WEP安全性能研究及其攻击
摘要：以Ｆｌｕｈｒｅｒ, Ｓ．, Ｍａｎｔｉｎ, Ｉ．, Ｓｈａｍｉｒ, Ａ．提出的ＫＳＡ（Ｋｅｙ Ｓｃｈｅｄｕｌｅ Ａｌｇｏｒｉｔｈｍ）攻击为基础，提出了一种改进的ＫＳＡ攻击方法。与Ｆｌｕｈｒｅｒ等提出的ＫＳＡ攻击相比，新方法具有更高攻击效率。利用这种方法，成功地实现了针对８０２．１１网络链路层安全协议——ＷＥＰ的攻击，成功地恢复出了原加密密钥。本文详细地描述了这种攻击，同时针对８０２．１１网络存在的安全问题，提出了一些安全建议。
关键词：有线等效加密 密钥调度算法 伪随机数发生器
随着８０２．１１标准的制定以及相关软硬件技术的逐渐成熟，８０２．１１无线局域网产品的使用愈来愈广泛。其通信范围广、数据传输速率高的特点使８０２．１１同蓝牙等协议一起成为无线局域网组网的可选协议之一，广泛应用于办公、会议等场合。这些场合中所使用的ＰＣ卡绝大多数提供了一种称为ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）的加密协议。
ＷＥＰ便于管理，每块８０２．１１卡具有一个加密密钥（ｋｅｙ）。在实际使用中，大多数设备均使用同一个加密密钥，包括接入点ＡＰ（Ａｃｃｅｓｓ Ｐｏｉｎｔ）。８０２．１１通过ＷＥＰ来防止对局域网的非法访问，为用户提供与传统有线局域网保密程度相当的通信环境。
ＷＥＰ中采用的ＲＣ４算法是一种对称流加密算法。由于ＲＣ４算法的加密或解密速度均非常快，又提供了相当的强度，所以得到了广泛应用。其最重要的应用就是ＳＳＬ（Ｓｅｃｕｒｉｔｙ Ｓｏｃｋｅｔ Ｌａｙｅｒ）加密套接字协议层和ＷＥＰ。
针对ＲＣ４算法及其弱点，人们进行了许多研究，其中大多数为理论研究，并不具有实际意义。直到最近，Ｂｏｒｉｓｏｖ、Ｇｏｌｄｂｅｒｇ ａｎｄ Ｗａｇｎｅｒ指出?１?：在ＷＥＰ中，由于没有明确规定ＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ Ｖｅｃｔｏｒｓ）的使用方法，有些厂商简单地在每次初始化时将ＩＶ置零，然后加一。这种不当使用导致密钥重用的概率大增，可用于简单的密码分析攻击。另外，作者还指出，由于ＩＶ的可用空间太小，将不可避免地导致相同的密钥重用问题。
Ｆｌｕｈｒｅｒ、Ｍａｎｔｉｎ ａｎｄ Ｓｈａｍｉｒ 描述了一种针对ＷＥＰ采用的ＲＣ４算法的被动密文攻击方法?２?。作者针对ＲＣ４的状态初始化，提出了一种ＫＳＡ攻击方法。揭示了ＷＥＰ存在的严重漏洞。
本文在文献?２?提出的ＫＳＡ攻击方法的基础上，提出了一种更为高效的攻击方法。并在实际环境中，成功地实施了针对ＷＥＰ的攻击。实验结果表明，与文献?２?中提出的ＫＳＡ攻击相比，本文提出的方法具有效率高、所需数据量更小的优点。
１ ＲＣ４算法
１．１ ＲＣ４概述
ＲＣ４算法属于二进制异或同步流密码算法，其密钥长度可变，在ＷＥＰ中，密钥长度可选择１２８ｂｉｔ或６４ｂｉｔ。
