Period of Streamcipher Edon80

스트림 암호 Edon80의 주기 특성

Abstract

The period of a recent streamcipher proposal Edon80 is analyzed. The designers of Edon80 had projected a period of $2^{103}$ Even though this could indeed be the average keystream Period, we show that for a randomly chosen key-IV pair, there exists a non-dismissible probability that the produced keystream will be of relatively short period. More explicitly, a keystream of period. $2^{55}$ may appear with probability $2^{-71}$, and one can show the existence of at least one key-lV pair producing a period $2^{11}$ keystream.

최근 eSTREAM을 통하여 제안된 스트림 암호 Edon80의 주기를 분석한다. Edon80의 설계자들은 $2^{103}$ 주기를 주장하였다. 본 논문에서는 이것이 키수열 주기의 평균으로서는 사실일 수 있으나, 키와 IV를 랜덤하게 선택했을 경우 무시할 수 없을 정도로 높는 확률로 비교적 짧은 주기의 키수열 또한 나타남을 보인다. 구체적인 예로, 주기 $2^{55}$의 키수열이 확률 $2^{-71}$로 나타나며, 주기 $2^{11}$의 키수열을 생성하는 키-IV쌍이 적어도 하나 존재함을 확인할 수 있다.

Ⅰ. 서론

현재 유럽 연합의 암호 관련 프로젝트인 ECR- YPT에서는 eSTREAM이라는 이름으로 스트림 암 호 선정 작업을 진행하고 있다, 작년 말에 공모가 발 표되었으며, 올해 4월이었던 마감일까지 총 34개의 알고리즘이 제출되었다. eSTREAMe 이 중 약 20 개를 선정하여 개발자들에게 이를 지난 5월 덴마크 Aarhus에서 열린 Symmetric Key Encryption Workshop (SKEW)을 통하여 소개할 기회를 제공 하였다. 스트림 암호 Edon80은 이때 소개된 알고리 즘 중 하나이다. Edon80은 FSE2005⁽¹⁾에서 발표 된 quasigroup string e-transformation이라는 개념에 기초하고 있으며, 설계자들은 기존의 결과를 바탕으로 안전성에 대한 일부 증명 가능한 결과를 제시하기도 하였다.

본 논문에서 우리는 Edon80의 주기를 분석한다. Edon80의 설계자들은 발생 키수열의 주기가 2¹⁰³일 것이라고 주장하였다. 본 논문은, 이것이 평균적으로 는 사실일 수 있으나, 무시할 수 없을 만큼 높은 확률로 비교적 짧은 주기의 키수열이 생성되며, 극히 짧은 주기의 키수열도 생성될 가능성이 있음을 보인 다’ 예를 들어 2⁵⁵처럼 짧은 주기의 키수열이 확률로 나타나며 , 주기 2¹¹의 키수열을 생성하는 키 -IV쌍이 적어도 하나 존재한다.

Ⅱ. Edon80 소개

본 절에서는 스트림 암호 Edon80⁽²⁾을 간단히 소 개한다. Edon80은 80비트 안전성을 목표로 하는 하드웨어 기반 암호이다. 80비트 크기의 키와 64비트 크기의 IV를 사용한다.

2.1 Quasigroup

Edon80은 다음 4종의 위수-4 quasigroup을 사용한다.

Quasigroup의 개념에 친숙하지 않은 독자는 이 들을 단순히 4개의 원소를 가지는 집합에 주어진 (비 가환이며 결합법칙도 만족하지 않는) 곱하기 규칙으 로 생각하면 된다. 각 곱하기 규칙을 서로 구별하기 위하여 2비트 숫자로 index를 주었다.

2.2 키 초기화

80비트 크기의 키 K는 키수열 생성에 실제로 사 용될 80개의 순차적 quasigroup을 정하는데 사용 된다. 키 K를 우선 2비트 부분키들로 나눈다.

\(K=K_{0}\left\|K_{1}\right\| \cdots \| K_{39} .\)       (1)

이들 부분키를 index로 사용하여 각 quasigroup 연산자 *_i (i=0,1, ..., 79)를 다음의 규칙에 따라 *_j (j=0, ... , 3) 중 하나로 고정한다.

\(*_{i}= \begin{cases}{ }_{K_{i}} & \text { for } 0 \leq i<40 \\ { }_{K_{i-40}} & \text { for } 40 \leq i<80\end{cases}\)       (2)

따라서 키 K는 사용될 quasigroup을 완전히 결정하고, 반대로 임의의 연속적인 40개의 연산자 *_i 는 키를 완전히 결정한다.

