安全与密码学2018eprint.iacr.org
LC4：一种用于人际通信的低技术认证密码
LC4: A Low-Tech Authenticated Cipher for Human-To-Human Communication
进阶 · 约 60 分钟读完前置知识：流密码基础、RC4 偏差、消息认证
导读
论文提出 LC4，一种面向人对人通信的低技术认证加密方案，目标是让人借助简单器具手工完成加密并验证消息完整性。它沿用了 RC4 的思路并加入认证机制，试图在手工可执行性与安全性之间取得平衡。
HN 关注点：手工密码是否真正实用且安全，以及它相对 Solitaire/Pontifex 和 RC4 的安全论证是否站得住。
HN 评论精选
这几条评论里：质疑 1 补充 3
补充联想到 Schneier 的 Solitaire/Pontifex 手工密码。
这让我想起 Neal Stephenson 的《Cryptonomicon》中大量出现的 Pontifex 密码，它由 Bruce Schneier 开发，也叫 Solitaire。
qubex查看英文原文
This reminds me of the Pontifex cipher that featured heavily in Neal Stephenson's Cryptonomicon, which in turn was developed by Bruce Schneier (and called Solitaire). [0] [0] https://www.schneier.com/academic/solitaire/
质疑质疑 LC4 相对 RC4 的安全提升论证不牢，尤其长期偏差难以用 nonce 规避。
我没有深入看，毕竟这真的重要吗？但值得一提的是，这篇论文声称比 RC4 更安全的理由有点牵强。RC4 被采用后很多年里，人们就知道其密钥流早期存在明显偏差，我记得 802.11 攻击利用的正是这些弱点。但更近的 TLS 攻击基于对 RC4 密钥流偏差更好的理解，其中一些（至少 Fluhrer-McGrew 偏差）在整个密钥流中都持续存在。我认为不能简单地加密一个长 nonce 来避开它们。（我不是专家，当然可能错。）
tptacek查看英文原文
I'm not really digging deeply into this at all, because really does it matter, but for what it's worth the rationale this paper has for being more secure than RC4 (on which it is based, and which is infamously one of the most egregiously insecure mainstream ciphers) is a little flimsy. For many years after the adoption of RC4, it was known that there were pronounced biases early in the RC4 keystream. IIRC, these were the weaknesses that the 802.11 attacks too advantage of. But the more recent TLS attacks are based on a better understanding of RC4 keystream biases, and some of them (the Fluhrer-McGrew biases, at least) persist throughout the entire keystream. I don't think you can simply encrypt a long nonce to avoid them. (I'm not an expert on this and could be wrong, of course).
补充关注手工执行速度与器材门槛，LC4 需专用瓷砖而 Solitaire 只需扑克牌。
对这类密码，比较人手工执行 LC4 与 Solitaire（又名 Pontifex）的速度会很有意思。另外，Schneier 的密码只需要扑克牌，而 LC4 需要你已经有瓷砖（文中称为器具）。
zitterbewegung查看英文原文
For ciphers like this it would be interesting to compare the speed of which a human would do this cipher (LC4 vs Solitare AKA Pontifex [0] ). Also, it seems like Scheiner's cipher only requires you to have playing cards and LC4 requires you to already have tiles (described as an appliance). [0] https://www.schneier.com/academic/solitaire/
补充补充 ls47 变体：7x7 瓷砖、约 128 位安全并含密钥扩展。
如果你觉得字母表太小，有一个叫 ls47 的变体，运行在 7x7 瓷砖上，约 128 位安全性。它还提出了密钥扩展算法。
arthur2e5查看英文原文
In case you find the alphabet too small, there's a variant called ls47 (https://github.com/exaexa/ls47) that runs on a 7x7 tile with ~128 bits of security. It also suggests a key expansion algorithm.
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2018Hacker News 讨论帖149 分 · 33 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选