ＲＣ４算法由伪随机数产生算法ＰＲＧＡ（Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｇｅｎｅｒａｔｉｏｎ Ａｌｇｏｒｉｔｈｍ）和密钥调度算法ＫＳＡ?Ｋｅｙ Ｓｃｈｅｄｕｌｅ Ａｌｇｏｒｉｔｈｍ?两部分构成。其中ＰＲＧＡ为ＲＣ４算法的核心，用于产生与明文相异或的伪随机数序列；ＫＳＡ算法的功能是将密钥映射为伪随机数发生器的初始化状态，完成ＲＣ４算法的初始化。
ＲＣ４算法实际上是一类以加密块大小为参数的算法。这里的参数ｎ为ＲＣ４算法的字长。在ＷＥＰ中，ｎ＝８。
ＲＣ４算法的内部状态包括２ｎ个字的状态表和两个大小为一个字的计数器。状态表，也称为状态盒（Ｓ－ｂｏｘ，以下用Ｓ表示），用来保存２ｎ个值的转置状态。两个计数器分别用ｉ和ｊ表示。
ＫＳＡ算法和ＰＲＧＡ算法可表示如下：
ＫＳＡ： ＰＲＧＡ：
Ｉｎｉｔｉａｌｉｚａｔｉｏｎ： Ｉｎｉｔｉａｌｉｚａｔｉｏｎ：
Ｆｏｒ ｉ＝０ ｔｏ ２ｎ－１ ｉ＝０，ｊ＝０
Ｓ[ｉ]＝ｉ Ｇｅｎｅｒａｔｉｏｎ Ｌｏｏｐ：
ｊ＝０ ｉ＝ｉ＋１
Ｓｃｒａｍｂｌｉｎｇ： ｊ＝ｊ＋Ｓ[ｉ]
Ｆｏｒ ｉ＝０ ｔｏ ２ｎ－１ Ｓｗａｐ（Ｓ[ｉ]，Ｓ[ｊ]）
ｊ＝ｊ＋Ｓ[ｉ]＋Ｋ[ｉ ｍｏｄ ｌ] Ｏｕｔｐｕｔ ｚ＝Ｓ[Ｓ[ｉ]＋Ｓ[ｊ]]
Ｓｗａｐ（Ｓ[ｉ]，Ｓ[ｊ]）
其中，ｌ为密钥的长度。
１．２ ＲＣ４算法安全性能分析
仔细研究ＲＣ４的算法流程，不难发现：
状态盒Ｓ从一个统一的２ｎ个字的转置开始，对其进行的唯一操作是交换。Ｓ始终保存２ｎ个字的某个转置状态，而且转置随着时间而更新。这也是ＲＣ４算法的强度所在。算法的内部状态存储在Ｍ＝ｎ２ｎ＋２ｎ比特中，由于Ｓ为一个转置，此状态大约保存了ｌｏｇ２（２ｎ！）＋２ｎ≈１７００ｂｉｔ的信息。
状态盒的初始化状态仅仅依赖于加密密钥Ｋ，因此，若已知加密密钥就可完全破解ＲＣ４。加密密钥完全且唯一确定了伪随机数序列，相同的密钥总是产生相同的序列。另外，ＲＣ４算法本身并不提供数据完整性校验功能，此功能的实现必须由其他方法实现（例如ＷＥＰ中的数据完整性校验向量，即ＩＣＶ）。
下面考虑一些特殊的攻击模型，这些模型均与要讨论的ＲＣ４的安全问题密切相关。
ＲＣ４算法属于同步流密码算法中的一种，由于其伪随机数发生器ＰＲＮＧ（Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｒｎｅｒａｔｏｒ）的输出完全由加密密钥确定，所以对于一个设计良好的流密码算法必须满足两个条件：输出的每个比特应该依赖于所有加密密钥的所有比特；而且，任意一个比特或者某些比特同加密密钥之间的关系应该极其复杂。
上述第一个条件意味着输出的每个比特依赖于加密密钥所有比特的值。密钥中任意比特值的改变均有１／２的几率影响到输出的每一个比特。如果满足此条件，那么，破解此加密需要尝试所有可能的密钥值，输出值同加密密钥之间几乎不存在任何联系。
