【文章內(nèi)容簡介】 RC4PRGA中將利用RC4KSA得到的初始化置換來生成任意長度的密鑰流。伴隨偽隨機流的每一個輸出，S盒的內(nèi)部狀態(tài)都會發(fā)生一次改變。以下是對RC4PRGA的一個描述，函數(shù)Swap(S[i],S[j])是將S[i]和S[j]進行置換，其中l(wèi)en(packet)表示數(shù)據(jù)包的長度，也就是所需要密鑰流的長度。i=0。 j=0。 For (i=0。ilen(packet)。i++) { j=j+S[i]。 Swap(S[i],S[j])。 Output z=S[S[i]+S[j]]。 } RC4算法的分析RC4的設(shè)計非常簡單，僅僅使用了簡單的加法和置換，所占用的空間也只是256個字節(jié)的存儲空間和兩個整型變量i和j。對于CPU受限制的處理器也可以使用，并且RC4在32bit和64bit的處理器上比一般的分組加密方式處理速率都要快。比如說。從上面的描述中我們可以看到RC4中KSA的作用就是將S盒中的256個數(shù)字的排列順序進行打亂得到一個隨機的排列，然后RC4PRGA再有選擇的輸出S盒中的數(shù)值并且同時也不斷打亂S盒的排列。在整個過程中S盒中256個元素的排列及i和j的值作為RC4的一個內(nèi)部狀態(tài)。取n=256，那么RC4的內(nèi)部狀態(tài)有n!n2 =256！2562，也就是1700bit。這就在一定程度上保證了算法的安全性。然而，這個過程的每一輪中只是按照順序來使用密鑰的每一個字節(jié)，每次也只是置換了S盒的兩個數(shù)值，所以說，在KSA的前幾輪中，S盒中的大多數(shù)的數(shù)值都沒有發(fā)生變化，并沒有做到理想化的隨機化。也就是說，KSA的前幾輪只是簡單的和幾個特定的數(shù)值相關(guān)，而PRGA的輸出也只是和少數(shù)的元素相關(guān)。如下例所示，在RC4中，Key=1,35,69,103,137,171,205,239時，KSA的前五輪置換過程如圖31所示。圖31 Key=1,35,69,103,137,171,205,239例中RC4KSA前五輪圖示由圖31可以看出，在RC4KSA的前五輪置換中，S盒中256個元素也只有S[0]，S[1]，S[2]，S[3]，S[4]，S[36]，S[98]，S[107]，S[213]發(fā)生了改變，在這個例子中后期的RC4PRGA開始的輸出也一樣，最前面的字節(jié)很大程度的只是和S盒初始化以后的幾個元素有關(guān)系。本例輸出的密鑰流前8個字節(jié)為，X=116，148，194，231，16，75，8，121，然后將需要加密的數(shù)據(jù)包和密鑰流逐位進行異或就可以得到加密后的數(shù)據(jù)了。 WEP數(shù)據(jù)加密有線等價保密協(xié)議(wired equivalent privacy,WEP)是IEEE802. 11標準中用來保護無線傳輸過程中的鏈路級數(shù)據(jù)的協(xié)議,WEP依賴通信雙方共享一個密鑰K保護傳輸幀中的用戶數(shù)據(jù)。如圖32所示。圖32 WEP數(shù)據(jù)加密處理過程，在大多數(shù)網(wǎng)絡(luò)中，所有節(jié)點都共享一個單一密鑰，被稱為根密鑰Rk(root key)。當網(wǎng)絡(luò)的節(jié)點每次發(fā)送數(shù)據(jù)時，一個被稱為數(shù)據(jù)包密鑰(perpacket key)的密鑰就會從根密鑰計算得到，并且使用RC4流密碼技術(shù)來生成一個密鑰流。同時，會額外計算校驗和附加在數(shù)據(jù)包上，然后將數(shù)據(jù)包和密鑰流進行異或以后得到的數(shù)據(jù)才是網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)。 IV生成模式有線等價保密協(xié)議中引入初始化向量IV是為了輔助生成種子密鑰，一般是簡單的采取IV‖Rk得到種子密鑰。