tomron87/hebrew-wikipedia-sentences-corpus huggingface dataset:
במקרה שבו האחוזה נמכרה הקריפטה נאטמה ואחד התנאים בשטר המכירה היה שאזור הקריפטה יוותר כפי שהוא.
"הליכת הקריפ" הוא ריקוד רחוב.
הריקוד הופיע לראשונה ב-1970 בקומפטון שבלוס אנג'לס על ידי חברי כנופיית הקריפס.
חברי הכנופיה היו רוקדים את Crip walk כשהיו מקבלים חבר חדש או כסימן אזהרה.
ה-Crip walk התחיל כהליכה ולאחר מספר שנים התפתח לסגנון ריקוד.
במהלך השנים עלתה הפופולריות שלו, וגם אנשים שאינם קשורים לקריפס החלו לרקוד אותו, אך בסגנון שונה במקצת, שנקרא Clown walk (ריקוד הליצן).
זמרים ושחקני טלוויזיה החלו גם הם לרקוד בסגנון ה-Cwalk.
עם זאת, ערוץ MTV סירב לשדר וידאו קליפים שכללו סגנון ריקוד זה.
הריקוד Cwalk מתחלק לשלושה סגנונות שונים והם:
Crip Walk - זהו הסגנון הראשון שממנו התפתחו שני סגנונות אחרים (שמצוינים כאן למטה) למעשה, רק כנופיית הקריפס רוקדת אותו.
Crown Walk - זהו הסגנון המחודש, הריקוד מאופיין בגיוון גדול יותר של צעדים, אך בדיוק רב וישיבה נכונה על הביטים של השיר, את הריקוד הזה רקדו אנשים אשר אהבו את הריקוד אבל לא השתייכו לקריפס ולכן הומצא סגנון זה
Clown Walk - זהו הריקוד הכי נפוץ בקרב רקדני ה-Cwalk.
הריקוד מאופיין במהירות גבוהה, ומגוון רב של תנועות.
למעשה, ב-Clown Walk הרקדנים ממציאים צעדים ותנועות משלהם.
קריפטו.קום אָרֶנָה הוא היכל ספורט רב־שימושי בלוס אנג'לס, קליפורניה.
לייב ומרכז הכנסים של לוס אנג'לס.
ההיכל משמש למספר רב של אירועי ספורט ובידור, ומכיל בין 18 אלף ל־20 אלף מושבים, בהתאם לאירועים המתקיימים בו.
בניית ההיכל החלה בשנת 1998 והסטייפלס סנטר נפתח שנה לאחר מכן, ב-17 באוקטובר 1999. בנייתו מומנה על ידי "חברת לוס אנג'לס ארנה" וחברת "סטייפלס" לאספקת ציוד משרדי, בעלות של 375 מיליון דולר.
חברת "סטייפלס" רכשה את הזכויות על שם ההיכל, והוא נקרא על שמה עד להחלפת השם בשנת 2021. ההיכל נפתח בהופעה חגיגית של ברוס ספרינגסטין ולהקת ה-E Street Band.
הוא משמש כאולמן הביתי של קבוצת ה-NBA "לוס אנג'לס לייקרס", של קבוצת ה-WNBA "לוס אנג'לס ספארקס", ושל קבוצת ה-NHL "לוס אנג'לס קינגס".
בעבר שימש גם כמשכנן קבוצת ה-NBA "לוס אנג'לס קליפרס", אשר עזבה את האולם ב-2024 עת חנחכה את אולמה הביתי החדש, קבוצת ה-NBDL "לוס אנג'לס די-פנדרס" וקבוצת ה-AFL "לוס אנג'לס אוונג'רס".
ההיכל זכה בתארים "ההיכל החדש הטוב ביותר" (2000) ו"היכל השנה" (2000, 2001) מטעם מגזין פולסטאר, ונחשב לאחד מהיכלי הספורט המתקדמים והמפוארים בארצות הברית ובעולם.
בנובמבר 2021 רכשה חברת חלפנות המטבעות המבוזרים "Crypto.com" מהונג קונג, את הזכויות על שם ההיכל בעסקה עם חברת "Anschutz Entertainment Group (AEG)" למופעי ספורט ומוזיקה, הבעלים והמפעילה של ההיכל, והחל מחג המולד 2021 (25 בדצמבר), 22 שנה אחרי פתיחתו, הוא נקרא "קריפטו.
במסגרת העסקה, המוערכת בכ-700 מיליון דולר, חברת "קריפטו.
קום" תהיה חלפנית המטבעות המבוזרים הרשמית של "לוס אנג'לס לייקרס" ו"לוס אנג'לס קינגס".
החלפת שם ההיכל צוינה בטקס שנערך לפני משחק הכדורסל בין ה"לוס אנג'לס לייקרס" לבין קבוצת "סן אנטוניו ספרס" שהתקיים בו ב-24 בדצמבר 2021.
בסוף עונת 2023/2024, לקראת עונת 2024/2025, עזבו הלוס אנג'לס קליפרס את האולם ועברו לשחק באולם משלהם אשר נקרא "אינטואיט דום".
בקריפטואנליזה, קריפטואנליזה דִּיפֵרֶנְצִיָּלִית היא סוג של קריפטואנליזה גנרית המתאימה בעיקר לניתוח צופן בלוקים אך גם צופן זרם ופונקציות גיבוב.
באופן תמציתי היא פועלת על ידי ניתוח השפעת דיפרנציאלים של קלט פונקציית הצפנה סימטרית על דיפרנציאלים של הפלט שלה.
במקרה של צופן בלוקים קריפטואנליזה דיפרנציאלית מתייחסת לאוסף של טכניקות לגילוי דיפרנציאלים בעלי הסתברות גבוהה המלמדים על התנהגות לא ראנדומלית של הצופן שבהם אפשר להיעזר כדי לנחש את המפתח הסודי.
דיפרנציאל בהקשר של קריפטוגרפיה פירושו הפרש או הבדל בין זוג קלטים אפשריים של הצופן בדרך כלל מעל פעולת XOR.
התקפה דיפרנציאלית פועלת בדרך כלל לפי מודל התקפת גלוי-נבחר שהוא מודל התקפה שבו מניחים שהמתקיף רשאי או מסוגל להשיג מספר מוגבל של זוגות קלט/פלט של בלוקים גלויים לפי בחירתו והבלוקים המוצפנים המתאימים להם, שהוצפנו עם מפתח סודי שאינו ידוע לו ובעזרתם הוא מנסה לגלות את המפתח.
ישנם מצבים שבהם אפשר לבצע קריפטואנליזה זו גם לפי מודל התקפת גלוי-ידוע.
בפונקציות גיבוב, הקריפטואנליזה הדיפרנציאלית משמשת כדי לאתר התנגשויות.
המילה "קריפטואנליזה" היא הלחם של המילים קריפטוגרפיה ואנליזה, שפירושה "נִתּוּחַ".
המילה דיפרנציאל משמעותה "הֶפְרֵשׁ" או "הֶבְדֵּל".
הראשונים לפרסם את הקריפטואנליזה הדיפרנציאלית היו עדי שמיר ואלי ביהם בסוף שנות ה-80 והיא נחשבת להתקפה הקריפטוגרפית הוותיקה ביותר הידועה.
שמיר וביהם פרסמו מספר התקפות קריפטוגרפיות שהשתמשו בשיטה זו ובהן חולשה בפרוטוקול DES ששימש באותה תקופה כתקן ההצפנה של ממשלת ארצות הברית.
כיוון שקריפטואנליזה דיפרנציאלית הייתה ידועה למדעני IBM בעת פיתוח תקן DES הם הקפידו שהתקן יהיה עמיד באופן יחסי בפני מתקפה זו.
יתרה מזו, ידוע שללא ערכי תיבות ההחלפה שנבחרו על ידיים, צופן DES היה חלש מאוד.
מאידך, צפנים אחרים בני התקופה שלא היו מודעים לשיטה היו רגישים למתקפה זו.
קריפטואנליזה דיפרנציאלית בגרסה הבסיסית מנצלת את ההסתברות הגבוהה של מופעים מסוימים של דיפרנציאלים בין זוגות בלוקים בפלט הצופן (ליתר דיוק בקלט לסבב האחרון של הצופן) בהינתן דיפרנציאלים של בלוקים גלויים מסוימים בקלט הצופן.
המושג דיפרנציאל פירושו שאם למשל נתונה פונקציה המקבלת קלט באורך סיביות; ומפיקה פלט .
אם נסמן שני קלטים אפשריים לפונקציה ב- ו- בהתאמה וכן הפלטים המתאימים להם ב- ו- בהתאמה, כלומר וכן .
אז הדיפרנציאל של הקלט (או ההפרש) הוא כאשר הסימן מייצג חיבור XOR של וקטורים באורך סיביות.
האיברים ו- מייצגים את הסיביות במיקום ה- של ו- בהתאמה.
באופן דומה הוא הדיפרנציאל של הפלט ולכן
בצופן אידיאלי המתנהג באופן אקראי לגמרי, ההסתברות שדיפרנציאל פלט מסוים יופיע בהינתן דיפרנציאל קלט מסוים אמורה להיות כאשר מייצג את מספר הסיביות של .
אולם במציאות אין זה כך ולכן הקרפיטואנליזה הדיפרנציאלית מחפשת את המקרים בהם דיפרנציאל פלט מסוים מופיע בשכיחות גבוהה יותר בהינתן דיפרנציאל קלט מסוים.
אם ההסתברות הדיפרנציאלית של הצופן שמקובל לסמנה ב- גבוהה באופן משמעותי מ- אפשר יהיה באמצעותה לפצח את הצופן.
בתחילה המתקיף מחפש זוגות קלט/פלט המניבים דיפרנציאל הגבוה ביותר האפשרי.
כדי להצליח בכך עליו תחילה לאסוף מידע על הצופן.
המושג הראשון שצריך לחשב הוא מאפיין דיפרנציאלי של הצופן.
אם נתון צופן בלוקים כלשהו כמו DES הבנוי בסגנון רשת החלפה-תמורה ונניח שהקלט לצופן שהוא בלוק טקסט גלוי מסומן ב- והקלט לסבב האחרון של הצופן מסומן ב-.
המטרה היא למצוא טקסט כלשהו או קבוצת טקסטים כאלה שהדיפרנציאל שלהם () הוא בהסתברות גבוהה.
המאפיין הדיפרנציאלי של הצופן הוא למעשה כפולה של כל ההסתברויות של סדרת הפרשי קלט/פלט הפונקציה הפנימית במעברים של כל סבבי הצופן כך שדיפרנציאל הפלט של סבב אחד מתאים לדיפרנציאל הקלט של הסבב הבא וכן הלאה.
