第4章(序列密码)
现代密码学第4章4：差分和线性分析
1.差分密码分析
定义：r-轮特征(r-round characteristic) Ω是 一个差分序列：α0,α1,…,αr 其中α0是明文对Y0和Y*0的差分， αi(1≤i≤r)是第i轮输出Yi和Y*i的差分。 r-轮特征Ω=α0,α1,…,αr的概率是指在明文 Y0和子密钥K1,…,Kr独立、均匀随机时，明文 对Y0和Y*0的差分为α0的条件下，第i(1≤i≤r) 轮输出Yi和Y*i的差分为αi的概率。
13
2. 线性密码分析
从而可得关于密钥比特的一个线性方程。 对不同的明文密文对重复以上过程，可得关 于密钥的一组线性方程，从而确定出密钥比 特。
14
2. 线性密码分析
研究表明，当 p 1 2 充分小时，攻击成 功的概率是
1 2
N
1 2 N p 2
e
x2 2
dx
1 p 这一概率只依赖于 2 ，并随着N或 1 p 的增加而增加。 2
5
1.差分密码分析
定义在r-轮特征Ω=α0,α1,…,αr中，定义 pi =P(ΔF(Y)=α |ΔY=α ) i i-1 p 即 i 表示在输入差分为αi-1的条件下，轮函 数F的输出差分为αi的概率。 r-轮特征 Ω=α0,α1,…,αr的概率近似看 r p 作 i。
i 1
6
1.差分密码分析过程
8
1.密码分析复杂度
一种攻击的复杂度可以分为两部分： 数据复杂度和处理复杂度。 数据复杂度是实施该攻击所需输入的数 据量； 而处理复杂度是处理这些数据所需的计 算量。这两部分的主要部分通常被用来刻画 该攻击的复杂度。
9
1.差分密码分析复杂度
差分密码分析的数据复杂度是成对加密 所需的选择明文对（Y0,Y*0）个数的两倍。 差分密码分析的处理复杂度是从 (ΔYr-1, Yr, Y*r)找出子密钥Kr（或Kr的部分比 特）的计算量，它实际上与r无关，而且由于 轮函数是弱的，所以此计算量在大多数情况 下相对较小。 因此，差分密码分析的复杂度取决于它 的数据复杂度。
网络安全技术 第4章
对称密钥密码体制（1）
对称密码体制是从传统的简单换位发展而来的。其主 要特点是：加解密双方在加解密过程中要使用完全相 同或本质上等同（即从其中一个容易推出另一个）的 密钥，即加密密钥与解密密钥是相同的。所以称为传 统密码体制或常规密钥密码体制，也可称之为私钥、 单钥或对称密码体制。其通信模型如图4.2所示。
本章主要内容
1 2 3 4 5
密码技术概述 加密方法 密钥与密码破译方法 常用信息加密技术介绍 数据压缩
4.1 密码技术概述
密码技术包括密码算法设计、密码分析、安全 协议、身份认证、消息确认、数字签名、密钥 管理、密钥托管等。可以说密码技术是保护大 型通信网络上传输信息的惟一实现手段，是保 障信息安全的核心技术。它不仅能够保证机密 性信息的加密，而且能完成数字签名、身份验 证、系统安全等功能。所以，使用密码技术不 仅可以保证信息的机密性，而且可以保证信息 的完整性和准确性，防止信息被篡改、伪造和 假冒。
三种加密方式
链路加密方式：把网络上传输的数据报文的每一位进行加密。不但对数 据报文正文加密，而且把路由信息、校验和等控制信息全部加密。所以， 当数据报文传输到某个中间节点时，必须被解密以获得路由信息和校验 和，进行路由选择、差错检测，然后再被加密，发送给下一个节点，直 到数据报文到达目的节点为止。目前一般网络通信安全主要采这种方式。 节点对节点加密方式：为了解决在节点中数据是明文的缺点，在中间节 点里装有用于加、解密的保护装置，即由这个装置来完成一个密钥向另 一个密钥的变换。因而，除了在保护装置里，即使在节点内也不会出现 明文。但是这种方式和链路加密方式一样，有一个共同的缺点：需要目 前的公共网络提供者配合，修改他们的交换节点，增加安全单元或保护 装置。 端对端加密方式：为了解决链路加密方式和节点对节点加密方式的不足， 人们提出了端对端加密方式，也称面向协议加密方式。在这种方式中， 由发送方加密的数据在没有到达最终目的地——接受节点之前不被解密。 加密解密只是在源节点和目的节点进行。因此，这种方式可以实现按各 通信对象的要求改变加密密钥以及按应用程序进行密钥管理等，而且采 用此方式可以解决文件加密问题。这一方法的优点是：网络上的每个用 户可有不同的加密关键词，并且网络本身不需增添任何专门的加密设备； 缺点是每个系统必须有一个加密设备和相应的软件（管理加密关键词） 或者每个系统必须自己完成加密工作，当数据传输率是按兆位/秒的单位 计算时，加密任务的计算量是很大的。
