نمایش مبدأ برای کاسومی

{{Infobox encryption method|name=کاسومی|designers=میتسوبیشی الکتریک|derived from=MISTY1|key size=128 بیت|block size=64 بیت|structure=شبکه فایستل|rounds=۸}}
'''کاسومی''' یک [[رمزگذاری قطعه‌ای]] است که در [[سامانه جهانی مخابرات سیار]]، [[جی‌اس‌ام]]، [[سرویس بسته امواج رادیویی]] [[تلفن همراه]] استفاده می‌شود. در [[سامانه جهانی مخابرات سیار]]، کاسومی به عنوان الگوریتم‌های [[رازداری]] و [[یکپارچگی داده‌ها]] به ترتیب به نام‌های {{انگلیسی|UEA1}} و {{به انگلیسی|UIA1}} به کار رفته‌است.<ref>{{cite web|publisher=3GPP|title=Draft Report of SA3 #38|url=http://www.3gpp.org/ftp/tsg_sa/TSG_SA/TSGS_28/Docs/pdf/SP-050236.pdf|year=2005}}</ref> در [[جی‌اس‌ام]]، کاسومی در تولیدکنندهٔ [[جریان‌کلید]] برای '''A5/3''' به کار رفته‌است. در [[سرویس بسته امواج رادیویی]]، کاسومی در تولیدکنندهٔ [[جریان‌کلید]] برای '''GEA3''' به کار رفته‌است.

کاسومی برای [[پروژه مشارکتی نسل سوم شبکه تلفن همراه]] {{به انگلیسی|3GPP}} طراحی شده بود تا به وسیلهٔ گروهی از متخصصان الگوریتم‌های امنیتی {{به انگلیسی|SAGE}} (بخشی از سازمان استانداردهای اروپایی به نام [[نهاد استانداردهای مخابراتی اروپا]]) در سامانه امنیتی [[سامانه جهانی مخابرات سیار]] به کار رود.<ref name="sage_report">{{cite web|publisher=3GPP|title=General Report on the Design, Speification<!--SIC--> and Evaluation of 3GPP Standard Confidentiality and Integrity Algorithms|url=http://www.3gpp.org/ftp/tsg_sa/WG3_Security/_Specs/33908-300.pdf|year=2009}}</ref>

به خاطر برنامهٔ فشرده برای استانداردسازی 3GPP، گروه SAGE پیشنهاد گروه فنی مخصوص 3GPP {{به انگلیسی|TSG}} را در مورد بخش امنیتی 3G {{به انگلیسی|SA3}} قبول کرد. پیشنهاد به این صورت بود که برای بخش امنیتی، به جای توسعه یک الگوریتم رمزگذاری جدید، از یک الگوریتم موجود که مورد ارزیابی قرار گرفته بود، استفاده شود.<ref name="sage_report"/> آن‌ها برای این کار، الگوریتم {{به انگلیسی|MISTY1}} را که توسعه‌یافته<ref>{{Cite journal|last=Matsui|first=Mitsuru|last2=Tokita|first2=Toshio|date=Dec 2000|title=MISTY, KASUMI and Camellia Cipher Algorithm Development|url=http://global.mitsubishielectric.com/company/rd/advance/pdf/vol100/vol100.pdf|journal=Mitsibishi Electric Advance|publisher=Mitsibishi Electric corp.|volume=100|pages=2&ndash;8|issn=1345-3041|archive-url=https://web.archive.org/web/20080724210408/http://global.mitsubishielectric.com/company/rd/advance/pdf/vol100/vol100.pdf|archive-date=2008-07-24|accessdate=2010-01-06|url-status=dead}}</ref> بود و توسط [[میتسوبیشی الکتریک]]، ثبت‌شده<ref>{{cite patent|inventor-last=Matsui|inventor-first=Mitsuru|inventor2-last=Tokita|inventor2-first=Toshio|publication-date=Sep. 19, 2002|issue-date=Aug. 22, 2006|title=Data Transformation Apparatus and Data Transformation Method|country-code=US|patent-number=7096369}}</ref> بود را انتخاب کردند. اصل الگوریتم برای پیاده‌سازی راحت‌تر توسط سخت‌افزار و فراهم‌کردن دیگر مجموعه نیازمندی‌های لازم برای امنیت ارتباطی تلفن‌های همراه 3G، مقداری تغییر کرد.

