【安全课件】第14讲—序列密码

合集下载

流密码详解ppt课件

2.1 流密码一般模型
自同步流密码(SSSC)
密钥流生成器是一种有记忆变换器密钥流与明文符号有关：
i 时刻的密文不仅取决于i 时刻的明文，而且与i 时刻之前的l个明文符号有关具有有限的差错传播具有自同步能力把明文每个字符扩散在密文多个字符中,强化了抗统计分析的能力
问：SSSC是如何自同步的？请email回应。
i F ( i1, k ), zi f ( i, k ), ci E (zi,m i). i:密钥流生成器的内部状态 0 :密钥流生成器的初始状态 k : 种子 (初始 )密钥 F :状态转移函数 f :密钥流生成函数
k
密钥流生成器
11
病原体侵入机体，消弱机体防御机能，破坏机体内环境的相对稳定性，且在一定部位生长繁殖，引起不同程度的病理生理过程
2.1 流密码一般模型
二元加法序列密码
明文序列: m= m1 m2 m3 …; 密钥序列: z= z1 z2 z3 …; 密文序列: c= c1 c2 c3 …; 加密变换: ci=zimi (i=1,2,3,…); 解密变换: mi=zici (i=1,2,3,…).
病原体侵入机体，消弱机体防御机能，破坏机体内环境的相对稳定性，且在一定部位生长繁殖，引起不同程度的病理生理过程
2.2 线性反馈移位寄存器序列
伪随机序列考虑二元序列: a={ai}=a0a1a2a3 ….
周期序列
定义2.1 设a= (a0, a1,…,ai,…)是一个二元序列，若存在正整数N和非负整数m，使得ai+N=ai对于任意i m成立，则称二元序列a是终归周期序列。如果 m=0，则称序列a是严格周期序列，简称周期序列。

第14讲-序列密码3

m序列的定义及性质不可约多项式及本原多项式
LFSR序列的综合：B-M算法
第六章序列密码与移位寄存器
——伪随机序列的生成
数学与统计学学院贾小英 2013.03
主要内容
序列密码简介
线性反馈移位寄存器序列 m序列的伪随机性
B-M 算法线性移位寄存器的非线性组合
上节回顾
定理：设
a (a 0 a1 ...a N 1 )

是GF(2)上的一个无

穷周期序列。其线性复杂度
- n个LFSR。提供供组合部分使用的周期大且
随机性良好的序列。滤波部分。
-组合函数f。从GF(2)n到GF(2)的非线性函数。
线性移位寄存器的非线性组合非线性组合生成器
L F S Rn
L F S Rn-1
…
L F S R2 L F S R1
驱动部分
…
非线性组合函数 f
密钥序列为：
LFSR
驱动部分
非线性滤波函数f
滤波部分
kt
kt 密钥序列为：(k0 , k1 ,...) 。其中， f (at , at 1 ,...at n1 )
线性移位寄存器的非线性组合例:
密文
an
an-1
…
a2
a1
驱动部分
c1
AND
c2
AND
cn 1
AND
cn
AND
滤波部分
明文明文:
…
线性移位寄存器的非线性组合非线性滤波生成器通过非线性地滤波一个LFSR的状态来得到一个非线性的密钥序列。驱动部分。
- 一个n阶LFSR。提供供滤波部分使用的周期
大且随机性良好的序列。滤波部分。

【学习课件】第14-15讲数据加密技术(序列加密)

• 只要选择合适的连接多项式便可使线性移位寄存
器的输出序列周期达到最大值2n –1，并称此时的
输出序列为最大长度线性移位寄存器输出序列，
简称为m序列。
ppt课件
16
二、线性移位寄存器序列密码
1、线性移位寄存器
• 仅当连接多项式g(x)为本原多项式时，其线性移
• 例如，如果通信中丢失或增加了一个密文字符，则收
方的解密将一直错误。
ppt课件
4
一、序列密码的基本概念
①同步序列密码
种子密钥k
种子密钥k
密钥序列产生算法
密钥序列产生算法
m1,m2, …
k1,k2,… c1,c2,…
Ci = mi⊕ki
k1,k2,… m1,m2,…
设密文失步 c = c1, c3, c4, … cn-1, cn （ c2 丢失）
• 注意：错误与失步是不同的概念！
设密文错误 c = c1, c2, c3, … cn-1, cn （ c2 错） ⊕ k= k1, k2, k3, … kn-1, kn （密钥正确）
m=m1,×, m3, …ppt课m件 n-1, mn （仅 m2 错）
6
一、序列密码的基本概念
②自同步序列密码（ Self- Synchronous Stream Cipher）
• 密钥流的每一位是前面固定数量密文位的函数。军方
称为密文自动密钥
• 密钥序列产生算法与明文（密文）相关，则所产生的
密钥序列与明文（密文）相关。
• 设密钥序列产生器具有 n位存储，则加密时一位密文
错误将影响后面连续 n个密文错误。在此之后恢复正确。
• 解密时一位密文错误也将影响后面连续 n个明文错。