如果上面的条件得不到满足，那么就可被利用来对其进行攻击。举例来说，假设输出的某８个比特仅仅依赖于加密密钥的某８个比特，那么就可以简单地进行对此８比特密钥的所有可能值进行尝试，并与实际输出相比较获取此８比特密钥的值，这样就大大降低了穷举攻击所需的计算量。
因此，如果输出以比较高的概率由密钥的某些比特所确定，那么此信息就可被利用来对此流密码进行攻击。
第二个条件意味着即使已知两个加密密钥之间的联系，也无法得出ＰＲＮＧ输出之间的联系。此信息也可用来降低穷举攻击的搜索空间，从而导致加密强度的降低。
ＲＣ４算法属于二进制异或流密码，相同的密钥总是产生相同的ＰＲＮＧ输出。为解决密钥重用的问题，ＷＥＰ中引入了初始化向量ＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ Ｖｅｃｔｏｒ）。初始化向量为一随机数，每次加密时随机产生。初始化向量以某种形式与原密钥相组合，作为此次加密的加密密钥。由于ＩＶ并不属于密钥的一部分，所以无须保密，多以明文传输。虽然初始化向量的使用很好地解决了密钥重用的问题，然而，Ｆｌｕｈｒｅｒ? Ｓ等人在文献?２?中指出：初始化向量的使用将导致严重的安全隐患。
下面详细地讨论本文所提出的ＫＳＡ攻击方法。
２ ＫＳＡ攻击
本文着重讨论ＷＥＰ中所采用的ＲＣ４算法，即前附加初始化向量ＩＶ的ＲＣ４算法。
２．１ ＫＳＡ
考虑ＫＳＡ，注意到唯一影响状态表的是交换操作。因此,状态表的每个元素至少交换一次(尽管有可能同它自己交换)。假设ｊ是一个均匀分布的随机数,那么,考虑状态表中某一个特殊元素,在所有初始化期间ｊ都不指向此元素的概率为:
Ｐ＝(２５５／２５６)∧２５５≈３７％
(指数为２５５是因为当ｉｎｄｅｘ２和ｃｏｕｎｔｅｒ相等时可以忽略)
这意味着有３７％的概率某一特定元素在初始化期间仅交换一次。
由此可看出:
给定一密钥长度Ｋ(ｂｙｔｅｓ),如果Ｅ＜Ｋ,那么元素Ｅ有３７％的概率仅在ｉ指向它时被交换。
那么由ＲＣ４的ＫＳＡ 算法可看出仅Ｋ[０]．．．．Ｋ[Ｅ－１],和Ｋ[Ｅ]影响它。这只是近似估算,因为ｉｎｄｅｘ２不可能是均匀分布。
为利用上述结果,需要确定状态表最可能的值。因为每个元素至少交换一次(当ｃｏｕｎｔｅｒ指向它时),所以有必要对交换可能带来的影响加以考虑。交换是令人讨厌的非线性操作,难于分析。然而当处理状态表前几个元素时,某个具体元素有很高的概率没有参与它前面的几次交换,因此还保留初始值(Ｓ[Ｘ]＝Ｘ)。
相似地，仅处理状态表中前几个元素时，即ｉ比较小时，Ｓ[ｊ]有很高的概率等于ｊ。因此，可以得到：
状态表中元素Ｓ[Ｅ]（Ｅ比较小时）最可能的值为：
注意，本文中两个元素操作均为模２５６操作。
基于以上分析，可以计算出状态表中各个元素满足Ｂ的概率。为统计状态表中元素满足上式的概率，采用８比特ＲＣ４算法进行实验。下面为１０００００次实验中Ｓ[Ｅ]中前４８个元素满足上式的概率：
Ｐｒｏｂａｂｉｌｉｔｙ ?％?
