安全与密码学2021eprint.iacr.org编辑精选
GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
专业 · 约 90 分钟读完前置知识：流密码与 GSM 加密基础、密码分析基础、GPRS 网络架构
导读
这篇论文首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。研究发现 GEA-1 中存在一种异常的弱化模式，可将安全强度限制在 40 位，作者指出这表明该弱点是刻意设计隐藏的后门，而非偶然缺陷。
HN 关注点：移动通信标准被证实存在故意植入的加密后门，这涉及密码学、电信安全与政府干预的历史，讨论焦点集中在弱点是否确为有意设计及其历史背景。
后来怎么样
该论文证实了 GEA-1 中存在刻意设计的 40 位安全强度后门，引发了对 2G/2.5G 时代加密算法被政府干预植入弱点的广泛讨论，并推动移动网络加速淘汰 GPRS 加密算法。
HN 评论精选
这几条评论里：支持 2 补充 2
支持引用论文结论，指出 GPRS 被故意植入后门
摘自论文摘要：'本文首次公开提出针对 GEA-1 和 GEA-2 算法的密码分析攻击。'……'这种异常模式表明该弱点是被刻意隐藏的，目的是将安全等级限制在 40 位。' 换句话说：GPRS 是被故意留了后门的。
weinzierl查看英文原文
Excerpt from the abstract: "This paper presents the first publicly available cryptanalytic attacks on the GEA-1 and GEA-2 algorithms." [..] "This unusual pattern indicates that the weakness is intentionally hidden to limit the security level to 40 bit by design." So in other words: GPRS was intentionally backdoored.
补充从历史设计目标解释：加密本就只为防窃听稍微提高门槛，而非真正安全
当年设计数字蜂窝系统时，主要目标是设计足够强的认证机制，以遏制当时模拟蜂窝系统中猖獗的盗用服务行为——在美国这估计造成每年约 20 亿美元的损失。流量加密以保护隐私反而没那么重要。此前的模拟蜂窝电话系统是不加密的，模拟和数字有线电话服务也一样。因此隐私加密只需强到让窃听数字蜂窝比窃听模拟蜂窝或有线服务稍微麻烦一点、贵一点即可，同时不显著妨碍执法。
Merrill查看英文原文
At the time when digital cellular was first designed, the main objective was to design sufficiently strong authentication to stem the rampant theft of service then occurring on the analog cellular systems. In the US this was estimated at roughly $2 billion/annum. Encrypting traffic for privacy purposes was less important. Prior analog cellular telephony systems were unencrypted, as were analog and digital wireline services. Thus, the privacy cryptography was intended to be strong enough to make it a little more inconvenient/expensive to eavesdrop on digital cellular than it was on analog cellular or wireline services without significantly impeding law enforcement.
补充补充历史背景：GSM 算法弱化是法德妥协的结果，依赖算法保密
所有 GSM 算法都很弱，而且是故意的。众所周知法国希望如此，而德国方面由于冷战正在进行，希望安全性稍强一些。于是产生了像臭名昭著的 A5 算法这样的妥协产物，其安全性主要依赖于算法本身保密——这是密码学的大忌。
this_user查看英文原文
All of the GSM algorithms were weak, and deliberately so. It is well known that the French wanted it that way, while the German side wanted a bit more safety on account of the ongoing Cold War. So compromises like the infamous A5 algorithm were created whose security was mainly based on the algorithm itself being kept a secret - the cardinal sin of cryptography.
支持类比 IBM 密钥缩短技术，认为弱点显然是有意为之
巧合太多了，不可能是偶然。IBM 曾有 Commercial Data Masking Facility，通过密钥缩短把 56 位密码变成 40 位。现在我们又看到这种类似的、会缩短密钥长度的奇怪交互。看起来很明显是故意的？
slownews45查看英文原文
Too many coincidences for this to be by chance. IBM had Commercial Data Masking Facility which did key shortening to turn a 56 bit cipher into a 40 bit one. Now we've got this weird interaction which similarly reduces key length. Seems pretty obviously intentional?
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2021Hacker News 讨论帖487 分 · 107 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选Air-FI：从气隙隔离计算机生成隐蔽 Wi-Fi 信号
Air-FI: Generating Covert Wi-Fi Signals from Air-Gapped Computers
研究如何从物理隔离（air-gapped）的计算机中隐蔽地外泄数据：利用内存总线产生的电磁泄漏，在 2.4 GHz Wi-Fi 频段内编码信息，使附近的普通 Wi-Fi 网卡（如…
安全与密码学2020 · 294 分 · 105 评 · 引用 3进阶 · 约 45 分钟编辑精选