Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA"	+/–
Сообщение от opennews (??), 29-Сен-26, 14:01
Исследователи из Калифорнийского университета в Сан-Диего разработали усовершенствованную технику атаки на алгоритм RSA, позволяющую подделывать цифровые подписи без факторизации лежащих в основе RSA простых чисел и без необходимости восстановления закрытого ключа. Ресурсы, необходимые для совершения атаки на 1024-разрядный ключ RSA, оценены в 1380 лет вычислений на одном процессором ядре, что на имеющемся университетском кластере позволило за 5 месяцев определить параметры, необходимые для формирования фиктивных RSA-подписие (в эксперименте не использовались AI-ускорители и GPU, при их применении время вычислений может существенно сократиться). Для сравнения классический метод факторизации требует для воссоздания закрытого ключа RSA-1024 от 500 тысяч до миллиона лет вычислений на одном процессором ядре... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66364
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 29-Сен-26, 14:01	+11 +/–
>Для определения параметров RSA-1024 достаточно отправить 2^32 подобных запросов Ну, всего ничего.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #4, #83

2. Сообщение от Аноним (3), 29-Сен-26, 14:03	+1 +/–
4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли 20 лет назад, так и рассчитали, угу. 8к для надёжности, но неудобно из-за высокой цены. И то, оценка была меньше 50 лет секретности.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11, #122

3. Сообщение от Аноним (3), 29-Сен-26, 14:04	–3 +/–
Нет, ну протрояненные алгоритмы на эллиптических кривых намного эффективнее этого устаревшего невзламываемого шлака.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6, #87

4. Сообщение от пох.. (?), 29-Сен-26, 14:04	+3 +/–
хороший тест для hsm-модуля, ага - не сдохнет ли он немножко раньше, где-нибудь на 2^20 попытке. (да и для инфраструктурки тоже, которая в упор не увидит проблем что кто-то отправил 2^32 левых запроса)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #29

5. Сообщение от Аноним (5), 29-Сен-26, 14:06	+1 +/–
Когда там наши математики создадут суверенный PQ алгоритм? А то уже подгорает.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #68, #88, #103

6. Сообщение от Анонисссм (?), 29-Сен-26, 14:25	+13 +/–
>протрояненные алгоритмы на эллиптических кривых штош ты ещё все 19млн биткоентов себе не забрал, если оно такое всё протрояненное?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #7, #18, #84

7. Сообщение от Аноним (3), 29-Сен-26, 14:29	–7 +/–
Ну их там много разновидностей, это не совпадение. Службы СГА контролируют минимум половину биткоинов, возможно, это даже не связано.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

8. Сообщение от А ноним (?), 29-Сен-26, 14:44	+3 +/–
Ну как обычно, только подписи без правильного padding'а. Значит даже для банального SSH с RSA неприменимо. Опять секурнутые на всю голову панику поднимают.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #12

9. Сообщение от А ноним (?), 29-Сен-26, 14:45	+/–
А и да, использовал RSA ключи в 6666 бит уже 15 лет назад.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #14

10. Сообщение от Аноним (10), 29-Сен-26, 14:47    Скрыто ботом-модератором	+1 +/–
Отечественная математика самая суеве... суверенная!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

11. Сообщение от timur.davletshin (ok), 29-Сен-26, 15:05	+/–
Ты это Линусу расскажи.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #39, #85

12. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:06	–1 +/–
Понимаете, даже если обнаружена атака, решающая 256-битный уровень безопасности за 2^250 действий - с тз теоретической криптографии это уже взлом (ну облегчение в 2^6 раз может ещё можно списать на мелкие недоработки, но в целом - взлом). Иное дело, что в жизни это будет применить трудно Или там взломы, где нужны тера и петабайты памяти, чтобы вскрыть быстро. Просто криптография как наука рассматривает каждый шифр против идеализированной его модели. Большинство алгоритмов оказываются не идеальными, что не означает мгновенной применимости атаки в жизни. Но с тз математики вот так вот
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #15, #17, #115

13. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:08	+/–
> Для 4096-разрядных ключей сложность атаки составляет 2^119 операций, что на практике пока недостижимо, но ниже минимума 2^128 Ну удачи даже с 8192 которые даже гугол у себя в хроме забанить не решился, а потом и обратно разбанил 16384. Так то конечно теоритическая сугубо тема. Интересно в ближайший месяц ещё будут на RSA набрасывать чтобы всех лемингов пересадить на спасительный постквант, который поди ломается на обычном калькуляторе :)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19, #97, #111

14. Сообщение от пох.. (?), 29-Сен-26, 15:09	+2 +/–
то есть точно такая же белка-истеричка как и эти. Но грант достался им, а твои 6666 никем не оплачены, вот и бесишься. Использовал и использую dsa ключ 1k 25 лет. Вероятно я взломан nsa, агентами рептилоидов и моссадом, но через пару часов протрезвею и они все исчезнут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #16

15. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:10	+1 +/–
Взлом - это когда ты можешь добится компроментации, а не когда кому то привидилось что взломать можно не за миллиард лет а всего за 999 миллионов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #20

16. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:11	+/–
Да ладно гнать то, DSA уже давно выкинули отовсюду, надо сильно постаратся чтобы таким нынче пользоватся :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #23

17. Сообщение от пох.. (?), 29-Сен-26, 15:11	+1 +/–
ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Т.е. по-твоему она вся "взломана" с самого начала. Ну кроме шифра Шеннона на гарантировано-случайной последовательности из физического датчика.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #22, #56

18. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:12	+/–
А ты попробуй их обналить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #41, #101

19. Сообщение от пох.. (?), 29-Сен-26, 15:12	+1 +/–
потому что постквантовая эпоха уже не за горами! Вот как наступит - мы неквантовые компьютеры запритим и ваши шифры будут в полной безопастносте!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

20. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:13	+/–
Это уже спор о словах. На практике это так. А с точки зрения математиков любое ускорение, даже такое небольшое - это уже компрометация. Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #28, #30

21. Сообщение от Ydro (?), 29-Сен-26, 15:16	+1 +/–
Так и запишем - обновлять RSA ключ, не реже одного раза в пять месяцев
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32, #114

22. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:17	–1 +/–
> ты правда не понимаешь что ВСЯ криптография основана не на том факте что числа нельзя подобрать, а ровно на том что их нельзя подобрать за _разумное_ время и при _доступных_ ресурсах? Я не говорил, что числа нельзя подобрать в принципе. А только о том, что для идеального шифра они подбирается за время не менее заданного. И если найден путь за менее - это компрометация > Т.е. по-твоему она вся "взломана" с самого начала. Нет. Для идеального блочного шифра задача ставится так, что он должен решаться только полным перебором. Что касается шифра Шеннона, он неуязвим, при правильно применении, для атак только с шифротекстом, но допустим для атак с известным открытым текстом он уязвим фатальнейше и тривиальнейше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #24, #57

23. Сообщение от пох.. (?), 29-Сен-26, 15:17	–1 +/–
после того как белки-истерички (причем те самые что принесли нам два remote root) выкинули совершенно безопасный sha1 хэш из rsa-ключей (даже если вся мощь рептилоидов и nsa позволит сгенерить второй текст с совпадающим хэшем, что крайне маловероятно что будет на тебя потрачено - есть маленький нюанс: он не будет валидным ключом rsa) даже не озаботившись корректной диагностикой - просто совершенно валидный ключ вдруг перестал работать и сам угадай почему - я озаботился тем чтобы из по крайней мере своих систем их паранойю выпилить раз и навсегда. У меня еще и cipher none поддерживается, и много чего, что было доступно в прошлые десять лет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #27

24. Сообщение от пох.. (?), 29-Сен-26, 15:21	+/–
нет никакого "заданного" времени. > Для идеального блочного шифра задача ставится так, что он должен решаться только полным > перебором. его не существует и никогда не будет. > Что касается шифра Шеннона, он неуязвим но катушка с ключом будет всегда выдавать в тебе советского разведчика. Две катушки, для надежности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #25

25. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 15:28	+/–
> нет никакого "заданного" времени. Для идеального блочного шифра у нас есть длина ключа. И ключ должен находится только полным перебором, то есть в худшем случае за 2^{длина ключа} > его не существует и никогда не будет. Видимо. Вообще говоря, модель идеального блочного шифра есть и даже теоретически ее реализация не запрещена физикой. Модель эта состоит в следующем: шифр - это оракул, который ведёт огромную таблицу, сопоставляя открытому тексту и ключу шифротекст. Когда к нему впервые приходит открытый текст и ключ, он генерирует случайную строку (чтобы без повторений) и запоминает ее в качестве ответа. Дальше он всегда ее возвращает. Физикой это не запрещено, но, конечно, неюзабельно никак. А может ли детерминированный алгоритм быть неотличим от идеального блочного шифра - вероятно нет. В жизни, конечно, интереснее, насколько его сумеют математики "отличить от идеального блочного шифра". Если ненамного, то пойдёт, для практики взлома нет. Если намного - то тогда да, это уже взлом и для практиков (было в 90-е пару алгоритмов, которые чуть ли не закрытым текстам ломались, FEAL кажись)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #31, #50

27. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:56	+1 +/–
О хоспаде. Меня на работе инженеры этим нейрослопом задолбали, теперь и ты тут. > sha1 хэш из rsa-ключей Есть RSA ключ и на этом всё. ssh-rsa, rsa-sha2 - это то как RSA ключ используется при аутентификации в SSH протоколе. Притом, чтоб ты знал, rsa-sha2 прилепили сбоку на изолетнте и OpenSSH клиент узнаёт о том что такой метод доступен только из дополнительного ssh пакета/сообщения, которое встроили относительно костыльным образом в начальную стадию. ssh-rsa нынче просто отключили на уровне дефолтов в конфигах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #43

