Режимы блочного шифрования CTR и OFB и их постквантовая безопасность. Некоторые вопросы

Говорят, что квантовые компьютеры могут взламывать блочные шифры с помощью 2 ^ (n/2) запросов (что является размером ключа n).

Я прочитал эту бумагу: https://eprint.iacr.org/2016/197

В нем говорится, что режимы CTR и OFB безопасны для квантовых противников.

Это оставило у меня сомнения.

Может ли квантовый противник взломать блочный шифр в режиме CTR/OFB с помощью 2^(n/2) запросов? Или запросы будут как классические вычисления ( 2^(n/2) )?

У меня есть еще один вопрос.

У меня есть внешний HD, полностью зашифрованный блочным шифром Threefish в режиме CTR с 3 уровнями 1024-битных ключей. Я знаю, что CTR уязвим для атак типа «встреча посередине», и на практике у меня есть только 2049-битная безопасность (несмотря на то, что злоумышленнику приходится хранить в памяти 2^1024 блока).

/\ В случае, если безопасность CTR будет 2 ^ n (где n - размер ключа) в квантовом сценарии, будет ли у меня 2049-битная постквантовая безопасность с использованием режима CTR с 3 1024-ключами в режиме CTR?

Я прочитал эту бумагу: https://eprint.iacr.org/2016/197

В нем говорится, что режимы CTR и OFB безопасны для квантовых противников.

Вы должны понимать предполагаемую модель атаки. Он предполагает сценарий, в котором злоумышленник может делать квантово-запутанные запросы к Oracle и получать обратно запутанные ответы; то, что они показывают, что даже в этом сценарии у злоумышленника нет значительного преимущества перед простой атакой самого базового блочного шифра [1].

Теперь, если у вас есть шифрование диска, а «запросы», которые разрешено делать злоумышленнику, — это изучение зашифрованного текста (состоящего из классических «0» и «1»), у него нет возможности предпринять такую ​​атаку, а так бумажка для вас совершенно не актуальна.

У меня есть внешний HD, полностью зашифрованный блочным шифром Threefish в режиме CTR с 3 уровнями 1024-битных ключей.

И как генерировать эти ключи? Если вы не сгенерируете их совершенно случайным образом и не сохраните в совершенно безопасном месте, у вас не будет такой безопасности, как вы думаете. Например, если вы создаете их на основе введенного пользователем пароля, то у вас не больше безопасности, чем то, что содержится в пароле.

[1]: я чувствую необходимость указать, что эта модель атаки кажется чрезвычайно надуманной; мы буквально не знаем, как сделать реализацию, которая позволила бы такую ​​атаку.