第第2 2章章 对称密钥密码体系对称密钥密码体系 1第第2 2章对称密钥密码体系章对称密钥密码体系对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 2第第2章章 对称秘钥密码体系对称秘钥密码体系 2.1 密码体系的原理和基本概念密码体系的原理和基本概念2.2 数据加密标准数据加密标准(DES)2.3 IDEA2.4 AES 2.5 序列密码序列密码 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 32.1 密码体系的原理 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 4加密解密公式加密解密公式明文用明文用M（消息）或消息）或P（明文）表示，密文用明文）表示，密文用C表示。表示。加密函数加密函数E作用于作用于M得到密文得到密文C，用数学式子表示为：用数学式子表示为：E（M）=C相反地，解密函数相反地，解密函数D作用于作用于C产生产生MD（C）=M先加密后再解密消息，原始的明文将恢复出来，下面先加密后再解密消息，原始的明文将恢复出来，下面的等式必须成立：的等式必须成立：D（E（M）=M对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 52.1.2 安全密码准则安全密码准则所有算法的安全性都所有算法的安全性都基于密钥的基于密钥的安全性安全性，而，而不是不是基于基于算法细节的算法细节的安全性安全性。 只有公开的算法才是安全的只有公开的算法才是安全的。 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 6 2.1.3 对称密钥密码和非对称密钥密码对称密钥密码和非对称密钥密码基于密钥的算法通常有两类：基于密钥的算法通常有两类：对称算法和非对称算法对称算法和非对称算法。对称算法有时又叫传统密码算法，就是对称算法有时又叫传统密码算法，就是加密密钥能够加密密钥能够从解密密钥中容易地推算出来从解密密钥中容易地推算出来，反过来也成立。，反过来也成立。在大多数对称算法中，加在大多数对称算法中，加/ /解密密钥是相同的。解密密钥是相同的。对称算法可分为两类。对称算法可分为两类。一一次只对明文中的单个比特（有时对字节）次只对明文中的单个比特（有时对字节）运算的算运算的算法称为法称为序列密码或流密码算法序列密码或流密码算法。另一类算法是对明文的一组比特进行运算，这些比特另一类算法是对明文的一组比特进行运算，这些比特组组称为分组称为分组，相应的算法称为分组算法。，相应的算法称为分组算法。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 7图2-4 分组密码的工作原理对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 8非对称算法是这样设计的：用作非对称算法是这样设计的：用作加密的密钥不加密的密钥不同于用作解密的密钥同于用作解密的密钥，而且，而且解密密钥不能根据解密密钥不能根据加密密钥计算出来加密密钥计算出来（至少在合理假定的有限时（至少在合理假定的有限时间内）。间内）。非对称算法也叫做非对称算法也叫做公开密钥算法公开密钥算法，是因为加密，是因为加密密钥能够公开，即陌生者能用加密密钥加密信密钥能够公开，即陌生者能用加密密钥加密信息，但只有用相应的解密密钥才能解密信息。息，但只有用相应的解密密钥才能解密信息。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 92.1.4 密码分析密码分析根据被破译的难易程度，不同的密码算法具有不同的安全等级如果如果破译算法的破译算法的代价代价大于加密数据的价值大于加密数据的价值，那么可能是安全的。，那么可能是安全的。如果破译算法如果破译算法所需的所需的时间时间比加密数据比加密数据保密保密的时间更长，那么可的时间更长，那么可能是安全的。能是安全的。如果用单密钥如果用单密钥加密的加密的数据量数据量比破译算法需要的比破译算法需要的数据量少得多数据量少得多，那么可能是安全的。那么可能是安全的。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 10复杂性复杂性几乎所有密码系统在唯密文攻击中都是可破的几乎所有密码系统在唯密文攻击中都是可破的，只，只要简单地一个接一个地去试每种要简单地一个接一个地去试每种可能的密钥可能的密钥，并且，并且检查所得明文是否有意义。这种方法叫做检查所得明文是否有意义。这种方法叫做蛮力攻击蛮力攻击。密码学更关心密码学更关心在计算上不可破译的密码系统在计算上不可破译的密码系统。如果。如果一个算法用（现在或将来）一个算法用（现在或将来）可得到的资源可得到的资源在可在可接受接受的时间内的时间内都不能破译，这个算法则被认为在都不能破译，这个算法则被认为在计算上计算上是安全的是安全的。