Анализ криптостойкости методов защиты информации в операционных системах Microsoft Window 9x — страница 13

сбалансирована функция следующего состояния. Поскольку от индивидуальных шумовых функций не требуется быть независимыми, в принципе нельзя исключать возможность, что коэффициент корреляции e с константной нулевой функцией равен нулю или очень близок к этому значению. В рассматриваемом случае индивидуальные шумовые функции можно трактовать как булевы функции от n = MN + N + M переменных в (XM+1t , St -M). Следовательно, за исключением

некоторых особых случаев, в общем случае можно с высокой вероятностью ожидать, что общий корреляционный коэффициент очень близок к произведению индивидуальных и, таким образом, отличается от нуля. Соответственно, метод АПЛС не только с высокой вероятностью дает взаимно коррелированные линейные функции от входа и выхода, но также позволяет оценить значение соответствующего корреляционного коэффициента, используя

независимость или другие вероятностные предположения. Поскольку в идеальном случае хотелось бы получить такие АЛПС, в которых корреляционные коэффициенты по абсолютному значению близки к максимуму, то индивидуальные корреляционные коэффициенты должны быть крупными по величине, а количество шумовых членов в (3) должно быть маленьким. Конечно, эти требования могут противоречить друг другу. Поэтому хорошим подходом будет

повторение процедуры АЛПС несколько раз, начиная с наилучших линейных аппроксимаций для функции выхода и компонент функции следующего состояния. Эта процедура может также выполняться для всех возможных линейных аппроксимаций, что представляется единственным систематическим способом проверить все корреляции, выявленные в процессе применения метода АЛПС. В общем случае имеется самое большее (M+1)2M+N таких линейных

аппроксимаций. Однако, в принципе всегда можно проверить все возможные линейные аппроксимации даже при большом M, поскольку в практических реализациях функции выхода и следующего состояния зависят от сравнительно небольшого количества переменных или же составлены из таких булевых функций. С практической точки зрения данная линейная модель может быть использована для выделения по шифротексту генератора RC4 среди других

криптосистем, а также для восстановления параметра n. В 2000 году была опубликована статья Скотта Флюера и Дэвида Мак-Гри посвященная статистистическому анализу потокового генератора RC4, в которой были использованы результаты работы Голича для нахождения значения компонент S-бокса. Приблизительное время работы этого метода составляет 26n, где n – порция битов в выходном потоке, длина выходной последовательности, требуемая для