Algoritmo de codificación común

El cifrado por bloques procesa bloques de 64 bits en 56 rondas. Utiliza 8 bits de una clave expandida en cada ronda.

Las primeras 32 rondas del cifrado de flujo se utilizan para la inicialización y no generan ninguna salida. Los primeros 64 bits de datos se utilizan como vector de inicialización durante esta fase y permanecen sin cambios. A continuación, el cifrado de flujo genera 2 bits de secuencia pseudoaleatoria en cada ronda, que se combinan mediante la operación XOR a partir del bit 64 del paquete.

La parte de cifrado de flujo de CSA es vulnerable al seccionamiento de bits , una técnica de implementación de software que permite descifrar varios bloques, o el mismo bloque con varias claves diferentes, simultáneamente. Esto acelera significativamente una búsqueda por fuerza bruta implementada en software, aunque el factor es demasiado bajo para un ataque práctico en tiempo real.

La parte del cifrado por bloques es más difícil de segmentar por bits, ya que las cajas S involucradas son demasiado grandes (8x8) para implementarse eficientemente mediante operaciones lógicas, requisito indispensable para que la segmentación por bits sea más eficiente que una implementación convencional. Sin embargo, dado que todas las operaciones se realizan sobre subbloques de 8 bits, el algoritmo puede implementarse mediante SIMD convencional o una forma de segmentación por bytes. Como la mayoría de los conjuntos de instrucciones SIMD (con la excepción de AVX2 ) no admiten tablas de búsqueda paralelas, las búsquedas en las cajas S se realizan en una implementación sin segmentación por bytes, pero su integración en el resto del algoritmo no se ve afectada significativamente por dicha segmentación.

Ambas técnicas se utilizan en libdvbcsa , una implementación gratuita de CSA.

El criptoanálisis se dificulta ya que la mayoría de los datos están protegidos tanto por el cifrado de bloques como por el cifrado de flujo. Los códigos de adaptación pueden generar paquetes con algunos datos protegidos únicamente por el cifrado de bloques o por el cifrado de flujo. ^{[ 2 ]}

Aunque el algoritmo CSA utiliza claves de 64 bits, en la mayoría de los casos solo se desconocen 48 bits de la clave, ya que los bytes 3 y 7 se utilizan como bytes de paridad en los sistemas CA y pueden recalcularse fácilmente. Esto permite posibles ataques de texto plano conocido al combinarse con el conocimiento de la estructura subyacente del texto plano. Dado que los tres primeros bytes del encabezado PES son siempre 0x000001, sería posible lanzar un ataque de fuerza bruta . Dicho ataque revelaría millones de claves posibles, pero aún así, lo suficientemente pocas como para que resulte práctico intentar descifrar otras partes de los datos con la misma clave en una segunda pasada para recuperar la clave verdadera.

En 2011, un grupo de investigadores alemanes publicó un ataque ^{[ 3 ]} contra CSA, tal como se utiliza en el sistema DVB. Al observar que el relleno MPEG-2 frecuentemente requiere largas series de ceros, lo que lleva a que celdas completas de 184 bytes se cifren solo con ceros, es posible construir una tabla arcoíris que recupera la clave a partir de un bloque de ceros conocido. (Se sabría que un bloque es cero si se encontraran dos bloques con el mismo texto cifrado, ya que presumiblemente ambos serían bloques cero). El ataque descrito requeriría aproximadamente 7,9 TB de almacenamiento y permitiría a un atacante con una GPU recuperar una clave en unos siete segundos con un 96,8 % de certeza. Sin embargo, el ataque solo es efectivo cuando hay presentes dichos bloques de relleno de ceros (es decir, en escenas con muy poco movimiento o ruido), y se podría mitigar fácilmente, por ejemplo, enviando dichas celdas de ceros sin cifrar.

Esto difiere de los ejemplos de ataques de fuerza bruta ya mencionados, en que el contenido en texto plano de toda la celda se conoce antes del ataque, no solo partes de un bloque, lo que permite el cálculo anticipado de la tabla arcoíris.

En 2004, se publicó un ataque de fallos ^{[ 4 ]} contra el cifrado por bloques. La idea básica consistía en introducir algunos fallos deliberados en los cálculos intermedios, lo que permitía deducir las últimas ocho claves de ronda. A partir de esto, se podía calcular la clave final.

Si bien se necesitan muy pocos fallos (en promedio, dos o tres por ronda para recuperar la clave), los ataques de fallos suelen ser poco prácticos, ya que requieren la capacidad de cambiar bits a voluntad dentro del hardware de un decodificador que ya posee la clave en cuestión.