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 11可以用不同方式衡量攻击方法的复杂性：(1) (1) 数据复杂性数据复杂性：用作攻击输入所需要的数据量。：用作攻击输入所需要的数据量。(2) (2) 时间复杂性时间复杂性：完成攻击所需要的时间。：完成攻击所需要的时间。(3) (3) 存储复杂性存储复杂性：进行攻击所需要的存储量。：进行攻击所需要的存储量。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 122.2 数据加密标准数据加密标准(DES) 2.2.1 DES算法算法 DES加密算法如图加密算法如图2-3所示，由以下四个部分组成。所示，由以下四个部分组成。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 131. 初始置换函数初始置换函数IP DES对对64位位明明文文分分组组进进行行操操作作。首首先先，64位位明明文文分分组组x经经过过一一个个初初始始置置换换函函数数IP，产产生生64位位的的输输出出x0，再再将将分分组组x0分分成成左半部分左半部分L0和右半部分和右半部分R0，即：即： x x0 0=IP(x)=L=IP(x)=L0 0R R0 0置换表如表2-1所示。此表顺序为从上到下，从左至右。如初始置换把明文的第58位换至第1位，把第50位换至第二位，以此类推。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 14表2-1 初始置换IP58 50 42 34 26 18 10 260 52 44 36 28 20 12 462 54 46 38 30 22 14 664 56 48 40 32 24 16 857 49 41 33 25 17 9 159 51 43 35 27 19 11 361 53 45 37 29 21 13 563 55 47 39 31 23 15 7对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 15图2-5 DES加密算法对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 16 2获取子密钥获取子密钥Ki DES加密算法的密钥长度为56位，但一般表示为64位，其中，每个第8位用于奇偶校验。在DES加密算法中，将用户提供的64位初始密钥经过一系列的处理得到K1，K2，K16，分别作为116轮运算的16个子密钥。现在来看如何获得这16个子密钥。 首先，将64位密钥去掉8个校验位，用密钥置换PC1置换剩下的56位密钥；再将56位分成前28位C0和后28位D0两部分，即PC1(K56)=C0D0。密钥置换PC-1如表2-2所示。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 17表2-2 密钥置换PC157 49 41 33 25 17 91 58 50 42 34 26 1810 2 59 51 43 35 2719 11 3 60 52 44 3663 55 47 39 31 23 157 62 54 46 38 30 2214 6 61 53 45 37 2921 13 5 28 20 12 4 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 18 接接下下来来，根根据据轮轮数数，这这两两部部分分分分别别循循环环左左移移1位位或或2位位。具具体体每每轮轮移移位位的的位位数数如如表表2-3所示。所示。 表2-3 每轮移动的位数 轮次 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 位数 1 1 2 2 2 2 2 2 1 2 2 2 2 2 2 1对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 19 移移动动后后，将将两两部部分分合合并并成成56位位后后通通过过压压缩缩置置换换PC2后后得得到到48位位子子密密钥钥，即即Ki=PC-2(CiDi)。压压缩缩置置换换如如表表2-4所示。所示。表2-4 压缩置换PC2 14 17 11 24 1 514 17 11 24 1 53 28 15 6 21 103 28 15 6 21 1023 19 12 4 26 823 19 12 4 26 816 7 27 20 13 216 7 27 20 13 241 52 31 37 47 5541 52 31 37 47 5530 40 51 45 33 4830 40 51 45 33 4844 49 39 56 34 5344 49 39 56 34 5346 42 50 36 29 3246 42 50 36 29 329,18?9,18?