《密码学基本概念》PPT课件

19
精选PPT
六、密码学的理论基础
⑴ 商农信息论
①从信息在信道传输中可能受到攻击，引入密码理论；
②提出以扩散和混淆两种基本方法设计密码；
③阐明了密码系统，完善保密，理论保密和实际保密等概念。
⑵ 计算复杂性理论
①密码的安全性以计算复杂度来度量；
②现代密码往往建立在一个数学难题之上，而难是计算复杂度的概念；
③商用密码：用于保护国家和事企业单位的非机密的敏感信息。
④个人密码：用于保护个人的隐私信息。
前三种密码均由国家密码管理局统一管理！
3
精选PPT
二、密码的基本思想
伪装信息，使未授权者不能理解它的真实含义。
所谓伪装就是对信息进行一组可逆的数学变换。伪装前的原始信息称为明文, 伪装后的信息称为密文，伪装的过程称为加密。去掉伪装还原明文的过程成为解密。加密在加密密钥的控制下进行。解密在解密密钥的控制下进行。用于加密的一组数学变换称为加密算法。用于解密的一组数学变换称为解密算法。
②研究密码破译的科学称为密码分析学 (Cryptanalysis)，
③而密码编制学和密码分析学共同组成密码学(Cryptology)。
14
精选PPT
密码分析
①如果能够根据密文系统地确定出明文或密钥，或者能够根据明文-密文对系统地确定出密钥，
则我们说这个密码是可破译的。
②一个密码，如果无论密码分析者截获了多少密文和用什么方法进行攻击都不能被攻破，则称为是绝对不可破译的。
12
精选PPT
• DNA密码
• DNA密码基于生物学中的某种困难问题。
• 由于DNA密码的安全不依赖于计算困难问题，所以不管未来的电子计算机、量子计算机和DNA计算机具有多么强大的计算能力，DNA密码对于它们的计算攻击都是免疫的。

密码学基础ppt课件

于对密钥的保密。
2019
29
对称密码算法 vs.非对称密码算法
对称密码算法（Symmetric cipher）：加密密钥和解密密钥相同，或实质上等同，即从一个易于推出另一个。又称传统密码算法（Conventional cipher)、秘密密钥算法或单密钥算法。
DES、3DES、IDEA、AES
16
密码学
密码学（Cryptology）
• 研究信息系统安全保密的科学。由两个相互对立、相互斗争，而且又相辅相成、相互促进的分支科学所组成的，分别称为密码编码学（Cryptography）和密码分析学（Cryptanalysis）。
2019
17
密码编码学 Vs. 密码分析学
密码编码学（Cryptography） • 主要研究对信息进行编码，实现对信息的隐蔽。密码分析学（ Cryptanalysis ） • 主要研究加密消息的破译或消息的伪造。
加密和解密算法的操作通常都是在一组密钥的控制下进行的,分别称为加密密钥(Encryption Key) 和解密密钥 (Decryption Key)。
2019 23
密码算法
密码算法（Cryptography Algorithm）：用于加密和解密操作的数学函数。加密算法（Encryption Algorithm）：发送者对明文进行加密操作时所采用的一组规则。解密算法（Decryption Algorithm）：接收者对密文进行解密操作时所采用的一组规则。
90年代，逐步出现椭圆曲线等其他公钥算法。
公钥密码使得发送端和接收端无密钥传输的保密通信成为可能！
2019 14
什么是密码学
密码学基本概念密码体制分类密钥管理