2.3 IV 초기화

키를 고정시킨 상태에서, IVSetupe 64-bit IV를 유한 수열 a₀, ... , a₇₉)에 대응시킨다. 이때 각 a_i는 2비트 값으로 키 및 IV 모두에 의존한다. IVSetup 의 정확한 동작 방식은 본 논문의 논의와 무관하므로 자세히 설명하지 않는다.

2.4 키수열 생성

표 1에 주어진 quasigroup 원소들을 살펴보자. 각 행은 오른쪽으로 무한히 계속되는 quasigroup 원소들의 수열이며, 이 중 첫 번째 행은 4를 주기로 반복되는 고정된 무한 수열이다. 첫 번째 열에는 키 로부터 미리 결정된 80개의 quasigroup 연산자 *_i를 나열했다. 그 다음 열은 IVSetup 과정에서 얻어진 유한 수열을 나타낸다. 나머지 원소 a_i,j들은 quasigroup 연산자들을 사용하여 제일 위 왼쪽 구석을 시작으로 순차적으로 얻어진다. 구체적으로, 각 a_i,j 는 다음과 같이 계산한다.

표 1. 키수열 생성

\(a_{i ,j}=*_{i}\left(a_{i, j-1}, a_{i-1, j}\right)\)       (3)

여기서 a__1,j= j (mod4)가 초기 수열로 주어진 최상위 행이며 a_{i_1}=a_i가 IVSetup으로 얻은 초기 상태이다. 마지막으로, 키수열은 가장 아래 행의 짝수 번째 원소들로 주어진다.

키수열 \(=\left(a_{79,1}, a_{79,3}, a_{79,5}, \cdots\right)\).       (4)

앞으로의 논의는 대부분 quasigroup 연산자 *_i, (i=0, 1, ..., 79)들과 동치라고 볼 수 있는 키와 IV Setup 과정 후에 얻어지는 초기 상태 (a₀, ..., a₇₉)를 중심으로 이루어질 것이다. 이들 둘을 합하여 본 논문에서는 키-상태 쌍이라 부르도록 하겠다.

2.5 주기

하나의 행으로부터 새로운 아래 행을 표 1에 나타난 방식으로 계산하는 과정을 quasigroup string e-transformation이라 부른다. 이러한 변환은 주 어진 주기 수열을 새로운 주기 수열에 대응시킴은 자 명하다. Edon80의 설계자들은 주어진 임의의 행에 e-transformation을 1회 적용할 때 마다 수열의 주기가 (평균적으로) 2.48배 증가한다고 주장한다’ 따라서 최종적으로 얻은 키수열의 주기는

\(4 \times(2.48)^{80} \times \frac{1}{2} \sim 2^{105.8}\)       (5)

이 될 것으로 예상할 수 있다. 여기서 첫 번째 항 4는 시작이 되는 초기 수열의 주기를 나타낸 것이며, 끝 항 1/2은 마지막 행의 결과에서 반만을 실제 키수 열로 출력하기 때문에 곱한 것이다.¹⁾ 설계자들은 이러한 논리를 제공하면서도 실제로는 2¹⁰⁶이 아닌 2¹⁰³의 주기를 제시하였는데, 사소한 계산 실수가 있었던 것으로 보인다.

설계자들은 키수열의 사용에 있어서 길이 제한을 설정하지 않았다. 따라서 최대 2¹⁰³비트까지의 키수열 사용을 허락한 것으로 볼 수 있을 것이며, 한발 물러 선다 하더라도 80비트 안전성을 추구하는 스트림 암 호가 일반적으로 제공하는 2⁸⁰까지는 허락한다고 볼 수 있다.

Ⅲ. 바람직하지 않은 키-상태 쌍

본 절에서는 표 1을 구체적인 quasigroup의 원 소들로 채우되 가장 아래 행이 주기 4의 수열이 되도 록 할 것이다. 해당 키-상태 쌍은 결국 주기 2의 키 수열을 가져올 것이다.

3.1 부분적인 키-상태 쌍

표 2에 주어진 순차적인 5회의 quasigroup string e-transformation을 살펴보자. 이들 각 행의 주기가 4임을 주목하자. 첫 2열에 대한 전수조사를 통하여 이와 같이 모든 행의 주기가 4이며 5행으로 이루어진 부분 키-상태 쌍을 166~2^7.38개 찾을 수 있었다.

