为什么LFSR流码不适合用于加密？是否存在针对LFSR的专用攻击？

1. LFSR流码不适合应用于加密场景的具体原因 #

• 核心缺陷为线性可预测性：原始LFSR的输出序列是GF(2)域上的严格线性序列，攻击者只要截获到长度等于LFSR阶数n的连续输出比特，就能通过解线性方程组直接反推完整的初始状态和反馈多项式，后续所有输出均可被完全复现，无保密性可言。
• 序列周期上限极低：n级LFSR的最大输出周期仅为2ⁿ-1，即使采用128级的原始LFSR，在当前通用算力下暴力遍历整个周期的成本远低于破解AES-128等现代对称加密算法的成本，无法抵抗暴力攻击。
• 不符合密码学基础设计要求：原始LFSR的输出和内部状态为直接线性映射，不满足香农提出的密码学安全必备的混淆、扩散特性，无法掩盖密钥、初始向量的统计特征，极易通过统计分析定位内部状态规律。

2. 针对LFSR的专用攻击方式 #

当前网络安全和密码学领域存在多款专门针对LFSR结构的攻击方式，主流包括以下几类：

• Berlekamp-Massey算法攻击：这是专门针对LFSR设计的经典破译算法，攻击者只要获取到长度为2n的连续输出比特（n为LFSR阶数），就能在O(n²)时间复杂度内计算出完整的反馈多项式和初始状态，完全破译该LFSR的所有输出。
• 相关攻击：是针对多LFSR组合生成器的主流攻击方式，利用单个LFSR输出和最终组合输出之间的统计相关性，逐个破解每个LFSR的内部状态，破解复杂度远低于暴力枚举。
• 代数攻击：将LFSR的输出与内部状态的映射关系转化为多元代数方程组，通过消元等方法求解方程组直接恢复初始状态，针对线性极强的LFSR结构，攻击效率远超传统统计攻击。
• 侧信道攻击：针对硬件实现的LFSR加密模块，通过采集运算过程中的功耗、电磁辐射、运算时延等侧信道信息，反推LFSR的移位过程和内部状态，无需截获完整的输出序列即可完成破解。

内容的提问来源于stack exchange，提问作者Mahdi