peceed

To smutne że takie "coś" (w cudzysłów należy sobie indywidualnie podstawić bardziej adekwatne określenie) jest podawane jako warty przeczytania naukowy news. Zresztą abstrachując od powagi tematyki praca zawiera poważne błędy. Nie uwzględniono faktu że nos ulegnie złamaniu zdecydowanie szybciej niż szyja przy lalce zawieszonej wystarczająco wysoko, a nos Pinokia stojącego na ziemi (zdecydowanie poniżej 1.4m) ulegnie wygięciu i położy się na ziemi przez co nie ulegnie złamaniu nigdy. Całkowicie zaniedbano efekty dynamiczne wynikające ze wzrostu nosa. W zależności od modelu wzrostu nos zacznie się wyginać na ziemi i pęknie, albo Pinokio rozpocznie podróż dookoła świata. Warto też rozpatrzyć co się stanie z kłamiącym Pinokiem w oceanie. Ilość kłamstw jest wartością dyskretną, więc przy przyjęciu modelu opisanego w pracy powinien się złamać dokładnie po 13 kłamstwach a nie gdzieś pomiędzy.

Nic dziwnego, w obozach koncentracyjnych była przeprowadzana wstępna selekcja więźniów, do tego w ciężkich warunkach nasłabsi umierali pierwsi.

Oczywiście jego głównym zadaniem będzie zwiększenie atrakcyjności zatrudnienia w Google.

@Przemek Wymiennik to krytyczna część nowej technologii i jedyna niewiadoma, cała reszta nie stwarza ryzyka. @rahl Pocisk przeciwlotniczy może mieć prędkość sporo mniejszą o przechwytywanego, wystarczy że mają kurs spotkaniowy. Nie jest to też żadna nowa jakość dla obrony przeciwlotniczej - rakietowe pociski balistyczne są szybsze Ogólnie manewry unikowe nie mają censu - pocisk atakujący nie ma dużych możliwości wykrycia momentu kontrataku, w dodatku w nowoczesnych rakietach plot stosuje się głowice kierunkowe które mogą zniszczyć cel z odległości kilkudziesięciu metrów

Ciekawe czy dostanie celę razem z Hansem Reiserem?

Wystarczy zdekryminalizować a wręcz zalegalizować narkotyki. Ale przecież nie chodzi o to, aby złapać króliczka, ale by by gonić go...

Ale dowody kryptoodporności nie polegają na udowadnianiu że nie istnieją algorytmy pozwalające znacznie zredukować czas łamania funkcji w porównaniu do naiwnego przeszukiwania przestrzeni rozwiązań, tylko pokazuje się że dana metoda nie ma gorszych własności od pewnych wyidealizowanych rozwiązań wzorcowych. Tak naprawdę brak istnienia takich algorytmów nie jest konieczny aby uzyskać praktyczne bezpieczeństwo, bo osobną sprawą jest znalezienie tych algorytmów. Z praktycznego punktu widzenia istotne jest to aby samo znlezienie efektywnych algorytmów łamiących było porównywalnie trudne z atakiem brute-force. Moja propozycja xorowania niezależnych algorytmów zwiększa bezpieczeństwo właśnie na tym poziomie - jest to w pewnym sensie mieszanie przestrzeni algorytmów atakujących. Nie upieram się, że pełny przegląd przestrzeni możliwych skrótów (czyli w praktyce szukamy wszystkich ciągów instrukcji krótszych od 2^256*<ilość instrukcji potrzebnych na wymieszanie wiadomości> które zmniejszają średni czas ataku dla każdej praktycznej wiadomości (np. < 2^64) wykaże, że taka opercja zawsze zwiększa bezpieczeństwo, bo tak nie będzie(to doświadczenie myślowe).Ale na pewno zwiększy praktyczne bezpieczeństwo. Nie wspominałem o składaniu w korekcji błędów, to nadinterpretacja. Odnosiłem do ogólnikowego twierdznia "... jak chcemy zbudować coś bezpiecznego, trzeba zacząć od bezpiecznych cegiełek ..." , które może być prawdziwe w przypadku budowania fizycznych budowli, ale nie algorytmów. Przykładem jest korekcja błędów, która pozwala dowolnie zwiększać pewność kanału transmisji. Chyba powinieneś stworzyć _wydajną_ implementację skrótu która wykorzystuje ASL. Jeśli będzie wolniejsza w większym stopniu niż (1-4)xSHA2, to ze wszelkich praktycznych względów można o niej zapomnieć. Jeśli zmieści się w limicie, to można rozpocząć pracę nad analizą jej bezpieczeństwa. Jeśli okaże się istotnie szybsza, to można zacząć rozważać ją jako heurystyczne wzmocnienie dowolnej funkcji skrótu h według schematu h(x)^aslh(x).