표 2. 부분 키-상태 쌍 예제

동일한 방식으로 작은 크기의 d와 p에 대해서, d 개의 행으로 이루어진 주기 p의 키-상태 쌍을 전수 조사하여 그 결과를 표3에 적어보았다. 표에 실제로 적은 값들은 찾은 개수의 log값이다. 예를 들어 첫 번째 항은 5개의 행으로 이루어진 주기 4의 키-상태 쌍이 대략 2^7.38개 존재함을 의미한다’ 표에서 비어있는 부분은 시간 및 자원의 한계로 구하지 못한 값들 이다.

표 3. d-행, 주기-p 키-상태 쌍의 개수

각 열을 따라 아래 방향으로 내려가며 값을 살펴 보면, 숫자들이 거의 등차수열을 이루며 증가함을 확인할 수 있다. 이를 근거로 40개의 행으로 이루어진 키-상태 쌍에 대하여 표 4의 결과를 추정할 수 있다. 이들 값이 정확하지는 않더라도 적어도 근사적으로는 사실일 것으로 기대할 수 있다. .

표 4. 짧은 주기의 40-행 키-상태 쌍 개수 추정

3.2 주기-2의 키-상태 쌍

40-행 주기-4의 키-상태 쌍 약 2⁷²개 중 임의로 하나를 선택해 보자. 이러한 부분 키-상태 쌍의 최하 위 행은 물론 주기 4의 수열이며, 이는 약 (1/4)⁴의 확률로 최상위 행의 초기 수열(0, 1, 2, 3, 0, …)과 동일할 것이다. 작은 개수의 행에 대해서는 이것이 대체 적으로 사실임을 실험적으로 확인할 수 있었다.²⁾ 따라서 최하위 행이 초기수열과 동일한, 40-행 부분 키-상태 쌍이 대략 2⁶⁴개 존재할 것으로 기대할 수 있다. 부록에 이의 구체적인 예를 하나 제시하였다.

이제 이러한 특별한 형태의 40-행 부분 키-상태를 하나 고정하자. 선택한 40-행 부분 키-상태 쌍의 복사본을 본래의 키-상태 쌍 바로 아래에 이어서 붙이자. 이렇게 연결할 수 있는 것은 바로 40번째 행이 복사본의 최상위 행인 주기-4의 초기수열과 동일하기 때문이다. 상위 40개 행이 키를 완전히 결정하여 하위 행의 quasigroup 연산자들을 결정한다는 사실도 실제로는 이러한 과정이 *_i = *_i+40 (i=0,1,... ,39)의 규칙을 따르기 때문에 하위 40행에 상위 40행의 복 사본을 사용하는 우리의 구성과 배치되지 않는다. 결 합된 결과는 표 1에 구체적인 quasigroup 원소들 을 채운 형태가 된다.

이제 구성한 80-행 키-상태 쌍 최하위 행의 짝수 번째 항이 실제 키수열임을 기억하면 주기 2의 키수 열을 생성하는 키-상태 쌍을 얻었음을 알 수 있다. 결국 동일한 키수열 (1, 3, 1, 3, 1, ...)을 출력하는 2⁶⁴개의 (전제) 키-상태 쌍이 존재함을 보인 것이다. 물론 이들 키-상태 쌍 중 일부라도 정상적인 IVSetup 과정을 통하여 도달 가능한지는 명확하지 않으므로 이를 Edon80의 약점으로 보기에는 무리가 있다.

Ⅳ. 바람직하지 않은 키-Ⅳ 쌍

본 절에서는ky 표 1을 구체적인 quasigroup의 원소들로 채우되 최하위 행이 상당히 짧은 주기의 수 열이 되도록 할 것이다. 구성한 키-상태 쌍의 개수는 충분히 많아 이들 중 의미 있는 만큼이 실제로 키 -IV 쌍에 대응될 것이다. 이는 일종의 취약 키-IV 쌍을 찾은 것으로 볼 수 있다.

표를 채우는 과정은 2단계로 이루어질 것이다. 우선 상위 40개 행을 주기 4, 8, 또는 16이 되도록 채울 것이다. 이후 나머지 40개 행은 상위 행들이 주는 제한은 만족시키면서 최대한 랜덤하게 채우게 된다.