28. Сообщение от Ivan_83 (ok), 29-Сен-26, 15:58	+/–
Если ты хочешь понейрослопить дальше - на здоровье. Для всех текущих криптоалгоритмов есть исследования которые ускоряют взлом брутом, и для AES, chacha и для прочих что в обиходе. Для гостовой стрибог так 512 уменьшили до 260 бит вообще. И никто их не выкинул и не принзнал взломом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #34

29. Сообщение от User (??), 29-Сен-26, 16:05	+/–
Ну, тут основная мулька вот в чем: > Метод применим только для RSA-подписей, в которых не используется форматирование и добавочное заполнение перед шифрованием (padding). нуивот - на практике оно не встречается от слова "совсем". Нигде. Никак.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #37

30. Сообщение от Аноним (30), 29-Сен-26, 16:06	+1 +/–
> Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает Ошибка, идеальный шифр не ломается даже брутфорсом - свойство неотличимости!!! Одноразовый блокнот (случайная перестановка) - идеальные шифры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #35, #110

31. Сообщение от Аноним (30), 29-Сен-26, 16:08	+/–
> Дальше он всегда ее возвращает. Это уже слабость!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

32. Сообщение от Аноним (30), 29-Сен-26, 16:09	+1 +/–
заруби лучше, использования одной ключевой пары для подписания ровно одного блока!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

34. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:14	+1 +/–
Уж и не знаю, за комплимент ли считать эти обвинения в нейрослопе. Но нет, я читал это в книгах Шнайера, причем довольно давно > Для всех текущих криптоалгоритмов есть исследования которые ускоряют взлом брутом, <...> И никто их не выкинул и не принзнал взломом. С этим я не спорю, для практики это не взлом. Спорю я лишь с набросами на теоретическую криптографию, подогреваемыми журналистскими кликбейтпми, в духе "опять они раздувают панику, нашли 'взлом' за 999 млн. лет вместо 1 млрд., зря пугают, занимались бы чем полезным". Именно в том и смысл теоретической криптографии, искать любые возможности взламывать быстрее полного перебора. Некоторые из таких атак, быть может, разовьют и в реальный взлом, кто знает... Именно в этом и сила, и суть, и изящество академической криптографии А так главная слабость обычно далеко не в криптографии, о чем тот же Шнайер писал в книгах очень давно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #42

35. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:16	+/–
Речь шла про идеальный блочный шифр, это немного другой зверь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #36

36. Сообщение от Аноним (30), 29-Сен-26, 16:19	+/–
> Речь шла про идеальный блочный шифр, это немного другой зверь это ровно все тот же зверь. Неотличимость как раз таки главное свойство блочного шифра.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #38

37. Сообщение от пох.. (?), 29-Сен-26, 16:28	+/–
ну хрен знает. То есть на практике это не ssh. А где у нас еще может быть голый rsa - попробуй угадай...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

38. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:31	+/–
В одноразовом блокноте идеальная секретность достигается за счёт случайного ключа, равного длине сообщения и используемого один раз. А вот в идеальном блочном шифре ключ ограниченной длины. Если он равен или больше длины блока, тогда шифротекст одного блока, конечно, не даст информации о содержимом этого конкретного блока. Но практический смысл блочного шифра как раз в том, чтобы разбить текст на блоки и зашифровать их ключом, который меньше длины сообщения. И идеальной секретности тут достигнуть не получится. А если шифровать каждый блок своим совершенно случайным ключом, то это уже тот же одноразовый блокнот получится
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #45

39. Сообщение от пох.. (?), 29-Сен-26, 16:35	–1 +/–
> Ты это Линусу расскажи. ну бросился же он (во всяком случае - одобрил) следом за белками-истеричками переделывать хэши в гите. Хотя тоже, казалось бы, попробуй сгенери что-то такое что имело бы совпадающий хэш, выполняло бы задуманную функцию и попутно еще было трояном (или мы чо, зря что ли старались?), и при этом не выглядело бы так что за километр видно (типа метровой длинны комментария из выглядящих рандомно символов для набора нужной энтропии... впрочем наверное и так тоже не выйдет, это подобрать невозможно. можно только заменить комит полной некомпилируемой бнопней) В том и смысл всех (не только крипто) хэшей - похожие данные определенно где-то в юниверсуме существуют, но чем больше данные похожи - тем больше различается их хэш. При существовании мильентыщ способов просто закомитить что-нибудь в репо без всей этой криптобредятины без всякого палева.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #99

41. Сообщение от Аноним (41), 29-Сен-26, 16:38	+1 +/–
Ты не переживай, были бы биткоины, а как обналичить придумаем. Только сдаётся мне что главная проблема немножечко не в этом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #51

42. Сообщение от Ivan_83 (ok), 29-Сен-26, 16:40	+1 +/–
> Но нет, я читал это в книгах Шнайера, причем довольно давно Проблема большинства людей в том, что они считают аксиомой и истиной любую прочитанную в книге чушь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #44, #59

43. Сообщение от пох.. (?), 29-Сен-26, 16:42	+/–
> Есть RSA ключ и на этом всё. > ssh-rsa, rsa-sha2 - это то как RSA ключ используется при аутентификации в > SSH протоколе. но если тебе не повезло - твой rsa ключ - сегодня не ключ. В этом, собственно, посыл. При том что ты в ключе ничего не менял и он по прежнему валиден. > Притом, чтоб ты знал, rsa-sha2 прилепили сбоку на изолетнте и OpenSSH клиент но отклеить эту изоленту оказалось непросто даже с помощью ыы (по большей части я выкинул всю ту бредятину не разбираясь, решив что чинить это я не буду, проще с неправильного клиента использовать не-rsa ключи) > ssh-rsa нынче просто отключили на уровне дефолтов в конфигах. нет. это ты сидишь на ос написанной ретроградами для ретроградов. у них и none очень долго еще работал, когда его больше уже нигде не было. А в единственноправильном ssh уже нет такого оверрайда, надысь в новом-модном де6иллиане напоролся. Что и сподвигло раскатать свою кривую поделку вместо кривой подделки хотя бы по своим хостам. Причем не нейрослоп какой, судя по мешанине в коде - органик 100%!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #48

44. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 16:49	+/–
Это правда. Только если вы этим на что-то намекаете, то не совсем ясно зачем. У нас с вами единственный камень преткновения в этой ветке был о смысле слова "взлом", практический ли рассматривать или академический/теоретический. Но даже если вы за практический - вы ж не будете спорить, что академическая теоретическая криптография не нужна?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #47

45. Сообщение от Аноним (30), 29-Сен-26, 16:56	+/–
> А вот в идеальном блочном шифре ключ ограниченной длины. Это не говорит о том, что он же будет использоваться, а не служить инициализатором некого генератора ключей. > И идеальной секретности тут достигнуть не получится. Теоретически можно, если для каждого блока генерируется свой ключ, а мастер ключ инициализирует тот самый генератор.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #46, #106

46. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 17:11	+/–
> Это не говорит о том, что он же будет использоваться, а не служить инициализатором некого генератора ключей. Режимы работы есть разные, да. Идеальный блочный шифр будет очень хорошим генератором псевдослучайных чисел. Однако, если мы уж говорим о теоретических конструктах, то: > Теоретически можно, если для каждого блока генерируется свой ключ, а мастер ключ инициализирует тот самый генератор Это не будет эквивалентно одноразовому блокноту. В одноразовом блокноте ключ равен длине сообщения, и при этом совершенно случаен и независим. Если же мы станем генерировать ключи с помощью идеального блочного шифра как генератора, то эта пользовательность будет с очень хорошими свойствами, но не идеальными - она будет периодической. Идеальный блочный шифр - это случайная перестановка, всё-таки. Бесконечный поток абсолютно случайных данных он не выдаст Но в жизни, конечно, и идеального блочного шифра нет, и схема эта вполне жизнеспособна, особенно если вам не нужно шифровать 2^256 блоков, а только относительно "короткие" сообщения. И блочный шифр в качестве ГПСЧ - идея с ТЗ практической криптографии очень даже здравая, если правильно ее приготовить
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #55

47. Сообщение от Ivan_83 (ok), 29-Сен-26, 17:31	+/–
Я намекаю что вы приняли чужое мнение без скепсиса. Между тем это просто мнение одного человека, к тому же в вашей интерпретации его прочтения. Теоритический и практический - тоже ваши термины. Я не видел нигде в описании криптоалгоритмов радельной оценки практического и теоритического времени взлома. Везде дают только оценку по колличеству операций и отдельно прикладывают рассчёты сколько это примерно займёт на том желез что доступно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #49

48. Сообщение от Ivan_83 (ok), 29-Сен-26, 17:38	+/–
> но если тебе не повезло - твой rsa ключ - сегодня не ключ. Это ты намекаешь что нынче требования дописали и некоторые старые ключи нынче считаются небизапасными? > но отклеить эту изоленту оказалось непросто даже с помощью ыы Не уверен зачем. Всмысле замена sha на sha2 ни чем не плоха. А если ты про возвращение DSA - можно было просто взять или старую версию где оно есть или git reverse коммитов поделать, хотя бы руками. > А в единственноправильном ssh уже нет такого оверрайда, надысь в новом-модном де6иллиане напоролся. Да есть оно там. Все инженеры всю плешь проели что теперь начиная с 8.6 надо руками ssh-rsa везде дописывать. И я вот буквально в этом месяце ещё раз на это напоролся и оно в меня в клиенте - опенссш работало после дописывания=включения руками. Кстати, ты же уже сгенерировал свой DH файл для вебсервера и прочих штук где TLS используется?)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #64

49. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 17:45	+/–
> Везде дают только оценку по колличеству операций и отдельно прикладывают рассчёты сколько это примерно займёт на том желез что доступно. И чем это отличается от > радельной оценки практического и теоритического времени взлома которой нет? > Теоритический и практический - тоже ваши термины Пожалуй. Хотя по-моему я видел "academic break" или что-то такое в литературе. Впрочем, особого какого-то потаенного смысла я за этими словами не прятал, чтобы их величать терминами: с точки зрения теории любое ускорение лучше брутфорса - взлом. Даже если аппаратно его фиг осуществишь. С точки зрения практики же не всякий теоретический взлом ведёт к проблемам. А в жизни мы видим, как тут в треде в соседних ветках даже sha1 защищают, что всё и так хорошо и эти все коллизии никому не угрожают. И я даже не буду особо спорить, что на большую часть локалхостов почти наверное никто через взлом хэш-функции лезть не будет (дыр куда больше в коде и не только)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #52

50. Сообщение от Ivan_83 (ok), 29-Сен-26, 17:49	+1 +/–
> Если намного - то тогда да, это уже взлом и для практиков (было в 90-е пару алгоритмов, которые чуть ли не закрытым текстам ломались, FEAL кажись) Так вы даже не теоретег, а так, сочувствующий который что то слышал. Того что ломалось и ломается - полным полно, часто оно специально сделано на уровне скремблера: хреновина чтобы только скучающих любопытных отпугнуть, кому лень 5 минут потратить на взлом. И у сотовиков всё дырявое и в радио (тетра) - для всех кроме белых людей идёт очень ослабленная крипта. И много где ещё или не AES а фигня какая то или AES у которого ключ 8-32 бита. В инете тоже всех натянули на 25519 и чачу не спроста, и DH у всех одинаковый и ещё много интересных особенностей которых хватит на пару листов А4 и о которых мало кто знает и помнит. RSA пока единственное про что не было даже теоритических слухов о прямом взломе, зато на практике периодически находятся нюансы как надо правильно использовать. NIST отозвало рекомендацию уходить с RSA на ECDSA для своих госов, мол чего два раза вставать и деньги тратить, давайте ещё на RSA посидим а потом может быть перейдём на постквантовые. Но есть и другая трактовка мотивации этой рекомендации.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #53, #107

51. Сообщение от Ivan_83 (ok), 29-Сен-26, 18:02	+/–
Уху. Она в том, что тема стоит сильно дороже чем тот объём кеша который ты сможешь на практике обналить с битков. И ищущие такого умника владельцы битков будут самой маленькой проблемой при таком исходе :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #58, #104

52. Сообщение от Ivan_83 (ok), 29-Сен-26, 18:05	+/–
Я могу и md5 защищать, в том же RADIUS она в HMAC завёрнута и полностью секурна - всмысле никто не показал успешных взломов. И sha1 тоже много где вполне безопасно. Просто взлом на столе это одно, а на практике другое, и часто оно на практике не так как на столе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #54

53. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 18:08	+/–
> Так вы даже не теоретег, а так, сочувствующий который что то слышал. Странные наезды вас не красят. Даже удивлен это от вас слышать. Не знаю, что вас так триггернуло Дырявой криптографии много. Но я читал в своё время только про классику: DES, AES, RSA, эллиптика. > RSA пока единственное про что не было даже теоритических слухов о прямом взломе Скажем так, прямого взлома не было. Но RSA на удивление сложно готовить. Есть атаки и на плохие ключи зашифрования, и на неудачные модули, и много что ещё. Что касается конспирологии про эллиптику, рекомендации NIST и прочее - тут ничего не буду комментировать. Доказательств злого умысла нет, закладки в крупных шифрах вроде AES или нынешних эллиптических стандартов я не припомню, но от NSA можно ждать всякого. Они на такое способны. Впрочем, нет и гарантий, что в недрах NSA математики не взломали RSA. Хоть вероятность этого и ниже
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #62

54. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 18:10	+/–
> Просто взлом на столе это одно, а на практике другое, и часто оно на практике не так как на столе. Вполне разделяю ваше мнение
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

55. Сообщение от Аноним (30), 29-Сен-26, 18:20	+/–
> Это не будет эквивалентно одноразовому блокноту. В одноразовом блокноте ключ равен длине сообщения, и при этом совершенно случаен и независим. Разница в размере блока, блок в 1 бит от блока 128 бит ничем не отличается, и то и то блок. А когда говорим про независимость надо уточнять, независимость от чего? Если генерируемые генератором секретные ключи зависят от единого секретного ключа, то в чем проблема? Зависимость некоторой секретной части от другой секретной части шифра - допустима, и поэтому получается псевдослучайный генератор, потому-что зависим от мастер ключа и имеем детерминизм в виде алгоритма реализующего этот генератор. Внутреннее состояние тоже считается секретным, а вот выхлоп этого генератора в виде того же секретного ключа уже должен быть независим то прочих выхлопов этого же генератора, то есть выходы генератора должны быть максимально непредсказуемы, и независимость тут играет большую роль. Полная независимость, то есть случайность нельзя определить в терминах детерминизма. Иначе говоря, случайность это иллюзия. И понятие независимости тут надо уточнять и доказывать, что от чего конкретно не зависит, а если зависит то какие последствия. > Идеальный блочный шифр - это случайная перестановка, всё-таки. Бесконечный поток абсолютно случайных данных он не выдаст Тут конечная комбинаторика, и бесконечность понятие мутное, 2^256 для смертного человека равносильна бесконечности, а теперь представьте генератор в виде блочного шифра имеющий 2^256 условно блоков, которые можно (2^256)! способами сконкатенировать в последовательную цепочку блоков. Возьмите калькулятор и посчитайте, какой объем данных вы зашифруете этим пространством ключей. > Но в жизни, конечно, и идеального блочного шифра нет, есть, это обычное отображение открытого текста в шифротекст, представьте блок из 8 битов. Это 2^8 отображений вида открытый текст (M) -> шифротекст (C). Представьте это в виде обычной карточки (card, map, mapping): ----------------------- Card: N M:          C: 00000000 -> 00000000 00000001 -> 00000001 00000010 -> 00000010 ..... ----------------------- Одна карточка соответствует одному фиксированному ключу, ключом здесь является номер карточки. И таких карточек (2^8)! штук, то есть все возможные перестановки отображений M -> C. Число (2^8)! в двоичных битах равно порядка 1684 бита. Отсюда это фактически ваш размер ключа (номер карточки) для 8 битного блока данных. В случайном порядке  пронумеровали карточки и можем зашифровать (2^8)! байт, используя одну карточку один раз. Вот вам и одноразовый блочный блокнот. Но проблема в другом, получается взрывной рост при увеличении размера блока и заранее сгенерить все карточки не получится. Вот поэтому необходимо найти алгоритм, который гарантирует такую структуру.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #71

56. Сообщение от Аноним (30), 29-Сен-26, 18:25	–1 +/–
> Ну кроме шифра Шеннона Этот шифр назван в честь Вернама! Не благодари. Нейрослоупоку не понять видать!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

57. Сообщение от Аноним (30), 29-Сен-26, 18:27	+/–
> Для идеального блочного шифра задача ставится так, что он должен решаться только полным перебором Ошибаетесь, идеальный не взламывается полным перебором и даже всякими квантовыми компьютерами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #63

58. Сообщение от Аноним (41), 29-Сен-26, 18:40	+/–
Стоит настолько сильно дороже, что ни при 100% эффективности обнала, ни при даже 1000% не хватит. Так что не виляй, просто признай, что сморозил не подумав для плюсиков и на том разойдёмся.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #61

59. Сообщение от Аноним (59), 29-Сен-26, 19:28	+1 +/–
Ох как наш ванька Шнайера уделал!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #109

60. Сообщение от Аноним (60), 29-Сен-26, 19:50	+1 +/–
так, стало быть, рутованые прошивки переподписать можно будет..
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #65, #112

61. Сообщение от Ivan_83 (ok), 29-Сен-26, 20:14	+/–
Вы не поняли. Даже при 1 центе за "взлом" у вас очень быстро начнутся другие проблемы. Самое банальное биток обнулится как только станет понятно что пошли такие дела. В итоге у вас будет куча врагов с ресурсами, 0 друзей и около 0 денег.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #117

62. Сообщение от Ivan_83 (ok), 29-Сен-26, 20:16	+/–
Да это не наезд и не оскорбление, скорее констатация факта :) Им не нужно ломать RSA напрямую, достаточно чтобы везде он был имплементирован с небольшими деффектами :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #67

63. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 20:19	+/–
Одноразовый блокнот (ака шифр Вернама) - да, не взламывается брутфорсом, если есть только шифротекст (при соблюдении всех условий использования). Но я говорю не про него, а про "идеальный блочный шифр" - это другая конструкция. Вы, кажется, даже сами привели в соседней ветке пример её построения для 8-битного блока. Но он не эквивалентен одноразовому блокноту
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #66