在眾多產(chǎn)品實現(xiàn)中一般有兩種IV生成模式：u 隨機IV：在這種模式下，節(jié)點隨機在0到n1中選擇IV的值。這個IV值和之前的IV以及之后的IV都沒有關(guān)系。u IV計數(shù)器：在這種模式下，每一個節(jié)點都要保存最后一次使用的IV的值并且將其作為一個無符號整數(shù)，當需要下一個IV的時候，就將最后一次使用的IV加1，當IV達到最大值時，下一個IV就從0再重新開始。由于有線等價保密協(xié)議中IV是作為明文發(fā)送的，那么攻擊者可以清楚地看到每一個數(shù)據(jù)包所使用的IV的值。如果攻擊者截獲到兩個使用相同IV進行加密的不同數(shù)據(jù)包C1和C2，那么我們知道如果IV相同，加之所有終端都共享一個根密鑰Rk，則由IV和之前的根密鑰Rk組成的種子密鑰相同，即每一個數(shù)據(jù)包密鑰相同，則產(chǎn)生的密鑰流X相同，也即X1=X2。由于：C1=P1⊕X1C2=P2⊕X2X1=X2那么，我們可以推出：C1⊕C2=P1⊕P2（其中PP2均表示明文數(shù)據(jù)）。密文C1和C2很容易被捕獲到，如果攻擊者分析得到了P1，那么，就能得到P2。所以說這種模式下要保證IV要經(jīng)過很久才會相同，這樣模式對于這種簡單的分析還是比較安全的。 認證模式有線等價保密協(xié)議WEP額外定義了兩種模式用于一個終端在接入網(wǎng)絡(luò)之前來進行認證：◆ 開放式系統(tǒng)認證：在這種模式下，其實是不做任何認證的?？蛻舳酥恍枰l(fā)送一個請求給請求認證。然后AP返回給客戶端一個認證成功的信息，這些信息都不需要進行加密?；陂_放式系統(tǒng)的認證模式如圖33所示：圖33 開放式認證模式◆ 共享密鑰認證模式：在這種模式下，一個挑戰(zhàn)響應(yīng)需要四次握手信息。首先由客戶端向AP請求接入網(wǎng)絡(luò)。AP返回一個隨機數(shù)給客戶端?？蛻舳藢@個隨機數(shù)進行加密處理，然后發(fā)回給AP；AP進行解密，如果解密得到就是之前發(fā)送出去的隨機數(shù)就驗證成功，否則就失敗。沒有共享密鑰的客戶端是無法正確加密信息發(fā)送給AP的，也就無法加入網(wǎng)絡(luò)?；诠蚕砻荑€的認證模式如圖34所示：圖34 基于共享密鑰認證模式 有線等價保密協(xié)議中RC4的安全性分析有線等價保密協(xié)議WEP中使用RC4流密碼加密算法，加密過程是使用密鑰通過偽隨機數(shù)發(fā)生器產(chǎn)生密鑰流，與明文數(shù)據(jù)位進行異或操作生成密文，攻擊者若獲得由相同的密鑰流序列加密后得到的兩段密文，即兩個傳輸數(shù)據(jù)包的IV是相同的，這將導(dǎo)致攻擊者會通過統(tǒng)計分析以及對密文中冗余信息進行分析獲取明文數(shù)據(jù)。同時，利用有線等價保密協(xié)議認證模式的不安全性，很多攻擊者可以通過認證加入網(wǎng)絡(luò)。一個攻擊者在WEP所保護的網(wǎng)絡(luò)中截獲一個數(shù)據(jù)包，稍后他可以把這個數(shù)據(jù)包重新注入攻擊。數(shù)據(jù)包注入看起來就像沒有對網(wǎng)絡(luò)進行攻擊一樣，因為WEP從未考慮在抵抗這樣的攻擊。在這樣的網(wǎng)絡(luò)中，一個數(shù)據(jù)包被截獲再被插入到網(wǎng)絡(luò)中，其中key沒有發(fā)生改變，發(fā)送方也還在網(wǎng)絡(luò)。如果發(fā)送方不再在這個網(wǎng)絡(luò)中，發(fā)送方的地址就可能重新賦給一個還存在于這個網(wǎng)絡(luò)中的一個主機。這是完全可能的，因為這些字段都不被完整性檢查值發(fā)生器ICV所保護。下面系統(tǒng)的分析RC4的缺陷。 密鑰不安全性在RC4算法中，密鑰流完全取決于密鑰的情況。如果密鑰相同，就會生成完全一樣的密鑰流。