4.1 짧은 주기를 가져오는 키-상태 쌍

40개 행으로 이루어졌으며 각 행이 주기 4인 40- 행 부분 키TV 쌍을 하나 고정호].자. 이러한 부분 키 -IV 쌍의 마지막 40번째 행 또한 주기가 4임에 주 목하자. 40개 행이 결정되었으니 나머지 40개 행에 사용될 quasigroup 연산자 *_j (i=40, ... , 79) 또한 유일하게 결정되었다. 이들을 주어진 대로 사용하면서 나머지 40개의 초기 상태 (a₄₀, ..., a₇₉)을 quasigroup-2! 원소로 랜덤하게 채운다.

설계자들의 논리를 그대로 따르면 마지막 80번째 행의 주기는 약 4x(2.48)⁴⁰ ~ 2^54.41로 예상할 수 있다. 이는 설계자들이 제시하는 값 2¹⁰³과는 큰 차이가 있는 주기 2^53.41의 키수열에 해당한다. 뿐만 아니라 이는 80비트 안전성에 대응되는 2⁸⁰에도 미치지 못하는 값이다.

표 4를 살펴보면 총 2⁷²개의 40-행 키-상태 쌍이 존재함을 알 수 있고, 하위 40개 행에 quasigroup 원소를 랜덤하게 선택하여 넣는 자유도가 80비트만 큼 있음을 생각하면 다음의 결론에 도달할 수 있다.

-주기 2⁵³의 키수열을 생성하는 키-상태 쌍이 최소한 2⁷²⁺⁸⁰개 존재한다.

좀 더 정확한 표현은 “그 평균 키수열 주기가 2⁵³ 이 되는 2⁷²⁺⁸⁰개의 원소로 이루어진 일군의 키-상태 쌍이 있다”는 것이다. 그러나 전체적인 모습을 보는 데에는 큰 무리가 없으므로 앞으로도 이러한 정확한 표현 보다는 위와 같이 대략적인 표현을 사용하겠다.

주기 8 또는 16의 40-행 키-상태 쌍으로 출발하 면 각각 다음 결론에 도달한다.

-주기-2⁵⁴ 의 키-상태 쌍 2⁸²⁺⁸⁰개,

-주기-2⁵⁵의 키-상태 쌍 2⁸⁹⁺⁸⁰개

이상이 존재한다.

4.2 짧은 주기를 가져오는 키-IV 쌍

이제 앞 소절에서 찾은 키-상태 쌍이 IVSetup를 통하여 실제로 키-IV 쌍에 대응되는지 살펴보는 일 이 남았다. 키가 임의로 고정된 상태에서 IVSetup 과정은 64비트 IV를 160비트 상태에 대응시킨다. 따라서 IVSetup이 적절히 랜덤성을 확보하도록 설 계되었다는 가정하에서 임의의 키-상태 쌍이 IVSetup을 통하여 구체적인 키-:[V에 대응될 가능 성은 2^-96이다. 이를 바탕으로 다음의 결과를 제시할 수 있다.

-주기-2⁵³의 키_IV 쌍 2⁵⁶개 ,

- 주기-2⁵⁴의 키-IV 쌍 2⁶⁶개 ,

-주기-2⁵⁵의 키 -IV 쌍 2⁷³개

이상이 존재한다. 전체적으로 2⁸⁰⁺⁶¹개의 키-IV 쌍이 존재하므로 랜덤하게 선택한 키-IV 쌍이 생성하는 키수열이

-주기—2⁵³일 가능성은 2^-88 

-주기-2⁵⁴ 일 가능성은 2^-78,

-주기-2⁵⁵일 가능성은 2^-71

이상이다. 이 중 2가지는 2^-80보다 크므로, 해당 길 이의 키수열 사용이 허락되었다면 유효한 공격에 해당된다. 물론 설계자들은 2¹⁰³의 주기를 제시하였으므로 이러한 짧은 길이의 키수열 사용이 허락된 것으로 보는 것이 타당할 것이다.

Ⅴ. 주기의 분포

본 절에서는, 랜덤하게 키 및 IV를 사용할 경우 앞에서 다루어왔던 것보다 약간 긴 주기를 생성하는 키TV 쌍은 약간 더 자주 마주치게 되며, 극히 짧은 주기의 키수열 또한 사용할 가능성이 있음을 보인다.