64. Сообщение от пох.. (?), 29-Сен-26, 20:20	+/–
> Это ты намекаешь что нынче требования дописали Угу, и со старыми клиентами к модной убунте похоже вообще уже не подходи. То ли оверрайд отключен при сборке, то ли его уже просто нет в коде. > Всмысле замена sha на sha2 ни чем не плоха. то есть silent disconnect без указания причины в штатных логах на любой стороне тебе неплох? Ну ок. А я пожалуй обойдусь без этого улучшизма. > А если ты про возвращение DSA - можно было просто взять или старую версию ту в которой remote root через "roaming" (так и не выяснено чье это было не-ыы-галлюцинирование) или в которой local на несколько лет позже? Если уж брать какую-то старую версию, то тогда уж ssh2 оригинал. И дописывать все то недостающее что понапридумывали за 25 лет. Довольно таки немало. Но у меня пока есть куда тратить время и токены и без того. > Кстати, ты же уже сгенерировал свой DH файл для вебсервера и прочих штук где TLS > используется?) он не используется (нет таких клиентов в живой природе, nginx кажется в недавнем прошлом вообще выпилил анонс этих протоколов по умолчанию, никто и не чихнул). Для почтового сервера - да.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #70

65. Сообщение от пох.. (?), 29-Сен-26, 20:27	+/–
> так, стало быть, рутованые прошивки переподписать можно будет.. можно будет. Через 1380 лет. Но если договоришься с nsa, то побыстрее. (в прошивки я верю, там паддинга не будет)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #78

66. Сообщение от Аноним (30), 29-Сен-26, 20:28	+/–
> Вы, кажется, даже сами привели в соседней ветке пример её построения > для 8-битного блока. Но он не эквивалентен одноразовому блокноту это ровно тоже самое, я один раз использую карточку для одного блока открытого текста размером в 8 бит. В шифре Вернама - этот размер блока равен 1 биту :) Механизм простой, ключ есть просто колода этих карточек - то есть блокнот с листами. И в обоих случаях карта или лист блокнота после использования уничтожается (не используется повторно)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #69

67. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 20:28	+/–
> Им не нужно ломать RSA напрямую, достаточно чтобы везде он был имплементирован > с небольшими деффектами :) Это правда. С учётом дыр в софте часто не нужно и дыр в самих алгоритмах. Что там за баг недавно в микротике был? Там кажется вообще не проверялся ключ? > Да это не наезд и не оскорбление, скорее констатация факта :) Ну вот вы свою так называемую "констатацию факта" совсем невпопад вставили, как же ее тогда интерпретировать иначе? При том, что вы не высказываете возражений по технической части, равно как и я мало возражаю вашим ответам в практической части (потому что во многом согласен)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

68. Сообщение от ы (?), 29-Сен-26, 20:38    Скрыто ботом-модератором	+/–
инженеры, (которые спецы во всём), ваш выход! там всё просто, по википедии научитесь. =)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

69. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 20:55	+/–
Если использовать так, как вы говорите - случайно и без повторов, то да, вы получаете одноразовый блокнот. Но я вел речь не про это, а про конкретную абстракцию "идеального блочного шифра", в котором ключ имеет ограниченную битность, и используется для шифрования текста длиннее его самого. Это идеализация того, что было бы, если бы AES был для каждого ключа случайной перестановкой. И тут никакой perfect secrecy, если этот один ключ используется для большого текста, не будет. Независимо от режима шифра. Если ключ меньше размера открытого текста, то тут как ни крути, с точки зрения теории не выйдет
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66 Ответы: #73

70. Сообщение от Ivan_83 (ok), 29-Сен-26, 21:05	+1 +/–
На сервере делаешь: HostKeyAlgorithms +ssh-rsa PubkeyAcceptedKeyTypes +ssh-rsa рестартишь и должно пущать со старых то. В новом клиенте тоже надо включать их так же. > то есть silent disconnect без указания причины в штатных логах на любой стороне тебе неплох? Клиент рвёт соединение сам, сервер не в курсе почему. Клиент при включённой отладке пишет что не нашлось общего алгоритма. Насколько помню так. > то тогда уж ssh2 оригинал. Ой зря :) У меня есть этот оригинал, по состоянию кодовой базы на -10 лет примерно, прям репа. Поверь мне, лучше сиди на опенссш или свой пиши или libssh (любой из двух) возьми, только не оригинал. > он не используется (нет таких клиентов в живой природе, nginx кажется в недавнем прошлом вообще выпилил анонс этих протоколов по умолчанию, никто и не чихнул). ssl_dhparam            /usr/local/etc/nginx/secure/dh4096.pem; # openssl dhparam -out /root/ssl/dh4096.pem 4096 Это же DHE ciphers, openssl ciphers -v "DHE", их там куча, включая чисто под 1.3 тлс. Видимо пора тебе глянуть и освежить знания :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #76

71. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 21:10	+/–
>  А когда говорим про независимость надо уточнять, независимость от чего? Тут вы правы, независимость действительно нужно уточнить, что я изначально не стал делать ради краткости. Ключ для одноразового блокнота должен удовлетворять условиям: 1. быть длины сообщения 2. использоваться строго один раз 3. значение каждого бита ключа - равномерно распределенная случайная величина 4. значение каждого бита ключа - случайная величина, независимая от любых других битов ключа Если секретное внутреннее состояние конечно, то генератор никак не сможет выдать последовательность, в которой все биты независимы друг от друга: рано или поздно последовательность зациклиться, и тогда N+1 бит будет равен N-му, т.е. зависим от него. > 2^256 для смертного человека равносильна бесконечности А для математики - не равносильно. С тем, что практически это всё очень трудно взломать для того же AES (который не идеальный блочный шифр) я не спорил > есть, это обычное отображение открытого текста в шифротекст Вы дальше приводите примерно ту же конструкцию идеального блочного шифра, что и я в соседней ветке, только я её формулировал через оракула, но в целом да, физически это возможно. > Вот вам и одноразовый блочный блокнот. Но вот опять же, вы строите всё тот же одноразовый блокнот. А я говорю об "идеальном блочном шифре", как об идеализации того же AES. И там своего ключа на каждый блок открытого текста нет. Я о другой криптографической модели говорю вообще. Силу одноразового блокнота я не оспаривал, но я и о нём речь веду. Ну и кстати, если вы используете каждую карточку только один раз... То не уверен, насколько это эквивалентно одноразовому блокноту
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #75

72. Сообщение от Джон Титор (ok), 29-Сен-26, 21:20	+/–
Ошибки других - хорошие учителя
Ответить | Правка | Наверх | Cообщить модератору

73. Сообщение от Аноним (30), 29-Сен-26, 21:32	+/–
> Но я вел речь не про это, а про конкретную абстракцию "идеального > блочного шифра", в котором ключ имеет ограниченную битность, и используется для > шифрования текста длиннее его самого. Это идеализация того, что было бы, > если бы AES был для каждого ключа случайной перестановкой. И тут > никакой perfect secrecy, если этот один ключ используется для большого текста, > не будет. Независимо от режима шифра. Если ключ меньше размера открытого > текста, то тут как ни крути, с точки зрения теории не > выйдет Так, начну с того, что понятие "блочности, поточности" того или иного шифра никак не связано с понятием perfect secrecy и тем более длины ключа, длина блока данных и ключа могут быть не равны. То, что вы говорите про длину ключа собственно, """ "идеального блочного шифра", в котором ключ имеет ограниченную битность """ это следствие вытекающее из определения perfect secrecy. То есть, для соблюдения perfect secrecy необходимо иметь ключ больше или равный длине сообщения. И это как раз таки доказал Шеннон. И выше приведенном мною примере для 8-битного блока, ключ должен быть размером порядка 1684 бита и то если мы за ключ принимаем номер карточки. И получается, что мы на 8 битов открытого текста имеем ключ длиной 1684 бита и это НЕИЗБЕЖНО. А если я уменьшу размер ключа (сузив пространство ключей), то рано или поздно оно у меня исчерпается и пойдет повтор, что фатально для схемы одноразового блокнота. Все выше указанные рассуждение завязаны на одноразовом блокноте, забудем про него и вернемся к некоторому блочному шифру аля AES. Основная цель современной криптологии это добиться perfect secrecy при меньшем или равном блоку данных размере ключа. Возможно ли это? - НЕТ, именно это доказал Шеннон!!! Существует ли функция при фиксированном входе (ключе) удовлетворяющая тем требованиям с карточками которые я описал выше в коментах? - думаю, НЕТ! А теперь на минутку представим AES с динамическим s-box, который генерируется, допустим в зависимости от секретного ключа (привет Шнайер), и увидим, что множество ключей 2^256 не покрывает 256! способов всех представлений s-box-ов. И это приводит к неизбежности увеличения ключа - 1684 бита.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #74

74. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 21:45	+/–
Я вижу, что вы много в целом верной теории знаете, да только вот я ее и не оспаривал > Основная цель современной криптологии это добиться perfect secrecy при меньшем или равном блоку данных размере ключа Нет, вы сами дальше говорите, что Шеннон доказал невозможность этого, так что это не цель современной криптологии. Приблизиться, насколько возможно, к perfect secrecy - пожалуй. Но и не только это. Одноразовый блокнот - perfect secrecy, зато уязвим к атакам с известным, а паче избранным открытым текстом. А современные блочные шифры стараются бороться и с этими атаками > 2^256 не покрывает 256! способов всех представлений s-box-ов Нет, ну если вы ещё и sboxы на каждый блок меняете... Но опять же, вы рассуждаете о попытках построить одноразовый блокнот или расширить ключ, что получить что-то наподобие одноразового блокнота. А я рассуждаю об "идеальном блочном шифре", который мы берём ключ, и этим одним ключом шифруем много блоков
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #77