מאפיין דיפרנציאלי בעל הסתברות גבוהה מעניק למתקיף את הרמז הדרוש כדי לחשוף חלק מסיביות המפתח מהסבב האחרון.
זאת על ידי השוואה בין קלטים אפשריים לסבב האחרון ובדיקת הדיפרנציאל שלהם עבור סיביות מפתח שונות שהוא מנסה לנחש.
כאשר מופיע דיפרנציאל גבוה הדבר מעיד כי ניחוש הסיביות הצליח בהסתברות גבוהה.
כדי לבנות מאפיין דיפרנציאלי של צופן שהוא גבוה ככל האפשר, צריך לבחון תחילה את המאפיינים של כל תיבות ההחלפה של הצופן בנפרד ואז לאסוף מספיק נתונים כדי לבנות את הדיפרנציאל של הצופן בכללותו.
המתקיף בוחן את דיפרנציאל קלט/פלט של כל תיבת החלפה ומתמקד בעיקר בדיפרנציאלים בעלי הסתברות גבוהה (המופיעים בשכיחות גבוהה יותר מהאחרים באופן משמעותי) ואז משלב יחד את הדיפרנציאלים של תיבות ההחלפה מסבב לסבב כך שדיפרנציאל סיביות פלט שאינן אפס מסבב אחד מתאים לדיפרנציאל סיביות קלט שאינן אפס בסבב הבא.
כתוצאה מכך נוצר מצב שסיביות תת-המפתחות המעורבות בהצפנה של זוגות אילו נעלמות מביטויי הדיפרנציאלים.
הסיבה לכך נעוצה בפעולת XOR.
היות שהמפתח קבוע בכל הזוגות, סיביות המפתחות שמופיעות פעמיים ייעלמו כי XOR של כל ערך בעצמו שווה אפס, למשל אם נתונים וכן אז אם נבצע XOR בין שניהם יתקבל ולא יישאר זכר מ- כי
בכל צופן בלוקים במבנה רשת החלפה תמורה כמו DES או AES קיימות תיבות החלפה הקרויות S-box.
תיבות ההחלפה הן בעצם אוסף של פונקציות אי-ליניאריות קבועות (אי ליניאריות פירושה שלא ניתן לייצג את פלט הפונקציה כסדרה של פעולות כמו חיבור או כפל על הקלט).
ההבדל בין תיבות ההחלפה של DES לעומת AES הוא שבאחרון התיבות הפיכות.
בקריפטואנליזה דיפרנציאלית מתמקדים בחלק האי-ליניארי של הצופן, במקרה זה בתיבות ההחלפה.
לדוגמה נתונה תיבת ההחלפה הבאה הלקוחה מצופן DES:
טבלה זו מייצגת פונקציה המקבלת קלט באורך 4 סיביות: ומחזירה פלט באורך 4 סיביות: מתוך ערכים אפשריים, לפי הטבלה.
לדוגמה אם הקלט הוא או בבסיס הקסדצימלי הפלט צריך להיות או .
אפשר לרשום זאת כסדרה של פונקציות: או וכן הלאה.
אם רושמים את כל הדיפרנציאלים של זוגות אפשריים של קלט/פלט לתיבת ההחלפה הזו ההסתברות של בהינתן עבור זוג מסוים וכן מתקבלת על ידי ספירת כל המופעים שלהם חלקי .
היות שהסדר אינו חשוב ויש רק 4 סיביות, במילים אחרות 16 אפשרויות לכן אפשר לרשום את כל 16 הערכים האפשריים של ולהגביל את שיהיה .
ואז לחשב את ערכי עבור כל זוג קלט () אפשרי.
את כל זה אפשר לסכם בטבלה, את הערכים הבינאריים של הקלט , הפלט וכן ערכי ו- עבור ערכי .
לדוגמה, הטבלה הבאה מכילה חלק מהנתונים הללו עבור תיבת ההחלפה המתוארת.
אפשר לראות שאם אז מופיע בשמונה מתוך 16 המקרים האפשריים, דהיינו בהסתברות של 8/16. כמו כן אם אז בהסתברות של 4/16. כמו כן רואים שבמקרה ש- אז לא מופיע אף פעם (הסתברות אפס).
אילו תיבת ההחלפה הייתה אידיאלית אז כל הערכים בטבלה היו אמורים להופיע בהסתברות של אולם מסתבר שמצב כזה בלתי אפשרי מבחינה מתמטית, כלומר לא קיימת תיבת החלפה באורך 4 סיביות שהדיפרנציאלים שלה הם עבור כל המופעים.
את כל המידע האמור מסכמים בטבלת התפלגות דיפרנציאלית שבה השורות מייצגות את והעמודות את .
להמחשה מובאת טבלת ההתפלגות הדיפרנציאלית של תיבת ההחלפה של DES מהדוגמה לעיל.
אפשר לראות שלמעט המקרה יוצא הדופן של הערך הגבוה ביותר הוא 8 המתאים ל- ו-.
לכן ההסתברות של הדיפרנציאל בהינתן כל זוג אפשרי של קלט המקיים היא 8/16. הערך הנמוך ביותר הוא 0 שמתאים לכל המקרים בהם אינו מופיע אף פעם בהינתן .
סכום כל האיברים בכל שורה בטבלה הוא וכן בכל העמודות.
כמו כן רואים שכל הערכים זוגיים, הסיבה היא היות שהסדר אינו חשוב לכן הדיפרנציאל של שווה לדפירנציאל של .
כמו כן הערך בפינה הימנית העליונה הוא תמיד וכל הערכים האחרים בשורה זו ובעמודה זו הם 0 כנדרש.
היות שהצופן מכיל בדרך כלל מספר תיבות החלפה שונות וכן מספר סבבים כאשר בכל סבב מופעלות תיבות החלפה אחרות, יש צורך לסכם את הדיפרנציאלים של כל תיבות ההחלפה הפעילות באותה דרך ואז לשלב את הדיפרנצאלים של הזוגות בכולן כדי לקבל את "המאפיין הדיפרנציאלי" של הצופן.
כשאומרים תיבת החלפה פעילה מתכוונים לתיבת החלפה שדיפרנציאל הפלט שלה אינו בהסתברות אפס.
למרות שמפתח ההצפנה שונה מתיבה לתיבה ומסבב לסבב אפשר להוכיח באופן ישיר שכאשר הדיפרנציאל הוא מעל XOR אין למפתח כל השפעה על דיפרנציאלים של הזוגות, בגלל התכונה המהותית של פעולה זו שהיא הופכית של עצמה ולכן אם ערך מסוים מופיע פעמיים הוא מתבטל.
כדי להדגים את חישוב המאפיין הדיפרנציאלי של הצופן נניח למען הפשטות שקיימות 4 תיבות החלפה וישנם ארבעה סבבים בסך הכול וקלט הצופן הוא בלוק באורך 16 סיביות (כל תיבה מקבלת 4 סיביות ממנו).
למען הנוחות כל תיבה מסומנת במספר מ-1 עד 4 וכל סבב מסומן בהתאם מ-1 עד 4 לכן התיבה פירושה תיבת ההחלפה הראשונה בסבב השלישי של הצופן.
נבחן לצורך ההמחשה (כמתואר בתרשים משמאל) את מסלול הדיפרנציאלים של הסיביות במיקומים 5, 7 ו-8 של הקלט במעבר בתיבות המסומנות ב- (התיבה השנייה בסבב הראשון, השלישית בסבב השני והתיבות השנייה והשלישית בסבב השלישי) וכן במעבר דרך התמורות הבאות אחריהן.
יש לשים לב שהמאפיין הדיפרנציאלי המתקבל כאן הוא של שלושה סבבים בלבד ולא של מלוא ארבעת הסבבים של הצופן.
כיוון שאילו תיבות ההחלפה הפעילות היחידות עבור פוזיציות אילו של הקלט, הדיפרנציאל בכל התיבות האחרות יהיה 0. נניח שהדיפרנציאלים של תיבות ההחלפה התקבלו לפי הפירוט הבא:
דיפרנציאל הקלט של הצופן הוא הדיפרנציאל של הקלט בסבב הראשון של הצופן לפני הכניסה לתיבת ההחלפה הראשונה.
בהסתמך על ניתוח הדיפרנציאלים של תיבת ההחלפה המתוארת מתקבל:
מייצג את הקלט של תיבות ההחלפה בסבב ה-.
כמו כן מייצג את הפלט של תיבות ההחלפה בסבב ה- בהתאמה.
לכן ו- מייצגים את הדיפרנציאלים שלהם בהתאמה.
אם ממשיכים בסגנון זה בונים את הדיפרנציאלים של כל סבב וסבב כך ש-.
כמובן שיש להביא בחשבון גם את התמורה המבוצעת בכל סבב של רשת ההחלפה תמורה (היות שהתמורה ליניארית היא משפיעה רק על מיקום הסיביות המושפעות).
אם בודקים את הדיפרנציאל עבור התיבה והתמורה שאחריה מגיעים ל:
בהסתברות של או בהינתן .
בסבב השני הדיפרנציאל עבור התיבה הוא
ואחרי התמורה של הסבב השני מתקבל:
בהסתברות של בהינתן או בהסתברות של בהינתן .
שוב, בהנחה שהדיפרנציאלים בלתי תלוים.
באותה דרך אפשר לחשב את הדיפרנציאל עבור הסבב השלישי בתיבות ההחלפה ו- ולאחר התמורה השלישית ומתקבל:
אם מכפילים את כל ההסתברויות מתקבל המאפיין הדיפרנציאלי של הצופן עד נקודה זו, במקרה זה (בהינתן ).
וזהו המאפיין הדיפרנציאלי של הצופן לאחר מתוך סבבים (בדוגמה זו ).
כשההנחה בכל הדרך היא שהדיפרנציאלים של כל תיבות ההחלפה בכל הסבבים הם בלתי תלויים זה בזה.
בשלב זה של ההתקפה על הצופן מצפינים בלוקים רבים שלהם הדיפרנציאל ואז בהסתברות גבוהה, במקרה זה המאפיין הדיפרנציאלי יופיע.
כל זוג שאיתו מתקבל נקרא זוג נכון וכל זוג אחר שבו המאפיין האמור אינו מתקבל נקרא זוג לא נכון.
בשלב הבא של ההתקפה מנסים לנחש את המפתח ששימש להצפנת הנתונים בסבב האחרון של הצופן.