اسم کوسامی که بعد از نام اصلی الگوریتم {{به انگلیسی|MISTY1}} به علت معادل [[ژاپنی]] برای {{به انگلیسی|mist}} انتخاب شد. (به هیراگانا معادل [[wikt:en:かすみ#Japanese|かすみ]] و به روماجی معادل ''[[wikt:en:kasumi#Japanese|kasumi]]'' است)

در ژانویه ۲۰۱۰، اوردانکلمن {{به انگلیسی|Orr Dunkelman}}، ناتان‌کلر {{به انگلیسی|Nathan Keller}} و [[ادی شامیر]] یک مقاله‌ای را منتشر نمودند که در آن نشان‌داده شده بود که می‌توان الگوریتم کوسامی را با یک حمله کلیدهای مرتبط {{به انگلیسی|Related-key attack}} و منابع محاسباتی خیلی مدرن، شکست. البته این حمله در برابر MYSTY1 بی‌اثر بود.<ref name="a5-3-broken">{{cite journal|author1=Orr Dunkelman|author2=Nathan Keller|author3=Adi Shamir|date=2010-01-10|title=A Practical-Time Attack on the A5/3 Cryptosystem Used in Third Generation GSM Telephony|url=http://eprint.iacr.org/2010/013}}</ref>

== توضیحات ==
کاسومی یک الگوریتم است که به صورت خاص در تکنولوژی‌های 3GPP تعریف‌شده‌است.<ref>{{cite web|publisher=3GPP|title=3GPP TS 35.202: Specification of the 3GPP confidentiality and integrity algorithms; Document 2: Kasumi specification|url=http://www.3gpp.org/ftp/Specs/html-info/35202.htm|year=2009}}</ref> کاسومی یک [[رمزگذاری قطعه‌ای]] با کلیدی به طول ۱۲۸ بیت، ورودی و خروجی ۶۴ بیتی است. هستهٔ اصلی کاسومی یک [[شبکه فایستل|شبکهٔ فایستل]] با ۸ دور می‌باشد. توابع هر دور شبکهٔ فایستل، تبدیلات شبکه‌ای برگشت هستند. در هر دور، تابع مربوط به دور از یک زیرکلید ۱۶ بیتی که از طریق کلید ۱۲۸ بیتی اصلی الگوریتم و توسط یک زمان‌بند کلید ثابت تولیدشده است، استفاده می‌کند.

=== زمان‌بند کلید ===
کلید اصلی ۱۲۸ بیتی به اسم <math>K</math>، به ۸ زیرکلید ۱۶ بیتی <math>K_i (1 \le i \le 8)</math> تقسیم می‌شود:

{{آغاز چپ‌چین}}

<math>K=K_1 \| K_2 \| K_3 \| K_4 \| K_5 \| K_6 \| K_7 \| K_8\,</math>

{{پایان چپ‌چین}}

همچنین در کنار کلید اصلی، یک کلید تغییریافته به اسم <math>K^'</math> استفاده می‌شود که به روش مشابه، به ۸ زیرکلید ۱۶ بیتی <math>K^'_i (1 \le i \le 8)</math> تقسیم می‌شود. این کلید تغییریافته به وسیلهٔ [[یای انحصاری|یای‌انحصاری]] کلید اصلی <math>K</math> با عدد <math>{(123456789ABCDEFFEDCBA9876543210)}_{16}</math> به دست می‌آید. {{به انگلیسی|Nothing-up-my-sleeve number}}

این زیرکلیدهای هر دور، به وسیلهٔ چرخش بیتی به سمت چپ با مقداری مشخص یا از طریق کلیدهای تغییریافته (بدون تغییر) محاسبه می‌شوند.

