Вскрытие вставкой

Синхронные потоковые шифры чувствительны к вскрытию вставкой [93]. Пусть Мэллори записал поток шифротекста, но не знает ни открытого текста, ни потока ключей, использованного для шифрования открытого текста.

Оригинальный открытый текст: p_l p₂ p₃ p₄ ...
Оригинальный поток ключей: k₁ k₂ k₃ k₄ ...
Оригинальный шифротекст: c₁ c₂ c₃ c₄ ...

Мэллори вставляет один известный ему бит, p', в открытый текст после p₁ и затем пытается получить модифицированный открытый текст, шифрованный тем же потоком ключей. Он записывает получившийся новый шифротекст:

Новый открытый текст: p_l p' p₂ p₃ p₄ ...
Оригинальный поток ключей: k₁ k₂ k₃ k₄ k₅ ...
Обновленный шифротекст: c₁ c'₂ c'₃ c'₄ c'₅ ...

Так как он знает значение p', то может определить весь открытый текст после этого бита по оригинальному и новому шифротекстам:

k₂ = c'₂ A p', затем p₂ = c₂ A k₂
k₃ = c'₃ A p₂, затем p₃ = c₃ A k₃
k₄ = c'₄ A p₃, затем p₄ = c₄ A k₄

Мэллори даже не нужно знать точное положение вставленного бита, он может просто сравнить оригинальный и обновленный шифротексты, чтобы обнаружить, где они начинают отличаться. Для предотвращения такого вскрытия никогда не используйте один поток ключей для шифрования двух различных сообщений.