Sunt probabil o mână de chei care ar putea fi detectate prin schimbarea blocurilor într-un mesaj autentificat care are o lungime de câteva zeci de milioane de blocuri. Există, de asemenea, cheia slabă trivială zero și cheia trivială 1.
Amintiți-vă că aditivul Poly1305 MAC este calculat ca
$$\left(\sum_i c_i r^i\pmod{2^{130}-5}\right)\pmod{2^{128}}$$
Unde $c_i$ este o funging ușoară a blocului de mesaje și $r$ este cheia MAC. În mod evident, dacă $r=0$ atunci aditivul este întotdeauna zero. Acest lucru este banal de detectat, deoarece orice modificare a mesajului se va autentifica în continuare. Dacă $r=1$, schimbând oricare $c_i$ și $c_j$ nu ar schimba aditivul. Schimbarea a două blocuri de mesaje va realiza acest lucru, cu condiția ca niciunul să nu fie blocul de mesaj final.
La fel, dacă $r\equiv -1\pmod{2^{130}-5}$ (corespunzător subgrupului de ordinul 2), apoi schimb $c_i$ și $c_j$ Unde $i$ și $j$ au aceeași paritate nu ar schimba blocurile de schimb aditiv $m_i$ și $m_j$ va realiza acest lucru cu condiția ca nici blocul final să nu fie. Cu toate acestea, aceasta $r$ nu poate apărea ca o cheie Poly1305, deoarece expresia sa binară este 11111111....11010 și cheile Poly1305 trebuie să aibă zero biți în pozițiile 28, 29, 30, 31, 32, 33, 60, 61, 62, 63, 64, 65, 66, 92, 93, 94, 95, 96, 97, 124, 125, 126, 127, 128 și 129 (rețineți că acesta este aproximativ $2^{-24}$ starea elementelor mod $2^{130}-5$).
Scris $p=2^{130}-5$ și observând că 2 este un mod de rădăcină primitivă $p$, noi scriem $\omega_{23}\equiv 2^{(p-1)/23}\pmod p$ si puterile lui $\omega_{23}$ sunt toate de ordin 23. Schimbarea $c_i$ și $c_j$ unde sunt $i$ și $j$ sunt congruente mod 23 nu va schimba aditivul când $r\equiv\omega_{23}^k$ pentru unii $k$ dând alte 23 posibile chei slabe. Cu toate acestea, nici una dintre aceste chei nu este probabil să satisfacă condițiile de biți pt $r$ (nu am verificat). Idem pentru alte 23 de chei ale ordinului 46.
Totuși, dacă scriem $\omega_{32985101}\equiv 2^{(p-1)/32985101}\pmod p$, schimb $c_i$ și $c_j$ unde sunt $i$ și $j$ sunt congruente mod 32985101 nu va schimba aditivul când $r\equiv\omega_{32985101}^k$ pentru unii $k$ și aceasta este o familie mult mai mare de potențiale chei slabe din care o jumătate de duzină sunt, așa că probabil se vor potrivi cu constrângerile $r$ (Nu am făcut căutarea, dar este simplu). Mesaje de peste $2^{25}$ blocurile nu sunt de neconceput.
Este posibil să mai existe și câteva chei corespunzătoare elementelor de ordine 2$\ori 32985101$, 23$\ori 32985101$ și 46$\ori 32985101$. Elementele în care 897064739519922787230182993783 își împarte ordinea corespund, de asemenea, teoretic altor chei slabe, dar lungimi ale mesajelor de aproximativ $2^{100}$ blocurile sunt nerealiste și probabil ar trebui evitate din alte motive.