对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 20图2-6 子密钥产生 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 213密码函数密码函数F1) 函数函数F的操作步骤的操作步骤 密密码码函函数数F的的输输入入是是32比比特特数数据据和和48比比特特的的子密钥，其操作步骤如图子密钥，其操作步骤如图2-5所示。所示。(1) 扩展置换扩展置换(E)。将数据的右半部分。将数据的右半部分Ri从从32位扩展位扩展为为48位。位选择函数位。位选择函数(也称也称E盒盒)如表如表2-5所示。所示。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 22图2-7 F(Ri, Ki)计算 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 23表2-5 扩展置换(E) 32 1 2 3 4 54 5 6 7 8 98 9 10 11 12 1312 13 14 15 16 1716 17 18 19 20 2120 21 22 23 24 2524 25 26 27 28 2928 29 30 31 32 1对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 24 (2) 异或。扩展后的48位输出E(Ri)与压缩后的48位密钥Ki作异或运算。 (3) S盒替代。将异或得到的48位结果分成八个6位的块，每一块通过对应的一个S盒产生一个4位的输出。八个S盒如表2-6所示。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 25 S盒的具体置换过程为：某个盒的具体置换过程为：某个Si盒的盒的6位输入的第位输入的第1位和第位和第6位形成一个位形成一个2位的二进制数位的二进制数(从从03)，对应表对应表中的某一行中的某一行；同时，输入的中间；同时，输入的中间4位构成位构成4位二进制数位二进制数(从从015)对应表中的对应表中的某一列某一列(注意：行和列均从注意：行和列均从0开始开始计数计数)。 例如，第例如，第8个个S盒的输入为盒的输入为001011，前后，前后2位形成的位形成的二进制数为二进制数为01，对应第，对应第8个个S盒的第盒的第1行；中间行；中间4位为位为0101，对应同一，对应同一S盒的第盒的第5列。列。 从表从表2-6中可得中可得S8盒的第盒的第1行第行第5列的数为列的数为3，于是，于是就用就用0011代替原输入代替原输入001011。 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 26表 2-6 S 盒 S1盒14 4 13 1 2 15 11 8 3 10 6 12 5 9 0 70 15 7 4 14 2 13 1 10 6 12 11 9 5 3 84 1 14 8 13 6 2 11 15 12 9 7 3 10 5 015 12 8 2 4 9 1 7 5 11 3 14 10 0 6 13S2盒15 1 8 14 6 11 3 4 9 7 2 13 12 0 5 103 13 4 7 15 2 8 14 12 0 1 10 6 9 11 50 14 7 11 10 4 13 1 5 8 12 6 9 3 2 1513 8 10 1 3 15 4 2 11 6 7 12 0 5 14 9对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 27S3盒10 0 9 14 6 3 15 5 1 13 12 7 11 4 2 813 7 0 9 3 4 6 10 2 8 5 14 12 11 15 113 6 4 9 8 15 3 0 11 1 2 12 5 10 14 71 10 13 0 6 9 8 7 4 15 14 3 11 5 2 12S4盒7 13 14 3 0 6 9 10 1 2 8 5 11 12 4 1513 8 11 5 6 15 0 3 4 7 2 12 1 10 14 910 6 9 0 12 11 7 13 15 1 3 14 5 2 8 43 15 0 6 10 1 13 8 9 4 5 11 12 7 2 14S5盒2 12 4 1 7 10 11 6 8 5 3 15 13 0 14 914 11 2 12 4 7 13 1 5 0 15 10 3 9 8 64 2 1 11 10 13 7 8 15 9 12 5 6 3 0 1411 8 12 7 1 14 2 13 6 15 0 9 10 4 5 3对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 28S6盒12 1 10 15 9 2 6 8 0 13 3 4 14 7 5 1110 15 4 