کلیدهای ۸ دو به صورت زیر هستند:

{{آغاز چپ‌چین}}

<math>
\begin{array}{lcl}
KL_{i,1} & = & {\rm ROL}(K_i,1) \\
KL_{i,2} & = & K'_{i+2} \\
KO_{i,1} & = & {\rm ROL}(K_{i+1},5) \\
KO_{i,2} & = & {\rm ROL}(K_{i+5},8) \\
KO_{i,3} & = & {\rm ROL}(K_{i+6},13) \\
KI_{i,1} & = & K'_{i+4} \\
KI_{i,2} & = & K'_{i+3} \\
KI_{i,3} & = & K'_{i+7}
\end{array}
</math>

{{پایان چپ‌چین}}

زیراندیس‌های به کار رفته در فرمول‌های بالا به صورت گردشی است، یعنی اگر یک زیراندیس به صورت <math>i + j</math> از عدد ۸ بزرگتر شد، باید ۸ تا از آن کم شود تا مقدار واقعی [[اندیس (معدن)|اندیس]] محاسبه شود.

=== الگوریتم ===
الگوریتم کاسومی یک کلید ۶۴ بیتی را به صورت ۲ بخش ۳۲ بیتی در قالب بخش چپ (<math>L_i</math>) و بخش راست (<math>R_i</math>) پردازش می‌کند. ورودی الگوریتم کاسومی، الحاق سمت چپ و راست از اولین دور می‌باشد:

{{آغاز چپ‌چین}}

<math>{\rm input} = R_0\|L_0\,</math>

{{پایان چپ‌چین}}

در هر دور، بخش سمت راست (<math>R_i</math>) با خروجی تابع دور، [[یای انحصاری|یای‌انحصاری]] می‌شود و بعد از آن، جای دو بخش سمت چپ و راست تغییر می‌کند. (در تابع زیر، <math>KL_i, KO_i, KI_i</math> همان کلیدهای دور <math>i</math>ام محسوب می‌شوند)

{{آغاز چپ‌چین}}

<math>\begin{array}{rcl}L_i & = & F_i(KL_i,KO_i,KI_i,L_{i-1})\oplus R_{i-1} \\ R_i & = & L_{i-1}\end{array}</math>

{{پایان چپ‌چین}}

تابع دور {{به انگلیسی|round function}} برای دورهای زوج و فرد متفاوت می‌باشد. با این حال، در هر دور، تابع دور یک تابع از دو بخش <math>FL_i</math> و <math>FO_i</math> است. برای دورهای فرد، تابع دور به صورت زیر است:

{{آغاز چپ‌چین}}

<math>F_i(K_i,L_{i-1})=FO(KO_i, KI_i, FL(KL_i, L_{i-1}))\,</math>

{{پایان چپ‌چین}}

و برای دورهای زوج، تابع دور به صورت زیر است:

{{آغاز چپ‌چین}}

<math>F_i(K_i,L_{i-1})=FL(KL_i, FO(KO_i, KI_i, L_{i-1}))\,</math>.

{{پایان چپ‌چین}}

خروجی الگوریتم، الحاق بخش‌های خروجی دور آخر می‌باشد.

{{آغاز چپ‌چین}}

<math>{\rm output} = R_8\|L_8\,</math>

{{پایان چپ‌چین}}

هر دو تابع <math>FL</math> و <math>FO</math> ورودی ۳۲ بیتی خود را به دو بخش ۱۶ بیتی تبدیل می‌کنند. تابع <math>FL</math> یک تابع تغییر بیت‌ها به صورت بازگشت‌پذیر است در حالی که تابع <math>FO</math> یک شبکه فایستل ۳ دوره بازگشت‌ناپذیر است.