75. Сообщение от Аноним (30), 29-Сен-26, 21:55	+/–
> А я говорю об "идеальном блочном шифре", как об идеализации того же AES. И там своего ключа на каждый блок открытого текста нет. Как нет? там же такая же биекция, отображение  M --F_k--> C где M это множество открытых текстов, C - множество шифротекстов, а F_k это биекция, функция отображения на фиксированном ключе. Чтобы эта схема обрела смысл идеальной, тогда она должна иметь все возможные отображения M -> C. А в случае с AES это не так, так как все возможное пространство ключей 2^256 не покрывают те же (2^128)! факториал отображений. > Я о другой криптографической модели говорю вообще. какой другой? ее нет этой другой. Все сводится к теоретическому M --F_k--> C. > Ну и кстати, если вы используете каждую карточку только один раз... То не уверен, насколько это эквивалентно одноразовому блокноту Лист из шифроблокнота я же вырываю и сжигаю после применения, чем это не то же самое если я из колоды карточек достою карточку, использую ее и сжигаю. В тут может быть не эквивалентного?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71 Ответы: #79

76. Сообщение от пох.. (?), 29-Сен-26, 21:59	+/–
> Клиент рвёт соединение сам, сервер не в курсе почему. В курсе. В серверном дебаг-выхлопе это видно. Но для этого надо прочитать дебаг на сервере на который ты не можешь зайти со своим немодным клиентом с его немодным sha1, еще и извратившись его включить не уронив себе доступ и не забив логи дерьмом. > Ой зря :) > У меня есть этот оригинал, по состоянию кодовой базы на -10 лет примерно, прям репа. оригиналу сильно больше 10. Вроде он кончился примерно в 2002м (2000 это ssh1, в 2004м уже был везде open) Он был написан руками, а не левой задней ногой, в этом в общем-то и смысл. Ну и объем той писанины по силам человеку, а не своре роботов или стае бибизянов. > или libssh (любой из двух) угу, примерно по remote root в месяц в обоих двух. Ну нахрен. > Это же DHE ciphers, openssl ciphers -v "DHE", их там куча, их там куча, но использоваться они никогда не будут. Потому что браузер выберет другие. Ну если только ты не собираешься все остальные вручную поотключать. А пока что вот, nginx молча перестал dhe использовать вообще - никто даже и не заметил. Поэтому генерить файлик имеет смысл либо для ssh, либо для dovecot какого-нибудь. Ну и для sendmail потому что никогда не угадаешь что там странное на той стороне.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #96, #113

77. Сообщение от Аноним (30), 29-Сен-26, 22:00	+/–
> А я рассуждаю об "идеальном блочном шифре", который мы берём ключ, и этим одним ключом шифруем много блоков В том то и дело, что вы не поняли, что то, что вы называете "идеальным блочным шифром", на самом деле есть тот самый одноразовый блокнот. Блочность тут ни о чем не говорит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74 Ответы: #80

78. Сообщение от Аноним (60), 29-Сен-26, 22:07	+/–
ради благого дела можно и что-нибудь помощнее коры дуба взять - быстрее будет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

79. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 22:19	+/–
> Как нет? там же такая же биекция, отображение  M --F_k--> C где M это множество открытых текстов, C - множество шифротекстов, а F_k это биекция, функция отображения на фиксированном ключе. У вас ключ F_k фиксированный на много блоков. В этом смысл блочного шифра - использовать один ключ на много блоков. Блочный шифр затем и нужен, что для одноразового блокнота нужны ключи длиной, равной сообщению. А передать такой ключ безопасно - смысл тогда в криптографии, передай просто всё сообщение безопасно. > какой другой? ее нет этой другой. Я вам уже много раз сказал - я говорю об идеальном блочном шифре. Специально ради вас даже проверил в архиве: Шнайер, Фергюссон, "Практическая криптография", глава 4, раздел 4.3. Так и называется, "идеальный блочный шифр". > Лист из шифроблокнота я же вырываю и сжигаю после применения, чем это не то же самое если я из колоды карточек достою карточку, использую ее и сжигаю. В тут может быть не эквивалентного? Вы каждый блок шифруете карточкой. По сути вы пытаетесь одноразовый блокнот построить над алфавитом 8-битных блоков, с ключом в виде карточек. Но в таком случае, вы должны шифровать каждый блок случайной карточкой, и каждый блок независимо от другого. Если вы сжигаете карточку, значит для следующего блока у вас осталось только 256! - 1 карточек. Значит карточка, шифрующая следующий блок - уже зависит от предыдущей. Это всё равно, что если бы вы в шифре Вернама после 0 в ключе запрещали бы ставить второй 0.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75 Ответы: #89

80. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 22:21	+/–
Вы ходите по кругу. Нет, то, что я называю "идеальным блочным шифром" - вещь абсолютная иная, это не одноразовый блокнот. Повторяю ссылку из соседней ветки - Шнайер, Фергюссон, "Практическая криптография", глава 4, раздел 4.3. Так и называется, "идеальный блочный шифр". Больше к этому вопросу не возвращаюсь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77 Ответы: #91

81. Сообщение от Аноним (84), 29-Сен-26, 22:38	+/–
ничёсе, у них там 2,8к ядер в сандиего?
Ответить | Правка | Наверх | Cообщить модератору

82. Сообщение от Аноним (84), 29-Сен-26, 22:41	+/–
я понял, надо рса-8192 брать, а то анб не рекомендует
Ответить | Правка | Наверх | Cообщить модератору

83. Сообщение от penetrator (?), 29-Сен-26, 22:43	+/–
> Для 2048-разрядных ключей RSA сложность атаки оценивается в 290, что теоретически осуществимо крупными корпорациями или спецслужбами. поржал, даже если предположить, что RSA начнет вычислять вся техника мира и даст в секунду 10^18 операций, что уже бред, но допустим, то взлом одно кейса займет 39 лет отличная статья
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #86, #102, #105

84. Сообщение от Аноним (84), 29-Сен-26, 22:43	+/–
https://www.securitylab.ru/news/578050.php
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

85. Сообщение от localhostadmin (ok), 29-Сен-26, 22:43	+/–
а в чем проблема дырявых хэшей в гите? просто я не могу представить ни одного сценария, где подделка хэшей коммитов имела смысл. как будто если ты можешь подсунуть фейковый коммит с тем же хэшем, то ты имеешь доступ к репе, а значит бонально проще залить вирус в мастер под видом безобидного изменения, как jia tan
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

86. Сообщение от Аноним (84), 29-Сен-26, 22:50	–1 +/–
ты ведь не знаешь сколько лет это всё уже вычисляется, ведь так?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83

87. Сообщение от ASIC (ok), 29-Сен-26, 22:52	+/–
это просто ты еще не понял что те самы кривые это те же самы дискретные логарифмы которы в diffie hellman, которы еще легче ломать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

88. Сообщение от Аноним (84), 29-Сен-26, 22:56	+1 +/–
это те которые уже больше века валят отсюда, а мы потихоньку их нагоняем и защищать хотим?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

89. Сообщение от Аноним (30), 29-Сен-26, 23:00	+/–
> У вас ключ F_k фиксированный на много блоков. В этом смысл блочного шифра - использовать один ключ на много блоков. Ну так и с карточкой, в моем примере, на каждой карточке (а это есть фиксированный ключ) есть полное отображения всех M в C. Получается карточка K_n, выбираем M_i и смотрим C_i. И можно использовать эту же карточку для другого M_j, только противник не должен знать всего отображения. Со стороны может показаться что это приведет к проблеме аннигиляции ключа как с банальным XOR, нет не приведет, если от противника скрыто это отображение, и фактически (теоретически) ключем тут выступает не номер карточки, а сама карточка в целом, то есть полное отображение. Буквально это не одна функция шифрования, а множество разных функций шифрования. И нет разницы между множеством секретных ключей и множеством секретных отображений. > Я вам уже много раз сказал - я говорю об идеальном блочном шифре. Специально ради вас даже проверил в архиве: Шнайер, Фергюссон, "Практическая криптография", глава 4, раздел 4.3. Так и называется, "идеальный блочный шифр". """ 4.3 Идеальный блочный шифр Чтобы определить безопасность блочного шифра, необходимо вначале дать определение идеальному блочному шифру. Как должен выглядеть идеальный блочный шифр? Очевидно, это должна быть случайная перестановка вариантов открытого текста. Немного уточним: для каждого значения ключа блочный шифр должен представлять собой случайную перестановку вариантов открытого текста, причем перестановки для различных вариантов ключа должны выбираться независимо друг от друга. Как уже отмечалось, 128-битовый блочный шифр (одна перестановка 128-битовых значений) можно представить себе в виде большой таблицы соответствий, содержащей 2^128 элементов по 128 бит в каждом. В идеальном блочном шифре каждому значению ключа соответствует одна из таких таблиц, причем она выбирается случайным образом из набора всех возможных таблиц (т.е. всех возможных перестановок). С формальной точки зрения, данное определение идеального блочного шифра является неполным, поскольку оно не задает соответствия таблиц различным значениям ключей. С другой стороны, как только будет задано соответствие таблиц, идеальный блочный шифр станет фиксированным и больше не будет случайным. Чтобы формализовать это определение, мы не можем говорить об одном конкретном идеальном шифре. Мы должны рассмотреть идеальный шифр как равномерное вероятностное распределение на множестве всех возможных блочных шифров. Имея дело с идеальным блочным шифром, необходимо размышлять в терминах вероятностей. Это приводит в восторг математиков, однако существенно усложняет и без того непростые объяснения. Поэтому будем придерживаться неформальной, но в то же время более простой концепции случайно выбранного блочного шифра. """ Что из написанного в этой книге противоречит сказанному мной о идеальном блочном шифре? Там буквально, слово в слово сказано, то что я изложил в коментах и привел пример. > Вы каждый блок шифруете карточкой. По сути вы пытаетесь одноразовый блокнот построить над алфавитом 8-битных блоков, с ключом в виде карточек. Но в таком случае, вы должны шифровать каждый блок случайной карточкой, и каждый блок независимо от другого. Да, именно так и будет выглядеть ваш идеальный блочный шифр. > Если вы сжигаете карточку, значит для следующего блока у вас осталось только 256! - 1 карточек. Значит карточка, шифрующая следующий блок - уже зависит от предыдущей. Где эта зависимость? кто сказал что атакующий видит колоду и знает какая карточка за какой следует? Я случайным образом тасую колоду и копию колоды передаю собеседнику. Это тоже самое, что и шифро-блокнот одноразовый. > Это всё равно, что если бы вы в шифре Вернама после 0 в ключе запрещали бы ставить второй 0. В шифре Вернама нету никакого алгоритма принятия решения, там заранее все договорились, и эта договоренность есть главный секрет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79 Ответы: #90, #92