2 7 12 9 5 6 1 13 14 0 11 3 89 14 15 5 2 8 12 3 7 0 4 10 1 13 11 64 3 2 12 9 5 15 10 11 14 1 7 6 0 8 13S7盒4 11 2 14 15 0 8 13 3 12 9 7 5 10 6 113 0 11 7 4 9 1 10 14 3 5 12 2 15 8 61 4 11 13 12 3 7 14 10 15 6 8 0 5 9 26 11 13 8 1 4 10 7 9 5 0 15 14 2 3 12S8盒13 2 8 4 6 15 11 1 10 9 3 14 5 0 12 71 15 13 8 10 3 7 4 12 5 6 11 0 14 9 27 11 4 1 9 12 14 2 0 6 10 13 15 3 5 82 1 14 7 4 10 8 13 15 12 9 0 3 5 6 11对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 29 (4) P盒置换。将八个S盒的输出连在一起生成一个32位的输出，输出结果再通过置换P产生一个32位的输出即：F(Ri, Ki)。表2-7为P盒置换。至此，密码函数F的操作就完成了。 最最后后，将将P盒盒置置换换的的结结果果与与最最初初的的64位位分分组组的的左左半半部部分分异异或或，然然后后左左、右右半半部部分分交交换换，接接着着开开始始下下一一轮轮计算。计算。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 30 表2-7 P盒置换 16 7 20 2129 12 28 171 15 23 265 18 31 102 8 24 1432 27 3 919 13 30 622 11 4 25对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 31 2) 函数函数F的设计的设计 函函数数F是是DES加加密密的的核核心心，它它依依赖赖于于S盒盒的的设设计计。这这也也适适用用于于其其它它的的对对称称分分组组加加密密算算法法。下下面面我我们们简简单单讨讨论论一一下下有有关关F函函数数的的一一些些通通用用设设计计准准则则以以及及S盒盒设设计计问题。问题。 (1) F的设计准则的设计准则。函数。函数F的基本功能就是的基本功能就是“扰乱扰乱(confusion)”输入，因此，对于输入，因此，对于F来说，其非线性越来说，其非线性越高越好，也就是说，要恢复高越好，也就是说，要恢复F所做的所做的“扰乱扰乱”操作越难操作越难越好。越好。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 32 其它的设计准则还包括严格其它的设计准则还包括严格雪崩准则雪崩准则(SAC) 和和比特独立准则比特独立准则(BIC) 。 所谓所谓SAC，就是要求算法具有良好的雪崩效应，就是要求算法具有良好的雪崩效应，输入当中的输入当中的一个比特发生变化都应当使输出产生一个比特发生变化都应当使输出产生”尽可能多尽可能多” 的比特变化的比特变化。 严格地说，就是当任何单个输入比特位严格地说，就是当任何单个输入比特位i发生变换时，一个发生变换时，一个S盒的第盒的第j比特输出位发生变换的概率应为比特输出位发生变换的概率应为1/2，且对任意的，且对任意的i,j都应都应成立。成立。 BIC的意思是当的意思是当单个输入比特位单个输入比特位i发生变化时，输出比特位发生变化时，输出比特位j,k的变化应当互相独立的变化应当互相独立，且对任意的，且对任意的i,j,k均应成立。均应成立。 SAC和和BIC可以有效的增强可以有效的增强F函数的函数的“扰乱扰乱”功能。功能。 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 33 (2) S盒盒设设计计。S盒盒的的设设计计在在对对称称分分组组密密码码研研究究领领域域中中起起着着举举足足轻轻重重的的作作用用。本本质质上上，S盒盒的的作作用用就就是是对对输输入入向向量量进进行行处处理理，使使得得输输出出看看起起来来更更具具随随机机性性，输输入入和和输输出出之之间间应应当当是是非非线性的线性的，很难用线性函数来逼近。，很难用线性函数来逼近。 显显然然，S盒盒的的尺尺寸寸是是一一个个很很重重要要的的特特性性。一一个个S盒盒其其输输入入为为n比比特特，输输出出为为m比比特特。DES的的S盒盒大大小小为为64 。S盒盒越越大大，就就越越容容易易抵抵制制差差分和线性分和线性密码分析。密码分析。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 34Mister和和Adams提提出出了了很很多多的的S盒盒设设计计原原则则，其其中中包包括括要要求求S盒盒满满足足SAC和和BIC的的原原则则，以以及及S盒盒的的所所有有列列的的全全部部线线性性组组合合应应当当满满足足一一类类称称为为bent函函数数的的高高度度非非线线性布尔函数的原则性布尔函数的原则。