０～７ ３７．０ ３６．８ ３６．２ ３５．８ ３４．９ ３４．０ ３３．０ ３２．２
８～１５ ３０．９ ２９．８ ２８．５ ２７．５ ２６．０ ２４．５ ２２．９ ２１．６
１６～２３ ２０．３ １８．９ １７．３ １６．１ １４．７ １３．５ １２．４ １１．２
２４～３１ １０．１ ９．０ ８．２ ７．４ ６．４ ５．７ ５．１ ４．４
３２～３９ ３．９ ３．５ ３．０ ２．６ ２．３ ２．０ １．７ １．４
４０～４７ １．３ １．２ １．０ ０．９ ０．８ ０．７ ０．６ ０．６
结果表明，经过ＫＳＡ后，状态表中前面的一些元素实际值与用Ｂ所预测出的值强相关。
２．２ 弱密钥
首先定义ｉｔ，ｊｔ分别为ＫＳＡ算法经过ｔ步后相应的两个计数器的值，Ｓｔ为ＫＳＡ经ｔ步后状态
关键词：有线等效加密 密钥调度算法 伪随机数发生器
随着８０２．１１标准的制定以及相关软硬件技术的逐渐成熟，８０２．１１无线局域网产品的使用愈来愈广泛。其通信范围广、数据传输速率高的特点使８０２．１１同蓝牙等协议一起成为无线局域网组网的可选协议之一，广泛应用于办公、会议等场合。这些场合中所使用的ＰＣ卡绝大多数提供了一种称为ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）的加密协议。
ＷＥＰ便于管理，每块８０２．１１卡具有一个加密密钥（ｋｅｙ）。在实际使用中，大多数设备均使用同一个加密密钥，包括接入点ＡＰ（Ａｃｃｅｓｓ Ｐｏｉｎｔ）。８０２．１１通过ＷＥＰ来防止对局域网的非法访问，为用户提供与传统有线局域网保密程度相当的通信环境。
ＷＥＰ中采用的ＲＣ４算法是一种对称流加密算法。由于ＲＣ４算法的加密或解密速度均非常快，又提供了相当的强度，所以得到了广泛应用。其最重要的应用就是ＳＳＬ（Ｓｅｃｕｒｉｔｙ Ｓｏｃｋｅｔ Ｌａｙｅｒ）加密套接字协议层和ＷＥＰ。
针对ＲＣ４算法及其弱点，人们进行了许多研究，其中大多数为理论研究，并不具有实际意义。直到最近，Ｂｏｒｉｓｏｖ、Ｇｏｌｄｂｅｒｇ ａｎｄ Ｗａｇｎｅｒ指出?１?：在ＷＥＰ中，由于没有明确规定ＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ Ｖｅｃｔｏｒｓ）的使用方法，有些厂商简单地在每次初始化时将ＩＶ置零，然后加一。这种不当使用导致密钥重用的概率大增，可用于简单的密码分析攻击。另外，作者还指出，由于ＩＶ的可用空间太小，将不可避免地导致相同的密钥重用问题。
Ｆｌｕｈｒｅｒ、Ｍａｎｔｉｎ ａｎｄ Ｓｈａｍｉｒ 描述了一种针对ＷＥＰ采用的ＲＣ４算法的被动密文攻击方法?２?。作者针对ＲＣ４的状态初始化，提出了一种ＫＳＡ攻击方法。揭示了ＷＥＰ存在的严重漏洞。
本文在文献?２?提出的ＫＳＡ攻击方法的基础上，提出了一种更为高效的攻击方法。并在实际环境中，成功地实施了针对ＷＥＰ的攻击。实验结果表明，与文献?２?中提出的ＫＳＡ攻击相比，本文提出的方法具有效率高、所需数据量更小的优点。
１ ＲＣ４算法
１．１ ＲＣ４概述
ＲＣ４算法属于二进制异或同步流密码算法，其密钥长度可变，在ＷＥＰ中，密钥长度可选择１２８ｂｉｔ或６４ｂｉｔ。