90. Сообщение от Аноним (30), 29-Сен-26, 23:04	+/–
> Получается карточка K_n, выбираем M_i и смотрим C_i. И можно использовать эту же карточку для другого M_j, только противник не должен знать всего отображения. Со стороны может показаться что это приведет к проблеме аннигиляции ключа как с банальным XOR, нет не приведет, если от противника скрыто это отображение Дополню мысль, именно на этом и играет AES, мы не можем построить все 2^128 отображений и поэтому трюк с аннигиляцией не проходит. А если бы у того же AES был бы меньший размер блока, то одним ключом шифровать разные блоки AES было бы так же фатальным как в случае с обычным XOR.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

91. Сообщение от Аноним (30), 29-Сен-26, 23:07	+/–
> Вы ходите по кругу. Нет, то, что я называю "идеальным блочным шифром" > - вещь абсолютная иная, это не одноразовый блокнот. Повторяю ссылку из > соседней ветки - Шнайер, Фергюссон, "Практическая криптография", глава 4, раздел 4.3. > Так и называется, "идеальный блочный шифр". Больше к этому вопросу не > возвращаюсь Если вы ссылаетесь на определение "идеального блочного шифра" данного в Шнайер, Фергюссон, "Практическая криптография", глава 4, раздел 4.3. """ 4.3 Идеальный блочный шифр Чтобы определить безопасность блочного шифра, необходимо вначале дать определение идеальному блочному шифру. Как должен выглядеть идеальный блочный шифр? Очевидно, это должна быть случайная перестановка вариантов открытого текста. Немного уточним: для каждого значения ключа блочный шифр должен представлять собой случайную перестановку вариантов открытого текста, причем перестановки для различных вариантов ключа должны выбираться независимо друг от друга. Как уже отмечалось, 128-битовый блочный шифр (одна перестановка 128-битовых значений) можно представить себе в виде большой таблицы соответствий, содержащей 2^128 элементов по 128 бит в каждом. В идеальном блочном шифре каждому значению ключа соответствует одна из таких таблиц, причем она выбирается случайным образом из набора всех возможных таблиц (т.е. всех возможных перестановок). С формальной точки зрения, данное определение идеального блочного шифра является неполным, поскольку оно не задает соответствия таблиц различным значениям ключей. С другой стороны, как только будет задано соответствие таблиц, идеальный блочный шифр станет фиксированным и больше не будет случайным. Чтобы формализовать это определение, мы не можем говорить об одном конкретном идеальном шифре. Мы должны рассмотреть идеальный шифр как равномерное вероятностное распределение на множестве всех возможных блочных шифров. Имея дело с идеальным блочным шифром, необходимо размышлять в терминах вероятностей. Это приводит в восторг математиков, однако существенно усложняет и без того непростые объяснения. Поэтому будем придерживаться неформальной, но в то же время более простой концепции случайно выбранного блочного шифра. """ Что выше сказанное мной противоречит этому определению? Как по мне, слово в слово буквально сказано  написано одно и тоже!!! Я ничего не придумал!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

92. Сообщение от Аноним10084 и 1008465039 (?), 29-Сен-26, 23:15	+/–
> Что из написанного в этой книге противоречит сказанному мной о идеальном блочном шифре? Там буквально, слово в слово сказано, то что я изложил в коментах и привел пример. Идеальный блочный шифр вы действительно описали примерно как в книге, что я отметил. Но вы постоянно пытаетесь его превратить в одноразовый блокнот, какими-то использованиями разных ключей для разных блоков, ещё что-то. Вот вы говорите > Ну так и с карточкой, в моем примере, на каждой карточке (а это есть фиксированный ключ) есть полное отображения всех M в C. Получается карточка K_n, выбираем M_i и смотрим C_i. И можно использовать эту же карточку для другого M_j, только противник не должен знать всего отображения. А я вам говорю - мы зафиксировали один конкретный ключ и шифруем им много блоков подряд. И тут уже никаким одноразовым блокнотом и не пахнет. А в криптографии теоретической мы считаем, что противник знает алгоритм полностью. Не знает он - только ключ. > Где эта зависимость? кто сказал что атакующий видит колоду и знает какая карточка за какой следует? Я случайным образом тасую колоду и копию колоды передаю собеседнику. Это тоже самое, что и шифро-блокнот одноразовый. Не то же самое, потому что в шифроблокноте у вас каждый символ ключа независим от других символов ключа. А в вашей колоде - зависит (у вас если на позиции А лежит карточка а, значит на других позициях карточки а нет). Ваш вариант, с учетом количества карточек, будет потоковым шифром с огромной длиной периода и хорошими свойствами (скорее всего), но эквивалентен одноразовому блокноту по определению он не будет из-за этих зависимостей. А что противник знает  или не знаю - какая тут для теории разница? Зависимость есть - всё. Вы всякий раз начинаете обсуждать либо одноразовый блокнот, либо шифр с огромной длиной ключа, который вы конструируете из идеального блочного шифра. А я всё время говорю про ту модель, где мы фиксируем один конкретный ключ и им шифруем. Вы же ходите по кругу и возвращаетесь постоянно к вашим построениям. Они и впрямь стимулируют к мыслям, вот мы с вами уже даже книгу вместе открыли и перечитали, но я говорил не об этом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89 Ответы: #93

93. Сообщение от Аноним (30), 30-Сен-26, 00:04	+/–
> Идеальный блочный шифр вы действительно описали примерно как в книге, что я отметил. Но вы постоянно пытаетесь его превратить в одноразовый блокнот, какими-то использованиями разных ключей для разных блоков, ещё что-то. Не я пытаюсь превратить идеальный блочный шифр в одноразовый шифро-блокнот, он таков и есть по определению, которое дано в книге. И идеальность заключена именно в том, что каждый блок в таком шифре должен быть зашифрован ровно одним ключом и ровно один раз!!! Это и есть та самая perfect secrecy! Далее в разделе: """ 4.4 Определение безопасности блочного шифра В литературе дано множество определений безопасности блочного шифра (например, [52]). Большинство этих определений сформулированы с математической точки зрения, и ни одно из них не отражает аспектов, которые затронутых в предыдущих разделах. Мы же предпочитаем простое, хотя и неформальное определение. Определение 1: Безопасный блочный шифр — это шифр, для которого не существует атак. Небольшая тавтология, не так ли? Теперь необходимо определить, что такое атака на блочный шифр. Определение 2: Атака на блочный шифр — это нетривиальный метод обнаружения РАЗЛИЧИЯ между блочным шифром и идеальным блочным шифром. Что же подразумевается под обнаружением такого различия? Речь идет о сравнении некоторого блочного шифра X с идеальным блочным шифром, имеющим такой же размер блока и такой же размер ключа. Различитель — это алгоритм, которому свойственна функция “черного ящика”, вычисляющая для заданного открытого текста блочный шифр X либо идеальный блочный шифр. (Функция “черного ящика” — это функция, которую можно оценить, однако точная внутренняя структура которой неизвестна.) """ Что из написано тут противоречит всему тому, что я сказал выше? Вот с чего диалог начинался: Вы: Потому что идеальный алгоритм должен ломаться не быстрее брутфорса ключа (если речь про блочный шифр). И если шифр ломается быстрее другим способом - значит до идеального он не дотягивает Я: Ошибка, идеальный шифр не ломается даже брутфорсом - свойство неотличимости!!! Одноразовый блокнот (случайная перестановка) - идеальные шифры. Вы: Речь шла про идеальный блочный шифр, это немного другой зверь Я: это ровно все тот же зверь. Неотличимость как раз таки главное свойство блочного шифра. -------------------------------- > А в вашей колоде - зависит (у вас если на позиции А лежит карточка а, значит на других позициях карточки а нет). Порядок карт в колоде атакующий не знает!!! Это не часть алгоритма, это часть ключа. Толку от шифроблокнота если его копия есть у атакующего? > А я всё время говорю про ту модель, где мы фиксируем один конкретный ключ и им шифруем. Ну я про нее же, просто надо понять, что считать ключом, в идеальном блочном шифре на примере с карточками ключом уже не номер карточки является, а вся колода карт, и фиксированный ключ тут это именно порядок следования этих карт, то есть случайная тасовка колоды. > Вы же ходите по кругу и возвращаетесь постоянно к вашим построениям. Они и впрямь стимулируют к мыслям, вот мы с вами уже даже книгу вместе открыли и перечитали, но я говорил не об этом. Я не хожу по кругу, я пытаюсь вам объяснить, что такое идеальный шифр, отдельное понятие блочного идеального шифра это просто выдумка Шнайера. Блочный идеальный шифр это и есть тот самый идеальный шифр по Шеннону, не более, не менее. Я это хочу донести до вас, именно об этом равенстве (эквивалетности) Шнайер и не говорит!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92 Ответы: #94

