암호문 단독 공격

암호학에서 암호문 단독 공격(ciphertext-only attack, COA) 또는 기지 암호문 공격은 공격자가 한 세트의 암호문에만 접근할 수 있다고 가정하는 암호 해독의 공격 모델이다. 공격자는 암호화 전의 평문에 접근할 수 있는 채널이 없지만, 모든 실제적인 암호문 단독 공격에서 공격자는 여전히 평문에 대한 어느 정도의 지식을 가지고 있다. 예를 들어, 공격자는 평문이 작성된 언어나 평문에서 예상되는 문자 통계 분포를 알 수 있다. 많은 배포된 시스템에서 표준 프로토콜 데이터 및 메시지는 일반적으로 평문의 일부이며, 이러한 시스템에 대한 암호문 단독 공격의 일부로 쉽게 추측하거나 효율적으로 알 수 있다.

공격

해당 평문을 추론할 수 있다면, 또는 더 나아가 키를 추론할 수 있다면 공격은 완전히 성공한 것이다. 공격자가 미리 알고 있던 것 이상의 기본 평문에 대한 어떤 정보라도 얻을 수 있다면 그것 또한 성공으로 간주된다. 예를 들어, 적이 트래픽 흐름 보안을 유지하기 위해 지속적으로 암호문을 보내고 있다면, 실제 메시지와 널 메시지를 구별할 수 있는 것은 매우 유용할 것이다. 실제 메시지의 존재에 대한 정보에 입각한 추측을 하는 것만으로도 트래픽 분석을 용이하게 할 수 있다.

암호학사에서, 펜과 종이로 구현된 초기 암호는 암호문만 사용하여 일상적으로 해독되었다. 암호학자들은 주파수 분석과 같은 암호문 공격을 위한 통계적 기술을 개발했다. 에니그마와 같은 기계식 암호화 장치는 이러한 공격을 훨씬 더 어렵게 만들었다 (그러나 역사적으로 폴란드 암호학자들은 메시지 설정을 나타내는 불안정한 프로토콜을 이용하여 에니그마에 대한 성공적인 암호문 단독 에니그마의 해독을 수행할 수 있었다). 제2차 세계 대전 중 블레츨리 파크에서는 가로챈 암호문에 해당하는 평문을 지능적으로 추측함으로써 에니그마에 대한 더 진보된 암호문 단독 공격이 수행되었다.

현대

모든 현대 암호는 암호문 단독 공격에 대한 보호를 제공하려고 시도한다. 새로운 암호 설계 표준에 대한 검증 과정은 보통 수년이 걸리며, 무작위 노이즈로부터의 통계적 편차에 대한 대량의 암호문 테스트를 포함한다. 참조: 고급 암호화 표준 프로세스. 또한, 스테가노그래피 분야는 부분적으로는 한 데이터 조각이 다른 데이터 조각의 통계적 프로파일을 채택하도록 허용하는 모방 함수와 같은 방법을 개발하기 위해 발전했다. 그럼에도 불구하고, 부적절한 암호 사용이나 철저한 조사를 받지 않은 자체 개발 독점 알고리즘에 의존하는 것은 여전히 암호문 단독 공격에 취약한 많은 컴퓨터 시대 암호화 시스템을 초래했다. 예시는 다음과 같다.

예시

• 마이크로소프트의 PPTP 가상사설망 소프트웨어의 초기 버전은 송신자와 수신자에 대해 동일한 RC4 키를 사용했다 (이후 버전에는 다른 문제가 있었다). RC4와 같은 스트림 암호가 동일한 키로 두 번 사용되는 경우, 암호문 단독 공격에 취약하다. 참조: 스트림 암호 공격
• 와이파이의 첫 번째 보안 프로토콜인 유선 동등 프라이버시(WEP)는 여러 공격에 취약하다는 것이 입증되었으며, 대부분은 암호문 단독 공격이었다.
• GSM의 A5/1 및 A5/2
• 일부 현대 암호 설계는 나중에 암호문 단독 공격에 취약하다는 것이 밝혀졌다. 예를 들어, 아켈라레가 있다.
• 키 공간이 너무 작은 암호는 암호문 외에는 아무것도 접근할 수 없는 상태에서 단순히 모든 가능한 키를 시도함으로써 무차별 대입 공격에 취약하다. 필요한 것은 유효한 평문과 무작위 노이즈를 구별하는 방법인데, 이는 암호문이 유일성 거리보다 길 때 자연어의 경우 쉽게 수행된다. 한 가지 예시는 56비트 키만 가진 DES이다. 너무나 흔한 현재의 예시는 사용자 선택 비밀번호로부터 AES와 같은 난공불락의 암호에 대한 키를 파생시키는 상업용 보안 제품이다. 사용자는 암호의 키 공간의 정보 엔트로피에 근접하는 비밀번호를 거의 사용하지 않으므로, 이러한 시스템은 실제로 암호문만 사용하여 해독하기가 매우 쉽다. DVD 비디오 디스크를 암호화하는 데 사용되는 40비트 CSS 암호는 MPEG-2 비디오 데이터를 찾는 것만으로 항상 이 방법으로 해독될 수 있다.

각주

• 알렉스 비류코프 및 에얄 쿠실레비츠, From Differential Cryptanalysis to Ciphertext-Only Attacks, CRYPTO 1998, pp72–88;