密码学课设报告

课程设计报告题目：SPN和RSA密码算法的快速实现与安全性分析课程名称：密码学原理与实践专业班级：学号：姓名：指导教师：报告日期：计算机科学与技术学院目录1实验目的 (1)2实验内容及基本要求 (1)2.1分组密码SPN的实现 (1)2.2RSA的加/解密及快速加/解密 (1)2.3RSA配合SPN的文件加/解密 (1)2.4随机性检测 (1)3实验原理 (2)3.1分组密码SPN的实现 (2)3.1.1迭代密码 (2)3.1.2代替-置换网络(Substitution-Permutation Network) (2)3.1.3SPN密码体制设计 (3)3.1.4线性密码分析 (4)3.1.5差分密码分析 (6)3.1.6密钥穷举攻击 (7)3.2RSA的加/解密及快速加/解密 (8)3.2.1公开密钥算法 (8)3.2.2RSA算法 (8)3.2.3快速实现RSA算法 (8)3.3RSA配合SPN的文件加/解密 (11)3.3.1增强SPN的安全性 (11)3.3.2RSA管理密钥 (11)3.3.3SPN对文件加/解密 (11)3.4随机性检测 (11)4实验过程 (12)4.1分组密码SPN的实现 (12)4.1.1SPN加密 (12)4.1.2线性分析 (14)4.1.3差分分析 (15)4.1.4随机生成明文函数 (17)4.1.5穷举攻击 (17)4.2RSA的加/解密及快速加/解密 (19)4.2.1生成RSA参数 (21)4.2.2RSA加\解密过程 (22)4.2.3快速实现RSA (23)4.3RSA配合SPN的文件加/解密 (24)4.3.1加强SPN的安全性 (24)4.3.2RSA管理密钥 (29)4.3.3加强后SPN对文件加\解密 (29)4.4随机性检测 (30)5实验结果 (31)5.1分组密码SPN的实现 (31)5.1.1SPN加密 (31)5.1.2线性分析 (31)5.1.3差分分析 (31)5.1.4穷举攻击 (32)5.2RSA的加/解密及快速加/解密 (33)5.2.1生成RSA参数 (33)5.2.2RSA加密 (33)5.2.3RSA解密 (34)5.2.4CRT快速解密RSA (34)5.2.5蒙哥马利算法加\解密 (34)5.3RSA配合SPN的文件加/解密 (35)5.3.1SPN文件加密 (35)5.3.2SPN文件解密 (36)5.4随机性检测 (36)6实验总结 (43)1实验目的1)通过课程设计，使学生进一步熟悉密码算法以及算法安全性的基本概念和原理；2)培养学生将密码理论和技术应用于实际的能力，使学生具备实施数据加/脱密和基本的密码分析的能力。

2实验内容及基本要求2.1分组密码SPN的实现1)加密：实现《密码学原理与实践（第三版）》 Page.59 例3.1的加密过程。

2)线性分析：通过对明密文对的线性分析，破解出初始加密密钥；3)差分分析：通过对明密文对的差分分析，破解出初始加密密钥；4)密钥攻击：求出例3.1所有32比特密钥；2.2RSA的加/解密及快速加/解密1)生成RSA算法的参数：（如p、q、N、私钥、公钥等）；2)编写RSA的加/解密过程；3)快速实现RSA（对比模重复平方、蒙哥马利算法和中国剩余定理）；2.3RSA配合SPN的文件加/解密1)增强以上SPN的安全性（如增加分组的长度、密钥的长度、S盒、轮数等）；2)RSA管理密钥；3)SPN对文件加/解密2.4随机性检测密文的随机性反映了密码的强度，通过设计随机性测试算法或运用工具对SPN生成的密文进行随机性检测，来测试SPN的密码强度。

3实验原理3.1分组密码SPN的实现3.1.1迭代密码迭代密码的核心是一个密钥编排方案和一个轮函数密钥编排方案对密钥k进行变换，生成Nr个子密钥(也叫轮密钥)，记为k1,k2,...,kNr轮函数g是一个状态加密函数，以ki为密钥对当前状态w r-1进行变换，输出新的状态值w r，即g(w r-1,k i)=w r；轮函数是单射函数，存在一个逆变换g-1，有g-1(w r,k i)=w r-1迭代密码的加密为将密钥k编排成Nr个轮密钥k1,k2,...,k Nr，将明文x定义为初始状态w0，经过Nr轮变换得到w Nr为密文y，即w0=x, w1=g(w0,k1), w2=g(w1,k2), ...w Nr-1=g(w Nr-2,k Nr-1), w Nr=g(w Nr-1,k Nr)y=w Nr迭代密码的解密为将密文y定义为初始状态w Nr，经过Nr轮逆变换得到w0为明文x，即y=w Nr, w Nr-1=g-1(w Nr,k Nr)，w Nr-2=g-1(w Nr-1,k Nr-1)...w1=g-1(w2,k2), w0=g-1(w1,k1),x=w03.1.2代替-置换网络(Substitution-Permutation Network)代替-置换网络(Substitution-Permutation Network)是一种简单的迭代密码。

处理的明文单元和状态值长度为l×m，轮函数g包括两个核心变换——代替和置换，分别记为πs和πp，有πs : {0,1}l → {0,1}lπp : {1,2,...,lm} → {1,2,...,lm}在进行轮函数变换前，先用轮密钥和状态值进行异或(称为白化)。

