Bozza in revisione: il testo non è ancora stato approvato.

Quante chiavi

Le lezioni precedenti hanno contato le posizioni dei rotori e i collegamenti del pannello a spine, ciascuno per conto suo. Il numero di tutte le chiavi possibili di una cifra si chiama spazio delle chiavi, e per Enigma si trova citato con valori molto diversi: un libro divulgativo dà circa $10^{16}$, un sito specialistico circa $10^{23}$. Prima di contare bisogna decidere che cosa sa chi attacca la cifra.

Che cosa sa chi attacca

Nel 1883 Auguste Kerckhoffs elencò i requisiti di una cifra militare. Il secondo diceva:

È il principio di Kerckhoffs: una cifra deve restare sicura anche quando il nemico conosce la macchina, e il segreto deve stare tutto nella chiave. Per Enigma vuol dire supporre che chi attacca conosca i cablaggi dei rotori, del riflettore e della ruota d’ingresso. Per Enigma l’ipotesi era vera: alla fine del 1932 Rejewski aveva ricostruito i cablaggi dei rotori militari. Restano da indovinare le scelte del giorno.

I fattori

Per l’Enigma I con cinque rotori a disposizione e dieci cavi, le scelte del giorno sono quattro:

• l’ordine dei rotori: tre su cinque, cioè $5 \times 4 \times 3 = 60$ possibilità;
• gli anelli: contano solo quelli del rotore destro e del centrale, perché la tacca dell’anello di sinistra non ha un rotore da spingere, quindi $26 \times 26 = 676$;
• le posizioni iniziali dei tre rotori: $26^3 = 17\,576$;
• il pannello a spine con dieci cavi: 150 738 274 937 250.

Il prodotto è circa $1{,}07 \times 10^{23}$, più o meno $2^{76}$: una chiave di 76 bit. La M4 della marina sceglie tre rotori su otto, ha un rotore sottile fisso da scegliere fra due, un riflettore sottile da scegliere fra due e una posizione iniziale in più, e arriva a circa $6{,}26 \times 10^{25}$. Il pannello, da solo, vale più di tutti gli altri fattori messi insieme.

Perché le cifre non coincidono

Simon Singh, in The Code Book, fa lo stesso conto e arriva a circa 10 000 000 000 000 000 chiavi, cioè $10^{16}$. Crypto Museum, il sito di Paul Reuvers e Marc Simons dedicato alle macchine cifranti, arriva a circa $1{,}07 \times 10^{23}$, dieci milioni di volte di più.

Con tre rotori, nessun anello e sei cavi il calcolatore dà circa $1{,}06 \times 10^{16}$, il numero di Singh. Singh conta la macchina di Scherbius come la descrive nel capitolo sulla sua invenzione: tre soli rotori, che si potevano disporre in sei ordini, e sei cavi sul pannello. Moltiplica $17\,576 \times 6 \times 100\,391\,791\,500$ e avverte che, lasciando fuori gli anelli, il numero vero è ancora più grande. Crypto Museum conta l’Enigma I come fu dal dicembre 1938, con cinque rotori fra cui scegliere e dieci cavi, e include gli anelli. Con cinque rotori e dieci cavi ma senza anelli il calcolatore dà circa $1{,}59 \times 10^{20}$: la cifra cambia ancora, con la stessa macchina. È la cifra che Singh stesso dà più avanti nel libro, quando racconta i rotori e i cavi aggiunti fra il dicembre 1938 e il gennaio 1939: 159 miliardi di miliardi.

Le ipotesi possono cambiare anche in un altro modo. Crypto Museum segnala uno studio della NSA, The Cryptographic Mathematics of Enigma di A. Ray Miller, che suppone ignoti anche i cablaggi dei rotori e del riflettore, e arriva a cifre che il sito chiama «astronomiche». Tutti questi numeri sono corretti per la macchina e le ipotesi da cui partono: quando un testo dà lo spazio delle chiavi di Enigma, va letto insieme al modello, al numero di cavi e a che cosa considera noto.

Tante chiavi non bastano

Lo spazio delle chiavi dice quanto costerebbe provarle tutte, una per una. Chi attacca una cifra però non procede così: cerca le regolarità che permettono di scartare intere famiglie di chiavi in un colpo solo, e in Enigma il fattore più grande era anche il più debole. Il pannello a spine resta uguale per tutto il messaggio: preso da solo è una sostituzione monoalfabetica, che l’analisi delle frequenze rompe, come mostrava la lezione Dalla sostituzione al rotore. Le lunghezze dei cicli che Rejewski ricavava dai messaggi non dipendevano dai cavi del pannello, come si è visto nella lezione La matematica di Enigma, e gli permisero di cercare la posizione dei rotori fra 105 456 possibilità invece che fra $10^{16}$.

Anche gli altri fattori pesano meno di quanto dicono. Gli anelli spostano soltanto il momento in cui un rotore trascina quello vicino, e cambiano poco la cifratura. Alcune regole delle procedure tedesche, pensate per rendere le chiavi più varie, finivano per escluderne molte: lo stesso rotore non poteva occupare la stessa posizione due giorni di seguito, e lo stesso ordine dei rotori non poteva tornare nello stesso mese. Ogni regola di questo tipo riduceva le possibilità che i crittoanalisti dovevano provare.