杨波,_《现代密码学(第2版)》第三章 3.5节

混淆是通过使用以下 种运算而获得 混淆是通过使用以下3种运算而获得，3种运算都有 是通过使用以下 种运算而获得， 种运算都有 两个16比特的输入和一个 比特的输出： 比特的输入和一个16比特的输出 两个 比特的输入和一个 比特的输出： 逐比特异或， ① 逐比特异或，表示为⊕。 ② 模216（即65536）整数加法，表示为 ，其输入 ）整数加法，表示为+ 和输出作为16位无符号整数处理 位无符号整数处理。 和输出作为 位无符号整数处理。 ③ 模216+1（即65537）整数乘法，表示为⊙，其输 （ ）整数乘法，表示为⊙ 输出中除16位全为 作为2 处理外， 位全为0作为 入、输出中除 位全为 作为 16处理外，其余都作 位无符号整数处理。 为16位无符号整数处理。例如 位无符号整数处理
下面验证解密过程的确可以得到正确的结果。 下面验证解密过程的确可以得到正确的结果。图 3.18中左边为加密过程，由上至下，右边为解密过 中左边为加密过程， 中左边为加密过程 由上至下， 由下至上。将每一轮进一步分为两步， 程，由下至上。将每一轮进一步分为两步，第1步 步 是变换，其余部分作为第2步 称为子加密。 是变换，其余部分作为第 步，称为子加密。
பைடு நூலகம்
3. 解密过程
解密过程和加密过程基本相同， 解密过程和加密过程基本相同，但子密钥的选取不 解密子密钥U 同。解密子密钥 1，U2，…，U52是由加密子密钥 ， 按如下方式得到（ 按如下方式得到（将加密过程最后一步的输出变换 当作第9轮 当作第 轮）：
轮解密的前4个子密钥由加密过程第 ① 第i(i=1,…,9)轮解密的前 个子密钥由加密过程第 轮解密的前 (10-i)轮的前 个子密钥得出： 轮的前4个子密钥得出 轮的前 个子密钥得出： 其中第1和第 个解密子密钥取为相应的第1和第 其中第 和第4个解密子密钥取为相应的第 和第4 和第 个解密子密钥取为相应的第 和第 个加密子密钥的模2 乘法逆元， 和第3个子密钥 个加密子密钥的模 16+1乘法逆元，第2和第 个子密钥 乘法逆元 和第 的取法为：当轮数i=2,…,8时，取为相应的第 个和第 的取法为：当轮数 时 取为相应的第3个和第 2个加密子密钥的模 16加法逆元。i=1和9时，取为相 个加密子密钥的模2 个加密子密钥的模 加法逆元。 和 时 应的第2个和第 个加密子密钥的模2 加法逆元。 个和第3个加密子密钥的模 应的第 个和第 个加密子密钥的模 16加法逆元。 ② 第i(i=1,…,8)轮解密的后两个子密钥等于加密过程 轮解密的后两个子密钥等于加密过程 轮的后两个子密钥。 第(9-i)轮的后两个子密钥。 轮的后两个子密钥
是对以上关系的总结。 表3.7是对以上关系的总结。其中 j的模 16+1乘法 是对以上关系的总结 其中Z 的模2 乘法 逆元为Z 满足（见表3.7） 逆元为 -1j，满足（见表 ） Zj⊙Z-1j=1mod(216+1) 是一素数， 因216+1是一素数，所以每一个不大于 16的非 整数 是一素数 所以每一个不大于2 的非0整数 都有一个惟一的模2 乘法逆元。 的模2 都有一个惟一的模 16+1乘法逆元。Zj的模 16加法逆 乘法逆元 元为-Z 满足： 元为 j，满足： -Zj + Zj=0 mod (216)
0000000000000000⊙1000000000000000=1000000000000001 ⊙
这是因为2 这是因为 16×215 mod (216+1)=215+1。 。
给出了操作数为2比特长时 种运算的运算表。 表3.6给出了操作数为 比特长时 种运算的运算表。 给出了操作数为 比特长时3种运算的运算表 在以下意义下， 种运算是不兼容的 种运算是不兼容的： 在以下意义下，3种运算是不兼容的： 种运算中任意两种都不满足分配律， ① 3种运算中任意两种都不满足分配律，例如 种运算中任意两种都不满足分配律 a + （b ⊙ c）≠(a + b ) ⊙ (a + c ) ） 种运算中任意两种都不满足结合律， ② 3种运算中任意两种都不满足结合律，例如 种运算中任意两种都不满足结合律 a +（b + c）≠ (a + b ) + c （ ） 三种运算结合起来使用可对算法的输入提供复杂的 变换，从而使得对IDEA的密码分析比对仅使用异或 变换，从而使得对 的密码分析比对仅使用异或 运算的DES更为困难。 更为困难。 运算的 更为困难
3.5.1 设计原理
算法中明文和密文分组长度都是64比特，密钥长 算法中明文和密文分组长度都是 比特，密钥长128 比特 比特。其设计原理可从强度和实现两方面考虑 两方面考虑。 比特。其设计原理可从强度和实现两方面考虑。 1. 密码强度 算法的强度主要是通过有效的混淆 扩散特性而得 混淆和 算法的强度主要是通过有效的混淆和扩散特性而得 以保证。 以保证。
第3章 分组密码体制 章