ＲＣ４算法由伪随机数产生算法ＰＲＧＡ（Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｇｅｎｅｒａｔｉｏｎ Ａｌｇｏｒｉｔｈｍ）和密钥调度算法ＫＳＡ?Ｋｅｙ Ｓｃｈｅｄｕｌｅ Ａｌｇｏｒｉｔｈｍ?两部分构成。其中ＰＲＧＡ为ＲＣ４算法的核心，用于产生与明文相异或的伪随机数序列；ＫＳＡ算法的功能是将密钥映射为伪随机数发生器的初始化状态，完成ＲＣ４算法的初始化。
ＲＣ４算法实际上是一类以加密块大小为参数的算法。这里的参数ｎ为ＲＣ４算法的字长。在ＷＥＰ中，ｎ＝８。
ＲＣ４算法的内部状态包括２ｎ个字的状态表和两个大小为一个字的计数器。状态表，也称为状态盒（Ｓ－ｂｏｘ，以下用Ｓ表示），用来保存２ｎ个值的转置状态。两个计数器分别用ｉ和ｊ表示。
ＫＳＡ算法和ＰＲＧＡ算法可表示如下：
ＫＳＡ： ＰＲＧＡ：
Ｉｎｉｔｉａｌｉｚａｔｉｏｎ： Ｉｎｉｔｉａｌｉｚａｔｉｏｎ：
Ｆｏｒ ｉ＝０ ｔｏ ２ｎ－１ ｉ＝０，ｊ＝０
Ｓ[ｉ]＝ｉ Ｇｅｎｅｒａｔｉｏｎ Ｌｏｏｐ：
ｊ＝０ ｉ＝ｉ＋１
Ｓｃｒａｍｂｌｉｎｇ： ｊ＝ｊ＋Ｓ[ｉ]
Ｆｏｒ ｉ＝０ ｔｏ ２ｎ－１ Ｓｗａｐ（Ｓ[ｉ]，Ｓ[ｊ]）
ｊ＝ｊ＋Ｓ[ｉ]＋Ｋ[ｉ ｍｏｄ ｌ] Ｏｕｔｐｕｔ ｚ＝Ｓ[Ｓ[ｉ]＋Ｓ[ｊ]]
Ｓｗａｐ（Ｓ[ｉ]，Ｓ[ｊ]）
其中，ｌ为密钥的长度。
１．２ ＲＣ４算法安全性能分析
仔细研究ＲＣ４的算法流程，不难发现：
状态盒Ｓ从一个统一的２ｎ个字的转置开始，对其进行的唯一操作是交换。Ｓ始终保存２ｎ个字的某个转置状态，而且转置随着时间而更新。这也是ＲＣ４算法的强度所在。算法的内部状态存储在Ｍ＝ｎ２ｎ＋２ｎ比特中，由于Ｓ为一个转置，此状态大约保存了ｌｏｇ２（２ｎ！）＋２ｎ≈１７００ｂｉｔ的信息。
状态盒的初始化状态仅仅依赖于加密密钥Ｋ，因此，若已知加密密钥就可完全破解ＲＣ４。加密密钥完全且唯一确定了伪随机数序列，相同的密钥总是产生相同的序列。另外，ＲＣ４算法本身并不提供数据完整性校验功能，此功能的实现必须由其他方法实现（例如ＷＥＰ中的数据完整性校验向量，即ＩＣＶ）。
下面考虑一些特殊的攻击模型，这些模型均与要讨论的ＲＣ４的安全问题密切相关。
ＲＣ４算法属于同步流密码算法中的一种，由于其伪随机数发生器ＰＲＮＧ（Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｒｎｅｒａｔｏｒ）的输出完全由加密密钥确定，所以对于一个设计良好的流密码算法必须满足两个条件：输出的每个比特应该依赖于所有加密密钥的所有比特；而且，任意一个比特或者某些比特同加密密钥之间的关系应该极其复杂。
上述第一个条件意味着输出的每个比特依赖于加密密钥所有比特的值。密钥中任意比特值的改变均有１／２的几率影响到输出的每一个比特。如果满足此条件，那么，破解此加密需要尝试所有可能的密钥值，输出值同加密密钥之间几乎不存在任何联系。
如果上面的条件得不到满足，那么就可被利用来对其进行攻击。举例来说，假设输出的某８个比特仅仅依赖于加密密钥的某８个比特，那么就可以简单地进行对此８比特密钥的所有可能值进行尝试，并与实际输出相比较获取此８比特密钥的值，这样就大大降低了穷举攻击所需的计算量。
因此，如果输出以比较高的概率由密钥的某些比特所确定，那么此信息就可被利用来对此流密码进行攻击。