==== تابع <math>FL</math> ====
ورودی ۳۲ بیتی (<math>x</math>) تابع <math>FL(KL_i,x)</math>، به دو بخش ۱۶ بیتی تقسیم می‌شود: <math>x=l\|r</math>

بخش سمت چپ ورودی (<math>l</math>) با کلید دور <math>KL_{i,1}</math>، به صورت بیتی [[عطف منطقی]] می‌شود و سپس به اندازهٔ یکی بیت، به سمت چپ چرخش داده می‌شود. خروجی آن، با سمت راست ورودی (<math>r</math>)، [[یای انحصاری|یای‌انحصاری]] می‌شود تا سمت راست خروجی (<math>r'</math>) تولید شود:

{{آغاز چپ‌چین}}

<math>r'= {\rm ROL}(l \wedge KL_{i,1},1) \oplus r</math>

{{پایان چپ‌چین}}

سپس خروجی قبلی (<math>r'</math>) با کلید دور <math>KL_{i,2}</math> [[فصل منطقی]] می‌شود و سپس به اندازهٔ یک بیت به سمت چپ، چرخش پیدا می‌کند. سپس خروجی آن، با سمت چپ ورودی (<math>l</math>) [[یای انحصاری|یای‌انحصاری]] می‌شود تا سمت چپ خروجی (<math>l'</math>) تولید شود:

{{آغاز چپ‌چین}}

<math>l'= {\rm ROL}(r' \vee KL_{i,2},1) \oplus l</math>

{{پایان چپ‌چین}}

در نهایت خروجی، الحاق دو بخش سمت چپ و راست می‌باشد: <math>x'=l'\|r'</math>

==== تابع <math>FO</math> ====
ورودی ۳۲ بیتی (<math>x</math>) تابع <math>FO(KO_i, KI_i, x)</math>، به دو بخش ۱۶ بیتی تقسیم می‌شود: <math>x=l_0\|r_0</math>

سپس در درون ۳ دور از شبکهٔ فایستل عبور می‌کند.

در هر یک از سه دور شبکهٔ فایستل (دارای اندیس‌های ۱ و ۲ و ۳) سمت چپ تغییر می‌کند تا سمت راست دور بعدی را بسازد و سمت راست، به عنوان سمپ چپ دور بعدی استفاده می‌شود.

{{آغاز چپ‌چین}}

<math>
\begin{array}{lcl}
r_j & = & FI(KI_{i,j}, l_{j-1} \oplus KO_{i,j}) \oplus r_{j-1} \\
l_j & = & r_{j-1}
\end{array}
</math>

{{پایان چپ‌چین}}

در نهایت خروجی تابع به صورت روبرو خواهد بود: <math>x' = l_3\|r_3</math>

==== تابع <math>FI</math> ====
تابع <math>FI</math> یک شبکه فایستل غیرمعمولی است.

ورودی ۱۶ بیتی (<math>x</math>) تابع <math>FI(KI,x)</math> به دو بخش به صورت روبرو تقسیم می‌شود: <math>x=l_0\|r_0</math>

طول بخش <math>l_0</math> به اندازهٔ ۹ بیت و طول بخش <math>r_0</math>، ۷ بیت است.

بیت‌های موجود در بخش چپ (<math>l_0</math>) ابتدا توسط یک جعبهٔ جایگزینی {{به انگلیسی|S-box}} (به نام <math>S9</math>) مخلوط شده و نتیجه با گسترش‌یافتهٔ بخش راست (<math>r_0</math>) با بیت صفر، [[فصل منطقی]] می‌شود تا بخش سمت راست جدید (<math>r_1</math>) تولید شود:
{{آغاز چپ‌چین}}
<math>r_1=S9(l_0)\oplus (00\|r_0)\,</math>

{{پایان چپ‌چین}}

بیت‌های موجود در بخش راست (<math>r_0</math>) با یک جعبهٔ جایگزینی ۷ بیتی (به نام <math>S7</math>) مخلوط شده و سپس نتیجهٔ آن با هفت بیت کم‌ارزش (<math>LS7</math>) سمت راست جدید (<math>r_1</math>)، [[فصل منطقی]] می‌شود تا ۷ بیت جدید سمت چپ (<math>l_1</math>) تولید شود:

{{آغاز چپ‌چین}}

<math>l_1=S7(r_0)\oplus LS7(r_1)\,</math>

{{پایان چپ‌چین}}

در این‌جا کلمهٔ میانی <math>x_1=l_1\|r_1</math> با کلید دور <math>KI</math> [[فصل منطقی]] می‌شود تا <math>x_2=l_2\|r_2</math> تولید شود که در آن <math>l_2</math> به طول ۷ بیت و <math>r_2</math> به طول ۹ بیت است:

{{آغاز چپ‌چین}}

<math>x_2=KI\oplus x_1</math>

{{پایان چپ‌چین}}

بیت‌های موجود در بخش راست (<math>r_2</math>) ابتدا توسط یک جعبهٔ جایگزینی (به نام <math>S9</math>) مخلوط شده و نتیجه با گسترش‌یافتهٔ بخش راست (<math>l_2</math>) با بیت صفر، [[فصل منطقی]] می‌شود تا بخش سمت راست جدید (<math>r_3</math>) تولید شود:

{{آغاز چپ‌چین}}

<math>r_3=S9(r_2)\oplus (00\|l_2)\,</math>

{{پایان چپ‌چین}}

بیت‌های موجود در بخش چپ (<math>l_2</math>) با یک جعبهٔ جایگزینی ۷ بیتی (به نام <math>S7</math>) مخلوط شده و سپس نتیجهٔ آن با هفت بیت کم‌ارزش (<math>LS7</math>) سمت راست جدید (<math>r_3</math>)، [[فصل منطقی]] می‌شود تا ۷ بیت جدید سمت چپ (<math>l_3</math>) تولید شود:

{{آغاز چپ‌چین}}

<math>l_3=S7(l_2)\oplus LS7(r_3)\,</math>

{{پایان چپ‌چین}}

در نهایت خروجی تابع از الحاق دو بخش نهایی چپ و راست تولید می‌شود: <math>x'=l_3\|r_3</math>

==== جعبه‌های جایگزینی ====
جعبه‌های جایگزنی به نام‌های S7 و S9 هر دو توسط عملیات [[عطف منطقی]] و [[یای مانعةالجمع|یای انحصاری]] و جدول‌ها تعریف می‌شوند. عملیاتی منطقی برای پیاده‌سازی سخت‌افزاری استفاده می‌شوند ولی امروزه اکثراً برای نمایش آن از جدول‌ها استفاده می‌شوند. {{به انگلیسی|look-up table}}

جدول جایگزینی S7 به صورت زیر تعریف‌شده‌است:

<syntaxhighlight lang="C">
int S7[128] = {
   54, 50, 62, 56, 22, 34, 94, 96, 38,  6, 63, 93,  2, 18,123, 33,
   55,113, 39,114, 21, 67, 65, 12, 47, 73, 46, 27, 25,111,124, 81,
   53,  9,121, 79, 52, 60, 58, 48,101,127, 40,120,104, 70, 71, 43,
   20,122, 72, 61, 23,109, 13,100, 77,  1, 16,  7, 82, 10,105, 98,
  117,116, 76, 11, 89,106,  0,125,118, 99, 86, 69, 30, 57,126, 87,
  112, 51, 17,  5, 95, 14, 90, 84, 91,  8, 35,103, 32, 97, 28, 66,
  102, 31, 26, 45, 75,  4, 85, 92, 37, 74, 80, 49, 68, 29,115, 44,
   64,107,108, 24,110, 83, 36, 78, 42, 19, 15, 41, 88,119, 59,  3
};
</syntaxhighlight>

جدول جایگزینی S9 به صورت زیر تعریف‌شده‌است:

<syntaxhighlight lang="C">
int S9[512] = {
  167,239,161,379,391,334,  9,338, 38,226, 48,358,452,385, 90,397,
  183,253,147,331,415,340, 51,362,306,500,262, 82,216,159,356,177,
  175,241,489, 37,206, 17,  0,333, 44,254,378, 58,143,220, 81,400,
   95,  3,315,245, 54,235,218,405,472,264,172,494,371,290,399, 76,
  165,197,395,121,257,480,423,212,240, 28,462,176,406,507,288,223,
  501,407,249,265, 89,186,221,428,164, 74,440,196,458,421,350,163,
  232,158,134,354, 13,250,491,142,191, 69,193,425,152,227,366,135,
  344,300,276,242,437,320,113,278, 11,243, 87,317, 36, 93,496, 27,