הרעיון הוא שבמקום לנסות לנחש את כל סיביות המפתח שזה לא מעשי מנסים לנחש רק את הסיביות שהושפעו מהדיפרנציאלים של פלט תיבות ההחלפה הפעילות של הסבב האחרון הנקראות בקיצור TPS (מפתח יעד חלקי).
מפענחים חלקית (רק סבב אחד של הצופן) את זוגות הטקסטים המוצפנים המתאימים לזוגות הגלויים שהוצפנו (עם הדיפרנציאל ) עבור כל סיביות היעד (TPS) האפשריות ומנהלים מונה עבור כל זוג כזה שמקודם כאשר הדיפרנציאל של הקלט לסבב האחרון קרוב לערך הצפוי (שהוא המאפיין הדיפרנציאלי של הצופן).
סיביות היעד של המפתח האחרון אשר מניבות דיפרנציאל גבוה הן בסבירות גבוהה חלק מהמפתח הסודי.
היות שההנחה היא שהסיביות הנכונות אמורות להניב דיפרנציאל (של הקלט לסבב האחרון) קרוב מאוד לערך הצפוי.
היות שהמאפיין הדיפרנציאלי הוא בעל הסתברות גבוהה, כל זוג ערכים שאינו נכון אמור להניב תוצאה אקראית פחות או יותר ולכן הדיפרנציאל שלה אמור להיות נמוך מאוד.
המאפיין הדיפרנציאלי נקרא גם מבחין, כי בעזרתו ניתן להבחין אם נבחר זוג נכון או לא ובכך מתאפשר להבחין אם ניחוש סיביות המפתח הצליח.
כי בניחוש נכון יתקבל דיפרנציאל בעל הסתברות גבוהה שהיא קרובה מאוד למאפיין הדיפרנציאלי של הצופן עד נקודה זו ואילו אם הניחוש אינו נכון יתקבל דיפרנציאל בעל הסתברות מאוד נמוכה.
בנוסף אפשר לייעל את ההתקפה אם לא כל תיבות ההחלפה משפיעות על הקלט.
למשל בדוגמה המובאת רק שתי תיבות משפיעות על הנתונים של הצופן בסבב השלישי, לכן, היות שהדיפרנציאל של הקלט לסבב האחרון עבור זוג נכון הוא אפס בשתי התיבות האחרות (הלא פעילות), אפשר לפשוט להתעלם מכל הזוגות שבהן לא מופיעים אפסים בדיפרנציאל המתאים לפוזיציות בתיבות אילו.
בדוגמה המובאת אפשר לפצח את הצופן בעזרת התהליך המתואר על ידי 5000 זוגות של קלט/פלט נבחרים, דהיינו 10000 הצפנות עם זוגות קלט שהדיפרנציאל שלהם הוא .
וסיביות היעד הנכונות הן במקרה זה .
בדוגמה זו המאפיין הדיפרנציאלי של הצופן הוא ובניסוי ותהיה התגלה שסיביות היעד הנכונות הניבו תוצאה של שזה די קרוב.
קשה להעריך בדיוק את סיבוכיות ההתקפה המתוארת.
בעיקרון ככל שההסתברות הדיפרנציאלית של תיבות ההחלפה הפעילות גבוהה יותר וככל שיש פחות תיבות החלפה פעילות כך המאפיין הדיפרנציאלי של הצופן יהיה גבוה יותר בהתאם.
באופן כללי מספר זוגות הטקסטים הגלויים שצריך לבחור כדי להגיע ליכולת להבחין בין זוגות נכונים לזוגות לא נכונים הוא:
כאשר הוא המאפיין הדיפרנציאלי של הצופן אחרי סבבים ו- הוא קבוע קטן.
בהנחה שהדיפרנציאלים של תיבות ההחלפה בלתי תלויים זה בזה, הסתברות המאפיין הדיפרנציאלי של הצופן נתונה על ידי:
מייצג את מספר התיבות הפעילות והסתברות הדיפרנציאל של זוג מסוים בתיבה הפעילה ה- מיוצגת על ידי .
הביטוי האחרון מעיד על כך שמספר מועט של מופעים של זוגות נכונים מספיק כדי לתת מונה גבוה של סיביות יעד וכן מונה זה גבוה הרבה יותר מהמונה עבור זוגות לא נכונים.
זוג נכון אמור להופיע בהסתברות של זוגות.
לכן בפועל מספיקה כפולה קטנה של כדי להצליח בהתקפה הדיפרנציאלית על הצופן.
מאז המצאת הקריפטואנליזה הדפירנציאלית הראשונה על ידי ביהם ושמיר, פותחו מספר וריאציות והרחבות שלה.
ב-1993 הציע אלי ביהם קריפטואנליזה דיפרנציאלית חדשה המבוססת על מפתחות קשורים.
כלומר התקפה שמניחה כי קיים בין מספר מפתחות הצפנה קשר או יחס כלשהו.
ב-1994 המציא לארס קנודסן את הדיפרנציאלים החתוכים וכן דיפרנציאלים מסדר גבוה.
קנודסן ודויד וגנר המציאו את הקריפטואנליזה האינטגרלית וב-1998 פיתחו ביהם, אלקס בריוקוב ושמיר את קריפטואנליזה של דיפרנציאלים בלתי אפשריים.
ב-1999 פיתחו וגנר וקנודסן את התקפת בומרנג ששונתה ב-2001 על ידי ביהם, נתן קלר ואור דונקלמן להתקפת מלבן.
התקפות מפתחות קשורים המנצלות חולשות בתהליך הכנת המפתח ניתנות לשילוב עם סוגים אחרים של התקפות דיפרנציאליות.
להלן רשימה של התקפות דיפרנציאליות ידועות:
בהתקפה זו בדומה לקריפטואנליזה דיפרנציאלית רגילה משווים את ההסתברות של דיפרנציאלים של קלט/פלט אך בניגוד אליה רק של חלק מהדיפרנציאל נבדק.
בשיטה זו מתמקדים בדיפרנציאלים שלא מופיעים בכלל.
כלומר בתהליך ניפוי שוללים את כל המפתחות האפשריים אם הם מניבים בהצפנת טקסט מסוים דיפרנציאלים שלא אמורים להופיע לפי התחזיות.
קריפטואנליזה אינטגרלית (או התקפת ריבוע).
זוהי סוג של התקפה דיפרנציאלית שמתאימה במיוחד לצופן בלוקים שהוא פונקציה חד-חד-ערכית ועל כמו AES והיא פועלת על זוגות קלט פלט שחלק מהם קבוע וחלק משתנה.
זוהי קריפטואנליזה הישימה נגד צפנים שניתנים לביטוי על ידי פונקציות בוליאניות עם משתנים מרובים.
התקפה זו קוראת תיגר על ההנחה שאם הצופן אינו מכיל דיפרנציאלים גבוהים מאוד או נמוכים מאוד הוא נחשב בטוח.
ההתקפה מתייחסת אל הצופן כאל שני צפנים המחוברים בקסקדה (כמו הצפנה מרובה) ומחפשת דיפרנציאלים בהסתברות גבוהה של שני תתי-הצפנים ואז מנסה לאחד בין שני הדיפרנציאלים במבנה כלשהו.
בגרסה המשופרת של ההתקפה הנקראת התקפת מלבן מנסים לאחד בין מספר דיפרנציאלים בכל תת-צופן.
קריפטואנליזה שבה באפשרות המתקיף לבדוק את התנהגות הצופן בהינתן מספר מפתחות שונים שאינם ידועים לו, אך יש ביניהם קשר מתמטי כלשהו.
קריפטואנליזה דיפרנציאלית הייתה ידועה למדעני IBM בעת פיתוח צופן ה-DES ועמידות בפני השיטה הייתה אחת ממטרות התכנון של האלגוריתם.
משום כך, צופן זה עמיד באופן יחסי בפני התקפת זו.
למרות זאת, באמצעות שימוש בקריפטואנליזה דיפרנציאלית ניתן להפחית את טווח המפתחות לחיפוש מ- ל-.
הרחבה של הצופן DES-X מגדילה את מספר הפעולות הדרוש ל-.
AES וצפנים מודרניים שפורסמו לאחר פרסום השיטה נדרשו להוכיח עמידות בפני השיטה.
באופן כללי, צפנים מודרניים פותחו תוך התחשבות בקריפטואנליזה דיפרנציאלית, לכן היא אינה מעשית במיוחד בימינו, גם בגלל העובדה שנדרשת כמות עצומה של טקסטים גלויים וטקסטים מוצפנים לפי בחירת המתקיף, שקשה מאוד להשיג במציאות.
למרות זאת שיטה זו מהווה כלי שימושי להערכת ביטחון של כל צופן סימטרי.
אם יתגלה שבאמצעות התקפה דיפרנציאלית יהיה אפשר לפצח את הצופן בפחות מהזמן הדרוש לכוח גס הדבר מהווה חולשה רצינית שתגרום בוודאי להימנע משימוש בו אפילו אם ההתקפה תאורטית בלבד.
מלבד זאת, קיומן של חולשות אפילו אם אינן מסכנות את השימוש בו כעת, מעיד על כך שייתכן שישנם פגמים מהותיים בתכנון הצופן שעלולים להתגלות בעתיד כאשר ההתקפות ישתפרו.
בקריפטואנליזה, קריפטואנליזה לִינֵאָרִית היא צורה כללית של קריפטואנליזה המבוססת על ניתוח קירובים ליניאריים ואפיניים הכוללים שילוב סיביות מקלט פונקציית הצפנה סימטרית, מהפלט שלה וממפתח ההצפנה.
אך בניגוד להתקפת גלוי-נבחר, למתקיף אין שליטה על תוכן הנתונים שהשיג.
הקריפטואנליזה הליניארית מיוחסת למיצורו מצואי, שפרסם אותה לראשונה ב-1992 יחד עם ימאגישי לפיצוח הצופן FEAL וכן נוסתה נגד צופן DES והייתה להתקפה הפומבית הראשונה על הצופן, אך היא דורשת מספר עצום של בלוקים ידועים ( זוגות במקרה של DES).
קריפטואנליזה ליניארית מתאימה במיוחד נגד צופן בלוקים ואף נגד צופן זרם.
ההתקפה הליניארית יחד עם הדיפרנציאלית הן שתי ההתקפות הקריפטוגרפיות המפורסמות והמוצלחות ביותר נגד צפני בלוקים מודרניים והביאו לשבירתם המוחלטת של לא מעט צפנים.
כיום ההתקפה הליניארית משמשת כאבן בוחן וכלי שימושי לבדיקת ביטחון כל צופן בלוקים מודרני.
