Omiterea primelor ieșiri ale cifrului fluxului

Îmi amintesc că am citit undeva că uneori în unele cifruri de flux este necesar să sărim peste primele valori pe care le produc. Nu găsesc nicio informație despre asta acum.

Dar pare să aibă sens. Așa cum o funcție hash trebuie să facă multe runde înainte de a returna un rezultat aleatoriu, CSPRNG are nevoie de un anumit număr de iterații, astfel încât informațiile de bază și cheie să nu poată fi obținute din primele rezultate.

Cum determinați câte iterații trebuie să fie? Sau există alte modalități de a rezolva această problemă? Pentru ca rezultatele să fie aleatorii încă de la primele iterații ar fi suficient să existe o inițializare corespunzătoare cu o cheie aleatoare și sămânță (care poate fi tratată și ca o cheie). Dar nu cred că asta rezolvă problema rezultatelor primului generator. Puteți citi în continuare câteva proprietăți cheie din acele prime rezultate, exact ca și cum nu ați face suficiente runde în funcția hash.

PS Ideea mea de a testa câte iterații trebuie să sărim este să tratez CSPRNG ca o funcție hash cu o cheie și să-l alimentez prin numere $1,2,3,...$ ca o sămânță cu niște chei, special selectate pentru a le face să pară slabe (dar și cu chei aleatorii). Apoi vedeți dacă o astfel de funcție hash trece teste statistice, cum ar fi PractRand. Aceasta ar fi o condiție minimă. Încă nu exclude faptul că vor exista metode de atacuri criptografice sofisticate care vor alege biți ale cheii din numerele care caută PractRand ca numere aleatorii.

Majoritatea codurilor de flux tradiționale au stat $S=(s_1,\ldots,s_n)$ de mărime $n$ biți, o funcție de actualizare a stării $\phi:S\rightarrow S$, care este inițializată de material cheie aleatoare, să zicem $S_0=(k_1,\ldots,k_n)$ iar iterația de stat este $S_{t+1}=\phi(S_t),$ pentru $t=1,2,\ldots.$ Au și o funcție de ieșire $f:S\rightarrow \{0,1\}^\ell,$ care iese $\ell$ biți deodată. De obicei putem avea $\ell=1,$ sau $\ell=8.$

Deci un anumit număr de iterații este necesar pentru ca orice corelații ușor de calculat din materialul cheie să se disipeze în secvența fluxului de chei observată $f(S_t),f(S_{t+1}),\ldots$ (presupunând un text cifrat cunoscut sau un text simplu cunoscut și un cifr aditiv în care textul simplu este XOR cu fluxul de chei).

În mod tradițional, cartografierea $\phi$ era de forma $$ \phi(s_1,\ldots,s_n)=(s_2,\ldots,s_n,s_{n+1}),\quad s_{n+1}=g(s_1,\ldots,s_n) $$

din motive de eficiență, ca în registrele de deplasare. Deci ai nevoie de un multiplu constant al $n$ iterații înainte de a utiliza efectiv fluxul de chei.

Ca și în comentarii, în cifrurile de flux moderne o serie de măsuri, cum ar fi utilizarea IV-urilor sau Nonces-urilor, sau utilizarea diferitelor moduri de operare ale cifrurilor de flux, este posibil să se utilizeze fluxul de chei imediat, fără a arunca nimic din el. De exemplu, dacă IV este aleatoriu și independent de cheie și are aceeași lungime de biți cu starea și este introdus XOR în starea inițială (în timp ce este public), aceasta are un efect de albire și face ca fluxul de cheie să fie independent de cheie.