Contra pentru cifrurile de flux care se bazează pe funcții hash

Într-un răspuns de Aici cineva mentioneaza:

dacă aveți o funcție hash-cu-oracol-puteri, atunci este destul de ușor să generați un flux pseudo-aleatoriu dintr-o cheie secretă, prin hashing K||n unde K este cheia secretă și n este un numărător. Prin XOR-ul acestui flux pseudo-aleatoriu dependent de cheie cu datele de criptat, aveți un cifru de flux.

În aceeași postare există și această parte referitoare la utilizarea funcțiilor hash criptografice pentru crearea unui cifr de flux:

O funcție hash criptografică este o funcție care este rezistentă la preimagini, a doua preimagini și coliziuni. Din câte știu, nu s-a dovedit că aceste condiții sunt suficiente pentru a construi un stream cipher.

Din câte știu, se crede că toți algoritmii simetrici existenți în prezent, în special AES, sunt doar siguri. Singura dovadă pe care o avem în ceea ce privește securitatea lor este utilizarea lor în practică și că atacurile care au fost încercate până acum nu reduceau catastrofal securitatea acelor algoritmi.

Problema că „nu s-a dovedit că aceste condiții sunt suficiente pentru a construi un cifru de flux” este într-adevăr singura problemă? Care sunt alte probleme cu cifrurile de flux care sunt induse de funcțiile hash? Sunt probabil mai puțin sigure? Probabil sunt mai lente? Probabil că folosesc prea multă memorie? Doar că există și alți algoritmi de criptare cercetați care promit rezultate mai bune?

Aș presupune că o funcție hash cu o dimensiune de bloc mai mare are avantajul că pot fi utilizate chei mai lungi sau non-uri mai lungi. Pentru SHA-512 se poate folosi o cheie cu 384 de biți și un nonce de 128 de biți. O altă posibilitate ar fi să continuați să utilizați chei de 256 de biți, să folosiți nonces de 128 de biți și să aveți o dimensiune maximă mai bună a mesajului de 2^128 de blocuri (sau 2^137 de biți pentru SHA-512) în comparație cu ~2^39 de biți pentru AES-GCM cu doar nonces pe 96 de biți (care ar fi un obiectiv frumos după părerea mea).

O funcție hash criptografică este o funcție care este rezistentă la preimagini, a doua preimagini și coliziuni. Din câte știu, nu s-a dovedit că aceste condiții sunt suficiente pentru a construi un stream cipher.

Ieșirea unei funcții hash criptografice, fiind rezistentă la coliziuni și pre-imagine, nu înseamnă neapărat că produc rezultate care nu se pot distinge de aleatoriu.Deoarece cu un atac de text simplu ales, fluxul generat poate fi extras cu ușurință. Dacă fluxul se distinge, atunci modelul perceptibil poate dezvălui informații despre textul simplu. Din câte știu eu (alții mă corectează dacă greșesc), nu a fost cunoscută o astfel de problemă cu niciuna dintre funcțiile hash utilizate în prezent. [Și, după cum au subliniat alții, se poate datora faptului că nicio astfel de analiză ciptografică a funcțiilor hash utilizate ca generator de flux nu a fost făcută cu suficientă rigoare, deoarece nu a fost niciodată intenționată să fie utilizată în acest fel]

Există câteva probleme legate de modul în care a fost prezentată întrebarea dvs. Există nonce, contor și cheie. Vorbești despre non-uri mai jos, dar fără contor și despre ecuația pe care ai citat-o $H(k\mathbin\|n)$ from answer are counter, dar nu nonce, așa că nu ați clarificat cum le folosiți.

Oricum, din câte știm noi, $H(k\mathbin\|n\mathbin\|\text{ctr})$ Unde $n$ și $\text{ctr}$ sunt, respectiv, nonce și counter ar putea fi un generator de flux bun pentru majoritatea funcțiilor hash, cred, atâta timp cât $k$, $n$ și $\text{ctr}$ toate au lungime fixă ​​(nu trebuie să vă faceți griji cu privire la atacurile de tip extensie de lungime pentru intrarea cu lungime fixă). Dar, mai general, trebuie să utilizați funcții care sunt considerate a fi funcții pseudo-aleatoare (cum ar fi HMAC) pentru o garanție rezonabilă de securitate dacă doriți să utilizați fluxul bazat pe hash. Ca în $\operatorname{HMAC}_k(n\mathbin\|\text{ctr})$ . Și pentru că HMAC utilizează hashing dublu și cifrurile bloc precum AES au o optimizare ridicată, cred că nu oferă performanța pe care o oferă fluxurile de ultimă generație (chacha, AES-CTR/GCM), chiar dacă este suficient de sigur.