3.1.3S PN密码体制设计设l,m,Nr是正整数,P=C={0,1}lmK⊆({0,1}lm)Nr+1是由初始密钥k用密钥编排算法生成的所有可能的密钥编排方案集合，一个密钥编排方案记为(k1,k2,...,kNr+1) 状态值w长度为l×m，记为w1,w2,...,wlm；⏹w可以看成m个长度为l的子串连接而成，记为⏹w=w<1>,w<2>,...,w<m>，其中⏹w<i>=w(i-1)l+1,w(i-1)l+2,...,w(i-1)l+l加密过程使用如下算法描述：SPN(x,πs,πp,(k1,k2,...,k Nr+1))w0=xfor r=1 to Nr-1 {u r=w r-1⊕k r // 白化for i=1 to m {v r<i>=πs(u r<i>) // 代替}w r=(v rπp(1),v rπp(2),...,v rπp(lm)) // 置换}u Nr=w Nr-1⊕k Nrfor i=1 to m {v Nr<i>=πs(u Nr<i>) // 代替}y=v Nr⊕k Nr+1// 白化return y具体加密过程如图3.1所示：图3.1 SPN加密过程示例3.1.4线性密码分析线性密码分析，是通过分析S盒的线性特性，从而发现明文比特、密文比特和密钥比特之间可能存在的线性关系，如果S盒设计不当，这种线性关系会以较大的概率存在，称为概率线性关系。

线性密码分析一种已知明文攻击方法，已知x和y，确定k或k的部分比特。

其中，S盒的选择对SPN的安全性影响巨大，假设一个S盒按如下规则设计。

图3.2 S盒示例可以发现其实是将输入进行了循环左移。

图3.3 输入输出线性关系示例这种输入输出关系是一种”线性关系”。

采用已知明文攻击方法，如果掌握了足够多的明-密文对，即可求出轮密钥ki，进而根据轮密钥编排方案反向推导出加密密钥k。

线性密码分析思路为找到足够多的明文-密文对，对可能的密钥进行穷举，计算相关随机变量的偏差，正确的密钥作用下，偏差的绝对值最大不需要对全部密钥空间进行穷举，只需要对随机变量有影响的密钥比特进行穷举，这些密钥比特称为候选子密钥具体算法如下：线性攻击(T, T, πs-1)for (L1,L2)=(0,0) to (F,F) { // L1,L2表示候选子密钥k5<2>和k5<4>Count[L1,L2]=0 // 每个候选子密钥分配一个计数器并初始化为0}for each (x,y) ∈T {for (L1,L2)=(0,0) to (F,F) {v4<2> = L1⊕y<2>v4<4> = L2⊕y<4>u4<2>= πs-1(v4<2>)u4<4>= πs-1(v4<4>)z = x5⊕x7⊕x8⊕u46⊕u48⊕u414⊕u416// 计算随机变量值if z=0 {Count[L1,L2] ++;}}max = -1for (L1,L2)=(0,0) to (F,F) {Count[L1,L2] = | Count[L1,L2] - T/2 |if Count[L1,L2] > max {max = Count[L1,L2]maxkey = (L1,L2)}// maxkey即为所求子密钥此算法理论上可行，但实际上只是缩小了穷举密钥的范围，算法本身也需要穷举候选密钥，因此和直接穷举密钥相比，总体上提高的效率有限，除非S盒有较大的线性缺陷。

3.1.5差分密码分析通过分析明文对的差值对密文对差值的影响来恢复某些密钥比特的分析方法。

分析两个输入的异或和两个输出的异或之间的线性关系。

构造若干个明文串对，每对明文的异或结果相同，观察相应的密文异或结果。

差分分析是一种选择明文攻击方法，比线性分析更早提出，分析效果略差于线性分析。

仍以“循环左移”S盒为例：假设两个输入分别是x=1010和x*=1101则相应的输出是y=0101和y*=1011输入的异或为x’=x⊕x*=0111输出的异或为y’=y⊕y*=1110可以发现不论x和x*如何变化，只要它们的异或是0111，相应输出的异或都是1110，(x’,y’)被称为一个差分。

如果S盒是线性的，整个SPN也会是线性的，明文和密文的差分也会是线性的。

差分分析的优势在于，分析过程基本可以忽略密钥的干扰作用。

差分密码分析思路：1)找到足够多的四元组(x,x*,y,y*)，其中x’=x⊕x*固定不变。

对可能的密钥进行穷举，计算相关差分的扩散率，正确的密钥作用下，扩散率应最大。

2)和线性分析一样，不需要对全部密钥空间进行穷举，只需要对候选子密钥进行穷举即可。

具体算法如：差分攻击(T, T, πs-1)for (L1,L2)=(0,0) to (F,F) // L1,L2表示候选子密钥k5<2>和k5<4>{Count[L1,L2]=0 // 每个候选子密钥分配一个计数器并初始化为0}for each (x,x*,y,y*) ∈T{if (y<1>=y*<1> and y<3>=y*<3>){ // 只考虑y’<1>和y’<3>=0for (L1,L2)=(0,0) to (F,F) {v4<2>= L1⊕y<2>v4<4> = L2⊕y<4>u4<2>= πs-1(v4<2>)u4<4>= πs-1(v4<4>)(v4<2>)*= L1⊕(y<2>)*(v4<4>)* = L2⊕(y<4>)*(u4<2>)* = πs-1((v4<2>) *)(u4<4>)* = πs-1((v4<4>)*)(u4<2>)’=u4<2>⊕(u4<2>)*(u4<4>)’=u4<4>⊕(u4<4>)*if (u4<2>)’=0110 and (u4<4>)’ = 0110 {Count[L1,L2] ++;}}}}max = -1for (L1,L2)=(0,0) to (F,F) {if Count[L1,L2] > max {max = Count[L1,L2]maxkey = (L1,L2) }}// maxkey即为所求子密钥3.1.6密钥穷举攻击将例3.1中的32位密钥K作为一个数组K[32]，不管线性分析还是差分分析，都只能分析出第21-28位的密钥，剩下的K都需要穷举得出。