Nếu kẻ tấn công không biết bí mật S, trong khi hằng số K và SHA3(K + SHA3(S)) thì kẻ tấn công có thể khám phá được không?

Tôi đang cố gắng hiểu mức độ an toàn S là từ kẻ tấn công. Giả sử trong một trường hợp họ có sẵn sức mạnh băm khổng lồ, như trường hợp họ sở hữu các giàn khai thác tiền điện tử.

Nói cách khác, kẻ tấn công không thể tìm ra bí mật S:

• S = "cụm từ bí mật của tôi"

Nhưng kẻ tấn công có đầy đủ kiến ​​thức về cả hai:

• hằng số K = "một hằng số được biết đến rộng rãi"
• một hàm băm kết hợp của cả hai K và hàm băm của S = SHA3(K + SHA3(S)) = 9cc2679d4eb37c26cb82db4fdec8ac3787b3eff6efd18ec839397798a9ed402f

• Đầu tiên nhìn vào $\operatorname{SHA3}(S)$

  $\operatorname{SHA3}$ là một hàm băm mật mã được xây dựng cho hình ảnh trước, hình ảnh trước thứ cấp và khả năng chống va chạm. Nếu bạn dùng $\operatorname{SHA3}-512$ sau đó bạn sẽ nhận được khả năng chống ảnh trước hình ảnh thứ nhất và thứ hai 512-bit và khả năng chống va chạm 256-bit.

  Trong trường hợp của bạn, điện trở của hình ảnh trước là quan trọng và sự thành công của việc tìm kiếm hình ảnh trước là một sự kiện không đáng kể. Trung bình kẻ tấn công cần cố gắng $2^{512}$ đầu vào khác nhau để tìm một hình ảnh trước.

  Trường hợp có vấn đề duy nhất ở đây là kích thước của bí mật. Nếu bí mật nhỏ hơn 512-bit thì bảo mật trước hình ảnh không phải là 512-bit, mà là $= \min\{512,bitLen(bí mật)\}$ vì kẻ tấn công chỉ cần tìm kiếm không gian này. Do đó giữ bí mật ít nhất lớn hơn 256^â¡ bit để đạt được bảo mật ít nhất 256 bit.

• $h = \operatorname{SHA3}(K + \operatorname{SHA3}(S))$

  Người đính kèm nhận được $K$ và $h$. Như trên, lần này với khả năng chống tiền hình ảnh đầy đủ (512-bit) sẽ ngăn kẻ tấn công lấy được $SHA3(S)$ chưa một mình truy cập $S$. Tuy nhiên, họ vẫn có thể tìm kiếm $S$ vẫn vậy, chúng ta có $ \min\{512,bitLen(bí mật)\}$ Bảo vệ. Kích thước bí mật tốt cho $S$ được yêu cầu, một lần nữa.

Ngay cả một người duy nhất $\operatorname{SHA3}$ gọi là đủ, gấp đôi $\operatorname{SHA3}$ cuộc gọi là quá mức cần thiết với kích thước khóa (bí mật) tốt.

Cấu trúc của bạn tương tự như HMAC trong đó hàm băm kép được sử dụng do các hàm băm MD dễ bị tấn công theo chiều dài. Mặt khác, SHA3 có khả năng chống lại điều này như BLAKE2.

Đã có cấu trúc MAC từ SHA3 được gọi là KMAC, nói một cách đơn giản nhờ khả năng chống lại các cuộc tấn công kéo dài

$$\operatorname{KMAC}(key,m) = \operatorname{SHA3}( key\mathbin\|m)$$

trong ký hiệu của bạn

$$\operatorname{KMAC}(S,K) = \operatorname{SHA3}( S\mathbin\|K)$$

Đây là một MAC an toàn và không tiết lộ khóa cho kẻ tấn công bằng bất kỳ phương tiện nào. Bạn chỉ cần sử dụng KMAC để đạt được những gì bạn muốn với kích thước khóa tốt!

_{^â¡Một số người có thể lập luận rằng bảo mật 128-bit là đủ. Tuy nhiên, những phát triển trong tương lai như máy tính lượng tử mật mã là mối đe dọa đối với tiền hình ảnh 128-bit của hàm băm và như một biện pháp đối phó với các cuộc tấn công đa mục tiêu, người ta cũng nên sử dụng bảo mật ít nhất 256-bit.}

Tôi đang cố gắng hiểu mức độ an toàn của S trước kẻ tấn công.

Để tấn công một trường hợp duy nhất (với một giá trị cụ thể là K), cuộc tấn công duy nhất có sẵn cho kẻ tấn công là thực hiện một số lượng lớn các dự đoán tại $S$; tính toán $SHA3(K+SHA3(S))$ cho từng cái và kiểm tra xem liệu giá trị mục tiêu có xảy ra hay không. Điều này có thể dễ dàng nhận thấy bằng cách quan sát rằng thẻ này là một chức năng của $SHA3(S)$ - chúng tôi tin rằng SHA3 có khả năng chống tạo ảnh trước.

Bây giờ, nếu kẻ tấn công có một số lượng lớn các thẻ (tất cả đều có cùng chữ K), anh ta có thể tấn công chúng song song - bằng cách so sánh giá trị được tính toán với tất cả các thẻ mục tiêu hoặc (nếu anh ta không có sẵn tất cả các thẻ cùng một lúc) xây dựng một bảng cầu vồng. Tuy nhiên, cả hai cách tiếp cận đều không làm giảm thời gian tấn công một thẻ cụ thể.

Vì vậy, để trả lời câu hỏi của bạn: mức độ an toàn của S sẽ phụ thuộc vào mức độ không thể đoán được của nó. Nếu đó là một cụm từ đơn lẻ chẳng hạn như 'cụm từ bí mật của tôi', thì đó có thể là một trong những giá trị mà kẻ tấn công thử sớm và vì vậy hắn sẽ tìm thấy nó nhanh chóng. Mặt khác, nếu cụm từ bí mật là, hãy nói CNjlOQn,FXyEPAxNSYz/0VAP0Gxd,osl4zQlXQNqE7K5gPjiwld3n1f$rcmh tốt, có vẻ như là một vụ cá cược khá an toàn rằng kẻ tấn công sẽ không tình cờ thử giá trị đó.