@Jarek Nie lubię być upierdliwy, ale czasami trzeba (oj, znalazł się mój miotacz ognia): >/Przyglądnąłem się właśnie tej "funkcji gąbki "(...) f nie musi być permutacją ani funkcją liniową, w sha3 - nie jest >każdy bit wiadomości wpływa tylko na pojedynczy bit stanu końcowego i to łatwo prześledzić który !?! nieprawda i nieprawda, http://en.wikipedia.org/wiki/Keccak, podrundy 8 i X >Ogólnie wiara w bezpieczeństwo kryptografii zbudowanej tylko na permutacjach i XORach (jak nawet AES) >to jest taka heureza że tak skomplikowana łamigłówka no to już chyba nie powinna być łatwo rozwiązywalna ... >świetnie scharakteryzowałeś "dowody" bezpieczeństwa: nawrzucać tyle XORów >i permutacji żeby "intuicja podpowiadała" że już wygląda bezpiecznie Radziłbym się dokładnie przyjrzeć czego dotyczą dowody kryptoodporności tych algorymów, nie ma to nic wspólnego z intuicją. Intuicja jest kluczowa do formułowania hipotez i przydatna do poszukiwania dowodów, ale same dowody są bardzo ścisłe. >Zupełnie nie rozumiem dlaczego nie wychodzi się w mniej przewidywalne nielinowe funkcje ... Z oczywistego powodu - brak narzędzi do kryptoanalizy i oceny bezpieczeństwa takich funkcji. Bez takich zbliżamy się niebezpiecznie do "szyfrowania opartego na tajemnicy". Trzeba rozróżnić dwie rzeczy - bezpiecznie i "wiadomo, że bezpiecznie z określonym powodem pewności". Bezpieczne rozwiązania o których nie wiemy jak bardzo są bezpieczne są niebezpieczne. // w każdym razie jak chcemy zbudować coś bezpiecznego, trzeba zacząć od bezpiecznych cegiełek, //czyli dla kryptografii: nieprzewidywalnych, chaotycznych, nieliniowych Korekcja błedów oraz ogromna liczba skutecznych algorytmów szyfrujących i mieszających opartych na prostych operacjach wskazuje na coś przeciwnego. Skomplikowane zachowania naprawdę nie wymagają skomplikowanych składowych, NKS Wolframa dobrze to wyjaśnia. >Czyli kompletny brak nawet podstawowej własności wymaganej od systemów kryptograficznych: mieszania - zmiana pojedynczego >bitu wiadomości powinna zmieniać nie jeden bit stanu, tylko średnio połowę wszystkich - powinna powodować że stan jest zupełnie niezwiązany z poprzednim. >wilku, do sum kontrolnych ta gąbka rzeczywiście jest ok, ale dla uwierzytelniania to jest prosty xor z permutacji >- trzeba sporo obudować żeby można było temu zaufać ... Nieuznawanie autorytetów to przydatna cecha, ale bez przesady. Trochę więcej pokory - konkurs na SHA3 trwa 5 lat i uczestniczą w nim jedni z najlepszych ekspertów w dziedzinie (niezatrudnieni przez NSA ), patrzący sobie nawzajem na ręce. Na pewno w prezentowanych algorytmach nie ma szkolnych błędów (przynajmniej w 2 rundzie), a zwycięzca nie może być słaby. Odnośnie XOR-owania niezależnych funkcji mieszających - może lepiej to zdefiniuję. Bardzo słaba i poddatna funkcja mieszająca - funkcja stała c - w żaden sposób nie upośledza siły mieszającej funkcji c(x)^h(x) jeśli h(x) jest silne. Aby pewna funkcja niszczyła własności mieszające drugiej przez operację liniową, sama musiałaby być funkcją w ogromnym stopniu liniową z drugą funkcją. Przykład dla funkcji h(x): h(x)^const, etc. Fakt że 2 różne funkcje mieszające oparte na zupełnie innych procedurach wykazywałyby liniowa zależność pokazałby zaziwiający i nieprawdopodobny związek między zupełnie różnymi strukturami matematycznymi.

@Jarek To jest raczej oczywiste, że wynikowy algorytm haszujący będzie miał koszty pomięciowe i czasowe praktycznie równe sumie kosztów swoich składowych ( w praktyce można zamortyzować koszty I/O). Zapostulowałem, że złożenie dwóch rozsądnych funkcji mieszających operacją xor nie może dać w efekcie funkcji _słabszej_ od każdej składowej. Można oczywiście łatwo celowo skonstruować taki przypadek celowo - 2 identyczne funkcje. Intuicja podpowiada jednak, że w przypadku zastosownia wystarczająco różnych i bezpiecznych składowych wynikowa funkcja jest znacznie trudniejsza do złamania niż składowe. Jest masa rozmaitych zastosowań w których ważniejsze jest bezpieczeństwo od wydajności. Zastosowanie (i ustandaryzowanie) podwójnego haszowania dwoma algorytmami mogłoby być znacznie lepszą praktyką niż proste zwiększanie długości klucza.

Zastanawia mnie dlaczego nie rozpatruje się skrótów typu sha2^sha3. Przy zupełnie nieskorelowanych funkcjach haszujących efektywna trudność złamania w prosty sposób powinna się zbliżać do przeglądu wszystkich możliwych rozwiązań, i nawet możliwość skutecznego ataku na każdą składową nie daje najmniejszej możliwości ataku na funkcję złożoną. W ten sposób sha2-256 ^ sha3-256 ze wszelkich praktycznych względów mogłoby być równie bezpieczne jak sha2-512, miałby taki sam koszt obliczniowy a dawało mniejszy skrót. Mało tego - można by przyjąć zasadę, że funkcję skrótu zawsze tworzymy przez połączenie dwóch niezależnych i mocnych algorytmów, i przy pojawieniu się skutecznego ataku na jedno ogniwo - możemy bez paniki je wymienić. Co do braku zainteresowania ASL - jak w życiu, wiele rzeczy najlepiej zrobić samemu. Konkurs na SHA-4 powinien wystartować w ciągu następnej dekady