序列密码

＋容易验证该线性反馈移位寄存器的输出序列为 1001101001000010101110110001111100110…，这个线性移位寄存器序列是一个周期序列，周期为31。
四川大学电子信息学院 24
3 线性反馈移位寄存器的一元多项式表示
设一个GF（2）上的n阶线性移位寄存器的反馈函数为： f（x1，x2，… ， xn）＝－cnx1－cn－1x2－…－c1xn，其中ci∈GF（2）, 1≤i≤n。该线性移位寄存器的输出序列a0a1a2…满足递推关系式 an＋t＝－c1an＋t－1－c2an＋t－2－…－cnat，t≥0，即 an＋t＋c1an＋t－1＋c2an＋t－2＋…＋cnat＝0，t≥0。
0
a0 1
S1=(1, 1, 0)
四川大学电子信息学院
21
在第二个时钟到来时
第3级第2级第1级输出
1 1 f(x1,x2,x3)=x1x2⊕x3 x1=1, x2=1, x3=0
1
a0 0
S2=(1, 1, 1)
则其输出序列和状态序列如下状态序列: (1,0,1) (1,1,0) (1,1,1) (0,1,1) (1,0,1) (1,1,0) …. 输出序列: 1 0 1 1 1 0 …. 由上面的结果可以看出，这个反馈移位寄存器的状态序列和输出序列都是周期序列，其周期为4。
序列密码基础
唐
龙
四川大学电子信息学院
1
主要内容
• 序列密码的概述 • 伪随机序列的常规特性 • 序列密码的分类 • 有限域上的线性反馈移存器（LFSR）
• RC4
四川大学电子信息学院
2
1、序列密码的概述、
1.1 序列密码定义
• 香农的保密理论提出：一次一密是理论完全保密的密码体香农的保密理论提出：但是必须满足随机的密钥序列必须满足与明文等长。制，但是必须满足随机的密钥序列必须满足与明文等长。 • 设想使用少量的真随机数按一定的固定规则生成“伪随机” 设想使用少量的真随机数按一定的固定规则生成“伪随机” 的密钥序列，代替真正的随机序列。这就产生了序列密码。的密钥序列，代替真正的随机序列。这就产生了序列密码。序列密码关键就是如何设计伪随机序列。序列密码关键就是如何设计伪随机序列。 • 少量的真随机数，就是序列密码的密钥，也有人称为种子少量的真随机数，就是序列密码的密钥，密钥。密钥。 • 序列密码的安全性基础在于如何刻画密钥序列“随机性” 序列密码的安全性基础在于如何刻画密钥序列“随机性”，如何保障密钥序列的“随机性” 如何保障密钥序列的“随机性”不会造成加密算法在实际中被攻破。中被攻破。

序列密码(1)

序列密码设计思想简述序列密码是通过位方式操作，采用一次一密的加密方式，如果产生的密钥序列为随随机序列，理论上是不可破译的，但是这会造成密钥长度与明文一样长，存储和传递密钥的代价很大，所以在实际应用中很少使用。

实际的做法是根据一组密钥源和一个密钥序列产生器（KG）生成伪随机密钥序列，这样就解决了由于密钥过长产生的存储和传递问题，问题的关键在于KG的设计，使其产生的k伪随机序列尽可能满足随机性。

所有的密钥序列，都是由种子密钥K经过变化产生的，密钥亮的大小取决于K的变化量的大小。

但是K毕竟是有限的位，其变化量也是有限的不会超过n2，为了更好地抵抗统计分析，尽可能的使k的周期最大化，且k的变化具有均匀分布的特性，所有的变化都可能出现，且出现的概率相同。

由k推测KG或K在计算上不可行，满足Shannon 混乱原则和扩散原则。

能抵抗各种已知攻击。

KG应该具有可重复性，即输入K相同不论何时何地输出的k应该相同，以上所述是KG的设计原则。

KG设计完成后，还需要利用一些方法对其产生的k进行随机性、混乱性、扩散性、密码分析等各种检测，检测KG的设计是否满足上述的原则。

驱动子系统f，类似于分组密码中的P盒，属于线性变换，由种子密钥K控制，设计简单，无法单独完成混淆，无法抵御线性分析和统计分析，f的作用在于生成多个统计性能良好（大周期、均匀分布）的子序列，线性变换还有扩散的作用，即生成序列中一位的变化造成子序列中大量位的变化，子序列中的任何一位与生成序列中的每一位存在关系。

