Chapter3Chapter3分组密码与数据加密标准分组密码与数据加密标准 密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/222nPlayfair、hill、Vigenre的密钥空间？n单表和多表的区别？密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/223本本节课程内容程内容n分组密码一般原理、设计准则、设计方法nDES加解密算法nDES的强度密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2243.1 分分组密密码原理原理n流密流密码q每次加密数据流的一位或一个字每次加密数据流的一位或一个字节n分分组密密码q将一个明文将一个明文组作作为整体加密且通常得到的是与整体加密且通常得到的是与之等之等长的密文的密文组密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/225流密流密码模型模型加密算法加密算法密文密文明文明文密密钥Kbb位位bb位位密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/226n分分组密密码的一般的一般设计原理：原理：q分分组密密码是将明文消息是将明文消息编码表示后的数字（表示后的数字（简称明称明文数字）序列，划分成文数字）序列，划分成长度度为n的的组（可看成（可看成长度度为n的矢量），每的矢量），每组分分别在密在密钥的控制下的控制下变换成等成等长的的输出数字（出数字（简称密文数字）序列称密文数字）序列n理想分理想分组密密码体制体制q2n!个映射个映射q大大规模模密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/227FeistelFeistel网网络（1 1）nFeistel网网络的的设计动机机q密密钥长为k位，分位，分组长为n位，采用位，采用2k个个变换密码编码学与网络安全（第五版）向金海03-分组密码与dn一个分组密码是一种映射：记为E(X,K)或称为明文空间，称为密文空间，为密钥空间。FeistelFeistel网网络（2 2）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/229nShannonn目的：挫目的：挫败基于基于统计方法的密方法的密码分析分析q混淆（混淆（confusion）：使得）：使得密文密文的的统计特性特性与密与密钥的取的取值之之间的关系尽量复的关系尽量复杂。q扩散（散（diffusion）：明文的）：明文的统计特征消散在密文中，特征消散在密文中，使得使得明文和密文明文和密文之之间的的统计关系尽量复关系尽量复杂。刻画密刻画密码系系统的两个基本构件的两个基本构件FeistelFeistel网网络（3 3）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2210n分分组长度度n密密钥长度度n轮数数n子密子密钥生成算法生成算法n轮函数函数Fn快速快速软件加解密件加解密n易于分析易于分析FeistelFeistel网网络（4 4）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/22113.2 数据加密数据加密标准准DESnDESDES的的历史史nDESDES的基本的基本结构构nDESDES核心构件的核心构件的细节描述描述nDESDES轮密密钥的生成的生成nDESDES的安全性分析的安全性分析密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2212数据加密标准(DES)第一个并且是最重要的现代分组密码算法密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2213历史史n发明人明人：美国：美国IBMIBM公司公司 W.TuchmanW.Tuchman和和 C.MeyerC.Meyer1971-19721971-1972年研制成功年研制成功n基基础：19671967年美国年美国HorstFeistelHorstFeistel提出的理提出的理论n产生：美国国家生：美国国家标准局（准局（NBS)1973NBS)1973年年5 5月到月到19741974年年8 8月两次月两次发布通告，布通告，公开征求用于公开征求用于电子子计算机的加密算法。算机的加密算法。经评选从一大批算法中采从一大批算法中采纳了了IBMIBM的的LUCIFERLUCIFER方案方案n标准化：准化：DESDES算法算法19751975年年3 3月公开月公开发表，表，19771977年年1 1月月1515日由美国国家日由美国国家标准局准局颁布布为数据加密数据加密标准（准（DataEncryptionStandardDataEncryptionStandard），于），于19771977年年7 7月月1515日生效日生效密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2214DES是一种用是一种用5656位密位密钥来加密来加密6464位数据的方法。位数据的方法。概述概述密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2215DESDES算法框算法框图 输入 64 bit明文数据 初始置换IP 乘积变换 （16轮迭代） 逆初始置换IP-1 64 bit密文数据 输出标准数据加密算法DESDESDESDES的核心部件：的核心部件：的核心部件：的核心部件：n n两次置两次置两次置两次置换换（初始置（初始置（初始置（初始置换换和初始逆置和初始逆置和初始逆置和初始逆置换换）n n密密密密钥钥控制下的十六控制下的十六控制下的十六控制下的十六轮轮迭代加密迭代加密迭代加密迭代加密n n轮轮密密密密钥钥生成生成生成生成密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2216密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2217初初始始置置换和和初初始始逆逆置置换密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2218初始置初始置换和初始逆置和初始逆置换DES中的初始置中的初始置换和初始逆置和初始逆置换密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2219n 