分组密码的有效密钥长度是多少：对每个实用分组密码的攻击

最近，一些重要的分组密码被认为被类似蛮力的密码分析所破坏，通过遍历整个密钥空间，其时间复杂度比穷举密钥搜索更快，但是对每个可能的密钥执行的加密却少于完全加密。 基于这种观察，我们描述了一种中间相遇攻击，该攻击总是可以成功地针对任何具有成功概率的实用分组密码进行。 根据统一性距离，此攻击的数据复杂性最小。 时间复杂度可以写为2（k）（1-epsilon），其中所有实际分组密码的epsilon> 0。 以前，通常接受的安全性限制是给定主密钥的长度k。 从我们的结果中我们指出，由于不可避免地丢失了密钥位，因此实际上总是高估了该k位安全性，并且永远无法达到。 没有任何巧妙的设计可以阻止这种情况，但是轮数的增加可以最大程度地减少这种密钥丢失。 我们对块密码中有效密钥位的上限问题有更多的了解，并显示出更准确的边界。 给出了有关密钥大小和块大小之间关系的建议。 也就是说，当轮数固定时，最好采用等于块大小的密钥大小。 而且，许多众所周知的分组密码的有效密钥位都经过计算和分析，这也证实了它们的安全裕度比以前想象的要低。 本文中的结果促使我们重新考虑有效攻击应与之相比的实际复杂性。