  487,446,482, 41, 68,156,457,131,326,403,339, 20, 39,115,442,124,
  475,384,508, 53,112,170,479,151,126,169, 73,268,279,321,168,364,
  363,292, 46,499,393,327,324, 24,456,267,157,460,488,426,309,229,
  439,506,208,271,349,401,434,236, 16,209,359, 52, 56,120,199,277,
  465,416,252,287,246,  6, 83,305,420,345,153,502, 65, 61,244,282,
  173,222,418, 67,386,368,261,101,476,291,195,430, 49, 79,166,330,
  280,383,373,128,382,408,155,495,367,388,274,107,459,417, 62,454,
  132,225,203,316,234, 14,301, 91,503,286,424,211,347,307,140,374,

   35,103,125,427, 19,214,453,146,498,314,444,230,256,329,198,285,
   50,116, 78,410, 10,205,510,171,231, 45,139,467, 29, 86,505, 32,
   72, 26,342,150,313,490,431,238,411,325,149,473, 40,119,174,355,
  185,233,389, 71,448,273,372, 55,110,178,322, 12,469,392,369,190,
    1,109,375,137,181, 88, 75,308,260,484, 98,272,370,275,412,111,
  336,318,  4,504,492,259,304, 77,337,435, 21,357,303,332,483, 18,
   47, 85, 25,497,474,289,100,269,296,478,270,106, 31,104,433, 84,
  414,486,394, 96, 99,154,511,148,413,361,409,255,162,215,302,201,

  266,351,343,144,441,365,108,298,251, 34,182,509,138,210,335,133,
  311,352,328,141,396,346,123,319,450,281,429,228,443,481, 92,404,
  485,422,248,297, 23,213,130,466, 22,217,283, 70,294,360,419,127,
  312,377,  7,468,194,  2,117,295,463,258,224,447,247,187, 80,398,
  284,353,105,390,299,471,470,184, 57,200,348, 63,204,188, 33,451,
   97, 30,310,219, 94,160,129,493, 64,179,263,102,189,207,114,402,
  438,477,387,122,192, 42,381,  5,145,118,180,449,293,323,136,380,
   43, 66, 60,455,341,445,202,432,  8,237, 15,376,436,464, 59,461
};
</syntaxhighlight>

== رمزشناسی ==
در سال ۲۰۰۱، یک حلمه دیفرانسیلی غیرممکن {{به انگلیسی|impossible differential attack}} برای ۶ دور کاسومی توسط Kühn معرفی شد.<ref>{{cite conference|last=Kühn|first=Ulrich|title=Cryptanalysis of Reduced Round MISTY|conference=EUROCRYPT 2001|citeseerx=10.1.1.59.7609}}</ref>

در سال ۲۰۰۳، الادبارکن {{به انگلیسی|Elad Barkan}}، الی‌بیهام {{به انگلیسی|Eli Biham}} و ناتان‌کلر {{به انگلیسی|Nathan Keller}} یک [[حمله مرد میانی|حملهٔ مرد میانی]] را در برابر پروتکل [[جی‌اس‌ام]] معرفی کردند که مانع از رمزگذاری A5/3 شده و سبب شکستن پروتکل شد. اما این روش به رمزگذاری A5/3 حمله نکرد.<ref>{{cite conference|author=Elad Barkan, [[Eli Biham]], Nathan Keller|title=Instant Ciphertext-Only Cryptanalysis of GSM Encrypted Communication|pages=600–616|conference=CRYPTO 2003|url=https://www.cs.technion.ac.il/users/wwwb/cgi-bin/tr-get.cgi/2006/CS/CS-2006-07.pdf|access-date=۱ آوریل ۲۰۲۰|archive-date=۲۵ ژانویه ۲۰۲۰|archive-url=https://web.archive.org/web/20200125081932/http://www.cs.technion.ac.il/users/wwwb/cgi-bin/tr-get.cgi/2006/CS/CS-2006-07.pdf|url-status=dead}}</ref> نسخهٔ کامل این مقاله بعدها رد سال ۲۰۰۶ منتشر شد.<ref>{{cite web|url=https://www.cs.technion.ac.il/users/wwwb/cgi-bin/tr-get.cgi/2006/CS/CS-2006-07.pdf|title=Instant Ciphertext-Only Cryptanalysis of GSM Encrypted Communication by Barkan and Biham of Technion (Full Version)|author=Elad Barkan, [[Eli Biham]], Nathan Keller|access-date=۱ آوریل ۲۰۲۰|archive-date=۲۵ ژانویه ۲۰۲۰|archive-url=https://web.archive.org/web/20200125081932/http://www.cs.technion.ac.il/users/wwwb/cgi-bin/tr-get.cgi/2006/CS/CS-2006-07.pdf|url-status=dead}}</ref>