非线性组合子系统F，类似于分组密码中的S盒，由种子密钥K控制，对f提供的多个子序列进行非线性组合，使其线性复杂度实现最大化，提供序列的混乱性，使明文、密文、密钥之间的关系尽可能的复杂，防止线性攻击和统计分析。

另外f与F要相互独立，F不能泄漏任何f的结构信息。

序列密码与分组密码的最大不同之处在于，序列密码具有记忆性，分组密码没有记忆性。

序列密码是有状态的，与加密到第几步有很大关系，也叫状态密码，而分组密码的每个分组的加密密钥都是一样的，如果对分组密码的密钥产生加入记忆模块，那么就变成了序列密码。

序列密码(讲用)

输出
f(x1,x2,x3)=x1x2⊕x3 一个GF(2)上的3阶非线性反馈移位寄存器
18/32
在初始状态下,即0时刻
第3级第2级第1级输出
1
0
1
f(x1,x2,x3)=x1x2⊕x3 在第一个时钟到来时
第3级第2级第1级
S0=(1, 0, 1)
输出
1 1 f(x1,x2,x3)=x1x2⊕x3 x1=1, x2=0, x3=1
12/32
自同步序列密码
自同步序列密码的密钥流的产生和已经产生的固定数量的密文字符有关，即是一种有记忆变换的序列密码。如图所示。密钥流生成器密钥流 ki 明文流mi 加密算法E 自同步序列密码模型
13/32
密钥流生成器密钥流 ki 密文流ci 解密算法D 明文流mi
自同步序列密码的特点
输出序列满足： an＋t＝c1an＋t－1+c2an＋t－2+…+cnat，t≥0
21/32
例设一个GF(2)上的5阶线性反馈移位寄存器如图所示，其反馈函数为f(x1，x2，x3，x4，x5)＝x1⊕x4，初始状态为S0＝（1，0，0，1，1） x5 x4 x3 x2 x1 输出
＋容易验证该线性反馈移位寄存器的输出序列为 1001101001000010101110110001111100110…，这个线性移位寄存器序列是一个周期序列，周期为31。
2/32
容易想到，使用流密码对消息 m 执行加密时，最简单的做法就是让密钥流中的第 i 个比特与明文串中的对应比特直接做 XOR 运算，即
对应的解密算法为：
3/32
由于实现XOR逻辑运算非常简单，因此这样的加解密操作将是快速有效的。如果这里的密钥流是完全随机的(random)、与明文相同长度的比特串，对应的密码被称为一次一密体制 (one-time pad)。显然，此时明文串与密文串之间就是相互独立的。不知道密钥的攻击者即便守候在公开信道上从而得到密文串，他也无法获得关于明文的任何信息。事实上， Shannon曾证明了“一次一密的密码体制是不可破解的(unbreakable)”。

序列密码

用序列密码模仿“一次一密”密码。

为了安全，序列密码应使用尽可能长的密钥，但是，长密钥的存储、分配存在困难。

设计一个好的密钥序列产生算法，利用较短的种子密钥，产生长的密钥序列。

作为核心密码的主流密码3 旺旺：我能过软考序列密码的分类同步序列密码自同步序列密码 1）同步序列密码  密钥序列产生算法与明密文无关  产生的密钥序列和明密文无关 在通信中，通信双方必须保持精确的同步  不存在错误传播版权所有：我能过软考输出反馈模式OFB4 旺旺：我能过软考同步序列密码的失步分析版权所有：我能过软考设密c=c1， c2， c4， c5….， cn-1， cn文⊕ k=k1， k2， k3， k4….， cn-1， cn失步m=m1，m2， X，X….， X， X 可以检测插入、删除、重播等主动攻击（c3 丢失）（密钥正确）5 旺旺：我能过软考同步序列密码错误传播分析版权所有：我能过软考c=c1， c2， c3， c4….， cn-1， cn ⊕ k=k1， k2， k3，k4….， cn-1， cnm=m1，m2，X，m4 …，mn-1 ，mn-1  不存在错误传播（c3 错误）（密钥正确）6 旺旺：我能过软考自同步序列密码错误传播分析版权所有：我能过软考 ci错误只影响n个密钥，导致n位错误，有限的错误传播 同步丢失，会影响n位解密，然后重新建立同步，如：电视信号、手机通信 难于检测出主动攻击7 旺旺：我能过软考线性移位寄存器序列 1、移位寄存器如果反馈函数f(S0、 S1 、 … 、 Sn-1)是线性函数，则称移位寄存器为线性移位寄存器；否则，称为非线性移位寄存器。

