Thuật toán Grover cho AES ở chế độ CBC

Xin chào,
Tôi đã tự hỏi liệu về mặt lý thuyết có thể sử dụng thuật toán Grover để phá vỡ AES trong chế độ CBC hay không. Giả sử rằng tôi có ~1000 cặp bản rõ/bản mã và độ dài khóa là 128 bit. Tôi nghĩ về nó theo cách này:

1. Đối với mỗi cặp bản rõ và bản mã, chỉ sử dụng 16 byte đầu tiên của bản rõ và 16 byte đầu tiên của bản mã. (Chúng sẽ được dán nhãn là P_N, C_N trong đó n là cặp thứ n)
2. Viết tập hợp các phương trình với một biến chưa biết - khóa. (Khóa được dán nhãn là K)
   AES-128_đ(C₁, K) â AES-128_đ(C₂, K) = P1 â P2
   AES-128_đ(C₃, K) â AES-128_đ(C₄, K) = P3 â P4
   AES-128_đ(C₅, K) â AES-128_đ(C₆, K) = P5 â P6
   ...
   AES-128_đ là chức năng giải mã AES-128
   â là XOR
3. Sử dụng thuật toán Grover để tìm K từ các phương trình đã cho ở trên. Nếu khóa được tìm thấy, việc xác định IV rất dễ dàng bằng cách sử dụng phương trình này:
   AES-128_đ(C₁, K) = P1 â IV

Thuật toán Grover có thể được sử dụng để đảo ngược tập hợp các phương trình từ bước 2 không? Tôi cần bao nhiêu cặp bản rõ/bản mã để xác định duy nhất khóa và IV cho độ dài khóa 128, 192 và 256 bit?

$\text{AES-128}_d(C_1, K) \oplus \text{AES-128}_d(C_2, K) = P_1 \oplus P_2$

Điều đó không cho rằng hai bản mã có chung IV sao? Thông thường, họ không.

Trong mọi trường hợp, ngay cả khi bạn không biết bất kỳ IV nào, thì một phương pháp đơn giản hơn sẽ là nếu bạn có một thông báo hai khối đã biết với văn bản gốc $(P_a, P_b)$ và một bản mã tương ứng $(C_a, C_b)$, sau đó

$$\text{AES-128}_e(P_b \oplus C_a, K) = C_b$$

Điều này giữ bất kể IV đã được sử dụng.

Thuật toán Grover có thể được sử dụng để đảo ngược tập hợp các phương trình từ bước 2 không?

Tôi giả sử. Tuy nhiên, nếu tất cả những gì bạn có là một loạt các thông báo khối đơn lẻ, thì bạn phải giả định rằng tất cả các IV đều giống nhau. Nếu chúng không xác định và ngẫu nhiên, thì bạn không thể suy luận bất cứ điều gì.