AES-256 cracckato in 239 tentativi? Ma non diciamo fesserie!

Stavo giusto leggendo Punto Informatico questa mattina (sì lo so, non depone a mio favore, ma ne leggo tanti di feed), quando mi cade l'occhio sulla solita notizia-"polpettone" di sicurezza.

La scorro velocemente e leggo di un articolo in cui alcuni validi ricercatori (tra cui lo Shamir di RSA) mettono in luce una nuova vulnerabilità di AES-256 in un caso molto particolare. Il redattore precisa che con soli 239 tentativi si riesce a risalire alla chiave e...

DUECENTOTRENTANOVE tentativi??????

Clicco sulla notizia refereziata e BING....anche qui il fatidico 239. Capite bene che la cosa è abbastanza strana e, avendo già in precedenza letto il post di Bruce Schneier, mi è subito sembrato evidente che quel 239 fosse in realtà 2 elevato alla 39.

"due elevato alla trentanove" da un punto di vista computazionale è sempre sorprendente rispetto a 2 elevato alla 120, ma capite bene che siamo ben lontani dal 239 citato dall'articolista. Bastava leggere il post di Bruce o anche Wikipedia.

Purtroppo questo denota scarsa dimistichezza con la materia crittografica (e anche informatica). Chiunque si sarebbe accorto dell'errore. Chiunque tranne uno! Delitti del copia e incolla :-)

Abstract.
AES is the best known and most widely used block cipher. Its three versions (AES-128, AES-192, and AES-256) differ in their key sizes (128 bits, 192 bits and 256 bits) and in their number of rounds (10, 12, and 14, respectively). In the case of AES-128, there is no known attack which is faster than the 2¹²⁸ complexity of exhaustive search. However, AES-192 and AES-256 were recently shown to be breakable by attacks which require 2¹⁷⁶ and 2¹¹⁹ time, respectively. While these complexities are much faster than exhaustive search, they are completely non-practical, and do not seem to pose any real threat to the security of AES-based systems.

In this paper we describe several attacks which can break with practical complexity variants of AES-256 whose number of rounds are comparable to that of AES-128. One of our attacks uses only two related keys and 2³⁹ time to recover the complete 256-bit key of a 9-round version of AES-256 (the best previous attack on this variant required 4 related keys and 2¹²⁰ time). Another attack can break a 10 round version of AES-256 in 2⁴⁵ time, but it uses a stronger type of related subkey attack (the best previous attack on this variant required 64 related keys and 2¹⁷² time).