94. Сообщение от Аноним10084 и 1008465039 (?), 30-Сен-26, 00:26	+/–
Я согласен с вами в том, что **на уровне одного блока** perfect secrecy есть. Но если шифровать много блоков (а скорее даже больше данных, чем размер ключа) одним и тем же ключом (в чем и есть смысл блочного шифра) - нет. > Порядок карт в колоде атакующий не знает!!! Это не часть алгоритма, это часть ключа. Толку от шифроблокнота если его копия есть у атакующего? Да, это имеет смысл. Считаем это ключом. Вы получили поточный шифр с невероятно длинным ключом. Но является ли он одноразовым блокнотом? Нет, потому что ваш ключ имеет зависимости между его элементами. > Я не хожу по кругу, я пытаюсь вам объяснить, что такое идеальный шифр, отдельное понятие блочного идеального шифра это просто выдумка Шнайера. Тут сразу две проблемы. Во-первых, вы так или иначе пытаетесь раз за разом построить одноразовый блокнот. А я уже в который раз говорю - зафиксировали один ключ, им шифруем много блоков, всё - perfect secrecy нет как только зашифровали больше длины ключа. Во-вторых, что касается выдумки - мы говорим о математике и математических определениях. Вот ввел он такое определение - я в рамках него (и то, насколько помнил, я ведь открыл книгу только уже в споре с вами) и говорил. Если определение непротиворечиво - мы можем им пользоваться. С доказанными теоремами, теми же Шеннона, никто не спорит. Обсуждать же шифроблокнот я больше не хочу, я уже объяснил, что обсуждал и обсуждаю идеализированный блочный шифр с ограниченной длинной ключа даже (то есть уже получается скорее случайно выбранный шифр в терминах книги, или даже его ограничение на какие-то ключи). Если вы продолжите повторяться и сводить всё к шифроблокноту - вынужден буду, к сожалению, закончить нашу с вами беседу
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93 Ответы: #95

95. Сообщение от Аноним (30), 30-Сен-26, 01:11	+/–
> Вы получили поточный шифр с невероятно длинным ключом. Но является ли он одноразовым блокнотом? Нет, потому что ваш ключ имеет зависимости между его элементами. нет это не поточный шифр, это все тот же блочный 8-битовый :) Просто длина ключа уже равна не 1684 бит, а все 1684^2 битов. А вот где зависимость я не понял, и не понял что  значит "между его элементами"? > Тут сразу две проблемы. Во-первых, вы так или иначе пытаетесь раз за разом построить одноразовый блокнот. Так идеальный блочный шифр и есть по определению одноразовый блокнот, просто в книжке Шнайера об этом не сказано явно :) > А я уже в который раз говорю - зафиксировали один ключ, им шифруем много блоков, всё - perfect secrecy нет как только зашифровали больше длины ключа. Ну вот ваш шифр перестал быть идеальным БЛОЧНЫМ шифром. Но в тоже время тут зависит от определения понятия ключа, что считать ключом. Выше я привел два примера, где ключом является номер карточки, и где ключом является порядок карт во всей колоде. > Во-вторых, что касается выдумки - мы говорим о математике и математических определениях. Вот ввел он такое определение - я в рамках него (и то, насколько помнил, я ведь открыл книгу только уже в споре с вами) и говорил. Обычно с этого и начинают, мы должны сначала согласиться с данными определениями потом только делать какие-то утверждения. И мои определения ровно такие же как даны в книге, с одной лишь разницей, Шнайер не утверждает о том, что идеальный блочный шифр эквивалентен шифро-блокноту, а я вот утверждаю! > Если определение непротиворечиво - мы можем им пользоваться. Определению может противоречить либо утверждение, либо другое определение. > Обсуждать же шифроблокнот я больше не хочу, я уже объяснил, что обсуждал и обсуждаю идеализированный блочный шифр Ваше это утверждение говорит о том, что идеальный блочный шифр не эквивалентен одноразовому шифро-блокноту. Вот именно с этим утверждением я и не согласен. Потому-что даже данное в книге Шнайера определение идеального блочного шифра соответствует одноразовому шифро-блокноту, только без конкретного определения, что есть ключ!!! Вот что до вас не доходит. Вы думаете раз фиксируете ключ, то это уже не шифро-блокнот. Порядок в той же колоде карт - фиксирован если принять его за ключ. Просто размер блока равен в таком случае 8 битам, а ключ - 1684^2, то есть большой. > Если вы продолжите повторяться и сводить всё к шифроблокноту - вынужден буду, к сожалению, закончить нашу с вами беседу ок, я не против.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #94

96. Сообщение от Ivan_83 (ok), 30-Сен-26, 02:16	+/–
> оригиналу сильно больше 10. Не совсем: речь про не публично доступное. Они отдали в опенсорц в начале 200х и продолжили пилить своё коммерческое и пилят до сих пор. Если OpenSSH не нравится - то это совсем не понравится, я гарантирую. > их там куча, но использоваться они никогда не будут. Потому что браузер выберет другие. Ну если > только ты не собираешься все остальные вручную поотключать. А пока что вот, nginx молча перестал > dhe использовать вообще - никто даже и не заметил. Не факт что это дефолты зашитые в nginx а не в OpenSSL или какое там у вас. Вон из LibreSSL выкинули многое типа старое. И если ручками включить нужное то оно и будет работать, не зависимо от того что там клиент хочет. А до того гугл перестал кривые кроме p256 поддерживать в ECDH %)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #108

97. Сообщение от Норм (?), 30-Сен-26, 02:27	+/–
Методы атаки когда зловмышленик может заставить систему владеющую ключем подписать или зашифровать произвольную фигню известны и существуют почти для любой криптографии. Вот только если вы систему можете заставить делать фигню, вам шифровпние уже не очень то нужно взламывать. Это все упраждения для публикации на тему забавной математики. Ну там аспиранты играются. С постквантовой криптографией странная тема, на практике не продемонстрированно ни одного случая в котором квантовый компьютер решает хоть какую-то задачу быстрее обычного. Пока гранты на эту туфту шли из всех холодильников постквант шел. Типо наши компьютеры настолько хороши что скоро аэай заменит всех людей. А не, это другое.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #116

98. Сообщение от Аноним (98), 30-Сен-26, 04:27	+1 +/–
про 'британских' ученых изобретших сверхскоростной метод "cp private.key hack.key" - уже рассказывали?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #100

99. Сообщение от timur.davletshin (ok), 30-Сен-26, 07:49	+1 +/–
>> Ты это Линусу расскажи. > ну бросился же он (во всяком случае - одобрил) следом за белками-истеричками > переделывать хэши в гите. Линус до сих пор с неприлично маленьким ключом?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

100. Сообщение от OpenEcho (?), 30-Сен-26, 13:06	+/–
> про 'британских' ученых изобретших сверхскоростной метод "cp private.key hack.key" - уже рассказывали? И как они там решили проблему с зашифрованным ключом с ssh-keygen -Z aes256-gcm@openssh.com ...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #98

101. Сообщение от Аноним (-), 02-Окт-26, 15:10    Скрыто ботом-модератором	+/–
>  А ты попробуй их обналить. Присылай мне, я справлюсь :).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

102. Сообщение от Аноним (-), 02-Окт-26, 15:12	+/–
> что RSA начнет вычислять вся техника мира и даст в секунду 10^18 операций, что уже бред Несколько лет назад это же говорили про SHA-256 и биткоины. С тех пор сложность взлетела экспоненциально как впрочем и стоимость монетки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83

103. Сообщение от Аноним (-), 02-Окт-26, 15:14	–1 +/–
> Когда там наши математики создадут суверенный PQ алгоритм? А то уже подгорает. Вам только суеверный по статусу положен. Брякнулся в пол, помахал кадилом, произнес "чур меня, чур!" и сделал жест характерный. И выбросил нафиг эти компьютеры, уйдя жить в монастырь конечно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

104. Сообщение от Аноним (-), 02-Окт-26, 15:17	+/–
> Она в том, что тема стоит сильно дороже чем тот объём кеша который ты > сможешь на практике обналить с битков. Обналить можно хоть черта лысого. И кстати "серые" рынки мелочью не любят оперировать - риски должны приносить куш который рисков стоит и покрывает издержки. И на вот эти сколько там процентов они и живут. В отличие от тебя, лабуха, с твоим RSA и вджобом с 9 до 17 каждый день.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

105. Сообщение от Аноним (-), 02-Окт-26, 16:26	+/–
>> Для 2048-разрядных ключей RSA сложность атаки оценивается в 290, что теоретически осуществимо крупными корпорациями или спецслужбами. > поржал, даже если предположить, что RSA начнет вычислять вся техника мира и > даст в секунду 10^18 операций, что уже бред, но допустим, то > взлом одно кейса займет 39 лет > отличная статья С low exponent тоже - ржали. Когда куча всяких hi-secure систем посыпались как горох. Никто не сказал видите ли имплементерам что это - плохо. Они и юзали.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83

106. Сообщение от Аноним (-), 02-Окт-26, 16:29	+/–
>> И идеальной секретности тут достигнуть не получится. > Теоретически можно, если для каждого блока генерируется свой ключ, а мастер ключ > инициализирует тот самый генератор. Еще немного - и вы salsa/chacha переизобретете. Правда, есть нюансы. Но да, из блочного шифра и прочих salsa/chacha можно сделать - PRNG. И он даже ничем таким не плох будет - кроме того что в цать раз тормознее более лайтовых конструкций.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