5.1 주기별 키-IV 쌍 사용 확률

앞서 구성했던 방식대로 표1을 반드시 상위 및 하 위 40개 행으로 나누어야만 하는 것은 아니다. 예를 들기 위해 우선 표 3을 선형적으로 확장하여 짧은 주기를 가지는 34-행 키-상태 쌍의 수를 계산하자. 결과는 표 5에 정리하였다. 이러한 34-행 키-상태 쌍 으로부터 출발하여, 우선 35에서 40번째에 해당하는 6개 행을 랜덤하게 선택한 키-상태 값으로 채우고, 나머지 하위 40개 행을 상위 40개 행이 가져오는 제 한 내에서 최대한 랜덤하게 채우자. 이러한 방식은 4 - 6 +80 = 104 비트의 자유도를 확보한다. 최하위 행 의 주기는 4x(2.48)¹⁶ ~ 2^62.28로 예상할 수 있으며, 키 -상태 쌍과 키-IV 쌍을 대응시키면서 96-비트 자유 도를 잃으므로 다음의 결과를 얻을 수 있다.

표 5. 짧은 주기의 34-행 키-상태 쌍 개수 추정

-주기-2⁶¹ 의 키-IV 쌍 2⁶⁹개 ,

-주기-2⁶²의 키-IV 쌍 2⁷⁸개 ,

-주기-2⁶³의 키-IV 쌍 2⁸⁴개

이상이 존재한다. 이들 주기는 모두 2¹⁰³ 및 2⁸⁰보다 짧다. 랜덤하게 키 및 IV를 사용하는 경우 이들 짧은 주기의 키수열을 사용하게 될 가능성은 다음과 같다.

- 주기-2⁶¹ 사용 확률 2^-75 ,

-주기-2⁶² 사용 확률 2^-66 

-주기-2⁶³ 사용 확률 2^-60 .

Edon80은 80비트 안전성을 목표하므로 이들 확률 값이 2^-80보다 크다는 점은 약점으로 볼 수 있다. 

지금까지의 설명으로 앞 절에서 제시한 것보다 약간 더 긴 주기의 키수열을 찾는다면 약간 더 큰 확률로 이를 접할 가능성이 있음을 보았다.

그림1은 이러한 관계를 그래프로 나타낸다. 예를 들어 그래프의 가장 왼쪽에 위치한 "△"은 키-IV 쌍 을 랜덤하게 선택한 경우 p = 16을 활용하여 구성한 주기 2^55.4의 키수열을 최소한 2^-71.4의 확률로 접할 수 있음을 의미한다. 그래프를 살펴보면 p = 32 또는 P = 64을 사용할 경우 더욱 강력한 결과를 얻을 수 있음을 쉽게 예측할 수 있다. 그러나 시간 및 연산 능력의 한계로 이를 시도하지 아니하였다.

그림 1 . 주기 / 확률 tradeoff

한 가지 유념할 점은 지금까지 제시한 확률들은 해당 주기의 키수열이 나타날 가능성의 하한이라는 점이다. 제시한 값이 이들 짧은 주기의 수열이 나타 날 실제 확률과 비슷한지는 알 수 없다. 예를 들어 m의 임의의 약수 n에 대하여 주기-n의 수열은 항 상 주기-m의 수열이므로 위의 값들이 실제 상황보다 낮은 값임은 분명하다. 또한 동일한 주기의 수열 을 여러 p값을 사용하여 얻을 수 있으므로, 위에서 제시한 값 중 동일한 주기에 해당하는 3개 값을 합하 여도 하한이 될 것이다. 본 논문에서는 위에서 제시한 값들만으로도 Edon80의 주기와 관련된 문제성을 지적할 수 있으므로 이러한 복잡한 작업은 다루지 않기로 하였다.

5.2 매우 짧은 주기 키수열의 존재성

지금까지 본 논문에서는 표1을 40번째 행에서 나누어 보고, 또한 40번째 행 위에서도 나누어 보았다. 본 소절에서는 40번째 행 아래에서 나누어 보도록 하겠다.