而且RC4算法中直接將密鑰流和明文數(shù)據(jù)進行異或得到密文數(shù)據(jù)的，即C1=P1⊕RC4(X1)C2=P2⊕RC4(X2)如果X1=X2，則RC4(X1)= RC4(X2)C1⊕C2= (P1⊕RC4(X1)) ⊕(P2⊕RC4(X2))=P1⊕P2在無線網(wǎng)絡(luò)中，C1和C2是很容易得到的，通過統(tǒng)計分析以及對密文中冗余信息進行分析，可得出明文，因此，重復(fù)使用一個密鑰是不安全的。為了防止這種情況的出現(xiàn)，WEP中選擇使用了IV和用戶之間的Rk進行IV‖Rk計算得到RC4種子密鑰Key。通過對每個數(shù)據(jù)包的IV進行不斷變化，不斷的將IV加1來保證數(shù)據(jù)包所使用的密鑰的不同。但是，IV的長度是有限的，也就是IV的空間是有限的。這種機制只是在一定程度上減小了重復(fù)的幾率，或者說是加大了密鑰的重復(fù)周期。但是，依然會出現(xiàn)重復(fù)的IV，也就導(dǎo)致會出現(xiàn)重復(fù)的密鑰問題。因此，我們考慮在這種IV加1的機制基礎(chǔ)上，使用有效時間來限制KC的使用時間，這樣密鑰的空間由于KC的變動而巨增。 IV不安全性上文介紹了WEP中IV的兩種生成模式，一種是隨機化的IV，一種是類似計數(shù)器模式的IV。WEP中一般使用的是計數(shù)器模式的IV，在128bit的WEP網(wǎng)絡(luò)中使用的是3字節(jié)長度的IV，也就是24bit。每個數(shù)據(jù)包的IV不斷的加1，這樣至少需要224個數(shù)據(jù)包才會出現(xiàn)相同的IV，這就很好的降低了在一段時間內(nèi)出現(xiàn)相同IV的概率。但是，各個廠商在產(chǎn)品中具體實現(xiàn)時，很多的產(chǎn)品IV都和物理層設(shè)備相關(guān)，比如說網(wǎng)卡，這樣網(wǎng)卡的一次重插就會造成IV重新從0開始，這樣就并不能很好的避免IV的重復(fù)問題。再者，雖然說需要224個數(shù)據(jù)包才會出現(xiàn)相同的IV，但是由于IV是作為明文發(fā)送的，相同的IV都很容易被攻擊者所發(fā)現(xiàn)。所以，我們要解決IV的問題，就要將IV與物理層分離，并且IV不能作為明文發(fā)送。因為很多的攻擊方法都依賴于收集數(shù)據(jù)包，分析那些具有可利用IV的數(shù)據(jù)包，從而獲得網(wǎng)絡(luò)的密鑰。 線性關(guān)系不安全性IV和Rk生成種子密鑰的過程只是簡單的前后連接，這是一個線性過程，并未引入類似Hash這樣的函數(shù)進行非線性化，這就造成了攻擊者可以很容易的從輸出密鑰流中反向分析出密鑰。所以，我們考慮引入Hash函數(shù)進行非線性化，就IV和Rk生成種子密鑰的過程采用Hash函數(shù)處理。 相關(guān)問題的不安全性由于RC4算法所使用的密鑰中有一部分是公開的，即初始化向量IV。當這些不同的IV和保密的共享密鑰串聯(lián)組成的密鑰被多次使用后，那么能通過分析輸出的偽隨機序列的頭部來獲得保密的密鑰部分。這種用一個保密的較長的部分串聯(lián)上一個較短的，攻擊者可見的部分來組成整個密鑰在RC4模型中被廣泛應(yīng)用，特別是用在有線等價保密協(xié)議中來保護無線局域網(wǎng)的通信數(shù)據(jù)加密。我們采用舍棄RC4PRGA輸出字節(jié)的最前面的一些字節(jié)來解決這一問題。，以期望達到與有線網(wǎng)絡(luò)等效的安全性。有線等價保密協(xié)議WEP中對數(shù)據(jù)的保護主要依賴于利用RC4技術(shù)進行數(shù)據(jù)的加密，在加密之前利用CRC32進行計算校驗和以保證數(shù)據(jù)的完整性。所有的終端都共享一個根密鑰。有線等價保密協(xié)議中RC4的的弱點為攻擊者提供了攻擊的機會。本章通過分析有線等價保密協(xié)議中RC4的原理，總結(jié)了WEPRC4現(xiàn)有的弱點，并簡要介紹了每一缺陷的解決辦法，為我們在后期對新算法的研究