Есть наверное несколько ключей, которые можно обнаружить путем замены блоков в аутентифицированном сообщении длиной в несколько десятков миллионов блоков. Есть также тривиальный нулевой слабый ключ и тривиальный ключ 1.
Напомним, что добавка Poly1305 MAC рассчитывается как
$$\left(\sum_i c_i r^i\pmod{2^{130}-5}\right)\pmod{2^{128}}$$
куда $c_i$ представляет собой мягкую подделку блока сообщений и $г$ является MAC-ключом. Очевидно, что если $г=0$ то добавка всегда равна нулю. Это тривиально обнаружить, так как любая модификация сообщения все равно будет аутентифицироваться. Если $г=1$, замена любого $c_i$ и $c_j$ добавку не менял. Это достигается заменой двух блоков сообщений при условии, что ни один из них не является последним блоком сообщения.
Аналогично, если $ г \ эквив -1 \ pmod {2 ^ {130} - 5} $ (соответствует подгруппе порядка 2), то замена $c_i$ и $c_j$ куда $я$ и $j$ иметь одинаковую четность не изменило бы аддитивную замену блоков $m_i$ и $m_j$ добьется этого при условии, что ни один из них не является конечным блоком. Однако это $г$ не может встречаться как ключ Poly1305, поскольку его двоичное выражение равно 11111111....11010, а ключи Poly1305 должны иметь нулевые биты в позициях 28, 29, 30, 31, 32, 33, 60, 61, 62, 63, 64, 65, 66, 92, 93, 94, 95, 96, 97, 124, 125, 126, 127, 128 и 129 (обратите внимание, что это примерно $2^{-24}$ условие на элементы мода $2^{130}-5$).
Пишу $р=2^{130}-5$ и отметив, что 2 - это примитивный корневой мод $р$, мы пишем $\omega_{23}\equiv 2^{(p-1)/23}\pmod p$ и полномочия $\омега_{23}$ все порядка 23. Перестановка $c_i$ и $c_j$ где находятся $я$ и $j$ конгруэнтны по модулю 23, не изменит добавку, когда $ г \ эквив \ омега_ {23} ^ к $ для некоторых $к$ давая еще 23 возможных слабых ключа. Однако ни один из этих ключей вряд ли удовлетворяет битовым условиям для $г$ (я не проверял). То же самое для других 23 ключей порядка 46.
Однако, если мы напишем $\omega_{32985101}\equiv 2^{(p-1)/32985101}\pmod p$, обмен $c_i$ и $c_j$ где находятся $я$ и $j$ конгруэнтны, мод 32985101 не изменит добавку, когда $ г \ эквив \ омега_ {32985101} ^ к $ для некоторых $к$ и это гораздо большее семейство потенциально слабых ключей, полдюжины из которых, вероятно, будут соответствовать ограничениям на $г$ (поиском не пользовался, но все понятно). Сообщения более $2^{25}$ блоки не исключены.
Также, вероятно, будет еще несколько ключей, соответствующих элементам порядка. $2\раз 32985101$, $23\раз 32985101$ и 46$\раз 32985101$. Элементы, где 897064739519922787230182993783 делят свой порядок, также теоретически соответствуют другим слабым ключам, но длина сообщения составляет около $2^{100}$ блоки нереалистичны, и их, вероятно, следует избегать по другим причинам.