序列密码(讲用)

分组密码使用的是一个不随时间变化的固定变换，具有扩散性好、插入敏感等优点；其缺点是：加密处理速度慢。
9
序列密码
序列密码为一六元组（P,C,K,L,E,D）和函数g，并满足以下条件：
1. P是由所有可能明文构成的有限集。 2. C是由所有可能密文构成的有限集。 3. K是由所有可能密钥构成的有限集。
因为确定性算法产生的序列是周期的或准周期的，为了使序列密码达到要求的安全保密性，密钥经其扩展成的密钥流序列应该具有如下性质：极大的周期、良好的统计特性、抗线性分析、抗统计分析。
我们仅对实用中最感兴趣的二元情形即 GF(2)上的序列密码原理进行介绍，但其理论是可以在任何有限域GF(q)中进行研究的。
5
由此可见, 序列密码的安全性主要依赖于密钥序列k0k1…=A(k)，当k0k1…是离散无记忆的随机序列时,则该系统就是一次一密密码, 它是不可破的. 但通常A(k)是一个由k通过确定性算法产生的伪随机序列, 因而此时, 该系统就不再是完全保密的. 设计序列密码的关键是设计密钥序列A(k)，密钥序列A(k)的设计应考虑如下几个因素:
（2）无错误传输。在传输期间，一个密文字符被改变只影响该字符的恢复，不会对后继字符产生影响。
12
自同步序列密码
自同步序列密码的密钥流的产生和已经产生的固定数量的密文字符有关，即是一种有记忆变换的序列密码。如图所示。
密钥流生成器
密钥流生成器
密钥流
ki 明文流mi 加密算法E
密文流ci
密钥流
《应用密码学》
序列密码
1
1 概述
按照对明文消息加密方式的不同，对称密码体制一般可以分为两类：分组密码(block cipher)和流密码(stream cipher) 。

密码学3 序列密码共71页

事常成于困约，而败于奢靡。——陆游 52、生命不等于是呼吸，生命是活动。——卢梭
53、伟大的事业，需要决心，能力，组织和责任感。 ——易卜生 54、唯书籍不朽。——乔特
55、为中华之崛起而读书。 ——周恩来
密码学3 序列密码
•
6、黄金时代是在我们的前面，而不在我们的后面。
•
7、心急吃不了热汤圆。
•
8、你可以很有个性，但某些时候请收敛。
•
9、只为成功找方法，不为失败找借口 (蹩脚的工人总是说工具不好)。
•
10、只要下定决心克服恐惧，便几乎能克服任何恐惧。因为，请记住，除了在脑海中，恐惧无处藏身。-- 戴尔．卡耐基。

序列密码

∑
n −1 j=0
a( x) k (x) = * f ( x)
j
(∑ cn−l k j−l ) x
l=0
j
2011-3-29
20
特征多项式
* i l 证： k ( x ) f ( x ) = ( ∑ k i x )( ∑ c n − l x ) i=0 l =0 ∞ min( j , n ) l =0 ∞ n
。
• 同相自相关函数的倍数，时为， )=1 当j为p的倍数，即pj时为，R(j)=1； • 异相自相关函数不是p的倍数时当j不是的倍数时不是
2011-3-29 7
例 2－ 2
二元序列111001011100101110010… 二元序列111001011100101110010… 周期p 周期p=7 同相自相关函数R )=1 同相自相关函数R(j)=1 异相自相关函数R )=－异相自相关函数R(j)=－1/7。
2011-3-29
22
多项式的周期
• 多项式f(x)的周期p为使f(x)除尽xn-1的最小整数n的取多项式f(x)的周期为使f(x)除尽的周期p 除尽x 的最小整数n 值。 • 序列的周期与生成序列特征多项式的周期密切相关。序列的周期与生成序列特征多项式的周期密切相关。引理3 引理3-2: 令f(x)为n次式，周期为p，令{ki}i≥0∈Ω(f)，则{ki}i≥0的次式，周期为p 周期p 周期p’p。
C3 决定了密码的强度，是序列密码理论的核心。它决定了密码的强度，是序列密码理论的核心。包含了序列密码要研究的许多主要问题，包含了序列密码要研究的许多主要问题，如线性复杂度相关免疫性、不可预测性等等。、相关免疫性、不可预测性等等。

