缺陷与加密无关。相反，这是协议设计中的概念缺陷。但是，它经常在密码学/安全性课程中用作该协议在发明之后被打破的历史例子，因此我认为您可能一直在考虑这个协议。另一个流行的例子出现了。 WEP是一种链路层安全协议，它是1997年原始IEEE 802.11规范的一部分，并且是WPA / WPA2的前身。此密码因其设计中的各种弱点和密码原语的错误使用而导致的密码违规而被破坏[3,4]。
[1]罗杰·M·李约瑟，迈克尔·D·施罗德。在大型计算机网络中使用加密进行身份验证。社区ACM 21（12）：993-999（1978）
[2] Gavin Lowe。使用FDR破坏和修复Needham-Schroeder公钥协议。 TACAS 1996：147-166
[3] Nikita Borisov，Ian Goldberg，David Wagner。拦截移动通信：802.11的不安全性。 MOBICOM 2001：180-189
[4] Scott R. Fluhrer，Itsik Mantin，Adi Shamir。 RC4密钥调度算法中的弱点。密码学2001年的选定领域：1-24
#3 楼
在前两个答案中未提及DES。尽管从一开始就知道它很弱，但至少在几十年前就被广泛使用，直到新算法（3DES，AES和RC4）取代它为止。如今，可以使用专用硬件或最多花费数千美元的云计算时间来破解它。说到RC4，它是另一种破解密码，尤其是在WEP之类的协议中（其他答案），其中使用了小密钥，但现在它的使用也已从TLS中逐步淘汰，而TLS在几年前仍被认为是最糟糕的选择。
相关问题：突然下降的现代广泛使用的密码的例子？
评论
$ \ begingroup $
DES的弱点在于它的密钥长度。是的，有分析攻击，但是它们需要足够的明文才能在大多数情况下不切实际。实际的攻击是计算机变得足够快，可以在合理的时间内尝试整个密钥空间。
$ \ endgroup $
–马克
16年6月6日在8:23
$ \ begingroup $
@Mark，是的，RC4更适合该问题。
$ \ endgroup $
–otus
16年6月6日在8:35
#4 楼
WEP用于保护无线网络：有线等效保密性（WEP）是用于IEEE 802.11无线网络的安全算法。作为1997年批准的原始802.11标准的一部分引入，其目的是提供与传统有线网络相当的数据机密性。 WEP可以一次识别10或26个十六进制数字的密钥，它曾经被广泛使用，并且通常是路由器配置工具向用户提供的第一安全选择。
...
2007年，Erik Tews，Andrei Pychkine和Ralf-Philipp Weinmann能够扩展Klein的2005年攻击并对其进行优化以用于对抗WEP。使用新攻击，仅使用40,000个捕获的数据包就可以以50％的概率恢复104位WEP密钥。对于60,000个可用数据包，成功概率约为80％，而对于85,000个数据包，成功概率约为95％。使用取消验证和ARP重新注入等主动技术，在良好条件下，可以在一分钟之内捕获40,000个数据包。在奔腾M 1.7 GHz上，实际计算大约需要3秒和3 MB的主内存，并且可以针对CPU速度较慢的设备进行优化。相同的攻击可用于成功率更高的40位密钥。
来源：https://en.wikipedia.org/wiki/Wired_Equivalent_Privacy
评论
$ \ begingroup $
这是一个被破坏的协议的好例子（由于使用了较弱的加密方法和非常糟糕的协议设计。这是一个有趣的例子，但是我不确定它是否算作“方法”本身”。
$ \ endgroup $
–马腾·博德威斯♦
16年7月7日在9:13
#5 楼
NIST在2006-07年发布了用于加密安全随机数生成的新标准。他们的建议之一是基于椭圆曲线DUAL_EC_DRBG。，2006年，Daniel Brown和Kristian Gjosteen发现该算法对某些数字有微妙的偏差。后来，在2007年，Dan Shumow和Niels Ferguson表示，他们找到了造成这种偏见的原因：一个故意的后门程序，它将使知道正确数字集的人们能够预测生成的数字，从而使用由DUAL_EC_DRBG。
之所以将其视为有意的后门而不是偶然的缺陷，是因为当时NSA极力推动将这种有缺陷的方法包括在NIST出版物中，即使它涉及很多速度比出版物中的其他方法慢。
来源：
斯坦福大学的文章：https：//cs.stanford.edu/people/eroberts/ cs181 / projects / ethics-of-surveillance / tech_encryptionbackdoors.html
来自Wired的Bruce Schneier的文章：https：//www.schneier.com/essays/archives/2007/11/did_nsa_put_a_secret.html
评论
辫子组密码系统可能吗？pg1989。我希望通过使用编织组的一些概括来改变（除非基于这些新组的这些密码系统将显示为不安全的）。
谜？也相关：en.wikipedia.org/wiki/Category：Broken_cryptography_algorithms
如果您突然需要，那么您可能应该将其包括在标题和最后一句中。现在，我们得到了及时破解的算法（DES，MD5，RC4）的答案。