• • • • • • 分组密码概述 数据加密标准 差分密码分析与线性密码分析 分组密码的运行模式 IDEA AES算法 算法——Rijndael 算法
3.5 IDEA
• 来学嘉（X. J. Lai）和J. L. Massey提出的第 版 来学嘉（ 提出的第1版 ） 提出的第 IDEA（International Data Encryption Algorithm， （ ， 国际数据加密算法）于1990年公布，当时称为PES 国际数据加密算法） 年公布，当时称为 年公布 （proposed encryption standard，建议加密标准）。 ，建议加密标准）。 • 1991年，在Biham和Shamir提出差分密码分析之后， 提出差分密码分析之后， 年 和 提出差分密码分析之后 设计者推出了改进算法IPES，即改进型建议加密标 设计者推出了改进算法 ， 改名为IDEA。这是 准。1992年，设计者又将 年 设计者又将IPES改名为 改名为 。 近年来提出的各种分组密码中一个很成功的方案， 近年来提出的各种分组密码中一个很成功的方案， 已在PGP中采用。 中采用。 已在 中采用
最后的输出变换也产生4个 比特的子段 比特的子段， 最后的输出变换也产生 个16比特的子段，链接起来 后形成64比特的密文分组 比特的密文分组。 后形成 比特的密文分组。 每轮迭代还需使用6个 比特的子密钥 比特的子密钥， 每轮迭代还需使用 个16比特的子密钥，最后的输出 变换需使用4个 比特的子密钥 比特的子密钥， 变换需使用 个16比特的子密钥，所以子密钥总数为 52。 。 的右半部分表示由初始的128比特密钥产生 比特密钥产生52 图3.15的右半部分表示由初始的 的右半部分表示由初始的 比特密钥产生 个子密钥的子密钥产生器。 个子密钥的子密钥产生器。
图3.14 MA结构 结构
2. 实现
IDEA可方便地通过软件和硬件实现。 可方便地通过软件和硬件实现。 可方便地通过软件和硬件实现 软件实现采用16比特子段处理 比特子段处理， ① 软件实现采用16比特子段处理，可通过使用容易 编程的加法、移位等运算实现算法的3种运算 种运算。 编程的加法、移位等运算实现算法的 种运算。 硬件由于加、解密相似， ② 硬件由于加、解密相似，差别仅为使用密钥的方 因此可用同一器件实现。再者， 式，因此可用同一器件实现。再者，算法中规则的 模块结构，可方便VLSI的实现。 的实现。 模块结构，可方便 的实现
图3.18 IDEA加密和解密框图 加密和解密框图
现在从下往上考虑。 现在从下往上考虑。对加密过程的最后一个输出变 以下关系成立： 换，以下关系成立： Y1=W81⊙ Z49 Y2=W83 + Z50 Y3=W82 + Z51 Y4=W84⊙Z52
解密过程中第1轮的第 步产生以下关系 解密过程中第 轮的第1步产生以下关系： 轮的第 步产生以下关系： J11=Y1⊙U1 J12=Y2 + U2 J13=Y3 + U3 J14=Y4⊙U4
算法中扩散是由称为乘加 算法中扩散是由称为乘加 （Multiplication/Addition, MA）结构的基本单元 ） 实现的。 实现的。 该结构的输入是两个16比特的子段和两个 比特 该结构的输入是两个 比特的子段和两个16比特 比特的子段和两个 的子密钥，输出也为两个16比特的子段 比特的子段。 的子密钥，输出也为两个16比特的子段。 这一结构在算法中重复使用了8次 这一结构在算法中重复使用了 次，获得了非常有 效的扩散效果。 效的扩散效果。
图3.15 IDEA的加密框图 的加密框图
1. 轮结构 轮的结构示意图， 图3.16是IDEA第1轮的结构示意图，以后各轮也都 是 第 轮的结构示意图 是这种结构，但所用的子密钥和轮输入不同。 是这种结构，但所用的子密钥和轮输入不同。从结 构图可见， 不是传统的Feistel密码结构。每轮 密码结构。 构图可见，IDEA不是传统的 不是传统的 密码结构 开始时有一个变换，该变换的输入是4个子段和 个子段和4个 开始时有一个变换，该变换的输入是 个子段和 个 子密钥，变换中的运算是两个乘法和两个加法， 子密钥，变换中的运算是两个乘法和两个加法，输 出的4个子段经过异或运算形成了两个 个子段经过异或运算形成了两个16比特的子 出的 个子段经过异或运算形成了两个 比特的子 段作为MA结构的输入。MA结构也有两个输入的子 结构的输入。 段作为 结构的输入 结构也有两个输入的子 密钥，输出是两个16比特的子段 比特的子段。 密钥，输出是两个 比特的子段。
3.5.2 加密过程
如图3.15所示，加密过程由连续的8轮迭代和一个输 所示，加密过程由连续的 轮迭代和一个输 如图 所示 出变换组成； 出变换组成； 算法将64比特的明文分组分成 个 比特的子段 比特的子段， 算法将 比特的明文分组分成4个16比特的子段，每 比特的明文分组分成 轮迭代以4个 比特的子段作为输入 输出也为4个 比特的子段作为输入， 轮迭代以 个16比特的子段作为输入，输出也为 个 16比特的子段； 比特的子段； 比特的子段