序列密码

序列密码内容提要（或本章引言）使用流密码对某一消息m执行加密操作时一般是先将m分成连续的符号(一般为比特串)，m=m1m2m3……；然后使用密钥流k=k1k2k3……中的第i 个元素k i对明文消息的第i个元素m i执行加密变换，i=1,2,3,……；所有的加密输出连接在一起就构成了对m执行加密后的密文。

序列密码以其易于实现、加解密快速、无错误传播、应用协议简单等优点，在政府、军事、外交等重要部门的保密通信以及各种移动通信系统中被广泛使用。

本章重点♦一次一密加密体制；♦线性反馈移位寄存器；♦基于线性反馈移位寄存器的伪随机序列生成器；♦伪随机序列的安全性；♦m序列；♦RC4、A5算法。

2.1 概述（2级标题）按照对明文消息加密方式的不同，对称密码体制一般可以分为两类：分组密码(block cipher)和流密码(stream cipher)z分组密码：对于某一消息m，使用分组密码对其执行加密操作时一般是先对m进行填充得到一个长度是固定分组长度s的整数倍的明文串M；然后将M划分成一个个长度为s的分组；最后对每个分组使用同一个密钥执行加密变换。

z流密码(也称序列密码)：使用流密码对某一消息m执行加密操作时一般是先将m分成连续的符号(一般为比特串)，m=m1m2m3……；然后使用密钥流k=k1k2k3……中的第i个元素k i对明文消息的第i个元素m i执行加密变换，i=1,2,3,……；所有的加密输出连接在一起就构成了对m执行加密后的密文。

与分组密码相比，序列密码受政治的影响很大，目前应用领域主要还是在军事、外交等部门。

虽然也有公开设计和研究成果发表，但作为密码学的一个分支，流密码的大多设计与分析成果还是保密的。

目前可以公开见到、较有影响的流密码方案包括A5、SEAL、RC4、PIKE等。

本章主要讨论流密码加密体制，关于分组密码的知识将在下一章给出。

容易想到，使用流密码对消息m执行加密时，最简单的做法就是让密钥流中的第i个比特与明文串中的对应比特直接做XOR运算，即图2-1 简单的流密码加密结构对应的解密运算即为：图2-2 简单的流密码解密结构由于实现XOR逻辑运算非常简单，因此这样的加解密操作将是快速有效的。

【安全课件】第14讲—序列密码

，其中 ci G F(q),1in，则称其为线性反馈寄存器；否则称其为非线性反馈移为寄存器。
其中 cn 0 ，若 cn 0 我们说该寄存器是退化的，否则是非退化的。
4
移位寄存器序列空间
符号说明：G(f)表示以f(x)为联结多项式的n级线性移位寄存器序列构成的空间
定理1：G(f)是GF(q)上的一个n维线性空间。证明：只需证明G(f)中的任意两个序列的任意线
状态转移矩阵：满足：st+1=stTf 称st=(at,at+1,at+2,…,at+n-1)为n维状态
2
实例（画出移存器的逻辑框图，写出相应的线性
递推式）
多项式
f(x)x4 x3 x2 1
答案：线性递推式： at=at-4+at-3+at-2
x1
x2
x3
x4
3
非退化的移位寄存器
若反馈函数形如：f( x 1 ,x 2 ,,x n ) c n x 1 c n 1 x 2 c 1 x n
称f(x)是可约多项式；否则，称其为不可约多项式。
6
定理2：若f(x)|h(x)，则G(f) G(h).
例1：联结多项式为
f(x)=x4+x3+x+1=(x+1)2(x2+x+1)
线性递推式：at=at-4+at-3+at-1 输出序列：000111//000111//…… 周期为6
011//011//……
12
m序列的游程分布规律
性质2：将r级m序列的一个周期段首尾相接，其游程总数为N=2r-1；其中没有长度大于r的游程；有1个长度为r的1游程，没有长度为r的0游程；没有长度为