第二个条件意味着即使已知两个加密密钥之间的联系，也无法得出ＰＲＮＧ输出之间的联系。此信息也可用来降低穷举攻击的搜索空间，从而导致加密强度的降低。
ＲＣ４算法属于二进制异或流密码，相同的密钥总是产生相同的ＰＲＮＧ输出。为解决密钥重用的问题，ＷＥＰ中引入了初始化向量ＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ Ｖｅｃｔｏｒ）。初始化向量为一随机数，每次加密时随机产生。初始化向量以某种形式与原密钥相组合，作为此次加密的加密密钥。由于ＩＶ并不属于密钥的一部分，所以无须保密，多以明文传输。虽然初始化向量的使用很好地解决了密钥重用的问题，然而，Ｆｌｕｈｒｅｒ? Ｓ等人在文献?２?中指出：初始化向量的使用将导致严重的安全隐患。
下面详细地讨论本文所提出的ＫＳＡ攻击方法。
２ ＫＳＡ攻击
本文着重讨论ＷＥＰ中所采用的ＲＣ４算法，即前附加初始化向量ＩＶ的ＲＣ４算法。
２．１ ＫＳＡ
考虑ＫＳＡ，注意到唯一影响状态表的是交换操作。因此,状态表的每个元素至少交换一次(尽管有可能同它自己交换)。假设ｊ是一个均匀分布的随机数,那么,考虑状态表中某一个特殊元素,在所有初始化期间ｊ都不指向此元素的概率为:
Ｐ＝(２５５／２５６)∧２５５≈３７％
(指数为２５５是因为当ｉｎｄｅｘ２和ｃｏｕｎｔｅｒ相等时可以忽略)
这意味着有３７％的概率某一特定元素在初始化期间仅交换一次。
由此可看出:
给定一密钥长度Ｋ(ｂｙｔｅｓ),如果Ｅ＜Ｋ,那么元素Ｅ有３７％的概率仅在ｉ指向它时被交换。
那么由ＲＣ４的ＫＳＡ 算法可看出仅Ｋ[０]．．．．Ｋ[Ｅ－１],和Ｋ[Ｅ]影响它。这只是近似估算,因为ｉｎｄｅｘ２不可能是均匀分布。
为利用上述结果,需要确定状态表最可能的值。因为每个元素至少交换一次(当ｃｏｕｎｔｅｒ指向它时),所以有必要对交换可能带来的影响加以考虑。交换是令人讨厌的非线性操作,难于分析。然而当处理状态表前几个元素时,某个具体元素有很高的概率没有参与它前面的几次交换,因此还保留初始值(Ｓ[Ｘ]＝Ｘ)。
相似地，仅处理状态表中前几个元素时，即ｉ比较小时，Ｓ[ｊ]有很高的概率等于ｊ。因此，可以得到：
状态表中元素Ｓ[Ｅ]（Ｅ比较小时）最可能的值为：
注意，本文中两个元素操作均为模２５６操作。
基于以上分析，可以计算出状态表中各个元素满足Ｂ的概率。为统计状态表中元素满足上式的概率，采用８比特ＲＣ４算法进行实验。下面为１０００００次实验中Ｓ[Ｅ]中前４８个元素满足上式的概率：
Ｐｒｏｂａｂｉｌｉｔｙ ?％?
０～７ ３７．０ ３６．８ ３６．２ ３５．８ ３４．９ ３４．０ ３３．０ ３２．２
８～１５ ３０．９ ２９．８ ２８．５ ２７．５ ２６．０ ２４．５ ２２．９ ２１．６
１６～２３ ２０．３ １８．９ １７．３ １６．１ １４．７ １３．５ １２．４ １１．２
２４～３１ １０．１ ９．０ ８．２ ７．４ ６．４ ５．７ ５．１ ４．４
３２～３９ ３．９ ３．５ ３．０ ２．６ ２．３ ２．０ １．７ １．４
４０～４７ １．３ １．２ １．０ ０．９ ０．８ ０．７ ０．６ ０．６
结果表明，经过ＫＳＡ后，状态表中前面的一些元素实际值与用Ｂ所预测出的值强相关。
２．２ 弱密钥
首先定义ｉｔ，ｊｔ分别为ＫＳＡ算法经过ｔ步后相应的两个计数器的值，Ｓｔ为ＫＳＡ经ｔ步后状态