در سال ۲۰۰۵، الی‌بیهام {{به انگلیسی|Eli Biham}}، یک محقق اسرائیلی، اردانکلمن {{به انگلیسی|Orr Dunkelman}} و ناتن‌کلر {{به انگلیسی|Nathan Keller}} یک مقاله در مورد حمله بومرنگ {{به انگلیسی|Boomerang attack}} برای کاسومی منتشر نمود که می‌تواند خیلی سریع‌تر از [[حمله جستجوی فراگیر]] ۸ دور کاسومی را بشکند.<ref>{{cite conference|author=[[Eli Biham]], Orr Dunkelman, Nathan Keller|title=A Related-Key Rectangle Attack on the Full KASUMI|pages=443–461|conference=ASIACRYPT 2005|url=http://www.ma.huji.ac.il/~nkeller/kasumi.ps|format=ps|url-status=dead|archiveurl=https://web.archive.org/web/20131011053531/http://www.ma.huji.ac.il/~nkeller/kasumi.ps|archivedate=2013-10-11}}</ref> این حمله به 2<sup>54.6</sup> [[متن آشکار]] که هر کدام توسط ۴ کلید مرتبط به هم، رمز شده‌اند نیاز دارد و دارای پیچیدگی زمانی برابر با 2<sup>76.1</sup> عمل رمزگذاری کاسومی است. اگر چه این یک حمله کاربردی نیست، اما اعتبار برخی از اثبات‌ها را در مورد امنیت رمزگذاری پروتکل 3GPP را که بر اساس امنیت از پیش تعیین‌شدهٔ کاسومی بود، بی‌ارزش کرد.

در سال ۲۰۱۰، دانلکمن {{به انگلیسی|Dunkelman}} و کلر {{به انگلیسی|Keller}} و شمیر {{به انگلیسی|Shamir}} یک حملهٔ جدید را منتشر نمودند که یک شنونده اجازه می‌داد تا بتواند کلید کامل A5/3 را توسط حملهٔ کلیدهای مرتبط {{به انگلیسی|related-key attack}}<ref name="a5-3-broken"/> بدست آورد. مدت زمان و پیچیدگی فضای حمله آن قدر کم بود که حتی نویسندگان معتقد بودند که با یک کامپیوتر [[اینتل کور ۲]] و حتی استفاده از پیاده‌سازی‌های غیر بهینهٔ کاسومی، آن را می‌توان در ۲ ساعت شکست. نویسندگان اشاره کرده بودند که شاید حمله برای روش A5/3 که در سامانه‌های 3G استفاده شده‌است، قابل استفاده نباشد. دلیل اصلی آن‌ها این بود که 3GPP تضمین کرده بود که تغییرات آن‌ها در الگوریتم MISTY، به صورت جدی امنیت الگوریتم را تحت تأثیر قرار نداده‌است.

== برای مطالعهٔ بیشتر ==
* [[A5/1]] and [[A5/2]]
* [[MISTY1]]
* [[SNOW]]

== منابع ==
{{پانویس|30em|۲}}

== پیوند به بیرون ==
* [https://web.archive.org/web/20080604000934/http://www.ma.huji.ac.il/~nkeller/ Nathan Keller's homepage]

[[رده:استانداردهای پروژه مشارکتی نسل سوم]]
[[رده:رمزنگاری قطعه‌ای شکسته]]
[[رده:رمزنگاری‌های فیستل]]