כיום מצפים מכל צופן שיוכיח עמידות נגד התקפה זו אפילו אם היא תאורטית ביסודה אם היא יעילה מכוח גס באופן ניכר.
למרות האמור, למרבה ההפתעה אפילו לאחר שנים של קריפטואנליזה, ההתקפה הליניארית נגד צופן DES התגלתה כלא יעילה במיוחד באופן מעשי.
ועד היום DES שרד את שתי ההתקפות המתוארות, הליניארית והדיפרנציאלית כאחד.
במשך השנים פותחו מספר וריאציות של הקריפטואנליזה הליניארית ביניהן:
הקריפטואנליזה הליניארית מנסה לנצל קיום מופעים בהסתברות גבוהה של משוואות ליניאריות המערבות סיביות מבלוק הקלט, בלוק הפלט (ליתר דיוק מפלט הסבב האחד לפני אחרון של הצופן) ומפתח ההצפנה.
הרעיון הבסיסי הוא לבצע קירוב של חלק מפעולת הצופן עם משוואה ליניארית מעל חיבור XOR (חיבור מודולו 2).
משוואה ליניארית כזו יכולה להיות למשל:
כאשר מייצג את הסיבית במיקום ה- של בלוק הקלט המכיל סיביות וכן מייצג את הסיבית במיקום ה- של בלוק הפלט .
המשוואה המתוארת מחברת תת-קבוצה באורך סיביות של עם תת-קבוצה באורך סיביות של .
המטרה היא למצוא סיביות קלט/פלט שמקיימות את המשוואה האמורה בהסתברות גבוהה באופן משמעותי או בהסתברות נמוכה באופן משמעותי.
באופן כללי אסור שלינאריות כזו תתרחש בצופן, אחרת הוא יהיה חלש מאוד כי היא הוכחה לכך שהצופן מכיל אקראיות ירודה.
באופן אידיאלי אם ננסה להזין סיביות קלט/פלט שונות במשוואה המתוארת ההסתברות שהמשוואה תתקיים צריכה להיות .
ככל שהסטייה או הנטאי בתוצאות גדולה מחצי כך קל יותר למנתח הצופן לשבור אותו.
ההטיה בהקשר זה נקראת הטיה ליניארית הסתברותית אותה מסמנים ב-.
ככל ששיעור ההטיה ההסתברותית גדלה משמעותית כך קל יותר ליישם את ההתקפה הליניארית על הצופן.
ישנן מגוון דרכים לביצוע הקריפטואנליזה הליניארית.
לצורך התיאור כאן נתייחס למה שמיצורו מצואי מכנה במאמר שלו אלגוריתם 1. למרות שבמשוואה הליניארית לעיל לא מופיעות סיביות ממפתח ההצפנה המותקף, האגף הימני במשוואה "0" כולל באופן עקיף סיביות מהמפתח שמיקומן ידוע אך לא ערכן.
אם סכום הסיביות מהמפתח המשתתפות במשוואה הוא אפס, ההטיה תהיה עם סימן (פלוס או מינוס) זהה אילו המשוואה כללה סיביות מהמפתח (אם ההסתברות התקבלה).
אם פירושו של דבר שהמשוואה המתוארת מייצגת את התנהגות הצופן בשלמות ולכן הצופן כנראה מכיל פגם חמור.
אם פירושו של דבר שהמשוואה המתוארת מייצגת פונקציה אפינית של הצופן, שגם זו אינדיקציה לתקלה חמורה.
במקרה של XOR פונקציה אפינית היא בעצם המשלים של הפונקציה הליניארית, כך שבשני המקרים הצופן יהיה חשוף להתקפה ליניארית.
לצורך המחשת הקריפטואנליזה הליניארית, נניח שנתון צופן בלוקים פשוט המורכב מרשת החלפה-תמורה.
הוא מקבל בלוק קלט באורך 16 סיבות (שני בתים), מעבד את הבלוק על ידי חזרה ארבע פעמים על פונקציה פנימית הכוללת בדומה ל-AES, שלוש שכבות; החלפה, תמורה וערבוב מפתח, כמתואר בתרשים משמאל.
למרות שהצופן פשוט והוא מובא כאן להמחשה בלבד, ההתקפה הליניארית על צופן זה מספקת תובנה די טובה לגבי פעולתה נגד צפנים מודרניים מורכבים יותר.
לצורך הדיון נניח ששלב ההחלפה בצופן הצעצוע האמור כולל ארבע תיבות החלפה המקבלות 4 סיביות ומחזירות 4 סיביות.
כל תיבת החלפה אפשר ליישם באמצעות טבלה פשוטה המכילה 16 ערכים באורך 4 סיביות כל אחד.
הערך המוחזר הוא בעצם תוכן הכניסה שהקלט מייצג את מספרה.
ברוב הצפנים קיימות מספר טבלאות, לצורך הפשטות נניח שקיימת רק תיבה אחת כזו שבה משתמשים ארבע פעמים בכל סבב.
להלן הטבלה הלקוחה מצופן DES בייצוג הקסדצימלי:
לצורך שלב הטרנספוזיציה (תמורה) נתונה הטבלה הבאה.
פעולת הטרנספוזיציה ניתנת לתיאור באופן הבא: הפלט בפוזיציה ה- של תיבת ההחלפה מנותב לכניסה ה- של תיבת ההחלפה ה- (בסבב הבא).
ראוי לציין שאין טעם בטרנספוזיציה בסבב האחרון של הצופן כי היא ניתנת להפיכה בקלות.
שכבת חיבור המפתח מבצעת חיבור XOR של כל סיביות הפלט עם חלק מהמפתח הסודי הנקרא תת-מפתח.
חיבור המפתח בסיום הסבב האחרון מבטיח שלא יהיה אפשרי להתעלם מהסבב האחרון כשמנתחים את הצופן.
לצורך הפשטות נניח שתת-המפתחות עבור ארבעת הסבבים הוכנו בנפרד זה מזה.
פענוח הוא פשוט חזרה לאחור צעד אחרי צעד במבנה זהה להצפנה, רק יש צורך לוודא שתיבות ההחלפה הן פונקציה חד-חד-ערכית ועל ועל כן הן הפיכות וכן צריך להשתמש במפתחות בסדר הפוך.
מציאת משוואה ליניארית של הצופן מסתמכת על צירוף משוואות ליניאריות של חלקים שונים של הצופן למשוואה ליניארית אחת.
החלק הקשה הוא למצוא ולצרף משוואות ליניאריות מתאימות.
לצורך ההדגמה נתייחס לצופן הצעצוע המתואר לעיל.
אם נתונים שני משתנים מקריים ו-, אז הוא ביטוי ליניארי השקול ל-.
אם זהו ביטוי אפיני השקול ל-.
נניח שההתפלגות הסטטיסטית נתונה על ידי:
אם שני המשתנים המקריים בלתי תלויים אפשר לשלב את שניהם ביחד:
דרך אחרת להציג זאת, יהיו וכן כאשר ו- הן שיעור ההטיה ההסתברותיות מחצי כך שמתקיים וכן .
אפשר להרחיב את האמור ליותר משתנים מקריים עד עם ההסתברויות עד .
ההסתברות ש- תתקיים ניתנת לחישוב באמצעות למת הערמה (Piling-Up Lemma) של מיצורו מצואי, בהנחה שכל המשתנים בלתי תלויים:
נתונים משתנים מקריים בלתי תלויים: מתקיים
כאשר מייצג את ההטיה של .
יש לשים לב שאם או אז או 1 בהתאם.
אם רק אחד שווה חצי אז .
כאשר מרכיבים משוואה ליניארית של הצופן המשתנים הם בעצם קירוב ליניארי של תיבות ההחלפה.
למשל, אם נתונים ארבעה משתנים מקריים ו- ויהיו וכן , הסכום המתקבל על ידי חיבור עם אז מתקיים:
בדרך זו אפשר לשלב משוואות ליניאריות כדי לקבל משוואה ליניארית חדשה, ואם מניחים שהמשתנים בלתי תלויים אז אפשר להשתמש בלמת הערמה באופן הזה:
אפשר לראות שהביטויים וכן מקבילים לקירובים הליניאריים של שתי תיבות ההחלפה בהתאמה ואילו מקביל לקירוב הליניארי של שתיהן יחד.
כמובן שבניתוח אמיתי של הצופן מעורבים יותר תיבות החלפה ויותר משתנים מקריים בהתאם.
במרבית הצפנים כמו DES ו-AES, כל הפעולות למעט תיבות ההחלפה הן פעולות ליניאריות ולכן מספיק לייצג את פעולות תיבות ההחלפה כמשוואה ליניארית כדי לפצח את הצופן.
בהינתן תיבת החלפה כמו בדוגמה לעיל, המקבלת 4 סיביות ומחזירה ארבע סיביות .
קל יותר לגלות קירובים ליניאריים על ידי חישוב ההטיה של כל תיבה בנפרד.
למשל אם לוקחים את הביטוי או לחלופין , מנסים את כל 16 האפשרויות של ובודקים את התוצאות המתקבלות מתיבת ההחלפה, מגלים שב-12 מתוך 16 המקרים המשוואה האמורה מתקיימת, כלומר בהסתברות של .
דוגמה אחרת, עם הביטוי מתקבלת הטיה של אפס וכן עם המשוואה ההסתברות היא שזהו קירוב אפיני (בגלל סימן המינוס).
היות שההתקפה הליניארית מסתמכת על שיעור ההטיה אין חשיבות לסימן וההתקפה תצליח במידה שווה במקרה של קירוב ליניארי או אפיני (מלמעלה או מלמטה).
את כל 16 האפשרויות של הצירופים הליניאריים של כל המשוואות האפשריות, אפשר לסכם בטבלה.
על בסיס טבלה הזו מגלים את כל הקירובים הליניאריים/אפיניים של תיבת ההחלפה ומסכמים אותם בטבלה אחרת הנקראת טבלת קירוב ליניארי, לדוגמה כך נראית הטבלה עבור תיבת ההחלפה שנבחרה לצורך הדוגמה:
כל כניסה בטבלה מייצגת בבסיס הקסדצימלי, את מספר הפעמים שנמצאה התאמה בין המשוואה הליניארית של קלט תיבת ההחלפה לבין סכום סיביות הפלט שלה פחות 8. לכן אם מחלקים את הערך בכניסה כלשהי ב-16 מתקבלת ההטיה ההסתברותית של הצירוף הליניארי המתאים.
הערך של אינדקס כל כניסה מגדיר את המשתנים המקריים הנכללים במשוואה בצורה של צירוף ליניארי מהצורה כאשר והסימן מייצגת פעולת AND.
