４８个元素满足上式的概率：Ｐｒｏｂａｂｉｌｉｔｙ ?％?
０～７ ３７．０ ３６．８ ３６．２ ３５．８ ３４．９ ３４．０ ３３．０ ３２．２
８～１５ ３０．９ ２９．８ ２８．５ ２７．５ ２６．０ ２４．５ ２２．９ ２１．６
１６～２３ ２０．３ １８．９ １７．３ １６．１ １４．７ １３．５ １２．４ １１．２
２４～３１ １０．１ ９．０ ８．２ ７．４ ６．４ ５．７ ５．１ ４．４
３２～３９ ３．９ ３．５ ３．０ ２．６ ２．３ ２．０ １．７ １．４
４０～４７ １．３ １．２ １．０ ０．９ ０．８ ０．７ ０．６ ０．６
结果表明，经过ＫＳＡ后，状态表中前面的一些元素实际值与用Ｂ所预测出的值强相关。
２．２ 弱密钥
首先定义ｉｔ，ｊｔ分别为ＫＳＡ算法经过ｔ步后相应的两个计数器的值，Ｓｔ为ＫＳＡ经ｔ步后状态盒的状态。从其流程可以看出，ＰＲＮＧ首字节输出仅仅依赖于状态盒Ｓ中的三个值：Ｓ[１]、Ｓ[Ｓ[１]]和Ｓ[Ｓ[１]＋Ｓ[Ｓ[１]]]。如果此三个值为已知，那么就可以完全确定ＰＲＮＧ的首字节输出。
ＫＳＡ经过ｉ步操作后(ｉ＞１),设Ｓｉ[１]＝Ｘ，Ｓ[Ｘ]＝Ｙ，假设ｊ为均匀分布的随机数，那么Ｓ[１]，Ｓ[Ｘ]，Ｓ[Ｘ＋Ｙ]均不参与剩余交换的概率约为ｅ－３≈０．０５，此时ＲＣ４的首字节输出为Ｓ[Ｘ＋Ｙ]。
假设ＩＶ的长度为Ｉ个字节，ＩＶ附加在密钥Ｋｅｙ前面组成加密密钥Ｋ，即Ｋ＝ＩＶ｜Ｋｅｙ，且我们已知Ｋ中前Ｂ个字节的值（初始化时Ｂ＝０）。如果ＫＳＡ经过Ｉ＋Ｂ－１次迭代后满足：
ＳＩ＋Ｂ－１[１]＜Ｉ
ＳＩ＋Ｂ－１[１]＋ＳＩ＋Ｂ－１ [ＳＩ＋Ｂ－１[１]]＝Ｉ＋Ｂ
考虑第Ｉ＋Ｂ次迭代：
ｉＩ＋Ｂ＝Ｉ＋Ｂ
ｊＩ＋Ｂ＝ｊＩ＋Ｂ－１＋Ｓ[Ｉ＋Ｂ]＋Ｋ[（Ｉ＋Ｂ） ｍｏｄ Ｌ]
交换ＳＩ＋Ｂ－１[ｉＩ＋Ｂ]，ＳＩ＋Ｂ－１ [ｊＩ＋Ｂ]：
ＳＩ＋Ｂ [ｉＩ＋Ｂ]＝ＳＩ＋Ｂ－１ [ｊＩ＋Ｂ] ，
ＳＩ＋Ｂ [ｊＩ＋Ｂ]＝ＳＩ＋Ｂ－１ [ｉＩ＋Ｂ]
在满足上述条件的情况下，Ｓ[１]，Ｓ[Ｓ[１]]和Ｓ[Ｓ[１]＋Ｓ[Ｓ[１]]]这三个元素以很高的概率（大于５％）均不参与ＫＳＡ剩余的交换操作，也即首字节输出以很高的概率满足：
Ｏｕｔ＝ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]＝ＳＩ＋Ｂ－１[ｊＩ＋Ｂ－１＋Ｋ[Ｂ]＋ＳＩ＋Ｂ－１[Ｉ＋Ｂ]]
这种情况下，通过重建ＫＳＡ，能够成功地从首字节输出中获取加密密钥中某个特定字节Ｋ[Ｉ＋Ｂ]的信息：
Ｋ[Ｂ]＝Ｓ[Ｏｕｔ]－ｊＩ＋Ｂ－１－ＳＩ＋Ｂ－１[Ｉ＋Ｂ]]
Ｓ[Ｏｕｔ]表示元素Ｏｕｔ在状态表中的位置。
从前面分析可以看出，在满足ＳＩ[１]＜Ｉ＋Ｂ?且ＳＩ[１]＋ＳＩ[ＳＩ[１]]＝Ｉ＋Ｂ条件的情况下，可以准确重建Ｋ[Ｂ]的概率大于５％，远远大于１／２５６。这样通过收集足够数量的满足上述条件的数据包，就可以成功地重建密钥Ｋ[Ｂ]。同理，在成功重建Ｋ[Ｂ]的基础上，就可以用类似的方法重建所有密钥。
具体算法如下：
ＲｅｃｏｖｅｒＷｅｐＫｅｙ(ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ,ＫｅｙＢｙｔｅ)
Ｃｏｕｎｔｓ[０．．．２５５]＝０
Ｆｏｒ ｅａｃｈ ｐａｃｋｅｔ－＞Ｐ
Ｉｆ Ｒｅｓｏｌｖｅｄ﹖(Ｐ．ＩＶ）
Ｃｏｕｎｔｓ[ＳｉｍｕｌａｔｅＲｅｓｏｌｖｅｄ(Ｐ,ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ)]＋＝１
Ｆｏｒ ｅａｃｈ ＳｅｌｅｃｔＭａｘｉｍａｌＩｎｄｅｘｅｓＷｉｔｈＢｉａｓ(Ｃｏｕｎｔｓ)－＞ＢｙｔｅＧｕｅｓｓ
ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ[ＫｅｙＢｙｔｅ]＝ＢｙｔｅＧｕｅｓｓ