소절3.2로 돌아가 우선 40번째 행에 초기 수열 (0,1,2,3,0, …)이 나오도록 하는 2⁶⁴가지 40-행 부분 키-상태 쌍 중 하나로 상위 40개 행을 채우자. 그 다음 전과 같이 이의 복사본을 하위에 결합하되 하위 16개 행의 quasigroup 원소 a₆₄, ... , a₇₉는 랜덤하게 선택하여 넣는다. 이로 32비트의 자유도를 확보할 수 있다. 계산 \(4 \times(2.48)^{16} \times \frac{1}{2} \sim 2^{19.97}\)을 통하여 주기 2²⁰의 키수열을 생성하는 키-IV 쌍이 2⁶⁴⁺³²개 존재함 을 알 수 있다. 이들 중 임의의 것이 정상적인 IVSetup과정으로 도달 가능할 확률이 2^-96이므로, 매우 짧은 2²⁰의 주기를 가지는 키수열을 생성하는 키-IV 쌍이 1개 이상 존재할 것으로 기대할 수 있다. p = i6을 사용하면 더욱 짧은 2¹¹주기 키수열의 존재성을 보일 수 있다. 이러한 결과를 그림2에 정리 하였다.

그림 2. 키-IV 쌍 개수 / 주기 tradeoff

물론 랜덤하게 사용한 키TV 쌍이 바로 이들 소수 의 키TV 쌍 중 하나가 될 가능성은 매우 낮으나, 해당 주기가 극히 짧으므로 Edon80의 사용에 위협이 된다고 할 수 있을 것이다. 전과 마찬가지로 여기 제시한 매우 짧은 주기 키수열의 존재성은 개수의 하 한을 통한 논-리일 뿐이다. 실제로는 이러한 키-IV 쌍이 여러개 존재할 수 있으며 여기서 제시한 방법과 전혀 다른 방법으로 구성이 가능할 여지도 있다.

마지막으로, 그림2의 위쪽 두 개 “△"를 살펴보는 것 또한 의미 있음을 지적한다. 예를 들어 가장 위쪽 의 점은 2⁵⁴의 주기를 가져오는 2⁶⁷개 키-IV 쌍이 존 재함을 의미한다. 이들 중 하나를 사용하게 될 확률은 2^-77로 안전성 기준 2^-80보다 높다. 물론 더욱 큰 P 값을 사용하면 더욱 강력한 결과를 얻을 것으로 예상할 수 있다.

Ⅵ. 결론

본 논문에서 우리는 스트림 암호 Edon80의 키- 상태 쌍 중 많은 수가 주기 2⁵⁵의 키수열을 생성함을 보였다. 뿐만 아니라, 임의로 선택한 키TV 쌍이 주기 2⁵⁵의 키수열을 생성할 확률이 2^-71 이상이라는 사실도 확인하였다. 주기 2⁶³의 키수열은 적어도 2^-60 의 확률로 나타나며, 주기 2¹¹의 키수열을 가져오는 키TV 쌍이 적어도 하나 존재한다.

위에서 다룬 주기들은 모두 설계자들이 제시한 값 인 2¹⁰³에 비교해서 매우 작다. 이들 숫자들은 심지어 는 구체적인 언급이 없는 한 80비트 안전성의 암호에 기대하게 되는 주기인 2⁸⁰보다도 작다. 이들 짧은 주기의 키수열이 2^-80보다 큰 확률로 생성됨은 분명 한 약점임에 틀림없다. 또한 이와 같이 나쁜 특성을 가지는 키-IV 쌍들 혹은 취약 키TV 쌍을 효율적으로 분류하는 것은 현재로서는 어렵고 따라서 그 사용 을 쉽게 피할 방법도 없다.

Edon80의 평균 주기가 설계자의 제안처럼 2¹⁰³이라는 것을 받아들이면, 본 논문에서 살펴본 결과는 키수열 주기의 분포가 매우 넓으며. 이 중 유효한 개 수의 키-IV 쌍이 위험한 수준으로 짧은 주기의 키수 열을 발생시킴을 의미한다’ 한 가지 유념할 점은 본 논문의 분석은 짧은 키수열 생성의 확률에 대한 아주 대략적인 하한을 주었을 뿐이라는 점이다. 따라서 실제 상황은 본 논문에서 제시한 것보다 나쁠 가능성이 있다.

비록 본 논문의 분석 결과가 키 혹은 내부 상태를 복구하는데에는 활용될 수 없으나, 적어도 Edon80 의 주기가 아직 충분히 분석되지 않았음은 확실하게 보여준다. Edon80을 실제 사용하기 위해서는 우선 적으로 키-IV의 랜덤한 선택에 따른 키수열 주기의 분포가 파악되어야 하며, 상대적으로 낮은 주기를 가 져오는 키TV의 사용을 막는 방법이 제시되어야 할 것이다.