לכן הערך בבסיס הקסדצימלי הוא כאשר הוא הסיבית המשמעותית ביותר.
מזה אפשר לראות שההטיה של המשוואה הליניארית (בשורה הרביעית בעמודה העשירית) היא וההסתברות שהמשוואה הליניארית תתקיים היא .
מהתבוננות בטבלה אפשר לשים לב שההסתברות שכל סכום של סיביות פלט שווה לערך שאין בו סיביות מהקלט הוא בדיוק חצי, זאת בגלל שתיבת ההחלפה היא פונקציה חד ערכית ועל וכל צירוף ליניארי מחייב שיהיה מספר שווה של סיביות אפס ואחד.
באותה מידה ההסתברות של כל צירוף ליניארי שאין בו סיביות פלט היא בדיוק (בטבלה היא ), לכן השורה העליונה בטבלה כולה מאופסת למעט בכניסה השמאלית ביותר וכן לגבי העמודה הראשונה.
קירוב ליניארי של כל הצופן
בהינתן הקירובים הלנאריים של כל תיבות ההחלפה של הצופן, קיים מספיק מידע כדי לחשב את הקירוב הליניארי של הצופן בשלמותו.
את זה אפשר לבצע על ידי צירוף מספר קירובים מתאימים מתיבות ההחלפה.
עם מידע זה אפשר לחלץ סיביות מהמפתח הסודי ששימש בסבב האחרון של הצופן.
לדוגמה, בתרשים משמאל מתואר קירוב לנארי של צופן הצעצוע להמחשה בתיבות ו- כאשר הספרה הראשונה באינדקס התיבה מציינת את מספר הסבב ואילו השנייה את מספר התיבה (שזה התיבה השנייה בסבב הראשון, השנייה בסבב השני והתיבות השנייה והרביעית בסבב השלישי).
יש לשים לב שהקירוב האמור אינו כולל את כל הצופן אלא רק שלושה סבבים ממנו, זה כל מה שדרוש להתקפה.
לאחר בחינה של התרשים וטבלת הקירובים, מתקבלים הקירובים הבאים:
יהיו ו- בלוק הקלט ובלוק הפלט בהתאמה של תיבות ההחלפה של הצופן בסבב ה-.
וכן ו- הסיבית ה- של בלוק הקלט או הפלט בהתאמה, בסבב ה-.
באותו אופן מייצג את המפתח המחובר ב-XOR עם בלוק הנתונים בסבב ה- כאשר הוא המפתח שמחובר לאחר הסבב הרביעי וכן מתייחס לסיבית במיקום ה- של המפתח ה-.
לכן בשלב הראשון של הצופן מתקבל: .
כאשר הוא בלוק הקלט הגלוי או המסר המיועד להצפנה, באורך 16 סיביות.
על בסיס הקירוב הליניארי של הסבב הראשון של הצופן, המשוואה הליניארית הבאה:
וכן עבור הסבב השני, הצירוף הבא
היות שפלט הסבב הראשון הוא בעצם קלט הסבב השני המחובר עם המפתח המתאים, מתקבל לכן אפשר לקבל קירוב ליניארי מהצורה:
בהסתברות 1/4. לפי למת הערמה של מצואי, אם משלבים יחד את הצירופים משני הסבבים הראשונים מתקבלת המשוואה:
שמתקיימת בהסתברות ש/ל עם הטיה .
למרות שהיא מתבססת על ההנחה שהקירובים הליניאריים של כל סבב בלתי תלויים שהיא הנחה לא מדויקת, בפועל היא עובדת היטב.
עבור הסבב השלישי אפשר להבחין ש:
היות שמתקיים וכן מתקבלת המשוואה הבאה:
בהסתברות של (עם הטיה ).
כעת אפשר לשלב את הצירופים מכל הסבבים (לפי עקרון הערמה) ולקבל את:
היות שבעצם וכן , אפשר לשכתב את המשוואה האמורה כך:
כאשר כולל את כל סיביות המפתח המשתתפות (שמיקומן ידוע):
ההסתברות שהמשוואה האחרונה תתקיים היא עם הטיה - והיא הקירוב הליניארי של הצופן.
היות ש- קבוע בהתאם למפתח הסודי המשוואה הבאה:
חייבת להתקיים בהסתברות של או שתלוי בערכו של (אפס או אחד בהתאמה).
כעת בידינו הקירוב הליניארי הכולל של שלושת הסבבים הראשונים של הצופן בהסתברות של .
לאחר שהתגלה הקירוב הליניארי הכולל של מתוך הסבבים של הצופן, עם הטיה הסתברותית משמעותית, עוברים לשלב ניחוש סיביות תת-המפתח האחרון על ידי חישוב לאחור.
ביתר פירוט, תחילה מנסים את כל האפשרויות של המפתח האחרון ( במקרה זה) ומחברים אותם ב-XOR עם הבלוק המוצפן, ואז מבצעים פענוח חלקי (העברה בתיבות ההחלפה של הסבב האחרון) של הבלוק שהתקבל.
פעולה זו מתבצעת עבור כל זוגות הבלוקים גלויים/מוצפנים שנמצאים בידי המתקיף.
שומרים מונה שמקודם בכל פעם שהתקבל ערך המקיים את הצירוף הליניארי של התיבות מהסבב האחרון (יש לזכור שהבלוק הגלוי ידוע).
כל ניחוש סיביות מפתח שהמונה שלו גבוה או נמוך ממחצית מזוגות הקלט/פלט שבידי המתקיף בשיעור משמעותי הדבר נחשב לניחוש מוצלח.
ניחוש לא נכון אמור לתת תוצאה אקראית ולכן המשוואה האמורה תתקיים בהסתברות קרובה לחצי.
בצופן הצעצוע המובא להמחשה, הצירוף הליניארי האחרון משפיע על הפלט לתיבות ו- של הסבב האחרון.
כיוון שכל תיבה מכילה 4 סיביות בסך הכול 8 זה אומר שעבור כל זוג קלט/פלט מנסים את כל 256 צירופי סיביות של המפתח במקטעים (יתר סיביות המפתח אינן משפיעות כי שתי תיבות אילו היו התיבות הפעילות היחידות בסבב זה).
עבור כל ניחוש מפתח חלקי כזה, מקדמים מונה כלשהו אם המשוואה האחרונה התקיימה.
הזוגות שלהם המונה הגבוה ביותר (שלילי או חיובי) מרמזות על ניחוש מוצלח בהסתברות גבוהה.
המשוואה האחרונה (הצירוף הליניארי של הצופן) משפיעה על התוצאה בהתאם למפתח.
אם ערכן של סיביות המפתח בפוזיציות הללו הוא אז המשואה תתקיים בהסתברות גבוהה מחצי ואילו אם המשוואה תתקיים בהסתברות נמוכה מחצי.
את צופן הצעצוע המתואר אפשר לתקוף עם 10,000 זוגות קלט/פלט ידועים, ולפי תיאור ההתקפה עד כה, התגלה ניחוש מוצלח של סיביות תת-המפתח וכן .
ואכן המונה עבור סיביות אילו בבסיס הקסדצימלי כצפוי היה גבוה משמעותית מ-5,000. הטבלה הבאה מכילה להמחשה, אוסף חלקי מתוך 256 האפשרויות.
ערכים אילו מייצגים את שיעור ההטיה לפי החשבון האמור, "הטיה = מונה פחות חצי לחלק למספר הזוגות".
כאשר המונה מתייחס לניחוש מסוים של 8 סיביות מהמפתח.
אפשר לראות שההטיה הגבוהה ביותר מופיעה כאשר הניחוש הוא 2,4.
הערך בשורה 9 בטבלה שהתגלה במהלך הניסוי, קרוב מאוד לערך הצפוי של .
למרות שניחוש נכון תמיד יהיה בעל הטיה גבוהה ביותר, בכל זאת קיימים ערכים של ניחושים לא נכונים שמכילים הטיה גבוהה.
מה שמעיד על כך שההשוואה של ניחושים נכונים אינה בדיוק השוואה של נתונים אקראיים מול משוואה ליניארית שאז ההטיה אמורה להיות אפס במצב אידיאלי.
העובדה שזה לא קורה נובעת מכמה סיבות ביניהן מאפייני תיבות ההחלפה המשפיעות על הפענוח החלקי, אי דיוקים הנובעים מההנחה השגויה שהצירופים של תיבות ההחלפה בלתי תלויים זה בזה וכן מההשפעה של מה שקרוי "פרישה ליניארית" או "מעטפת ליניארית" ראה קבוצה פורשת.
ההסתברות שמשוואה ליניארית תתקיים תלויה בהטיה ההסתברותית של תיבות ההחלפה הפעילות ובמספרן (התיבות הפעילות הן אילו שהקו עובר דרכן בתרשים).
באופן כללי ככל שההטיה גבוהה יותר בתיבות ההחלפה כך היא תהיה גבוהה יותר בצופן כולו.
כמו כן ככל שפחות תיבות החלפה פעילות כך שיעור ההטיה יהיה גבוה יותר.
יהי ההטיה מחצי של ההסתברות שמשוואה ליניארית עבור כל הצופן תתקיים.
מיצורו מצואי הראה שמספר זוגות הקלט/פלט הנדרש לצורך הקרפיטואנליזה הליניארית פרופורציונלי ל- ואם מייצג את מספר הבלוקים הקריאים הדרוש אז אפשר להעריכו על ידי .
למרות שסיבוכיות ההתקפה נמדדת גם בזמן וגם בזיכרון, בקריפטואנליזה ליניארית מתייחסים בעיקר לכמות הזיכרון.
כלומר מניחים שאם יש באפשרותנו להשיג טקסטים אז ההתקפה בת ביצוע.
לאור האמור הדרכים להתגונן מפני הקריפטואנליזה הליניארית הן מיטוב תיבות ההחלפה, כלומר צמצום ההטיה הליניארית שלהם וכן בניית הצופן באופן שיהיו יותר תיבות החלפה פעילות.
צופן AES הוא דוגמה מצוינת לגישה זו.
במציאות הקירובים הליניאריים של תיבות ההחלפה אינם בלתי תלויים מה שעלול להשפיע על חישוב ההסתברות של ההטיה הכללית של הצופן.
וכן מופעים של קירובים ליניאריים עם אותן סיביות קלט ופלט אך עם תיבות החלפה פעילות אחרות ניתנים לצירוף כך שתתקבל הסתברות ליניארית גבוהה יותר מהצפוי עם סט אחד של תיבות החלפה פעילות.
תופעה זו נקראת מעטפת ליניארית או פרישה ליניארית.