Ｉｆ Ｅｑｕａｌ﹖(ＫｅｙＢｙｔｅ,ＫｅｙＬｅｎｇｔｈ)
Ｉｆ ＣｈｅｃｋＣｈｅｃｋｓｕｍｓ(ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ)
Ｒｅｔｕｒｎ ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ
Ｅｌｓｅ
Ｋｅｙ＝ＲｅｃｏｖｅｒＷＥＰＫｅｙ(ＣｕｒｒｅｎｔＫｅｙＧｕｅｓｓ,ＫｅｙＢｙｔｅ＋１)
Ｉｆ ｎｏｔＥｑｕａｌ﹖(Ｋｅｙ,Ｆａｉｌｕｒｅ)
Ｒｅｔｕｒｎ Ｋｅｙ
Ｒｅｔｕｒｎ Ｆａｉｌｕｒｅ
２．３ 算法改进
可以看出，以上的攻击方法中，所有关于Ｋ[Ｉ＋Ｂ]的预测均是基于其前面所有密钥（Ｋ[０]，．．．，Ｋ[Ｉ＋Ｂ－１]）已知的基础上。换言之，前面的预测错误将直接导致Ｋ[Ｉ＋Ｂ]的错误预测。那么能否从Ｋ[Ｉ＋Ｂ]中推测出Ｋ[０]，．．．，Ｋ[Ｉ＋Ｂ－１]的信息？
考虑ＫＳＡ，如果经过Ｉ次迭代后，满足：
Ｉ＜ＳＩ[１]＋ＳＩ[ＳＩ[１]]＝Ｉ＋Ｂ≤Ｌ
ＳＩ[１]≤Ｉ
则ＳＩ[１]和ＳＩ[ＳＩ[１]]以很大的概率（（２５４／２５６）Ｌ－Ｉ≈１）不参与第Ｉ步与第Ｌ步之间的迭代。同时，ｊ以很大的概率不指向ＳＩ[Ｉ]，．．．，ＳＩ[Ｉ＋Ｂ]这几个元素。
即：
ＳＩ[１]＝ＳＩ＋Ｂ－１[１] ｉＬ－１＝Ｌ－１
ｊＩ＋Ｂ－１＝ｊＩ＋ＳＩ[Ｉ]＋．．．＋ＳＩ[Ｉ＋Ｂ－１]＋Ｋ[Ｉ]＋．．．＋Ｋ[Ｉ＋Ｂ－１]
考虑第Ｌ步：
ｉＩ＋Ｂ＝Ｉ＋Ｂ ｊＩ＋Ｂ＝ｊＩ＋Ｂ－１＋ＳＩ[Ｉ＋Ｂ]＋Ｋ[Ｉ＋Ｂ]
交换Ｓ[ｉ]，Ｓ[ｊ]，则ＳＩ＋Ｂ[Ｉ＋Ｂ]＝ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]。
如果ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]，ＳＩ＋Ｂ－１[１]和ＳＩ＋Ｂ－１[ＳＩ＋Ｂ－１[１]]不参与剩余的交换操作，那么输出为：
Ｏｕｔ＝ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]
而由前面的分析可以看出，ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]以很高的概率（约为１）没有参与前面的交换操作，也即ＳＩ＋Ｂ－１[ｊＩ＋Ｂ]＝ｊＩ＋Ｂ。由此可知
Ｏｕｔ＝ｊＩ＋ＳＩ[Ｉ]＋．．．＋ＳＩ[Ｉ＋Ｂ－１]＋Ｋ[Ｉ]＋．．．＋Ｋ[Ｉ＋Ｂ－１]＋ＳＩ[Ｉ＋Ｂ]＋Ｋ[Ｉ＋Ｂ]
利用上述关系可以成功地推出不同Ｋ字节之间的关系，从而加速攻击。
另外，由于密钥管理时密钥需要手工输入，所以绝大多数情况下，密钥只是ＡＳＩＩＣ字符。这样大大减小了密钥的搜索空间，提高了攻击效率。
３ 实验结果与结论
为对上述算法进行验证，进行了实验。实验中所采用的硬件为朗讯的ＯＲｉＮＯＣＯ无线网卡，操作系统为Ｒｅｄｈａｔ７．１。实验结果表明，本文所提出的算法平均在收集１００万到２００万加密数据包的情况下，成功地恢复出了原加密密钥。与Ｆｌｕｈｒｅｒ?Ｓ．、Ｍａｎｔｉｎ?Ｉ．、 Ｓｈａｍｉｒ? Ａ．所提出的ＫＳＡ攻击需要４００万到６００万数据包相比，攻击效率有了很大提高。
基于以上分析，不难看出：现有ＷＥＰ加密中存在重大的安全漏洞，这种情况并不因加密密钥长度的增加而得到改善，所以在ＷＥＰ２中同样存在。为此，建议现有的８０２．１１用户：
．假设８０２．１１链路层并不提供安全措施；
．为保障网络通信的安全，使用ＩＰＳＥＣ或者ＳＳＨ等高层加密手段；
．把所有通过８０２．１１接入的用户置于防火墙之外。
．经常更换密钥，同时针对密钥应尽量采用某种ＨＡＳＨ算法，避免采用全为ＡＳＩＩＣ字符的加密密钥。 |