107. Сообщение от Аноним (-), 02-Окт-26, 16:43	+/–
> В инете тоже всех натянули на 25519 и чачу не спроста, ...а потому что считать это ваше RSA-8192 мегакорпов, видите ли, жаба за ИХ счет - задушила! Когда у них там суперсервер с легионом клиентов и он занят обсчетом хендшейка вместо чего-то полезного - корп напрягаться изволит: за железо уплачено, но оно 1) Ничего полезного не делает. 2) Злонамеренная ремота может сильно грузить проц без усилий ("усиление атаки"). > и DH у всех одинаковый и ещё много интересных особенностей которых хватит > на пару листов А4 и о которых мало кто знает и помнит. У RSA этих особенностей - на дюжину чач с 25519 хватит. И слабые ключи, и low exponent факапы, и еще много всяких приколов на которых можно налететь при имплементации. Недавно, вот, микротик - налетел. Зато назло дедушке DJB отморозили уши :D. А в результате: проц грели - сильнее, а системы - поломали. Идиотское комбо. А, да, надо юзать чужие огромные либы - аудит которых конечно вы сами сделаете аж два раза с тем то объемом кода. Что там все честно, и вообще, не ACKнули "улучшение" как в Debian с openssl, когда все ключи которые оно может изобразить уместились в 6 меговый файлик. И тут атакерам карта как поперла, как поперла! > RSA пока единственное про что не было даже теоритических слухов о прямом > взломе, зато на практике периодически находятся нюансы как надо правильно использовать. Вы там с бабками на лавочке слухи и сплетни обсуждаете? Криптографы фиговы. > NIST отозвало рекомендацию уходить с RSA на ECDSA для своих госов, NIST с своими кривыми зашкварился жесточайше на DualEC DRBG... с тех пор и их кривым веры нет. Ну и вот кто будет юзать их ECDSA после этого? Но они так то и DES стандартизировали - кушайте наздоровье. С всем его 56 бит ключом. Хотя можете его даже тройным сделать. Не то чтоб это работать не будет - но есть нюансы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

108. Сообщение от Аноним (-), 02-Окт-26, 16:46	+/–
> Вон из LibreSSL выкинули многое типа старое. > И если ручками включить нужное то оно и будет работать, не зависимо > от того что там клиент хочет. Потому что внезапно - можно атаковать протоколы на Downgrade - пропатчив хендшейк со стороны MITM так чтобы поюзался несекурный диалект алгоритмов, внезапно. Крепкость цепи равна крепкости самого слабого звена.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #96

109. Сообщение от Аноним (-), 02-Окт-26, 16:47    Скрыто ботом-модератором	+/–
> Ох как наш ванька Шнайера уделал! Не зря у россиян в сказках у ивана прозвище фигурирует характерное. Ой не зря.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

110. Сообщение от Аноним (-), 02-Окт-26, 16:49	+/–
> Ошибка, идеальный шифр не ломается даже брутфорсом - свойство неотличимости!!! Одноразовый > блокнот (случайная перестановка) - идеальные шифры. Ну ладно, круито, я прислал тебе кучу рандома. И ты его расшифровал своим ключом получив что-то. Зальешь это как фирмвар апдейт теперь? Ведь что может пойти не так в этой схеме :). Ах, неотличимость может и назначение подставить?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

111. Сообщение от Аноним (-), 02-Окт-26, 16:53	+/–
> Ну удачи даже с 8192 которые даже гугол у себя в хроме > забанить не решился, а потом и обратно разбанил 16384. Он у себя на серверах главное забанит - чтоб вы им не могли серваки грузить. А за СВОИ - считайте хоть 131072 наздоровье, кому жалко то. Просто этот банкет будете оплачивать ВЫ, вашим клиентом и вашими серверами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

112. Сообщение от Аноним (-), 02-Окт-26, 16:54	+/–
> так, стало быть, рутованые прошивки переподписать можно будет.. Да уж давно можно у половины девайсов. Куча лабухов с RSA налетели ничем не хуже мокротика. Да и этот тоже - вот - налетел. Безопастность имени ивана...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

113. Сообщение от Аноним (-), 02-Окт-26, 19:14	+/–
> дебаг на сервере на который ты не можешь зайти со своим > немодным клиентом с его немодным sha1, еще и извратившись его включить > не уронив себе доступ и не забив логи дерьмом. А зачем все это? У сэра особо модный кнопочный телефон Nokia на симбиане с которого ему тем putty.exe ходить хочется? Или что это за клиенты такие? А в целом линк состоит из 2 сторон. Если вторая не хочет видеть твои древности - ERROR: you lose! Можешь до упора IPX/SPX сватать вместо TCP/IP, а толку. И с остальным так же.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

114. Сообщение от Аноним (-), 02-Окт-26, 19:18	+/–
> Так и запишем - обновлять RSA ключ, не реже одного раза в > пять месяцев С учетом роста мощности компьютеров и апгрейдом техники атак скоро 5 месяцев станут 2, потом 1, потом парой недель... и вот у вас уже ежедневный ритуал по утрам. А потом и ежечасно, чего теряться то...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

115. Сообщение от Ckotctvo (?), 04-Окт-26, 18:46	+/–
На wasm.io был тред про безопасность TEA в 2006м году. Куда пришел Sean O'Neil и показал что шифр взломан. И даже на Вики залил описание способа. Так с Вики это описание вырезали с мясом, даже не через откат правки - можно прям щас посмотреть историю страницы. Я сам видел ее еще когда шло обсуждение. В 2019м описание дыры в TEA было заново открыто. Это я привел как пример того что алгоритмы которые впаривают как безопасные на самом деле дырявые и инфу о дырах в них тщательно удаляют. В числе прочего у него был сайт с описанием метода анализа алгоритмов на стойкость. Чача салса20 там были в категории дырявых, аес в "корреляции есть но пока нет пробития". А это все основные алгоритмы интернета
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #119, #123

116. Сообщение от Ckotctvo (?), 04-Окт-26, 19:03	+/–
Так квантовая механика лженаука. Правильно их Шрёдингер шарлатанами называл. Придумывают 26мерные пространства чтоб туда упрятать бесконечные расходимости, бозоны Хиггса чтоб на них списать проблему бесконечной энергии электрона, а телепортацию чтоб спасти абсурдный постулат о неопределённости. Конечно IRL ничего не работает. Как там у микрософта его скамчип майорана поживает? Тото же. Точно также как термоядерным синтезом. 40 лет жрут гранты а воз и ныне там.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #97 Ответы: #118, #121

117. Сообщение от Аноним (117), 04-Окт-26, 19:18	+1 +/–
> Вы не поняли. > Даже при 1 центе за "взлом" у вас очень быстро начнутся другие > проблемы. > Самое банальное биток обнулится как только станет понятно что пошли такие дела. > В итоге у вас будет куча врагов с ресурсами, 0 друзей и > около 0 денег. Эм... понимаешь, пока он еще не обнулился - будет окно возможностей. Нормальное. Так что заканчивай отмазки лепить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

118. Сообщение от Аноним (-), 04-Окт-26, 19:25	+/–
> Точно также как термоядерным синтезом. 40 лет жрут гранты а воз и ныне там. Дык, понимаешь, в природе то это все требует - во какой звезды. У себя в гараже и даже на электростанции - ее такую не поставишь. От этого сильно подгорает. Пытаются - вот - придумать как делать то же самое, но - сииииииииильно компактнее. А это нифига не простая задача. На грани обмана законов мироздания. Не совсем обмана, а скорее "креативного использования", но - не суть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #116 Ответы: #120

119. Сообщение от Аноним10084 и 1008465039 (?), 04-Окт-26, 20:12	+/–
Ну тут да, алгоритмы не дырявы лишь постольку, поскольку мы о дырах не знаем. Шнайер в "Практической криптографии" высказывал лёгкие сомнения в AES, что "слишком уж подозрительна его простая алгебраическая структура", но ничего конкретного на него не было, конкурс он выиграл, а мнение Шнайера было очевидно предвзято, потому что он сам участвовал в конкурсе на AES со своим шифром Twofish (а победил, как известно, бельгийский Rijndael, который мы все знаем как просто AES). Сам Шнайер потому писал в духе - AES стандарт, так что выбирать его безопасно в том, что вам нечего будет предъявить
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #115

120. Сообщение от Норм (?), 04-Окт-26, 20:16	+/–
Креативного уровня слома закона сохранения энергии. Но гранты хорошо пилят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #118

121. Сообщение от Норм (?), 04-Окт-26, 20:19	+/–
Она описывает то что описывает как описывает. У любой модели есть ограничения. Квантовая механика из науки превращена в религию, да и большая часть науки нынче суть религиозные институты. Всякие странные "эффекты" квантовой физики суть особенность статистического мат аппарата.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #116

122. Сообщение от penetrator (?), 06-Окт-26, 05:22	+/–
> 4096 вроде уже лет 20 минимум, сразу как DES с 3DES вскрыли > 20 лет назад, так и рассчитали, угу. 8к для надёжности, но > неудобно из-за высокой цены. И то, оценка была меньше 50 лет > секретности. не, некоторые калечи даже DKIM записи для RSA-2048 не умещали у себя в TXT и варианты было 2 либо ждать пока пофиксят ли на эллиптических кривых в основном везде 2048 не 4096, может только сча начали переходит постепенно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

123. Сообщение от Криптониус (-), 12-Окт-26, 00:57	+/–
Я проверил википедию, там нет никаких крупных удалений и упоминаний взломов в 2006-м году в статье про Tiny Encryption Algorithm. И по сей день нету ничего серьёзного или упоминаний приведённого Вами имени. Вы точно имели ввиду его или что-то другое? >В 2019м описание дыры в TEA было заново открыто. Можно ссылочку? >В числе прочего у него был сайт с описанием метода анализа алгоритмов на стойкость. И вот на это тоже, будьте добры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #115

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема