密码学与信息安全 第3章 分组密码和数据加密标准
分组密码和数据加密标准
Recommended Reading
• 王育民刘建伟编著, 通信网的安全----理论 与技术,2000,5 • Scneier, B. Applied Cryptography, New York: Wiley, 1996 • Mel, H.X. Baker, D. Cryptography Decrypted. Addison Wesley, 2001
4
图示：n＝3时，一个n位到n位的分组密码
BOX S
n=3 0 2n=8 0 1 2n=8 0 1 2 3 4 5 6 7
5
1
Transformer
Transformer
2 3 4 5 6 7
0
1
1
1
Feistel密码
• 大多数传统分组加密算法都采用Feistel密 码结构，包括DES在内。 • Feistel建议使用乘积密码来增强密码的强 度。
34
计时攻击
• 通过对执行给定的多种密文解密所需时 间的观察，来获得关于密钥或明文的信 息。 • 利用加/解密算法对于不同的输入所花的 时间有着细微的差别。 • DES可以抵御计时攻击。
35
差分分析和线性分析
• 1990年，以色列密码学家Eli Biham和Adi Shamir提出了差分密码分析法，可对DES 进行选择明文攻击。 • 线性密码分析比差分密码分析更有效。
17
示 意 图
DES
18
DES描述
• DES利用56比特串长度的密钥K来加密长度为 64位的明文，得到长度为64位的密文。
19
DES加解密过程
• 令i表示迭代次数，⊕表示逐位模2求和，f为加 密函数。DES的加密和解密过程表示如下。
密码学分组密码
5. 数据扩展。一般无数据扩展，在采用同态置换和随机化 加密技术时可引进数据扩展。
6. 差错传播尽可能小。
设计分组密码常用的一些方法介绍 1. 代换
将n长的明文分组变换为唯一n长密文分组， 这样的变换是可逆的，称明文分组到密文 分组的可逆变换为代换。
D1（28 位）
8 2 16 1
（56 位） 置换选择 2
k1
(48 位)
循环左移
循环左移
Ci（28 位）
Di（28 位）
置换选择 2 ki
（56 位）
（48 位）
置换选择1和置换选择2
DES解密
和Feistel密码一样，DES的解密和加密使 用同一算法，只是子密钥的使用顺序相 反。
子密钥是独立产生的，可以独立存储。
DES加解密过程
令i表示迭代次数，表示逐位模2求和，f为加密函
数。DES的加密和解密过程表示如下。
加密过程：
L0R0 IP( 64bit输入码 )
பைடு நூலகம்
Li Ri1
i 1,2,,16
Ri Li1 f (Ri1, ki ) i 1,2,,16
64bit密文 IP1(R16L16 )
解密过程：
20 21 22 23 24 25
24 25 26 27 28 29
28 29 30 31 32 1
E的作用：
将32比特 的输入膨 胀为48比 特。
则输出为：B = t32 t1 t2 …… t32 t1
选择扩展运算：
12 34 56 78 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
密码学之分组密码算法
密码学之分组密码算法密码学之分组密码算法简介分组密码算法(Block Cipher Algorithm)是将输⼊数据划分成固定长度的组进⾏加密和解密的⼀类对称密码算法。
其安全性主要以来于密钥，通信双⽅使⽤相同的密钥加密和解密。
其优势有速度快，易于标准化和便于软硬件实现等特点。
下标集:₀₁₂₃₄₅₆₇₈₉⁻ ¹ ₋DES加密算法DES简介于1977年公布的第⼀个被⼴泛应⽤的商⽤数据加密算法，在抵抗了⼆⼗余年的密码分析后，其安全性已⽆法得到保障。
所以在1998年12⽉以后就不再使⽤DES加密算法。
但是其衍⽣的三重DES加密算法⽬前还有其应⽤场景。
加密过程算法总览DES加密算法就如下图所⽰。
其输⼊为64位(bit)的明⽂，使⽤56位(bit)的密钥，但是附加了8位奇偶校验位(位于8,16,...,64位)组合成64位密钥。
在64位密钥的控制下，最终产⽣了64(bit)的密⽂。
在下图中X=X₁X₂X₃...X₆₄即为输⼊明⽂，在经过初始转换IP的换位处理后，得到⼀个乱序的明⽂组，并将其分为L₀和R₀两部分，每部分各32位。
⽽K₁K₂...K₁₆则是⽣成由初始密钥⽣成的轮密钥，长度有48位。
其次进⾏如下图所⽰与密钥有关的16轮迭代变换。
对R₀在进⾏⼦密钥K₁控制下的f变换，其得到的结果与L₀作逐位异或后，作为下⼀轮的R₁，⽽R₀则作为下⼀轮的L₁。
在经过16轮如上步骤，最后经过逆初始置换P⁻¹处理后得到密⽂Y=Y₁Y₂Y₃...Y₆₄初始置换IP与逆初始置换IP⁻¹IP操作是对原明⽂的位次顺序进⾏打乱，⽽逆初始置换IP⁻¹是IP操作的⼀个逆操作，其⽬的是为了撤销之前的初始置换操作。
其实这两种操作对密码⽅⾯的作⽤并不⼤。
其具体操作正如表格中所⽰，在如下表格中依次填⼊该顺序位次下的bit位，最终组成新的位次顺序。
如第⼀位的的内容即为原明⽂中第58位处的内容。
轮密钥的产⽣初始密钥K在经过选择置换PC_1后同样分为两个部分C₀和D₀，每部分各28位(bit)，该选择置换实际是在除去了奇偶校验位的置换。
第3章密码技术
3.2 对称加密算法
分组密码 分组密码是将明文消息编码表示后的数字（简称明文数字） 序列，划分成长度为n的组（可看成长度为n的矢量），每 组分别在密钥的控制下变换成等长的输出数字（简称密文 数字）序列。 扩散（diffusion）和扰乱（confusion）是影响密码安全的 主要因素。扩散的目的是让明文中的单个数字影响密文中 的多个数字，从而使明文的统计特征在密文中消失，相当 于明文的统计结构被扩散。 扰乱是指让密钥与密文的统计信息之间的关系变得复杂， 从而增加通过统计方法进行攻击的难度。扰乱可以通过各 种代换算法实现。 分组密码包括DES、IDEA等。
3.2 对称加密算法
DES算法 主要有以下四点： （1）提供高质量的数据保护，防止数据未经授权 的泄露和未被察觉的修改； （2）具有相当高的复杂性，使得破译的开销超过 可能获得的利益，同时又要便于理解和掌握； （3）DES密码体制的安全性应该不依赖于算法的 保密，其安全性仅以加密密钥的保密为基础； （4）实现经济，运行有效，并且适用于多种完全 不同的应用。
3.2 对称加密算法
对称加密采用了对称密码编码技术，它的特点是文件加密 和解密使用相同的密钥，或加密密钥和解密密钥之间存在 着确定的转换关系。这种方法在密码学中叫做对称加密算 法，其实质是设计一种算法，能在密钥控制下，把 n比特 明文置换成唯一的n比特密文，并且这种变换是可逆的。 根据不同的加密方式，对称密码体制又有两种不同的实现 方式，即分组密码和序列密码（流密码）。
3.3 非对称加密技术
RSA算法公钥和私钥的生成
假设 A 要与 B 进行加密通信，该怎么生成公钥和私钥呢？ 1.随机选择两个不相等的质数 p 和 q。 假设 A 选择了 3 和 11。 （实际应用中，这两个质数越大，就越难破解。 ） 2.计算 p 和 q 的乘积 n。 n=3× 11=33 n 的长度就是密钥长度。33 写成二进制是 100001，一共有 6 位，所以这个 密钥就是 6 位。 实际应用中， RSA 密钥一般是 1024 位， 重要场合则为 2048 位。 3.计算 n 的欧拉函数 (n) 。 根据公式：
清华大学出版社 密码学PPT课件
✓ 在密码应用方面，各种有实用价值的密码体制的快速实现受到高度重视， 许多密码标准、应用软件和产品被开发和应用，美国、德国、日本和我国 等许多国家已经颁布了数字签名法，使数字签名在电子商务和电子政务等
同时在公钥密码领域椭囿曲线密码体制由于其安全性高计算速度快等优点引起了人们的普遍关注和研究幵在公钥密码技术中叏得重在密码应用斱面各种有实用价值的密码体制的快速实现叐到高度重视许多密码标准应用软件和产品被开収和应用美国德国日本和我国等许多国家巫经颁布了数字签名法使数字签名在电子商务和电子政务等领域得到了法律的认可推劢了密码学研究和应用的収展
可以对用该密钥加密的任何新的消息进行解密。
④ 选择密文攻击(Chosen—ciphenext attack)
选择密文攻击是指密码分析者可以选择一些密文，并得到相应的明文
1.3.3 对密码系统的攻击
密码分析者破译或攻击密码的方法主要有穷举攻击法、统计分析法和数学分 析攻击法。
（1）穷举攻击法
穷举攻击法又称为强力或蛮力（Brute force）攻击。这种攻击方法是 对截获到的密文尝试遍历所有可能的密钥，直到获得了一种从密文到明文的 可理解的转换；或使用不变的密钥对所有可能的明文加密直到得到与截获到 的密文一致为止。
1.3.1密码学的主要任务（续）
③ 鉴别
这是一种与数据来源和身份鉴别有关的安全服务。鉴别服务包括对身份 的鉴别和对数据源的鉴别。对于一次通信，必须确信通信的对端是预期的实 体，这就涉及到身份的鉴别。
网络信息安全内容整理
2024/9/5
10/72
对称密码体制和非对称密码体制
对称密码体制(Symmetric System, One-key System, Secret-key System)
明文和密文之间统计关系尽量复杂；
confusion –混淆，使密文和加密密钥之间的关系尽量复杂。
2024/9/5
Cryptography and N1e9tw/3o6rk Security - 2
2024/9/5
20/36Cryptography and Network Security - 2
(A1-A5), 单位元是0，a的逆是 -a. (M1), 乘法封闭性, 如果a和b属于R, 则ab也属于R (M2), 乘法结合律,对于R中任意a, b, c有a(bc)=(ab)c. (M3), 乘法分配律, a(b+c)=ab+ac or (a+b)c=ac+bc (M4), 乘法交换律, ab=ba，交换环 (M5), 乘法单位元, R中存在元素1使得所有a有 a1=1a. (M6), 无零因子, 如果R中有a, b且ab=0, 则 a=0 or
6.1.1 双重DES
多次加密的最简单形式是进行两次加密，每次使用 不同的密钥
C = EK2(EK1(P)) P = DK1(DK2(C)) 这种方法的密钥长度是56x2=112位
虽然双重DES对应的映射与单DES对应的映射不同， 但是有中途相遇攻击 “meet-in-the-middle”
信息安全 第3章对称密码体制
……48
选择压缩运算S
将前面送来的48bit 数据自左至右分成 8组，每组6bit。然 后并行送入8个S盒， 每个S盒为一非线 性代换网络，有4 个输出。
S 盒 的 内 部 结 构
S盒的内部计算
若输入为b1b2b3b4b5b6其中b1b6两位二进制数表 达了0至3之间的数。b2b3b4b5为四位二进制数， 表达0至15之间的某个数。 在S1表中的b1b6行b2b3b4b5列找到一数m （0≤m≤15），若用二进制表示为m1m2m3m4，则 m1m2m3m4便是它的4bit输出。 例如，输入为001111，b1b6=01=1，b2b3b4b5 =0111=7，即在S1盒中的第1行第7列求得数1，所 以它的4bit输出为0001。
带有双密钥的三重DES （Triple DES with Two Keys)
Tuchman给出双密钥的EDE模式（加密-解密-加密）： C=EK1(DK2(EK1(P))) ……对P加密 P=DK1(EK2(DK1(C))) ……对C解密 这种替代DES的加密较为流行并且已被采纳用于密钥管 理标准（The Key Manager Standards ANSX9.17和 ISO8732).
32 1 2 3 4 5 4 5 6 7 8 9 8 9 10 11 12 13 12 13 14 15 16 17 16 17 18 19 20 21 20 21 22 23 24 25 24 25 26 27 28 29 28 29 30 31 32 1
选择扩展运算结果(48bit)
1，2，……
第3章 对称密码体制
主要内容
分组密码
数据加密标准DES
高级加密标准AES
序列密码
杨波,_《现代密码学(第2版)》第三章 3.1-3.4节
所谓扩散，就是将明文的统计特性散布到密文 所谓扩散，就是将明文的统计特性散布到密文 扩散 中去， 中去，实现方式是使得密文中每一位由明文中多位 产生 。 例如对英文消息M=m1m2m3…的加密操作 例如对英文消息 的加密操作
k yn = chr ∑ ord ( mn+i )( mod 26 ) = ii=1 其中ord(mi)是求字母 i对应的序号，chr(i)是求序 是求字母m 其中 是求字母 对应的序号， 是求序 对应的字母。 号i对应的字母。这时明文的统计特性将被散布到 对应的字母 密文中， 密文中，因而每一字母在密文中出现的频率比在明 文中出现的频率更接近于相等， 文中出现的频率更接近于相等，双字母及多字母出 现的频率也更接近于相等。在二元分组密码中， 现的频率也更接近于相等。在二元分组密码中，可 对数据重复执行某个置换， 对数据重复执行某个置换，再对这一置换作用于一 函数，可获得扩散。 函数，可获得扩散。
表示n=4的代换密码的一般结构，4比特输入产 的代换密码的一般结构， 比特输入产 图3.2表示 表示 的代换密码的一般结构 个可能输入状态中的一个， 生16个可能输入状态中的一个，由代换结构将这一 个可能输入状态中的一个 状态映射为16个可能输出状态中的一个 个可能输出状态中的一个， 状态映射为 个可能输出状态中的一个，每一输出 状态由4个密文比特表示 个密文比特表示。 状态由 个密文比特表示。
加密映射和解密映射可由代换表来定义，如表3.1 加密映射和解密映射可由代换表来定义，如表 所示。这种定义法是分组密码最常用的形式， 所示。这种定义法是分组密码最常用的形式，能用于 定义明文和密文之间的任何可逆映射。 定义明文和密文之间的任何可逆映射。
如果分组长度太小， 如果分组长度太小，系统 密码，容易通过对明文的统计分析而被攻破。 从实 现的角度来看，分组长度很大 很大的可逆代换结构是不 现的角度来看，分组长度很大的可逆代换结构是不 实际的。 实际的。 仍以表3.1为例，该表定义了n=4时从明文到密 仍以表 为例，该表定义了 时从明文到密 为例 文的一个可逆映射，其中第2列是每个明文分组对 文的一个可逆映射，其中第2列是每个明文分组对 应的密文分组的值，可用来定义这个可逆映射。 应的密文分组的值，可用来定义这个可逆映射。因 此从本质上来说， 此从本质上来说，第2列是从所有可能映射中决定 列是从所有可能映射中决定 某一特定映射的密钥。密钥需要64比特 一般地， 比特。 某一特定映射的密钥。密钥需要 比特。一般地， 对n比特的代换结构，密钥的大小是n×2n比特。如 比特的代换结构，密钥的大小是 × 比特。 比特的代换结构 比特的分组， 对64比特的分组，密钥大小应是 ×264=270≈1021比 比特的分组 密钥大小应是64× 因此难以处理。 特，因此难以处理。
现代密码学(第三章)讲述
一、分组密码的基本概念
分组密码的优缺点
分组密码的加解密算法（E，D）简洁快速，所占用的 计算资源小，易于软件和硬件实现。一般来说，用 硬件实现时，流密码比分组密码更简单快速；用软 件实现时，分组密码比流密码更简单快速。 加解密算法（E，D）参数固定，比流密码更容易实现 标准化。 由于明文流被分段加密，因此容易实现同步，而且传 输错误不会向后扩散。 分组密码的安全性很难被证明，至多证明局部安全性。
2018/12/21 17
一、分组密码的基本概念
透明性和灵活性
透明性即要求算法是可证明安全的（虽然 这是很困难的）。这就要求算法尽可能 使用通用部件，避免黑盒。 灵活性即要求算法的实现可以适应多种计 算环境；明文分组长度可以伸缩；算法 可以移植和变形。
2018/12/21 18
一、分组密码的基本概念
要求：加解密算法（E，D）不存在弱明文和弱密钥。
2018/12/21 6
一、分组密码的基本概念
为了抵抗已知明文攻击（甚至选择明文攻 击），分组密码应该满足的性质
混淆性：所设计的密码应使得明文、密文、密钥之 间的依赖关系相当复杂，以至于这种依赖关系对 密码分析者来说是无法利用的。密码分析者利用 这种依赖关系的方法非常多，因此混淆性也是一 个极为繁杂的概念。
2018/12/21 3
一、分组密码的基本概念
分组密码所面对的主要威胁： 已知明文攻击
分组密码的密钥z被重复使用，即多次一密。 因此最主要的威胁就是已知明文攻击。 设攻击者Eve获得了一组明文/密文对（m，c）。 他试图在加密方程c=E(m, z) 或解密方程 m=D(c, z)中求出密钥z 。
2018/12/21 4
2018/12/21 26
应用密码学第三章分组密码体制习题参考答案道
第三章习题1简述分组密码算法的基本工作原理。
答分组密码在加密过程中不是将明文按字符逐位加密而是首先要将待加密的明文进行分组每组的长度相同然后对每组明文分别加密得到密文。
分组密码系统采用相同的加密密钥和解密密钥这是对称密码系统的显著特点。
例如将明文分为m块0121mPPPP每个块在密钥作用下执行相同的变换生成m个密文块0121mCCCC每块的大小可以任意长度但通常是每块的大小大于等于64位块大小为1比特位时分组密码就变为序列密码如图是通信双方最常用的分组密码基本通信模型。
加密算法解码算法明文x密文y明文x密钥k密钥kkExykDyxAliceBob不安全信道安全信道密钥k攻击者图分组密码基本通信模型图在图中参与通信的实体有发送方Alice、接收方Bob。
而攻击者是在双方通信中试图攻击发方或者收方信息服务的实体攻击者经常也称为敌人、对手、搭线者、窃听者、入侵者等并且攻击者通常企图扮演合法的发送方或者接收方。
2为了保证分组密码算法的安全对分组密码算法的要求有哪些答为了保证分组密码的安全强度设计分组密码时应遵循如下的基本原则1分组长度足够长防止明文穷举攻击例如DESData Encryption Standard、IDEAInternational Data Encryption Algorithm等分组密码算法分组块大小为64比特在生日攻击下用322组密文破解成功概率为0.5同时要求32152642bitsMB大小的存储空间故在目前环境下采用穷举攻击DES、IDEA等密码算法是不可能而AES明文分组为128比特同样在生日攻击下用642组密文破解成功概率为0.5同时要求存储空间大小为644821282bitsMB采用穷举攻击AES算法在计算上就更不可行。
2 密钥量足够大同时需要尽可能消除弱密钥的使用防止密钥穷举攻击但是由于对称密码体制存在密钥管理问题密钥也不能过大。
3密钥变换足够复杂能抵抗各种已知攻击如差分攻击、线性攻击、边信道攻击等即使得攻击者除了穷举攻击外找不到其它有效攻击方法。
第3章 密码技术概述
目录
3.1 密码术及发展 3.2 数据保密通信模型 3.3 对称密码体制 3.4 公钥密码体制 3.5 数字签名 3.6 消息完整性保护 3.7 认证 3.8 计算复杂理论 3.9 密码分析
3.2 数据保密通信模型
如何在开放网络中保密传输数据？
目录
3.1 密码术及发展 公钥密码体制 3.5 数字签名 3.6 消息完整性保护 3.7 认证 3.8 计算复杂理论 3.9 密码分析
3.3 对称密码体制
如何使用相同的密钥加/解密数据？
Symmetric Cryptography
?
3.3 对称密码体制
古典密码原理简单，容易遭受统计分析攻击。
3.1 密码术及发展
现代密码
1863年普鲁士人卡西斯基著《密码和破译技术》, 1883年法国人克尔克霍夫所著《军事密码学》； 20世纪初，产生了最初的可以实用的机械式和电动式密 码机，同时出现了商业密码机公司和市场； 第二次世界大战德国的Enigma转轮密码机，堪称机械式 古典密码的巅峰之作。 1949年美国人香农(C.Shannon)发表论文《保密系统的 通信理论》标志现代密码学的诞生。
3.1 密码术及发展
古典密码
北宋曾公亮、丁度等编撰《武经总要》“字验”； 公元前405年，斯巴达将领来山得使用了原始的错乱密码； 公元前一世纪，古罗马皇帝凯撒曾使用有序单表代替密码；
古典密码使用的基本方法
置换加密法：将字母的顺序重新排列。 替换加密法：将一组字母用其它字母或符号代替。
3.2 数据保密通信模型
密码技术、密码体制与密码算法
密码技术是利用密码体制实现信息安全保护的技术； 密码体制是使用特定密码算法实现信息安全保护的具
01fr第3章 分组密码和数据加密标准DES(精简)104
第3章分密组密码算法DES教学内容要点：（2课时）1.分组加密 (4)2.Feistel(费斯妥)分组密码 (6)3.数据加密标准（DES）的历史 (15)4.DES算法的入口参数 (18)5.DES算法加密过程 (19)6.变换密钥 (25)7.处理64位的数据 .............................................. 31 8. 轮函数Round 说明111(,,)(,);015i i i i i Round L R k L R i +++=从到 (37)9. DES 算法的解密过程 (45)10. 雪崩效应 (46)11. DES 算法的强度（安全性）争议 (48)12. 对密钥长度的攻击 (48)13. DES 的未来 (52)14.差分分析方法和线性分析方法（提及） (53)15.作业 (54)16.课后资料 (56)说明：1.分组加密“分组加密(block cipher)：一次处理固定比特长度的分组，每次处理都有复杂的数据处理过程。
现代常规分组加密算法有：1. DES2. IDEA3. RC54. RC65. AES在近代密码史上，典型的影响相当大的分组密码算法是DES算法，它们和所有早已退出的算法由于安全与强度的原因已近退出历史舞台，但它们曾做出了重要贡献，对它们的学习对后面算法的理解和密码算法的发展及其理由有积极意义。
本章将详解DES和略解其它分组算法。
现在来看看现代分组密码，其中一个最广泛使用的加密算法提供保密/认证服务（基于密码的消息验证码：确保消息未被改动），重点DES （数据加密标准）；分组密码一直得以广泛使用的理由在于：它处理速度很快，且安全性高。
学习目的此外也在于以DES为例来说明让大家了解现代分组密码的设计原则。
分组密码以固定长度的分组来处理模块，每个然后加/解密；像在一个非常大的字符集合上进行替代运算。
64位或更长;2.Feistel(费斯妥)分组密码许多对称的分组加密算法，都是基于结构称为Feistel分组密码，如：IBM的LUCIFER卖给英国公司Lloyd公司的现金发放卡上；此外DES算法。
杨波《现代密码学第版》
3.5.2 加密过程
如图3.15所示，加密过程由连续的8轮迭代和一个输 出变换组成；
算法将64比特的明文分组分成4个16比特的子段，每 轮迭代以4个16比特的子段作为输入，输出也为4个 16比特的子段；
3. 解密过程
解密过程和加密过程基本相同，但子密钥的选取不 同。解密子密钥U1，U2，…，U52是由加密子密钥 按如下方式得到（将加密过程最后一步的输出变换 当作第9轮）：
① 第i(i=1,…,9)轮解密的前4个子密钥由加密过程第 (10-i)轮的前4个子密钥得出：
其中第1和第4个解密子密钥取为相应的第1和第4 个加密子密钥的模216+1乘法逆元，第2和第3个子密钥 的取法为：当轮数i=2,…,8时，取为相应的第3个和第 2个加密子密钥的模216加法逆元。i=1和9时，取为相 应的第2个和第3个加密子密钥的模216加法逆元。
第3章 分组密码体制
• 分组密码概述 • 数据加密标准 • 差分密码分析与线性密码分析 • 分组密码的运行模式 • IDEA • AES算法——Rijndael
3.5 IDEA
• 来学嘉（X. J. Lai）和J. L. Massey提出的第1版 IDEA（International Data Encryption Algorithm， 国际数据加密算法）于1990年公布，当时称为PES （proposed encryption standard，建议加密标准）。
图3.16是IDEA第1轮的结构示意图，以后各轮也都 是这种结构，但所用的子密钥和轮输入不同。从结 构图可见，IDEA不是传统的Feistel密码结构。每轮 开始时有一个变换，该变换的输入是4个子段和4个 子密钥，变换中的运算是两个乘法和两个加法，输 出的4个子段经过异或运算形成了两个16比特的子 段作为MA结构的输入。MA结构也有两个输入的子 密钥，输出是两个16比特的子段。
第三章 密码学-分组密码
对称算法的安全性依赖于密钥，泄漏密钥就意 味着任何人都能对消息进行加/解密。 分为两类：序列密码和分组密码 序列密码：一次只对明文中的单个位（有时对字 节），又称序列算法活流密码，是手工和机器密 码时代的主流。 分组密码：将明文分成固定长度的组，用同一密 钥和算法对每一块加密，输出也是固定长度的密 文。这些位称为分组（block），又称分组算法。
第三章 密码学及其应用
第三章 密码学及其应用
加密过程
第三章 密码学及其应用
密码学术语
密码体制分类： 密码体制分
依据密码个数，分为对称密码和非对称密 码。 对称密码
加密密钥能够从解密密钥推算出来，反过来也成 立。 在大多数对称算法中，加密/解密的密钥是 相同的。要求发送者和接收者在安全通信之前， 商定一个密钥。
第三章 密码学及其应用
第三章 密码学及其应用
分组密码的典型代表DES（Data Encryption Standard ）
产生背景：
1973年5月15日,美国国家标准局(National Bureau of 年 月 日 Standards, NBS) 开始公开征集标准加密算法,并公布了它的 设计要求: 1974年8月27日, NBS开始第二次征集,IBM提交了算法 LUCIFER，该算法由IBM的工程师在1971~1972年研制 1976年,NBS指派了两个小组进行评价，11月23日，采纳为 联邦标准，批准用于非军事场合的各种政府机构。 最近的一次评估是在1994年1月，已决定1998年12月以后， DES将不再作为联邦加密标准
第三章 密码学及其应用
图灵（ Turing） 图灵（Alan Mathison Turing）
Alan Mathison Turing,1912～1954. 英 国数学家。 一生对智能与机器之间的关 系进行着不懈探索。
简述分组密码算法的要求及采用的方法
一、分组密码算法的要求分组密码算法是一种广泛应用于数据加密和保护的密码算法，其要求具有以下特点：1. 安全性：分组密码算法需要保证加密后的数据在没有密钥的情况下不容易被解密，即具有高度的安全性，能够抵御各种攻击手段。
2. 效率：除了安全性之外，分组密码算法在加密和解密过程中需要具有较高的运算效率，不会过多消耗计算资源。
3. 可逆性：加密后的数据需要能够通过相应的密钥进行解密，还原原始的明文数据。
4. 弹性：分组密码算法需要能够根据不同的应用场景和需求，灵活地使用不同的密钥长度和数据块大小。
5. 抗攻击能力：分组密码算法需要能够抵御不同类型的攻击，如差分攻击、线性攻击、差分攻击等。
二、采用的方法为了满足上述要求，分组密码算法采用了以下方法来保证安全性和效率：1. 替代与置换：分组密码算法中常常采用替代与置换的方法，通过将明文数据进行替代和置换，从而混淆数据的结构，在密文中隐藏原始信息。
2. 数据扩散：通过多轮的置换和替代操作，将明文数据扩散到密文的不同位置，增加了攻击者破解的难度。
3. 密钥调度：分组密码算法通过密钥调度算法，将密钥的信息混淆、扩散到整个加密过程，增加了密码算法的强度。
4. 轮函数：分组密码算法通常采用多轮加密的方式，每一轮通过不同的轮函数进行替代、置换和扩散操作，增加了密码算法的复杂度和混淆程度。
5. 非线性变换：在分组密码算法中，使用非线性函数进行变换操作，增加了密码算法的复杂性和难度，提高了安全性。
分组密码算法在满足安全性、效率、可逆性、弹性和抗攻击能力等要求的基础上，采用替代与置换、数据扩散、密钥调度、轮函数和非线性变换等方法来保证加密过程的安全性和有效性。
随着密码学和计算机技术的不断发展，分组密码算法也在不断完善和改进，以适应不同的应用需求和安全标准。
分组密码算法是数据加密领域的一个非常重要的分支，它是许多安全通信协议和系统中必不可少的核心部分。
而实现一个安全可靠的分组密码算法并不是一件容易的事情，它需要满足一系列严格的要求和采用一系列复杂的方法。
第3章02--分组密码体制(DES)
10 11 12 13
12 13 14 15 16 17 16 17 18 19 20 21
20 21 22 23 24 25
24 25 26 27 28 29 28 29 30 31 32 1
16
密钥加密运算
将子密钥产生器输出的48 bit子密 钥ki 与选择扩展运算E输出的48 bits 数据按位模2相加。
26
穷举攻击算法的计算复杂性
定理 设密钥在密钥空间K中服从均匀分布， 且没有等效密钥,则穷举攻击平均需要检 K 个密钥后才找到正确密钥。 1 验完
2 2
结论: 对DES算法的穷举攻击平均计算复杂 性为255.
27
讨论：使用二重DES产生的映射是否等价于单 重DES加密?
二重DES
k2 yi yi D
31
30 29 28 27 26 25
38 37 36 35 34 33
初始置换IP
将64 bit明文的位置进行置换，得到一个乱序 的64 bit明文组，而后分成左右两段，每段为 32 bit，以L0和R0表示，IP中各列元素位置号 数相差为8。
逆初始置换IP-1。将16轮迭代后给出的64 bit组 进行置换，得到输出的密文组。输出为阵中元 素按行读得的结果。 IP和 IP-1 在密码意义上作用不大，它们的作用 在于打乱原来输入x的ASCII码字划分的关系。
算法主要包括：初始置换IP、16轮迭代的乘积变换、 逆初始置换IP-1以及16个子密钥产生器。
8
DES加密算法框图
16轮迭代 的乘积变换
子密钥产生器
9
DES算法框图
输入 64 bit明文数据
杨波,_《现代密码学(第2版)》第三章 3.6节
构成的字节b看成系数在 看成系数在{0, 将b7b6b5b4b3b2b1b0构成的字节 看成系数在 1} 中的多项式 b7x7+b6x6+b5x5+b4x4+b3x3+b2x2+b1x+b0 例如： 十六进制数‘57’对应的二进制为 例如： 十六进制数‘ 对应的二进制为01010111， ， 对应的二进制为 看成一个字节，对应的多项式为x 看成一个字节，对应的多项式为 6+x4+x2+x+1。 。
第3章 分组密码体制 章
• • • • • • 分组密码概述 数据加密标准 差分密码分析与线性密码分析 分组密码的运行模式 IDEA AES算法 算法——Rijndael 算法
3.6 AES算法 算法——Rijndael 算法
• 1997年4月15日，美国 年 月 日 美国ANSI发起征集 发起征集AES 发起征集 （Advanced Encryption Standard）的活动，并为 ）的活动， 此成立了AES工作小组。此次活动的目的是确定一 此成立了 工作小组。此次活动的目的是确定一 工作小组 个非保密的、可以公开技术细节的、 个非保密的、可以公开技术细节的、全球免费使用 的分组密码算法，以作为新的数据加密标准。 的分组密码算法，以作为新的数据加密标准。 • 1997年9月12日，美国联邦登记处公布了正式征集 年 月 日 AES候选算法的通告。对AES的基本要求是： 比 候选算法的通告。 的基本要求 候选算法的通告 的基本要求是 三重DES快、至少与三重 一样安全、 三重 快 至少与三重DES一样安全、数据分组 一样安全 长度为128比特、密钥长度为 比特、 比特。 长度为 比特 密钥长度为128/192/256比特。 比特
现代密码学-第3章分组密码习题与解答-20091206
第3章 分组密码习题及参考答案1. 设DES 算法中，明文M 和密钥K 分别为：M =0011 1000 1100 0100 1011 1000 0100 0011 1101 0101 0010 0011 1001 1110 0101 1110K =1010 1001 0011 0101 1010 1100 1001 1011 1001 1101 0011 1110 1101 0101 1100 0011求L 1和R 2。
解：初始变换IP ：1001 1010 1101 0101 1101 0010 0011 1000 0101 0110 0010 0101 1100 0101 1110 1000则，0L =1001 1010 1101 0101 1101 0010 0011 10000R =0101 0110 0010 0101 1100 0101 1110 1000K 去校验位得：0C =1101 0111 1100 0000 0010 0111 01110D =1010 1000 0111 0110 0011 0101 0010循环左移一位：1C =1010 1111 1000 0000 0100 1110 11111D =0101 0000 1110 1100 0110 1010 0101经过置换选择得到：1K =0000 1111 0110 1000 1101 1000 1001 1010 1000 0111 0011 0001同样可以得到：2K =0101 0101 0110 0001 1101 1101 1011 0101 0101 0000 0110 11101L =0R =0101 0110 0010 0101 1100 0101 1110 1000经过轮函数F 后，0R 经过扩展置换E 后为：0010 1111 1100 0001 0000 1011 1110 0000 1011 1111 0000 0000和1K 异或后经S 盒替换：0100 1100 0011 1000 0100 1100 0000 1010经过P 盒置换后输出：0001 1100 0000 1110 1000 0000 0101 1100和0L 异或得1R ：1000 0110 1101 1011 0101 0010 0110 01001R 经过扩展置换E 得48位输出：1000 1010 0100 0010 0000 1000 0010 0101 1101 0100 10101010同上过程可得2R ：1101 0100 1100 0111 0000 1101 0001 0110即：1L =0101 0110 0010 0101 1100 0101 1110 10002R =1101 0100 1100 0111 0000 1101 0001 01102. 设DES 算法中S 4盒的输入为010101，求其输出。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
40 39 38 37 36 35 34 33
8 7 6 5 4 3 2 1
48 47 46 45 44 43 42 41
16 15 14 13 12 11 10 9
56 55 54 53 52 51 50 49
24 23 22 21 20 19 18 17
64 63 62 61 60 59 58 57
32 31 30 29 28 27 26 25
3.2 DES
第二步：一轮加密简图
轮函数 F
Ki
Li-1
Ri-1
F
+ Li Ri
Ki
3.2 DES
扩充臵换E
每行用其相邻的两 个元素向左右扩展
轮函数F
S-BOX
48bits紧缩为32bits的
48bits寄存器
功能实质由8个S盒分 别完成
S1
S2
64bits ……… 128bits
加密 经公共信道传 输给对方
3.1.2 feistel密码结构的设计动机
分组密码作用在n位明文组上，而产生n位密文组（即共有 2n个不同分组），其不同的可逆代换映射有2n!个，下图为 n=4的一个普通代换密码的结构，4位输入有16种可能的输 入状态，图中为n=4的分组密码映射中的一种，这是分组密 码的最一般形式，用来表示明密文之间的任意可逆变换。
……
LD0 = RE16 LDi = RDi -1
RD0 = LE16 RDi = LDi -1 F ( RDi -1 , K 16- i 1 ) LDi = RE16- i RDi = LE16- i
而且我们不难发现
3.2 DES
前身： 美国国家标准局征求DES的加密算法建立计算
机系统的商用密码。 IBM提出的lucifer算法中选。
标准化： 1977年由美国国家标准局NBS颁布为数据加密
标准（Data Encryption Standard)。密钥长度从Lucifer方案中 的128位压缩到56位。
应用： 在POS、ATM、网上银行等
领域被广泛应用。
3.2 DES
其中明文分组长为64比特，密 钥长为56比特。图的左边是明 文的处理过程，有3个阶段， 首先是一个初始臵换IP，用于 重排明文分组的64比特数据。 然后是具有相同功能的16轮变 换，每轮中都有臵换和代换运 算，第16轮变换的输出分为左 右两半，并被交换次序。最后 再经过一个逆初始臵换IP-1从 而产生64比特的密文。除初始 臵换和逆初始臵换外，DES的 结构和图3-3所示的Feistel密 码结构完全相同。
S1
0 0 1 0 输出4位
选择S-box的行: 1 & 6 bits (2 bits) select one row 选择S-box的列: 2-5 bits (4 bits) select one column 一个S-box（ Si ）的输出结果： 行列相交处
3.2 DES
臵换P
轮函数F
四位二进 制，取值 为0-15
3.1.2 feistel密码结构的设计动机
课本P49表3.1为上图所示代换密码的加密与解密表，可 以看出，应用这种方法，如果n值小，例如等于4，和传 统代换密码没区别，如果n充分大，并且有明密文直接的 任意可逆变换，那么是安全的。 但从现实角度来看，使用大规模分组的任意可逆变换，不 太现实，通过表3.1，可以知道它定义了n=4时的某个可 逆映射，这个映射可以直接由表中第二列来定义，它给出 了每个明文对应的密文，本质上它就是决定所有可能映射 中某一个映射的密钥，这个密钥长度可以从表中看出为 （4位）*（24行）=64位，对应n，密钥长度为n*2n,一个 64位的分组密码，密钥长度将达到1021。 考虑到这些困难，Feistel指出我们只需要对这种理想分组 体系采取一种近似体制，用一些其他手段来达到加密强度， 但又不需要这么大的密钥空间。
3.1.3 Feistel密码
Diffusion
cn = ( m n i ) mod 26
i =1
k
(扩散)：使明文的统计特征消
散在密文中，明文的一位影响密文的多位。 对字母采用平均操作进行加密。
对二进制分组，重复使用臵换后再用某些函数作用。
Confusion
(混淆)： 增加密钥与密文之
间关系的复杂性,使得对手即使获取关于密文 的一些统计特性，也无法推测密钥。 采用复杂的代换算法（非线性函数）
3.1.3 Feistel密码
核心思想：
“乘积”和“迭代”
Feistel加密算法结构
1）明文分组被分为两个部分L0和 R0，数据的这两部分经过n轮处理 组合产生密文分组。 2）每一轮i以从前一轮得到的LEi-1 和REi-1为输入，另外的输入还有 从总的密钥K生成的子密钥Ki。 3）子密钥Ki不同于K，它们彼此 之间也不相同。 4）每一轮的结构都一样。
3.1.3 Feistel密码
问题的解决：
Horst Feistel提出了Feistel Cipher
基本思想： 用乘积密码来表达大尺寸的代换变换
Product cipher： 交替同时使用臵换和代换，所
得结果的密码强度将强于所有单个密码的强度。这种方法本 质是开发一个分组密码，密钥长为k比特，分组长为n比特， 采用2k个变换，而不是理想分组密码的2n！个可用变换。 以上的思想是基于香农提出的交替使用混淆和扩散乘积 密码的实际应用。
S3
S4
S5
S6
S7
S8
32bits寄存器
3.2 DES
对于一个S-box（ Si ）的紧缩方法： 输入6位： 1 0 1 1 0 0
0 1 2 14 4 13 0 15 7 4 1 14 15 12 8
轮函数F
行：10(2)
列：0110（6）
0 1 2 3
3 4 5 6 7 8 9 10 11 12 13 14 15 1 2 15 11 8 3 10 6 12 5 9 0 7 4 14 2 13 1 10 6 12 11 9 5 3 8 8 13 6 2 11 15 12 9 7 3 10 5 0 2 4 9 1 7 5 11 3 14 10 0 6 13
密钥空间：56-bit keys ，即256 ≈7*1016 个密 钥 不足以抵御穷举式攻击
“Form surprise to suspicion”
从惊喜(甚至能够抵御很后来才发现的各种攻击) 到怀疑(n年前就如此厉害的NSA现在究竟有多 厉害？) 目前：3DES、AES
k = (k , k ,L, k ) 0 1 t1
明文 x = (x , x ,L, x ) 0 1 n 1
加密算法
密文 y = (y , y ,L, y ) 0 1 n1
解密算法
明文
x = (x , x ,L, x ) 0 1 n 1
加密过程
明文信息：中文、字母、字符 编码 数字序列（011101 ……… ） 分组
D1（28 位）
（56 位） 置换选择 2
k1
(48 位)
循环左移
循环左移
Ci（28 位）
Di（28 位）
置换选择 2 （56 位）
ki
（48 位）
3.2 DES
雪崩效应：
ቤተ መጻሕፍቲ ባይዱ
明文或密钥的 微小改变对密 文都会产生很 大的影响。
3.3 对DES的讨论
S-BOX的设计原理未知 是否有“陷门”存在，还不清楚
Feistel的轮函数
对数据的左边一半进行代换 操作，代换的方法是对数据右 边一半应用轮函数F，然后用 这个函数的输出和数据的左边 一半做异或。 轮函数在每一轮中有着相同的结构，但是以各轮的子密钥Ki为参数 形成区分。
LE i = RE i -1
RE i = LE i -1 F(RE i -1 ,K i )
3.1 分组密码原理
由于分组密码应用范围比流密码广泛，本章讨论 的主要是分组密码，现在使用的大多数对称分组 加密算法都是基于Feistel分组密码结构，所以研 究Feistel结构非常重要。
3.1 分组密码原理
把n位的明 设计原理： 文组，转 换成 n 位的 密钥 k = (k , k ,L, k ) 密钥 0 1 t1密文组
3.2 DES
第三步：一轮子密钥生成的过程
64 位密钥 密钥表的计算逻辑 循环左移： 1 1 9 2 1 10 3 2 11 4 2 12 5 2 13 6 2 14 7 2 15 8 2 16
置换选择 1
C0（28 位）
循环左移
D0（28 位）
循环左移
1 2 2 2 2 2 2 1
C1（28 位）
在这个替代之后，算法做一个臵换操作把数据的两个部分进行互换。
3.1.3 Feistel密码
Feistel解密
Feistel解密过程本质和加密过程一致，算 法使用密文作为输入，但使用子密钥Ki 的次序与加密过程相反，即第1轮使用 Kn，第2轮使用Kn-1,……，最后一轮使 用K1。这一特性保证了解密和加密可采 用同一算法。例如对于16轮迭代的 Feistel(P52图3.3），其解密过程为：
3.2 DES
第一步：初始臵换(
1 9 17 25 33 41 49 57 1 9 17 25 33 41 49 57 2 10 18 26 34 42 50 58 2 10 18 26 34 42 50 58 3 11 19 27 35 43 51 59 3 11 19 27 35 43 51 59 4 12 20 28 36 44 52 60 4 12 20 28 36 44 52 60 5 13 21 29 37 45 53 61 5 13 21 29 37 45 53 61 6 14 22 30 38 46 54 62 6 14 22 30 38 46 54 62 7 15 23 31 39 47 55 63 7 15 23 31 39 47 55 63 8 16 24 32 40 48 56 64 8 16 24 —1 32 IP 40 48 56 64