初始置初始置换与初始逆置与初始逆置换是互逆的是互逆的n 严格而言不具有加密的意格而言不具有加密的意义Note密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2220DES的十六的十六轮迭代加密迭代加密十十六六轮迭迭代代加加密密Roundi第第i i轮加加密密密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2221DES第第i轮迭代加密迭代加密密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2222F函数函数密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2223扩展展E置置换（E-盒）盒）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2224S盒（盒（1）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2225S-盒是盒是DES加密算法的唯一非加密算法的唯一非线性部件性部件S盒（盒（2）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2226S-盒盒S盒（盒（3）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2227 00 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15012313 02 08 04 06 15 11 01 10 09 03 14 05 00 12 0701 15 13 08 10 03 07 04 12 05 06 11 00 14 09 0207 11 04 01 09 12 14 02 00 06 10 13 15 03 05 0802 01 14 07 04 10 08 13 15 12 09 00 03 05 06 11输入入输出出S-盒的盒的查表操作表操作S盒（盒（4）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2228nDESDES中其它算法都是中其它算法都是线性的，而性的，而S-S-盒运算盒运算则是非是非线性的性的n 提供了密提供了密码算法所必算法所必须的混乱作用的混乱作用nS-S-盒不易于分析，它提供了更好的安全性盒不易于分析，它提供了更好的安全性nS-S-盒的盒的设计未公开未公开NoteS盒（盒（5）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2229P置置换密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2230直接直接P置置换（P-盒）盒）P置置换密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2231F函数函数密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2232DES第第i轮迭代加密迭代加密密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2233密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2234子密子密钥产生器生器 密钥（64 bit ）置换选择1，PC1置换选择2，PC2 Ci(28 bit) Di(28 bit) 循环左移 循环左移除去第8,16, ,64位(8个校验位)ki密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2235密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2236置置换选择1循循环左移的次数左移的次数（舍弃了奇偶校验位，即第8，16，64位）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2237压缩置置换2舍弃了第9,18,22,25,35,38,43,54比特位密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2238n加密过程加密过程: :qL0R0IP()qLiRi-1i=1,.,16(1)qRiLi-1f(Ri-1, k ki)i=1,.,16(2)qIP-1(R16L16) (1)(2)(1)(2)运算进行运算进行1616次后就得到密文组。次后就得到密文组。n解密过程解密过程: :qR16L16IP()qRi-1Lii=1,.,16(3)qLi-1Rif(Li-1,ki)i=1,.,16(4)qIP-1(R0L0)(3)(4)(3)(4)运算进行运算进行1616次后就得到明文组。次后就得到明文组。DESDES加解密的数学表达加解密的数学表达密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2239n安全性安全性 qDES的安全性完全依赖于所用的密钥。 从DES诞生起，对它的安全性就有激烈的争论，一直延续到现在n弱密弱密钥和半弱密和半弱密钥qDES算法在每次迭代时都有一个子密钥供加密用。如果给定初始密钥k，各轮的子密钥都相同，即有k1=k2= =k16，就称给定密钥k为弱弱密密钥(Weak key)3.3 DES的的强度度密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2240n若k为弱密钥，则有qDESk(DESk(x)=xqDESk-1(DESk-1(x)=xq即以k对x加密两次或解密两次都可恢复出明文。其加密运算和解密运算没有区别。n而对一般密钥只满足qDESk-1(DESk(x)=DESk(DESk-1 (x)=xq弱密钥下使DES在选择明文攻击下的搜索量减半。n如果随机地选择密钥，则在总数256个密钥中，弱密钥所占比例极小，而且稍加注意就不难避开。n因此，弱密钥的存在不会危及DES的安全性。DES的的强度（度（1）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2241雪崩效雪崩效应DES的的强度（度（2）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2242n56位密钥的使用q256=7.2x1016q1997，几个月q1998，几天q1999，22个小时!nDES算法的性质：S盒构造方法未公开！