והיא משליכה על כך שגם אם נראה כאילו הצופן אינו מכיל הטיה הסתברותית גבוהה שילוב של מספר מופעים של קירובים ליניאריים יכול להוביל להטיה גבוהה.
בכל אופן הגישה הבסיסית המתוארת כאן נוטה לעבוד היטב נגד מספר צפנים מודרניים, זאת משום שההשערה שהקירובים הליניאריים של תיבות ההחלפה בלתי תלויים סבירה למדי וכן אם מופעים של קירובים ליניאריים של קבוצת תיבות החלפה פעילות מניבים הטיה הסתברותית גבוהה הם נוטים להעלים את המעטפת הליניארית.
קריף (ראשי תיבות בצרפתית: CRIF - Conseil représentatif des institutions juives de France, המועצה המייצגת של מוסדות יהודיים צרפתיים) הוא ארגון גג של הארגונים היהודיים בצרפת ומאגד מעל לשישים ארגונים ומוסדות, בהם כל ישראל חברים ("אליאנס") והקרן החברתית היהודית המאוחדת (FSJU).
הארגון נועד לייצג את הארגונים והאינטרסים של הקהילה היהודית בצרפת בפני השלטונות, ונתפס כגוף לוביסטי בעיקרו.
הקריף מתנגד לאנטישמיות ולמדיניות שהוא רואה בה כאנטישמית ותומך בדרך כלל במטרות ציוניות ובמדינת ישראל.
הארגון נוסד ב-1944 כהמשך של "המועצה הכללית להגנה יהודית", כגוף שמטרתו המקורית הגנה על יהודי צרפת הכבושה בזמן השואה.
ב-2004 גינה את ראש ממשלת ישראל, אריאל שרון, באפיון שלו את האנטישמיות בצרפת וכן את הקריאה שלו לכל יהודי צרפת לעלות לישראל.
באותה שנה פרשה הקונסיסטוריה המרכזית של יהודי צרפת מחסות הארגון בעקבות חילוקי דעות בנוגע לתמיכת הקריף ביוזמת ז'נבה.
ב-20 בנובמבר 2004 האשים ארגון הקריף את ממשלת צרפת באי הגנה על אזרחים מפני שידורי ערוץ הטלוויזיה אל-מנאר של חזבאללה, שכללו סרטונים, אשר זוהו על ידי הארגון כאנטישמיים והמסיתים מוסלמים לתקוף יהודים .
אל-מנאר נחסמה על ידי CSA.
ארגון הקריף התנגד להקדשה של פיוס השנים עשר, והצהיר כי רוב ההיסטוריונים העצמאיים דוחים את העמדה כי פיוס עבד ללא הרף למען הצלת יהודים .
קריפטואנליזה (מיוונית kryptós שפירושו "חבוי" ו-analýein שפירושו "לשחרר" או "להתיר") בעברית: נִתּוּחַ הַצְפָּנָה, היא ענף בקריפטולוגיה שעיקרו מחקר וניתוח מערכות מידע על מנת לחשוף היבטים סודיים של המערכת.
תפקיד קריפטאנליסט הוא לפרוץ את ההגנה הקריפטוגרפית של המערכת בכל דרך אפשרית או לחשוף 'חולשות' המאפשרות גישה לתכנים חסויים, אם על ידי חשיפת מפתחות ההצפנה ואף בלא ידיעתם.
בנוסף לאנליזה המתמטית של אלגוריתמים ופרוטוקולים קריפטוגרפיים, קריפטואנליזה כוללת גם חקר התקפות ערוץ צדדי, אשר אינן מתמקדות בחולשות תאורטיות באלגוריתם ההצפנה עצמו אלא בהיבטים מעשיים הקשורים באופן יישומו בפועל.
או ניצול חולשות במערכת שמדליפות שלא במודע, במישרין או בעקיפין, פרטים רגישים שעשויים לעזור בפיצוח המערכת.
אף על פי שבמהותה קריפטואנליזה לא השתנתה רבות - קרי שבירת מערכת הצפנה בכל האמצעים העומדים לרשות האנליסט - השיטות, הכלים והטכניקות עברו שינוי דרסטי במרוצת השנים.
לאורך ההיסטוריה, מצויה הקריפטואנליזה במרוץ הסתגלות מתמיד אחר ההתקדמות והמורכבות הגוברת של הקריפטוגרפיה, החל משיטות 'עט ונייר' מסורתיות דרך מכונות פיצוח צפנים כמו בומב הבריטית ומחשבי קולוסוס של בלצ'לי פארק בזמן מלחמת העולם השנייה ועד לאלגוריתמים ממוחשבים של ימינו.
הקשר עם המתמטיקה רק הלך והתחזק, לעיתים שבירת אלגוריתם קריפטוגרפי מודרני שקול לפתרון בעיה מתמטית טהורה, הדוגמה הטובה ביותר היא החיפוש המתמיד אחר שיטות טובות לפירוק לגורמים של מספרים גדולים מאוד לשם שבירת אלגוריתם RSA.
המטרה העיקרית של הקריפטואנליזה היא, בהינתן פיסת מידע מוצפן כלשהי שנקראת טקסט-מוצפן (ciphertext), על המנתח, 'התוקף' או 'היריב' כפי שנהוג לקרוא לו, להשיג כמה שיותר מידע אודות הטקסט המקורי שנקרא טקסט-קריא (plaintext) המשויך לאותה פיסת מידע.
הנחת העבודה לפי עקרון קרקהופס וכפי שנוסחה על ידי שאנון "האויב מכיר את המערכת" (the enemy knows the system).
דהיינו פרטי האלגוריתם ששימש להצפנה, כמו גם כמה פרטים בסיסים אחרים על המערכת כמו אורך מפתח ההצפנה בסיביות, פומביים וידועים לכל.
זוהי הנחה סבירה מבחינה מעשית ככל שההיסטוריה מלמדת.
קיימות אין ספור דוגמאות מהעבר של חשיפת אלגוריתמים סודיים, אם על ידי ריגול, בגידה, הנדסה הפוכה, מחדל, טעות אנוש, תקלה וכדומה.
היו מקרים שהתוקף הצליח לשחזר את אלגוריתם ההצפנה רק מניתוח הטקסט המוצפן.
כמו כן ההנחה היא שהיריב או האויב ישתמש באסטרטגיה הטובה ביותר האפשרית כדי לשבור את האלגוריתם שלך ולא האסטרטגיה שאתה חושב או רוצה שהוא ישתמש בה.
לכן הערכת ביטחון של מערכת הצפנה תלויה ב"שיטה הטובה ביותר" הידועה באותו זמן כדי לשבור אותה.
ככל שמתגלות שיטות טובות יותר רמת הביטחון של המערכת רק תלך ותפחת, היא לעולם לא תהיה יותר טובה.
לעיתים די בהוכחה תאורטית שאלגוריתם מסוים ניתן לפיצוח בכמות עבודה נמוכה מזו שהצהירו עליה מפתחי האלגוריתם או בכמות עבודה הנמוכה במידה מסוימת מכוח גס.
מפתחים נדרשים לעיתים להתמודד עם שיטות פריצה חדשות שמתגלות.
לעיתים מתגלות פרצות בגרסה הראשונה והמפתחים חוזרים ומוציאים גרסאות ממוטבות העמידות בפני ההתקפות שהתגלו.
כמות המידע אודות טקסט המקור, הזמינה לתוקף לפני ההתקפה מתחלקת לכמה מודלים עיקריים מהקל אל הכבד:
התקפת טקסט מוצפן בלבד היא הבסיסית והצפויה ביותר.
ההנחה היא שהתוקף יכול תמיד להשיג טקסט מוצפן, כגון על ידי האזנה או ציתות לרשת תקשורת בה מועבר המידע.
ברשות התוקף כמות מסוימת בדרך כלל מוגבלת של טקסט-מוצפן והטקסט הגלוי המשויך לו.
למשל במקרה שבו טקסט מוצפן שהיה בעבר סודי ונעשה פומבי, בזמן שמפתח ההצפנה מעולם לא פורסם.
או למשל כאשר התוקף יודע ממקור אחר מהו חלק מהטקסט המוצפן (כמו קובץ מוצפן שמכיל בתחילתו כותרות או נתונים מוסכמים וידועים).
ביכולתו של התוקף להשיג טקסט-גלוי שמתאים לטקסט מוצפן כלשהו, לפי בחירתו.
אפשרות אחת היא שהתוקף הצליח לשים ידו על מכונת הצפנה שמפתח ההצפנה מוסתר בתוכה בתוך חומרה חסינת מגע (tamper-proof), התוקף יכול להפעיל את המכונה ולהצפין כל טקסט שיבחר, אך אינו יכול לראות את המפתח או לפענח טקסט שהוצפן.
ביכולתו של התוקף להשיג כל טקסט-מוצפן וטקסט גלוי מתאים כרצונו, מלבד של הטקסט המותקף.
למשל במערכת אוטומטית שבה התוקף יכול לשלוח הודעות מוצפנות ולקבל תגובה, לפעמים התגובה יכולה להיות מידע על שגיאה שארעה בליווי תוצאת הפענוח.
היא שינוי קל בהגדרה הקודמת.
התוקף יכול למטב את ההתקפה ולבחור שוב טקסטים לצורך הצפנה, על פי תוצאות התקפה קודמת.
התוקף רשאי לקבל טקסט מוצפן כלשהו עם מפתחות שונים וקיים קשר או יחס מתמטי כלשהו ביניהם.
למשל המפתח השני הוא XOR של ערך קבוע כלשהו עם המפתח הראשון.
או שני מפתחות שההבדל ביניהם הוא בסיבית אחת בלבד.
בדרך זו התוקף מנסה ללמוד את השלכות הקשר בין המפתחות על הטקסט המוצפן.
באנליזה תאורטית מתעלמים מההקשר שבו נעשית ההתקפה או מפרטיה הטכניים ומתארים אותה באמצעות 'משחק' מופשט.
לצורך העניין נניח שקיים אורקל היפותטי שברשותו אלגוריתם הצפנה מסוים שאת ביטחונו מעוניינים לבדוק, התוקף רשאי לפנות לאורקל ולבקש ממנו להצפין עבורו מידע מסוים באלגוריתם זה, עם מפתח הצפנה שידוע לאורקל בלבד ולהחזיר לו את התוצאה.
האורקל מחזיר בתגובה טקסט מוצפן או מחרוזת אקראית סתמית, אך אינו רשאי לחשוף את מפתח ההצפנה.
