主页 / 问题 / 1197130
Accepted
ellinagreek
Asked:2021-10-29 16:07:19 +0800 CST2021-10-29 16:07:19 +0800 CST

固定 IV 对 CBC 模式的攻击

  • 772

请告诉我可以为这样的任务构建什么样的攻击。有一个字符串（它的长度不超过5）。该字符串用零填充到 16 个字节，然后使用 CBC 加密。IV 是当前时间。加密后，我们可以得到字符串：IV+密文。还可以访问使用相同密钥加密任意消息的预言机。有必要确定地解密这个字符串。

криптография

2 个回答

  1. 实际上，我们说的是对 1 块密文的攻击，通过简单的操作，变成 1 块（实际上是对 ECB 的攻击）

    密文攻击方案：

    1. Json -> Base64
    2. Base64 -> CBC_Byte[16]
    3. CBC_Byte[] xor IV[16] -> ECB_Byte[16]

    然后，它仅在结果字节数组上使用长度为 5的字典进行暴力破解。[0..9]搜索次数 10 ^ 5 = 十万个选项。最多几分钟（包括网络休息请求）。

    • 1
  2. Best Answer

    据我了解情况：

    • 我们有一个密文块 C 0和一个初始化向量IV 0，用于在 CBC 模式下对其进行加密。我们知道C 0的明文 P 0由 1-5 个用零填充的 ASCII 数字组成。
    • 我们还有一个预言机，它对于任意明文 P n返回IV n .C n — 使用与原始文本相同的算法和相同的密钥加密的消息。在这种情况下，IV n是以秒为单位的当前时间，我们可以以很高的概率预测该值。

    攻击思路：

    因为 在 CBC 模式下，第一个块的加密方案如下所示：

    • С n = E(IV n ⊕P n )

    那么你可以使用P n：

    • P n = IV n ⊕ P t ⊕ IV 0

    其中 P t是所需的明文，则

    • С n = E(IV n ⊕IV n ⊕P t ⊕IV 0 ) = E(IV 0 ⊕P t )

    如果С n = С 0，P t和 将是所需的 P 0。

    因为 由于可能的P t相对较少（ 111 110，考虑到较短的字符串），因此可以组织它们的完整枚举。通过请求当前时间，可以以高概率预测P n形成的下一个 IV n 。当然，您需要检查文本是否实际上使用每个值的预测初始化向量进行了加密。

    • 1

相关问题