n计时攻击DES的的强度（度（3）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2243n差分密码分析q通过分析明文对的差值对密文对的差值的影响来恢复某些密文比特n线性密码分析q通过寻找DES变换的线性近似来攻击DES的的强度（度（4）密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/22443.43.4分分组密密码的工作模式的工作模式nFIPS 81中定义了中定义了4种模式，到种模式，到800-38A中将其中将其扩展为扩展为5个。个。n可用于所有分组密码。可用于所有分组密码。nDES的工作模式的工作模式若明文最后一段不足分组长度，则补若明文最后一段不足分组长度，则补0或或1，或随机串。，或随机串。 密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2245模式描述典型应用电码本（电码本（ECBECB）单个数据的安全传输密码分组链接（密码分组链接（CBCCBC）普通目的的面向分组的传输；认证密码反馈（密码反馈（CFBCFB）普通目的的面向分组的传输；认证输出反馈（输出反馈（OFBOFB）噪声信道上的数据流的传输计数器（计数器（CTRCTR）普通目的的面向分组的传输；用于高速需求DESDES的工作模式的工作模式密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2246电码本模式本模式ECBECBn工作模式工作模式 q加密：Cj=Ek(Pj),(j=1,2,n)q解密：Pj=Dk(Cj)n应用应用n特点特点n错误传播错误传播 q不传播，即某个不传播，即某个Ct的传输错误只影响到的传输错误只影响到Pt的恢复，不影响的恢复，不影响后续的（后续的（jt）。）。密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2247ElectronicCodebookBook(ECB)密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2248摘自：NISTSpecialPublication800-38A2001Edition密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2249密码分组链接模式n工作模式工作模式 q加密q解密n应用应用q加密长度大于加密长度大于64位的明文位的明文Pq认证认证n特点特点n错误传播错误传播 密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2250CipherBlockChaining(CBC)CipherBlockChaining(CBC)密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2251摘自：NISTSpecialPublication800-38A2001Edition密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2252n工作模式工作模式q加密q解密n应用应用q保密：加密长度大于保密：加密长度大于64位的明文位的明文P；分组随意；可作为；分组随意；可作为流密码使用。流密码使用。q认证：认证：n特点特点q分组任意分组任意q安全性优于安全性优于ECB模式模式q加、解密都使用加密运算（不用解密运算）加、解密都使用加密运算（不用解密运算）n错误传播错误传播q有误码传播，设 ，则错误的Ct会影响到Pt,Pt+r。 密码反馈模式密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2253CipherFeedBack(CFB)密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2254摘自：NISTSpecialPublication800-38A2001Edition密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2255输出反馈模式n工作模式工作模式 q加密加密q解密解密n应用应用n特点特点q缺点：抗消息流篡改攻击的能力不如缺点：抗消息流篡改攻击的能力不如CFB。 n错误传播错误传播 q不传播不传播 密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2256OutputFeedBack(OFB)密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2257摘自：NISTSpecialPublication800-38A2001Edition密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2258n工作模式工作模式 q加密：加密： 给定计数器初值给定计数器初值IV，则，则 j=1,2,N q解密解密n特点特点q优点优点n硬件效率：可并行处理；硬件效率：可并行处理；n软件效率：并行化；软件效率：并行化；n预处理；预处理；n随机访问：比链接模式好；随机访问：比链接模式好；n可证明的安全性：至少与其它模式一样安全；可证明的安全性：至少与其它模式一样安全；n简单性：只用到加密算法。简单性：只用到加密算法。n错误传播错误传播 q不传播不传播计数器模式密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2259Counter(CTR)密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2260摘自：NISTSpecialPublication800-38A2001Edition密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2261小结q分组密码与流密码blockvsstreamciphersqFeistel密码设计与结构design&structuren轮数，函数F，密钥扩展qDESn算法细节n密码强度n工作模式密码编码学与网络安全（第五版）向金海03-分组密码与d2024/7/2262第三章作第三章作业n思考思考题：3.5，3.7，3.8密码编码学与网络安全（第五版）向金海03-分组密码与d