第二章流密码

一个完全随机的非周期序列，可以实现一次一密体制。


加法流密码： ci=Eki(mi)=mi ki
有限状态自动机FA (Finite state Automation)

具有离散输入和输出（输入集和输出集均 有限）的一种数学模型

有限状态集S={si|i=1,2,…,l} 有限输入字符集X={ Xi|i=1,2,…,m} 有限输出字符集Y={ Yk|k=1,2,…,n} 转移函数
作为FA的密钥流产生器



具有非线性的φ的FA理论很不完善，通 常采用线性φ以及非线性的ψ 可将此类产生器分为驱动部分和非线性 组合部分。 驱动部分控制状态转移 非线性组合部分提供统计特性良好的序 列
两种常见的密钥流产生器
LFSR LFSR LFSR 非线性组合函数 LFSR 非 线 性 组 合 函 数
第二章
流密码
一、流密码的基本概念 二、线性反馈移位寄存器序列 三、B-M综合算法 四、非线性序列
一、流密码的基本概念
一次一密
Ci mi ki , i 1, 2,3,


如果密钥流字符是独立的并且是随机生 成的，那么该密码算法称为一次一密 无条件安全 缺陷：

密钥和明文长度相同，密钥分配和管理困难
一流密码的基本概念二线性反馈移位寄存器序列三bm综合算法四非线性序列一次一密如果密钥流字符是独立的并且是随机生成的那么该密码算法称为一次一密流密码是将明文划分成字符如单个字母或其编码的基本单元如01数字字符分别与密钥流作用进行加密解密时以同步产生的同样的密钥流实流密码强度完全依赖于密钥序列的随机性randomness和不可预测性unpredictability
满足密码体制的另外三个条件
C1．周期p要足够大，如大于1050；
C2．序列{ki}i0产生易于高速生成； C3．当序列{ki}i0 的任何部分暴露时，要分析整个序列， 提取产生它的电路结构信息， 在计算上是不可行的，称 此为不可预测性(Unpredictability)。
C3决定了密码的强度，是流密码理论的核心。它包 含了流密码要研究的许多主要问题，如线性复杂度、相 关免疫性、不可预测性等等。
流密码的基本概念

流密码是将明文划分成字符(如单个字母)，或其编 码的基本单元(如0, 1数字)，字符分别与密钥流作 用进行加密，解密时以同步产生的同样的密钥流实 现。 流密码强度完全依赖于密钥序列的随机性 (Randomness)和不可预测性(Unpredictability)。 核心问题是密钥流生成器的设计。 保持收发两端密钥流的精确同步是实现可靠解密的 关键技术。



1+x+x2|1+x3 1+x+x2对应于a2+k=a1+k+ak 初态10，输出101101… 初态11，输出110110… 1+x3对应于a3+k=ak 取初态101，输出101101… 取初态110，输出110110…
定义2.2 设p(x)是GF(2)上的多项式，使p(x)|(xp-1)的 最小p称为p(x)的周期或阶。 定理2.3 若序列{ai}的特征多项式p(x)定义在GF(2)上， p是p(x)的周期，则{ai}的周期r | p。 证明：由p(x)周期的定义得p(x)|(xp-1), 因此存在 q(x)，使得xp-1=p(x)q(x)，又由p(x)A(x)= (x)可得 p(x)q(x)A(x)= (x)q(x)， 所以(xp-1)A(x)= (x)q(x)。由于q(x)的次数为 p-n， (x)的次数不超过n-1，所以(xp-1)A(x)的次数 不超过(p-n)+(n-1)=p-1。 将(xp-1)A(x)写成 xp A(x)- A(x),可看出对于任意正整 数i都有ai+p=ai。 设p=kr+t,0≤t<r，则ai+p=ai+kr+t=ai+t=ai，所以t=0，即r | p。（证毕）
图2.11 一个5级线性反馈移位寄存器 递推关系式为：a5+k=ak+ak+3
序列周期


定义：序列{ai}中，如果对于任意的 1≤i，某个整数p，都有 ai+p =ai，则称 该序列是周期序列，整数p为该序列的周 期。 思考：如何确定序列周期？



在文献中出现的许多密钥流生成器都使 用了线性反馈位移寄存器（LFSR），其 原因有以下几点： 1. LFSR非常适合于硬件的实现； 2. 可以产生大周期序列； 3. 可以产生具有良好统计性质的序列； 3. 由于LFSR结构上的特点，易于利用代 数方法对其进行分析。

同相自相关函数 当j为p的倍数，即pj时为，R(j)=1；

异相自相关函数
当j不是p的倍数时
例2－2
二元序列111001011100101110010…
周期p=7
同相自相关函数R(j)=1
异相自相关函数R(j)=－1/7。
Golomb随机性假设－PN序列
G1．若 p 为偶，则0, 1出现个数相等，皆为 p/2。若 p 为奇， 则0出现个数为(p1)/2。 G2．长为l的游程占游程总数的1/2l，且等长的游程中“0” 游程和“1”游程个数相等或至多差一个。 G3．R(j)为双值，即所有异相自相关函数值相等。这与白 噪声的自相关函数(函数)相近，这种序列又称为双值序 列(Two Value Sequence)。 PN序列可用于通信中同步序列、码分多址(CDMA)、 导航中多基站码、雷达测距码等。但仅满足G1～G3特性 的序列虽与白噪声序列相似，但远还不能满足密码体制 要求。
zi
zi
流密码的分类


同步流密码SSC(Synchronous Stream Cipher)： i与明文消息无关，密钥流将独立于明文。 特点：




对于明文而言，这类加密变换是无记忆的。但它是时变 的。 只有保持两端精确同步才能正常工作。 对主动攻击时异常敏感而有利于检测 无差错传播(Error Propagation)

.01110,10001
l l
序列的伪随机性

周期自相关函数
周期为p的序列{ki}i0，其周期自相关函数 R(j)=(A－D)/p ， j=0, 1, …
式中，A={0i<p|：ki=ki+j}，D={0i<p：kiki+j}。
1 p 1 k R( j ) (1)ki (1) i j p i 0


流密码的框图
kI 安 全 信 道 kI
· · · KG
· · · KG
ki
mi Eki(mi) ci · · · ci
ki
mi Eki(mi)
流密码的框图

消息流：m=m1m2…mi，其中miM。 密文流：c=c1c2…ci…=Ek1(m1)Ek2(m2)… Eki(mi)…， ciC。 密钥流：{ki}，i0。
n
2.3 线性移位寄存器的一元多项式表示
n级线性移位寄存器的输出序列{ai}满足递推 关系 an+k=c1an+k-1 c2an+k-2 … cnak (*)
•
LFSR的特征多项式 n-1＋c xn p(x)=1+c1x+…＋cn+1x n
•
适合递推关系 (*)的n级线性移位寄存器序列 称为由p(x)产生的序列，由于ai∈GF(2) (i =1, 2,…, n)，所以共有2n组初始状态，即有2n个 递推序列，其中非恒零的有2n-1个， n •记2 -1个非零序列的全体为G(p(x))。

输出

1 1 1 0 1 1
0 1 1 1 0 1
1 0 1 1 1 0
1 0 1 1 1 0
24
线性反馈移位寄存器
f(x)为线性函数，输出序列满足下式
ank f (ak ,, ank 1 ) c1ank 1 c2ank 2 cn ak
Hale Waihona Puke 例2.3 图2.11是一个5级线性反馈移位寄存器，其 初始状态为（a1,a2,a3,a4,a5）=(1,0,0,1,1)，可求出 输出序列为 1001101001000010101110110001111100110… 周期为31。
二、 线性反馈移位寄存器序列
线性反馈移位寄存器序列概念

级数(Stages)：存储单元数。 状态(State)：n个存储单元的存数(ai, …, ai+n-1) 反馈函数：f(ai, ai+1, …, ai+n-1)是状态(ai,…, ai+n-1)的函数。 线性反馈移位寄存器(LFSR)：f 为线性函数 非线性反馈移位寄存器： f 为非线性函数
•


定义2.1 给定序列{ai}，幂级数

称为该序列的生成函数。
定理2.1 设p(x)=1+c1x+…+cn-1xn-1+cnxn是 GF(2)上的多项式，G(p(x))中任一序列{ai}的 生成函数A(x)满足： A(x)= (x)/p(x) 其中
=(a1+a2x+…+anxn-1)+c1x(a1+a2x+…+an-1xn-2) +c2x2(a1+a2x+…+an-2xn-3)+…+cn-1xn-1a1
反之，若G(p(x)) G(q(x)),则对于多项式 (x)， 存在序列{ai}∈ G(p(x))以A(x)= (x) / p(x)为生成函数。 特别地，对于多项式 (x)=1，存在序列 {ai}∈ G(p(x)) 以1 / p(x)为生成函数。由于 G(p(x)) G(q(x)), 序列{ai}∈ G(q(x)), 所以存在函数 r(x)，使得{ai}的生成函数也等于r(x) / q(x)，从而 1/p(x)= r(x) / q(x)，即q(x)=p(x)r(x)，所以p(x)|q(x). (证毕) •定理2.2 说明可用n级LFSR产生的序列，也可用级 数更多的LFSR来产生。
流密码的分类


自同步流密码SSSC(Self-Synchronous Stream Cipher) i依赖于(kI,i-1,mi)，使密文ci不仅与当前输入 mi 有关，而且由于 ki 对 i 的关系而与以前的输入 m1, m2 ,…,mi-1 有关。一般在有限的 n 级存储下将与 mi1,…,mi-n有关。 优点：具有自同步能力，强化了其抗统计分析的能力 缺点：有n位长的差错传播。
流密码的分类
n级移存器 … … ki f ki Eki(· ) n 级移存器 … … f ki Dki(· ) ki
mi
ci
ci
mi
序列的伪随机性

周期 序列{ki}i0，使 对所有i，ki+p=ki 成立的的最小整数p 长为l的游程(run) (kt , kt+1…kt+l -1) 序列{ki}的一个周期中， kt-1kt=kt+1=…=kt+l -1 kt+l 例：长为l的1游程和长为l的0游程：

Yj＝f 1(sj ,Xj) Sj+1 ＝f 2(sj ,Xj) Y
第j时刻输入Xj X ，输出Yj
例2-1

S={s1,s2,s3},X={x1, x2,x3},Y=(y1,y2,y3) 转移函数
x1 y1 y2 y3 x2 y3 y1 y2 x3 y2 y3 y1 f2 s1 s2 s3 x1 s2 s3 s1 x2 s1 s2 s3 x3 s3 s1 s2
移项整理得 (1+c1x+…+cn-1xn-1+cnxn)A(x) =(a1+a2x+…+anxn-1)+c1x(a1+a2x+…+an-1xn-2) +c2x2(a1+a2x+…+an-2xn-3)+…+cn-1xn-1a1 即
(证毕)
注意在GF(2)上有a+a=0。
• ( x) / p( x) 与序列{ai}的初态是一一对应的
证明： 在等式 an+1=c1an c2an-1 … cna1 an+2=c1an+1 c2an … cna2 … 两边分别乘以xn,xn+1,…，再求和，可得 A(x)-(a1+a2x+…+anxn-1) =c1x[A(x)-(a1+a2x+…+an-1xn-2)] +c2x2[A(x)-(a1+a2x+…+an-2xn-3)]+…+cnxnA(x)
• 留做思考题 • 提示：由n级线性反馈移位寄存器生成出来的序列 的初态的取法有2n种，( x) / p( x) 恰好也有2n个。
定理2.2 p(x)|q(x)的充要条件是G(p(x))G(q(x))。 证明：若p(x)|q(x), 可设q(x)=p(x)r(x)，因此 A(x)= (x)/p(x)=[ (x)r(x)]/[p(x)r(x)]= (x)r(x)/q(x) 所以若{ai}∈ G(p(x)), 则{ai}∈ G(q(x)), 即G(p(x)) G(q(x))。
f1 s1 s2 s3
FA的状态图表示
若输入为 x1x2x1x3x3x1 初始状态s1 输出为 y1y1y2y1y3y1
作为FA的密钥流产生器

k

φ

同步流密码的密钥流产生器可 看为一个参数为k的FA 输出集Z，状态集Σ，状态转移 函数φ和输出函数ψ，初态0 设计的关键是φ和ψ
i
k
ψ
k
zi
GF(2)上的n级反馈移位寄存器
例：下图是一个3级反馈移位寄存器，其初 始状态为(a1,a2,a3)=(1,0,1)，输出可由表2.2 求出。
输出序列
a3
a2
a1
f (a1 , a2 , a3 ) a1a2 a3
一个3级反馈移位寄存器
23
一个3级反馈移位寄存器的状态和输出
状态 （a1,a2,a3)