[论文解读] A New Guess-and-Determine Attack on the A5/1

Jay Shah, Ayan Mahalanobis|arXiv (Cornell University)|Jan 1, 2012

Cryptographic Implementations and Security被引用 3

一句话总结

本文提出了一种针对GSM中使用的A5/1流密码的新颖猜測-確定攻擊，成功率达到100%，時間複雜度最低為2^40，平均為2^48.5，顯著低於暴力破解的2^64。該攻擊需要約5.65GB的儲存空間，代表了破解A5/1的密碼分析效率的重大提升。

ABSTRACT

Abstract. In Europe and North America, the most widely used stream cipher to ensure privacy and confidentiality of conversations in GSM mobile phones is the A5/1. In this paper, we present a new attack on the A5/1 stream cipher with a minimum time complexity of around 2 40 and an average complexity of 2 48.5, which is much less than the brute-force attack with a complexity of 2 64. The attack has a 100 % success rate and requires about 5.65GB storage. We provide a detailed description of our new attack along with its implementation and results. Keywords: A5/1, GSM, guess-and-determine attack, stream ciphers 1

研究动机与目标

• 開發一種更高效的密碼分析方法，用於破解GSM通信中使用的A5/1流密碼。
• 將現有A5/1攻擊的時間複雜度降低至暴力破解的2^64以下。
• 在最小化計算與儲存開銷的同時，實現100%的成功率。
• 提供一種實用且可實現的攻擊架構，優於以往的猜測-確定方法。

提出的方法

• 該攻擊採用針對A5/1密碼內部狀態的猜測-確定策略，利用其線性反饋移位寄存器（LFSRs）中的結構弱點。
• 結合狀態簡化技術與約束傳播，以限制需要猜測的可能初始狀態數量。
• 利用已知的密鑰流比特來有效驗證與修剪候選狀態，從而縮小搜尋空間。
• 通過優先猜測受約束最嚴格的LFSR比特來優化時間複雜度。
• 使用預計算的表格或數據結構儲存中間狀態資訊，需要約5.65GB的儲存空間。
• 實現設計確保100%的成功率，通過系統性地對已知密鑰流段驗證所有候選狀態。

实验结果

研究问题

• RQ1 猜測-確定攻擊能否在維持100%成功率的同時，將A5/1的時間複雜度顯著降低至2^64以下？
• RQ2 實用的猜測-確定方法在A5/1上可實現的最低時間複雜度是多少？
• RQ3 儲存需求與時間複雜度降低之間的關係如何？
• RQ4 能否通過優化的狀態簡化與約束傳播更有效地利用A5/1設計中的結構弱點？
• RQ5 是否可能實現一種高成功率的A5/1攻擊，其計算成本低於暴力破解？

主要发现

• 該攻擊的最低時間複雜度為2^40，平均時間複雜度為2^48.5，遠低於暴力破解的2^64，表現出顯著改進。
• 該攻擊的成功率為100%，確保所有目標密鑰流都能被確鑿恢復。
• 該方法需要約5.65GB的儲存空間，對實用密碼分析而言是可行的。
• 通過優化猜測的狀態比特順序與選擇，該攻擊優於以往的猜測-確定方法。
• 實現結果表明，A5/1易受利用其內部LFSR結構與密鑰流可預測性的密碼分析技術影響。
• 結果確認A5/1的安全裕度遠低於先前假設，特別是在先進密碼分析策略下。