Bent函函数数具具有有很很多多有有趣趣的的特特性性，其其中中，高高度度非非线线性性和和最最高高阶阶的的严严格格雪雪崩崩准准则则对对于于S盒的设计尤为重要。盒的设计尤为重要。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 35 Nyberg提提出出了了以以下下几几种种S盒盒的的设设计计和和实实践践原原则：则： 随随机机性性：采采用用某某些些伪伪随随机机数数发发生生器器或或随随机机数表格来产生数表格来产生S盒的各个项。盒的各个项。 随随机机测测试试：随随机机选选择择S盒盒各各个个项项，然然后后按按照不同准则测试其结果。照不同准则测试其结果。 数数学学构构造造：根根据据某某些些数数学学原原理理来来产产生生S盒盒。其其好好处处就就是是可可以以根根据据数数学学上上的的严严格格证证明明来来抵抵御御差差分分和和线线性性密密码码分分析析，并并且且可可以以获获得得很很好好的的扩扩散散(Diffusion)特性。特性。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 36 4末置换函数末置换函数IP-1 末置换是初始置换的逆变换。对L0和R0进行1616轮轮相相同同的的运运算算后后，将将得得到到的的两两部部分分数数据据合合在在一一起起，经经过过一一个个末末置置换换函函数数就就可可得得到到6464位位的的密文密文c c，即：，即： c=IPc=IP-1-1(R(R1616L L1616) ) （ 1616指指的的是是1616轮轮） 表2-8列出了该变换。 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 37表2-8 末 置 换IP-140 8 48 16 56 24 64 3239 7 47 15 55 23 63 3138 6 46 14 54 22 62 3037 5 45 13 53 21 61 2936 4 44 12 52 20 60 2835 3 43 11 51 19 59 2734 2 42 10 50 18 58 2633 1 41 9 49 17 57 25对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 385总结根据上面所述，可以将DES算法归结如下：子密钥生成： C0D0 = PC1(K) for 1 = i = 16 Ci = LSi(Ci1) Di = LSi(Di1) Ki = PC2(CiDi)对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 39加密过程：L0R0 = IP(x)for 1 = i = 16Li = Ri1Ri = Li1 XOR f(Ri1, Ki)c= IP1(R16L16)v对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 40解密过程：R16L16 = IP(c)for 1 = i = 16Ri1 = LiLi1 = Ri XOR f(Li, Ki)x= IP1(L0R0)对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 41 2.2.2 三重三重DES 三三重重DES是是DES的的一一种种变变形形的的实实现现方方式式，如如图图2-10所所示示。从图中我们可以得到其加从图中我们可以得到其加/解密运算为：解密运算为： 加密：加密：c=EK3(DK2(EK1(m) 解密：解密：? m=DK1(EK2(DK3(c) 其其中中，K1、K2、K3为为56位位DES密密钥钥。为为了了获获得得更更高高的的安安全全性性，三三个个密密钥钥应应该该选选择择为为互互不不相相同同。但但在在某某些些情情况况下下，如如与与原来的原来的DES保持兼容保持兼容，则可以选择，则可以选择K1=K3。?注：所谓兼容就是原来的加密和解密不变化（可以继续使用）注：所谓兼容就是原来的加密和解密不变化（可以继续使用）对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 42图2-12 三重DES 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 432.3 IDEA IDEA即国际数据加密算法，它的原型是即国际数据加密算法，它的原型是PES(Proposed Encryption Standard)。对。对PES改进后的改进后的新算法称为新算法称为IPES，并于，并于1992年改名为年改名为IDEA(International Data Encryption Algorithm)。