המשחק מנוהל כך שהתוקף שולח לאורקל מחרוזת כלשהי, האורקל מטיל מטבע ולפי תוצאת ההטלה מבצע החלטה ומחזיר לתוקף תגובה בהתאם, שיכולה להיות הצפנה של המחרוזת שקיבל עם מפתח הצפנה סודי שנבחר באקראי או פרמוטציה אקראית סתמית.
תפקידו של המתקיף הוא לנחש בהסתברות גובהה מחצי בשיעור שאינו זניח האם כל מחרוזת שקיבל מהאורקל היא הצפנה של הטקסט ששלח או מחרוזת אקראית.
במילים אחרות לאחר מספר פעמים המוגדר על ידי המודל התוקף אמור לנחש בהסתברות גבוהה מחצי בשיעור שאינו זניח מה היו הטלות המטבע של האורקל בכל האירועים.
אם ההתקפה מצליחה, ההשלכה היא בהכרח שמתוך חילופי המסרים עם האורקל למד התוקף מידע מסוים על אלגוריתם ההצפנה, שזה שקול בעצם לפריצת האלגוריתם.
ישנם שלושה היבטים חשובים שמלמדים על מאפייני ההתקפה ועל קושיה.
הגדרה של 'קושי' ניתנת לניסוח בכמה אופנים, המודל המקובל למדוד קושי או כמות עבודה הוא במונחים של סיבוכיות זמן, מספר הצעדים החישוביים הדרוש לביצוע ההתקפה.
זיכרון מייצג את שטח האחסון הדרוש להתקפה ודטה מייצגת את כמות או סוג המידע הדרוש לתוקף לצורך ההתקפה.
בדרך כלל קשה לתת הערכה מדויקת של כמות המידע או הזמן הדרוש לפריצת המערכת במונחים של כוח מחשוב במיוחד כשההתקפה אינה מעשית אלא תאורטית באופייה.
בקריפטואנליזה לא תמיד צריך לשבור בפועל אלגוריתם הצפנה כדי להוכיח חולשה, מספיק להוכיח תאורטית ששבירתו קלה מכוח גס במידה ניכרת.
לדוגמה באלגוריתם עם מפתח בגודל 128 סיביות, אפילו אם ההתקפה דורשת פעולות והיא אינה פרקטית בעליל, היא מספיקה כדי להצביע על חולשה כיוון שהיא טובה מכוח גס שהוא והיא עדות לכך שהאלגוריתם אינו מספק את הביטחון שהוא מתיימר לתת.
אפשר לסווג התקפות קריפטוגרפיות לפי מידת ההצלחה.
כמות ואיכות המידע שהושג ביחס לכמות המידע שהייתה זמינה קודם להתקפה.
למשל בצופן בלוקים ההתקפה הטובה ביותר היא כזו שמצליחה לחשוף את מפתח ההצפנה, במקרה כזה אומרים שהאלגוריתם נשבר לחלוטין.
בהתקפה חלשה יותר, התוקף אינו מצליח לנחש מהו המפתח הסודי אך עלה בידו בדרך כלשהי לנחש את המידע המקורי שהוצפן.
כמות המידע שהתוקף משיג במקרה של שבירה חלקית מתחלק גם הוא לכמה מקרים, למשל מידע חלקי יכול להיות הצלחה בניחוש כל טקסט מוצפן או ניחוש של טקסט מוצפן ספציפי בלבד.
הגדרה מחמירה יותר היא שהתוקף מצליח להשיג מידע עקיף לגבי הטקסט המוצפן גם ללא פענוחו.
או אם הוא מצליח לזהות קשר כלשהו בין הטקסט המותקף לבין טקסט מוצפן אחר אפילו אם הקשר עקיף.
לדוגמה אם הטקסט המוצפן הוא סכום כסף כלשהו, במודל זה התקפה מוצלחת תקרא התקפה שבה התוקף מצליח לייצר טקסט מוצפן 'תקף' של ערך אחר כך שמתקיים זאת מבלי לפענח את (זוהי הגדרת החשילות).
הדרך המקובלת לאמוד את מידת הצלחת ההתקפה כנגד המערכת נקראת ביטחון סמנטי.
בגרסה המחמירה שלו פירושו יכולת התוקף להבחין בהבדל כלשהו בין הטקסט המוצפן לבין פרמוטציה אקראית כלשהי.
דהיינו, בהינתן זוגות רבים של מחרוזות בינאריות באורך מוגדר כלשהו, כשאחת היא תוצאה של הצפנה של טקסט בעל משמעות כלשהו והשנייה היא מחרוזת אקראית סתמית, אם התוקף מצליח בכל הזוגות או ברובן, להבדיל בהסתברות גבוהה מחצי בשיעור משמעותי בין פרמוטציה אקראית לבין הצפנה של טקסט-מקור, אזי אומרים שההתקפה הצליחה.
הצלחה חלקית יכולה להיות גם התקפה מוצלחת כנגד גרסה מצומצמת של האלגוריתם.
כגון בצופן בלוקים איטרטיבי הצלחה חלקית היא היכולת לשבור את האלגוריתם בפחות סבבים, לדוגמה AES עם מפתח 256 סיביות מבצע 14 איטרציות.
הצלחה חלקית יכולה להיות פיצוח גרסה מותאמת שלו בשמונה סבבים למשל.
אף על פי שהתקפה כזו אינה מעשית ואינה מסכנת באופן מיידי את השימוש באלגוריתם, יש בה כדי ללמד על חולשות תאורטיות והיא מאפשרת מבט טוב יותר על אופי האלגוריתם או יכולה לשמש כבסיס להתקפה משופרת יותר.
כיום מקובל לאמץ את עקרון קרקהופס, הקובע ששמירת אלגוריתם הצפנה בסוד אינה מהווה חלופה לבטיחותו.
עם זאת, גם בעת המודרנית הוכרזו מספר אלגוריתמי הצפנה כסודיים.
השימוש בדלת אחורית וסודיות האלגוריתמים גרמו להסתייגות רבה בציבור והפרויקט לא התקבל, במיוחד לאחר שפורסמו אלטרנטיבות טובות יותר כמו PGP.
אלגוריתמים מוצלחים הם כאלו שזכו לביקורת הציבור, במיוחד לעיון מדוקדק בידי אנליסטים ומומחי הצפנה מסביב לעולם.
AES הוא דוגמה טובה לאלגוריתם שנבדק היטב על ידי מומחים רבים ונבחר מבין מספר מועמדים טובים, לאחר תחרות פתוחה שנמשכה כמה שנים.
הבחירה היא תמיד בין קלות יישום לעומת בטיחות.
הדעה הרווחת היא שמרבית האלגוריתמים הידועים שזכו לביקורת ובדיקה של מומחים, אכן בטוחים.
הסיבה שמערכות נפרצו או כשלו לא נבעה ישירות מליקויים תאורטיים באלגוריתמים שעליהם התבססו, אלא בשל כשלים או שגיאות אנוש באופן יישומם, שנבעו בין היתר מבורות, רשלנות או אי-הקפדה על נוהלי בטיחות.
יותר קל להשיג מידע באמצעות ציתות, מתן שוחד, גנבת מפתחות או התקפת ערוץ צדדי מאשר לפרוץ אלגוריתם.
במאי 2011 הצליחו האקרים (לפי הפרסומים סיניים) לחדור למחשבי חברת לוקהיד מרטין ולגנוב מידע סודי ביותר.
לפי הפרסומים הם לא פרצו את מערכות האבטחה של החברה שאינן מביישות אף ארגון ממשלתי, במקום זאת הם פשוט השתמשו במפתחות הצפנה שנגנבו ממעבדות RSA מספר חודשים לפני כן.
בגרסת WAP (פרוטוקול אבטחה סלולרי) הראשונה התגלתה פרצה אבטחתית חמורה שנבעה מאופן יישום אלגוריתם RC4 וגרמה לדליפת מידע.
באפריל 2014 התגלתה פרצת אבטחה ב-OpenSSL המשמש לאבטחת תעבורת האינטרנט באתרים רבים מסביב לעולם.
הפרצה, שנבעה מיישום לקוי של פרוטוקול סינכרון נילווה איפשרה לחטוף מהשרת 64 קילובתים של מידע רגיש שעלול להכיל נתונים חשובים כמו סיסמאות או מפתחות הצפנה.
כמעט לכל הצפנים הקלאסיים חשיבות היסטורית בלבד והם אינם בטוחים כיום לשימוש בשל העובדה שהם סובלים מבעיית היתירות.
מידע סטטיסטי על התפלגות האותיות בשפה ספציפית, עשוי לסייע בידי מנתח הצופן בחשיפת המסר ללא צורך במפתח, או אף בחשיפת המפתח עצמו מתוך טקסט מוצפן קצר יחסית.
פיצוח צופן האניגמה היה אירוע שהשפיע רבות על התפתחות ההצפנה.
פיצוח האניגמה מורכב ממספר אירועים שלא היה די בכל אחד מהם בנפרד, אולם שילובם יחד הביא לפיצוח המוצלח של הצופן ולשבירת המצור הימי על בריטניה.
בתום המלחמה המשיכו הבריטים לשמור על סוד הפיצוח.
בריטניה המליצה למושבותיה לשעבר כולל ישראל, להשתמש באניגמה בטענה כי צופן המכונה "אינו בר פיצוח".
מסופר שפרופסור שהיה חבר בצוות של אלן טיורינג בפיצוח האניגמה שמע מפי סטודנט ישראלי שלו שהבריטים מסרו במתנה 30 מכונות אניגמה לידי צה"ל והרגיש צורך להזהירו אולם לא רצה לבגוד בבני עמו, לכן מצא דרך מקורית להעביר את המסר.
הוא שאל את הסטודנט: "שמעת על הסוס הטרויאני?".
המסר הועבר לצה"ל, והאגדה מספרת שראש הממשלה דוד בן-גוריון בכבודו ובעצמו הורה להוציא את ה"אניגמה" משימוש, עוד לפני שהוכנסה לשימוש מבצעי.
שיטות הפיצוח הקלאסיות שהסתמכו על ניתוח תדירויות של אותיות לפי יתירות השפה, אינן ישימות כנגד אלגוריתמים סימטריים מודרניים כיוון שנעשה שימוש בבלוקים גדולים (64 סיביות ומעלה) ומספר הצירופים האפשרי במקרה כזה אסטרונומי, עובדה שמאלצת את המתקיף לנתח כמות עצומה של טקסטים ולרוב אינה מעשית.
מלבד זאת קיימות שיטות לביטול יתירות אם על ידי הוספת אקראיות מכוונת או בשיטות אחרות (ראה מצבי הפעלה).
