32、从内部状态高效重建 RC4 密钥

从内部状态高效重建 RC4 密钥

1 引言

RC4 流密码由 Ron Rivest 设计，1987 年作为 RSA DSI 的专有软件首次推出，1994 年其细节在互联网新闻组上被匿名公布。尽管 RSA DSI 未确认公布的算法就是 RC4，但实验测试表明其输出与 RC4 软件相同。

至今，RC4 仍是世界上使用最广泛的软件流密码，用于保护互联网流量（如 SSL 和 TLS 协议）以及无线网络（如 WEP 和 WPA 协议）。RC4 的状态由数字 0 到 N - 1 的排列 S 以及两个索引 i 和 j 组成，其中 N = 256。它包含两个算法：密钥调度算法（KSA）和伪随机生成算法（PRGA）。

1.1 过往攻击

对 RC4 的攻击主要分为区分攻击和密钥恢复攻击：
- 区分攻击 ：试图区分 RC4 的输出流和随机流，通常基于 PRGA 的弱点。
- 密钥恢复攻击 ：恢复秘密密钥，通常基于 KSA 的弱点。

过往攻击手段如下：
1. Finney 状态攻击 ：1994 年，Finney 指出 RC4 永远无法进入满足 j = i + 1 且 S[i + 1] = 1 的状态。Biham 等人展示了如何结合故障分析利用这些状态攻击 RC4。
2. 回溯算法攻击 ：Knudsen 等人使用回溯算法进行已知明文攻击，猜测内部状态值并模拟生成过程，若输出与实际不符则回溯重新猜测。
3. 线性统计弱点攻击 ：