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 44IDEAIDEA是是一一个个分分组组长长度度为为6464位位的的分分组组密密码码算算法法，密密钥钥长长度为度为128128位，同一个算法即可用于加密，也可用于解密。位，同一个算法即可用于加密，也可用于解密。IDEA的加密过程包括两部分：(1) (1) 输输入入的的6464位位明明文文组组分分成成四四个个1616位位子子分分组组：X X1 1、X X2 2、X X3 3和和X X4 4。四四个个子子分分组组作作为为算算法法第第一一轮轮的的输输入入，总总共共进进行行八轮的迭代运算，产生八轮的迭代运算，产生6464位的密文输出位的密文输出。(2) (2) 输输入入的的128128位位会会话话密密钥钥产产生生八八轮轮迭迭代代所所需需的的5252个个子子密密钥钥( (八八轮轮运运算算中中每每轮轮需需要要六六个个，还还有有四四个个用用于于输输出出变变换换) )。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 45 子子密密钥钥产产生生：输输入入的的128位位密密钥钥分分成成八八个个16位位子子密密钥钥(作作为为第第一一轮轮运运算算的的六六个个和和第第二二轮轮运运算算的的前前两两个个密密钥钥)；将将128位位密密钥钥循循环环左左移移25位位后后再再得得八八个个子子密密钥钥(前前面面四四个个用用于于第第二二轮轮，后后面面四四个个用用于于第第三三轮轮)。这这一一过过程程一一直直重重复复，直至产生所有密钥。直至产生所有密钥。 IDEA的的解解密密过过程程和和加加密密过过程程相相同同，只只是是对对子子密密钥钥的的要要求求不不同同。表表2-8给给出出了了加加密密子子密密钥钥和相应的解密子密钥。和相应的解密子密钥。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 462.4 高级加密标准（AES）2.4.1 高级加密标准产生背景高级加密标准产生背景19971997年年4 4月月1515日，美国日，美国国家国家标准与技准与技术研究所研究所(NIST)(NIST)发起发起征集征集AES(Advanced AES(Advanced Encryption Standard)Encryption Standard)的活动。对的活动。对AESAES的基本要求是：的基本要求是：比三重比三重DESDES快，至少快，至少与三重与三重DESDES一样安全，数据分组长度为一样安全，数据分组长度为128128比特比特，密钥长度为，密钥长度为128/192/256128/192/256比比特。特。19981998年年8 8月月1212日，在首届日，在首届AESAES会议上公布了会议上公布了AESAES的的1515个候选算法个候选算法，任由全世界，任由全世界各机构和个人攻击和评论。各机构和个人攻击和评论。19991999年年3 3月，在第二届月，在第二届AESAES会议上从会议上从1515个候选算法中选出个候选算法中选出5 5个个。20002000年年4 4月月1313号和号和1414号，召开第三届号，召开第三届AESAES会议。会议。20002000年年1010月月2 2日，日，NISTNIST宣布宣布RijndaelRijndael作为新的作为新的AESAES，RijndaelRijndael终于脱颖而出。终于脱颖而出。介绍其中的介绍其中的3 3个。个。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 472.4.2 Rijndael算法算法Rijndael（荣代尔）算法是比利时的Joan Daemen和Vincent Rijmen设计的，该算法的原形是Square算法。它的设计策略是宽轨迹策略。宽轨迹策略是针对差分分析和线性分析提出的一种新的策略，其最大优点是可以给出算法的最佳差分特性的概率及最佳线性逼近的偏差的界。由上述条件可以分析算法抵抗差分密码分析和线性密码分析的能力。Rijndael采用的是代替/置换算法。每一轮由以下3层组成。线性混合层：确保多轮之上的高度扩散。非线性层：由16个S盒并置而成，起到混淆的作用。密钥加层：子密钥简单地异或到中间状态上。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 48对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 49对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 50对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 51（4） 轮密钥加(AddRoundKey)轮密钥加(AddRoundKey，ARK):在轮密钥加变换中，每一轮的轮密钥按位与状态进行异或运算.轮密钥通过密钥按照密钥方案来生成，下面将具体描述密钥方案。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 522.5 序列密码序列密码2.5.1 序列密码原理序列密码原理序列密码加密时将明文划分成字符（如单个字母）或其编码的基本单元序列密码加密时将明文划分成字符（如单个字母）或其编码的基本单元（如（如0、1），然后将其与密钥流进行运算（通常为异或），解密时），然后将其与密钥流进行运算（通常为异或），解密时以同步产生的相同密钥流实现解密。以同步产生的相同密钥流实现解密。 序列密码原理框图对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 53序序列列密密码码强强度度完完全全依依赖赖于于密密钥钥流流产产生生器器所所产产生生的的序序列列的的随随机机性性和和不不可可预预测测性性，其其核核心心问问题题是是密密钥钥流流生生成成器器的的设设计计。而而保保持持收收发发两两端端密密钥钥流流的的精精确确同同步步是是实实现现可可靠靠解解密密的关键技术。的关键技术。迄迄今今为为止止，只只有有一一种种理理论论上上不不可可破破的的加加密密方方案案，叫叫做做一一次次一一密密乱乱码码本本，这这是是一一种种序序列列密密码码。其其基基本本思思想想是是让让密密钥钥和和明明文文一一样样长长，密密钥钥称称为为乱乱码码本本，用用一一次次便便不不再再用用 。将将密密钥钥与与明明文文异异或或得得到到密密文文，接接收收者者用用同同样样的的密密钥钥与与密密文异或即得到明文。文异或即得到明文。一一次次一一密密乱乱码码本本在在今今天天仍仍有有应应用用场场合合，主主要要用用于于高高度度机机密密的低带宽信道。的低带宽信道。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 54A5算算法法是是一一种种序序列列密密码码，它它是是欧欧洲洲GSM标标准准中中规规定定的的加加密密算算法法，用用于于数数字字蜂蜂窝窝移移动动电电话话的的加加密，加密从用户设备到基站之间的链路。密，加密从用户设备到基站之间的链路。A5算算法法包包括括很很多多种种，主主要要为为A5/1和和A5/2。其其中中，A5/1为为强强加加密密算算法法，适适用用于于欧欧洲洲地地区区；A5/2为为弱弱加加密密算算法法，适适用用于于欧欧洲洲以以外外的的地地区区。这这里里将将详细讨论详细讨论A5/1算法。算法。2.5.2 A5算法对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 55 A5/1算法的主要组成部分是三个长度不同的线性反馈算法的主要组成部分是三个长度不同的线性反馈移位寄存器移位寄存器(LFSR)R1、R2和和R3，其长度分别为其长度分别为19、22和和23。 三个移位寄存器在时钟的控制下进行左移，每次左移后，寄存器最低位由寄存器中的某些位异或后的位后，寄存器最低位由寄存器中的某些位异或后的位填充。各寄存器的反馈多项式为：填充。各寄存器的反馈多项式为：R1：x18+x17+x16+x13R2：x21+x20R3：x22+x21+x20+x7各寄存器的详细情况如图各寄存器的详细情况如图2-12所示。所示。对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 56 当时钟到来时，三个移位寄存器并不是都进行移当时钟到来时，三个移位寄存器并不是都进行移位，而是遵循一个所谓的位，而是遵循一个所谓的“多数为主多数为主”的原则。的原则。 这个原则为：从每个寄存器取出一位这个原则为：从每个寄存器取出一位(R1(R1取第取第8 8位、位、R2R2取第取第1010位、位、R3R3取第取第1010位位) )，当这三个位中有两个或两当这三个位中有两个或两个以上的值等于个以上的值等于1 1时，则将取出位为时，则将取出位为1 1的寄存器进行移的寄存器进行移位，而取出位为位，而取出位为0 0的不移位的不移位；当三个取出位中有两个或当三个取出位中有两个或两个以上的两个以上的0 0时，将取出位为时，将取出位为0 0的寄存器进行移位，为的寄存器进行移位，为1 1的不移位的不移位。（多数移位原则？）（多数移位原则？） 最后，将三个移位寄存器最高位的最后，将三个移位寄存器最高位的异或运算结果异或运算结果作为输出作为输出。 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 57 图2-14 A5/1序列密码 对称密钥密码体系 最新第第2 2章章 对称密钥密码体系对称密钥密码体系 58小结 DES(DES(数据加密标准数据加密标准) ) 。 IDEAIDEA加密算法，这是近年来提出的各种分组加密算法，这是近年来提出的各种分组密码中一个很成功的方案密码中一个很成功的方案 。 RijndaelRijndael 。 A5A5加密算法所进行的操作？加密算法所进行的操作？ 置换、代替、移位、扩展置换、压缩置换、异置换、代替、移位、扩展置换、压缩置换、异或、合并、拆分或、合并、拆分对称密钥密码体系 最新