השיטות המודרניות המקובלות כיום לניתוח אלגוריתמים סימטריים מסתמכות בעיקר על סטטיסטיקה ואנליזה ליניארית ודיפרנציאלית.
כוח גס (Brute Force): חיפוש ממצה של לפחות מחצית מטווח המפתחות האפשריים במקרה הממוצע עד למציאת המפתח שאיתו נעשה שימוש.
כשמה זוהי שיטה ברוטלית שסיבוכיותה אינה מעשית ברוב המקרים, אולם עם מספיק זמן וכוח חישוב תביא בסופו של דבר לתוצאות.
התקפת כוח גס אפשרית למשל אם ידוע לתוקף בלוק אחד של טקסט-גלוי ובלוק טקסט מוצפן מתאים, כלומר שהוצפן עם מפתח לא ידוע.
התוקף יכול לנסות לפענח את הבלוק המוצפן עם מפתחות הצפנה רבים ככל האפשר, בכל פעם משווה את תוצאת הפענוח עם הבלוק הקריא שברשותו, עד שנמצאת התאמה.
ישנן דרכים להאיץ את החיפוש הממצה בהתקפת איזון זמן/זיכרון, שהיא התקפה שעושה שימוש בזיכרון אם הוא זמין על חשבון זמן עיבוד.
במקרה כזה התוקף מבצע חישוב מוקדם (אוף ליין), מאחסן תוצאות כלשהן בטבלה ממוינת המאפשרת חיפוש מהיר ובזמן ההתקפה מנצל את הטבלה למציאת המפתח.
הוכחה שאלגוריתם ניתן לשבירה אך ורק באמצעות כח גס מהווה הוכחת איכות, כיוון שניתן לשלוט ביעילותה בקביעת גודל המפתח בסיביות.
לשם המחשה, כוח גס כנגד DES מצריך סריקה של לפחות מפתחות במקרה הממוצע.
ב-2008 פרסמה חברת SciEngines שרת ייעודי יחיד עם חומרה מותאמת, בעל תפוקה של 26 מיליארד מפתחות בשנייה, המסוגל לפרוץ את DES בפחות מיום אחד.
קריפטאנליזה ליניארית: שיטת פיצוח המיוחסת לקריפטוגרף היפני מיצורו מצואי.
בשיטה זו ניתן לפצח את DES ב- ניסיונות הצפנה בהינתן טקסטים מוצפנים שמקורם ידוע.
קריפטואנליזה ליניארית היא התקפת גלוי-ידוע, המתמקדת בחיפוש אחר קירובים ליניאריים היעילים ביותר המתאימים למספר ספציפי של סבבים בצופן המותקף עם שיעור הצלחה גבוה מחצי, תוך ניצול חולשות בתיבות ההחלפה (S-box) של האלגוריתם.
אף שזהו שיפור משמעותי לעומת כח גס, השיטה אינה יעילה עבור מחשב ממוצע בהתחשב בכמות הטקסט הדרושה.
קריפטואנליזה דיפרנציאלית: הומצאה על ידי אלי ביהם ועדי שמיר (מכון ויצמן למדע 1980).
זו שיטה רבת עוצמה לניתוח אלגוריתמים סימטריים מכל סוג כמעט.
בה נבחנת מידת ההשפעה של הבדלים בקלט על פלט הצופן.
כמו כן נפרצו בשיטה זו ב-1989 וב-1991 כל וריאציות צופן FEAL (ארבעה ושמונה סבבים).
ממציאי אלגוריתם DES היו מודעים לאנליזה דיפרנציאלית אולם שמרו ידיעה זו בסוד מטעמים של ביטחון לאומי.
הסברה היא שממציאי האלגוריתם לא פרסמו מלכתחילה את שיקולי העיצוב שהנחו אותם בבניית האלגוריתם, מהסיבה שלאחר התייעצות עם NSA הוחלט כי פרסום החומר עשוי לחשוף את האנליזה הדיפרנציאלית, שלמעשה הקנתה לארצות הברית עליונות על פני מדינות אחרות בתחום ההצפנה באותה עת.
אלגוריתמים א-סימטריים נשענים בעיקר על קושיין (התאורטי/חישובי) של מספר מצומצם של בעיות מתמטיות קשות.
בהן נמנות בעיית פירוק לגורמים (עליה מבוססת, למשל, הצפנת RSA), בעיית לוגריתם דיסקרטי (עליה מבוסס DSA) ובעיית הוצאת שורש ריבועי מודולו מספר פריק (עליה מבוססת הצפנת רבין).
בעיות אלו מאפשרות יישום פונקציה חד כיוונית עם דלת סתרים (Trap-door), שהיא פונקציה קלה לחישוב בכיוון אחד אולם קשה לשחזור בכיוון ההפוך, אלא כן קיים "מידע נסתר" (למשל בבעיית פירוק לגורמים, דלת הסתרים יכולה להיות הגורמים הראשוניים או חלקם), בהקשר זה דלת הסתרים היא המפתח הפרטי.
אף שמשערים כי הפונקציות בהן משתמשים היום בפועל הן חד-כיווניות, מעולם לא ניתנה לכך הוכחה פורמלית ושאלת קיומן של פונקציות חד-כיווניות קשות באופן ודאי היא בעיה פתוחה חשובה במדעי המחשב (בפרט, תשובה חיובית לשאלה זו תהווה הוכחה לכך ש-P שונה מ-NP, מה שישים קץ לשאלה הפתוחה המרכזית במדעי המחשב).
טרם נמצא אלגוריתם יעיל המסוגל לפתור בזמן ריצה פולינומי את אחת מהבעיות שבבסיס האלגוריתמים האסימטריים הנפוצים בימינו ובכך להוציאם מכלל שימוש.
עם זאת קיימים אלגוריתמים לפתרון בעיות יסודיות אלו בסיבוכיות זמן היעילים במידה ניכרת מכוח גס.
הדוגמה הידועה ביותר היא בעיית פירוק לגורמים עתיקת היומין, שמתמטיקאים רבים וטובים התחבטו בה.
האלגוריתם הטוב ביותר הידוע כיום לפתרונה הוא נפת שדה מספרים.
בנובמבר 2005 הצליח צוות מתמטיקאים לפרק לגורמים את RSA-200 (בגודל 663 סיביות) מתוך מספרי האתגר של מעבדות RSA במאמץ שנמשך כמעט שלוש שנים, תוך שימוש במספר גדול של מחשבים שעבדו במקביל.
במאי 2007 הצליח צוות מתמטיקאים לפרק לגורמים את המספר (המכונה מספר מרסן) המספר הגדול ביותר שפורק לגורמים נכון לשנה זו.
ההשלכה היא שמפתח בגודל 1024 סיביות בר פיצוח.
בספטמבר 2013 בעקבות פרשת סנואודן, רוברט דייוויד גראהם מומחה אבטחת מחשבים מחברת אראטה העריך כי ביכולת הטכנולוגית הנוכחית עם המשאבים של ארגון כמו NSA אפשר לבנות חומרה ייעודית בעלויות של כמילארד דולר, שתוכל לפצח מפתח הצפנה של RSA או דיפי-הלמן בגודל 1024 סיביות בתוך מספר שעות.
אין סיבה שלא להאמין ש-NSA הצליחו לעשות זאת.
בין ההתקפות הידועות כנגד צפני זרם נימנות:
התקפת קורלציה, המתאימה לכל צופן שהמחולל הפנימי שלו מורכב ממספר אוגרי זיזה ממושבים (LFSR).
זוהי התקפת גלוי-ידוע סטטיסטית בסגנון הפרד ומשול המתמקדת בשחזור המצב הראשוני (initial state) של כל אוגר בנפרד בהתבסס על ידע מוקדם של חלק מסיביות זרם המפתח בחיפוש ממצה של רמת מתאם מינימלית מסוימת בין זרם המפתח לבין מחרוזת כלשהי שהיא פונקציה של מצב התחלתי כלשהו.
קְרִיפְּטוֹמֶרְיָה (שם מדעי: Cryptomeria) היא סוג עץ מחטני ממשפחת הברושיים.
הסוג כולל מין אחד, קריפטומריה יפנית (Cryptomeria japonica), והוא אנדמי ליפן, שם הוא ידוע בשם סוּגִי (ביפנית: スギ).
בעבר נודע העץ בשם "ארז יפני", אולם הוא אינו קשור לסוג זה.
קריפטומריה ניטעת באופן נרחב ביערות ביפן, בסין ובאיים האזוריים, וכן משמשת לנוי באזורים ממוזגים אחרים, לרבות באירופה, באמריקה הצפונית ובמזרח הרי ההימלאיה בנפאל ובהודו.
צורת נוי פופולרית היא זן התרבות "אלגנס", הידוע בעלוותו הצעירה, שאינה הופכת לבוגרת בגיל שנה.
ישנן גם צורות בונסאי לעץ.
העץ המעובד מקריפטומריה הוא ריחני, בצבע אדמדם־ורוד, בעל משקל נמוך אך חזק, חסין למים ועמיד לריקבון.
הוא משמש ביפן לכל סוגי הבנייה, לרבות חיפוי פנים.
קריפטומריה היא עץ ירוק עד גדול, המגיע לגובה של כ־70 מטרים ולקוטר גזע של 4 מטרים, עם קליפה בצבע אדום-חום שמתקלפת ויוצרת פסים אנכיים.
העלים הם דמויי־מחטים באורך של 0.5–1 ס"מ ומסודרים בספירלה, והאצטרובלים כדוריים בקוטר של 1–2 ס"מ עם 20–40 קשקשים.
היא דומה במראה שלה לסקוויה ענקית, ונבדלת ממנה בעליה הארוכים, באצטרובליה הקטנים ובקליפתה הקשה.
קריפטומריה משמשת מזון לזחליהם של מספר עשים בסוג Endoclita.
היא גורם מרכזי ביפן לקדחת השחת.
עצי קריפטומריה, לעיתים בני מאות שנים, מקשטים מקדשים ביפן.
מסופר על דאימיו שהיה עני מכדי לתרום טורו בעת הלווייתו של השוגון טוקוגאווה איאיאסו במקדש טושוגו בניקו, ולכן ביקש לשתול שדרה של עצי סוגי על מנת שמבקרים במקדש ייהנו בעתיד מצל מפני השמש הקופחת.
הצעתו של הדאימיו העני התקבלה, והשדרה, שקיימת עד היום נמתחת על פני 65 ק"מ.
הקריפטומריה הובאה למדינת סיקים ולמחוז דרג'ילינג שבהודו על ידי הבריטים במאה ה־19 כעץ נוי וכחומר גלם לקופסאות תה ושם נפוצה.