H M
2012-04-23 10:16:56 UTC
La sécurité 128 bits n'est-elle pas suffisante pour la plupart des applications pratiques?
Parce qu'il est plus grand et sonne donc mieux.
Je pense que le minimum de 128 bits est décidé avec une grande marge de sécurité à l'esprit. peut-être que beaucoup de gens ne le savent pas et pensent donc que la différence entre 128 et 256 peut avoir une importance pour leurs besoins. s'il faut 500 ans avec une clé de 128 bits pour casser un texte chiffré et 1000000000 ans avec une clé de 256 bits, est-ce important?
http://www.daemonology.net/blog/2009-07-31-thoughts-on-AES.html
Je me souviens peut-être de cela incorrectement ... Si vous cryptez beaucoup de données, vous pouvez vous retrouver avec des sous-clés en double (la sous-clé est probablement le terme incorrect) s'il y a suffisamment de données. Ceci est fonctionnellement équivalent à la réutilisation d'un chiffrement à un pavé. Je crois que la taille de la clé, la taille du bloc et le mode de chiffrement étaient ce qui déterminait la quantité de données en trop.
plus complexe === plus sécurisé
Les progrès de l'informatique quantique réduiront de moitié la taille de clé effective des cryptosystèmes à clé symétrique dans un avenir prévisible. `2 ^ (128/2) = 2 ^ 64 =` peut être forcé brutalement sur un ordinateur quantique. `2 ^ (256/2) = 2 ^ 128 =` toujours sécurisé.
Veuillez me laisser un peu de temps pour répondre. 500 ans devraient suffire.
Il y a un article presque en double sur http://crypto.stackexchange.com/q/20/2373
Je me demande en ce qui concerne l'estimation de 500 ans, les progrès technologiques supposés en matière de vitesse de calcul sont-ils pris en considération?
@recursion.ninja avez-vous un chapitre et un verset que vous pouvez citer sur la réduction de moitié efficace de la taille de clé?
Je suppose que vous parlez de la taille de la clé.** Notez ** que la taille de clé requise dépend également de l'algorithme: pour un algorithme asymétrique comme RSA, vous aurez besoin de 2048 ou 4096 bits, 128 bits seraient beaucoup trop faibles.
@recursion.ninja Cela suppose qu'une opération quantique élémentaire peut être effectuée à la même vitesse qu'une opération classique élémentaire.Il est très possible qu'un ordinateur quantique ne fonctionnera jamais plus vite que l'équivalent de 0,7 MHz, auquel cas il serait impossible de casser une clé de 128 bits, même avec l'algorithme de grover la réduisant à la force effective d'une clé de 64 bits,mais casser une clé RSA de 4096 bits serait facile.Pouvez-vous imaginer rechercher un espace de clés 2 ^ 64 avec un ancien Intel 4004?
@forest Je ne comprends pas votre point.En ne tenant compte que de la fréquence, 0,7 MHz n'est que 5700 fois plus lent qu'un processeur récent de 4 GHz.Faites-en 1 000 000 si vous le souhaitez, en tenant compte des différentes différences d'architecture.Cependant, un espace de clés de 64 bits est 18446744073709551616 fois plus petit qu'un espace de clés de 128 bits.Cela ne signifie pas qu'il peut être cassé, mais cela donne certainement un avantage aux ordinateurs quantiques.
@youen Mon point est qu'un ordinateur quantique peut être _significativement_ plus lent qu'un ordinateur moderne en termes de cycles par seconde.Alors que 2 ^ 64 opérations classiques (un espace de clés de 64 bits) pour un ordinateur classique ne sont pas d'une difficulté irréaliste, 2 ^ 64 opérations quantiques (un espace de clés de 128 bits) pour un ordinateur quantique peuvent être bien au-delà de ce dont nous serons capables.De plus, la vitesse de l'algorithme de grover n'est accélérée que par la racine carrée du nombre d'ordinateurs discrets exécutant l'algorithme.
@forest était d'accord, si le (groupe de) ordinateurs quantiques est plus lent d'un facteur de 10 ^ 19, cela n'aidera pas à casser une clé de 128 bits.
Et même si je conviens qu'un QC a toujours un énorme avantage, je dirais qu'une amélioration de 5 700 est de plusieurs ordres de grandeur.Un 4004 est probablement des centaines de millions, voire des milliards de fois plus lent qu'un processeur moderne, multicœur, compatible SIMD, fortement pipeliné et de mise en cache.Il y a des choses qu'il peut faire en quelques cycles qui prendraient 4004 secondes de temps.Si un QC était aussi limité qu'un 4004 (hypothétiquement), alors un espace de clés de 64 bits serait absolument hors de portée.Pour être tout à fait honnête, je serais surpris si la première génération de QC cryptoanalytiques n'était _pas_ plus de 2 ^ 19 plus lente.
Oui ... AES128 restera incassable jusqu'à au moins 2030, donc la seule chose que l'on fait en utilisant AES256 est de taxer inutilement le processeur.Si AES256 est utilisé sur AES128 dans OpenVPN par exemple, il réduit considérablement le débit sans aucun avantage de sécurité supplémentaire.