现代密码学第4章4：差分和线性分析
分组密码:
差分密码分析与线性密码分析
1
本节主要内容
1、差分密码分析 2、线性密码分析
2
1. 差分密码分析
差分密码分析是迄今已知的攻击迭 代密码最有效的方法之一，其基本思想 是： 通过分析明文对的差值对密文对 的差值的影响来恢复某些密钥比特。
3
1.差分密码分析
对分组长度为n的r轮迭代密码，两个 n 比 *1 特串Yi和Y*i的差分定义为Yi Yi Yi 表示n比特串集上的一个特定群运 其中 * 1 算， Yi 表示 Yi* 在此群中的逆元。 由加密对可得差分序列： ΔY0,ΔY1,…,ΔYr 其中Y0和Y*0是明文对，Yi和Y*i(1≤i≤r)是 第i轮的输出，它们同时也是第i+1轮的输入。 第i轮的子密钥记为Ki，F是轮函数，且 Yi=F(Yi-1,Ki)。
10
2. 线性密码分析
线性密码分析是对迭代密码的一种已知 明文攻击，它利用的是密码算法中的“不平 衡（有效）的线性逼近”。
A[i, j,, k ] A[i] A[ j ] A[k ]
设明文分组长度和密文分组长度都为n比 特，密钥分组长度为m比特。记 明文分组为P[1]，P[2]，…，P[n]， 密文分组为C[1]，C[2]，…，C[n]， 密钥分组为K[1]，K[2]，…，K[m]。
8
1.密码分析复杂度
一种攻击的复杂度可以分为两部分： 数据复杂度和处理复杂度。 数据复杂度是实施该攻击所需输入的数 据量； 而处理复杂度是处理这些数据所需的计 算量。这两部分的主要部分通常被用来刻画 该攻击的复杂度。
9
1.差分密码分析复杂度
差分密码分析的数据复杂度是成对加密 所需的选择明文对（Y0,Y*0）个数的两倍。 差分密码分析的处理复杂度是从 (ΔYr-1, Yr, Y*r)找出子密钥Kr（或Kr的部分比 特）的计算量，它实际上与r无关，而且由于 轮函数是弱的，所以此计算量在大多数情况 下相对较小。 因此，差分密码分析的复杂度取决于它 的数据复杂度。
生物信息学习题
第六章 分子系统发生分析（问题与练习）
1、构建系统发生树，应使用
A、BLAST
B、FASTA
C、UPGMA
D、Entrez
2、构建系统树的主要方法有
、
、
等。
3、根据生物分子数据进行系统发生分析有哪些优点？
4、在 5 个分类单元所形成的所有可能的有根系统发生树中，随机抽取一棵树是反映真实关
系的树的可能性是多少？从这些分类单元所有可能的无根系统发生树中，随机选择一棵
库
8、TreeBASE 系统主要用于
A、发现新基因 B、系统生物学研究 C、类群间系统发育关系研究 D、序列比对
二、 问答题
1、 为什么说 SWISS-PROT 是最重要的蛋白质一级数据库？
2、 构建蛋白质二级数据库的基本原则是什么？
3、 构建蛋白质二级数据库的主要方法有哪些？
4、 叙述 SCOP 数据库对蛋白质分类的主要依据
第八章 后基因组时代的生物信息学（问题与练习）
1、 比较生物还原论与生物综合论的异同 2、 简述“后基因组生物信息学”的基本研究思路 3、 后基因组生物信息学的主要挑战是什么？ 4、 功能基因组系统学的基本特征是什么？ 5、 说明后基因组生物信息学对信息流动的最新理解 6、 列举几种预测蛋白质-蛋白质相互作用的理论方法 7、 解释从基因表达水平关联预测蛋白质-蛋白质相互作用的理论方法 8、 解释基因保守近邻法预测蛋白质-蛋白质相互作用的理论方法 9、 解释基因融合法预测蛋白质-蛋白质相互作用的理论方法 10、解释种系轮廓发生法预测蛋白质-蛋白质相互作用的理论方法
1、蛋白质得分矩阵类型有 、
、、
和
等。
2、对位排列主要有局部比对和 三、运算题 1、画出下面两条序列的简单点阵图。将第一条序列放在 x 坐标轴上，将第二条序列放在 y
第4章 序列密码体制
4.1.4 伪随机数的评价标准
（1）看起来是随机的，表明它可以通过所有随机性统计检验。 现在的许多统计测试。它们采用了各种形式，但共同思路是它们 全都以统计方式检查来自发生器的数据流，尝试发现数据是否是随 机的。 确 保 数 据 流 随 机 性 的 最 广 为 人 知 的 测 试 套 件 就 是 George Marsaglia 的 DIEHARD 软件包（请参阅 / pub/diehard/）。另一个适合此类测试的合理软件包是 pLab（请参 阅http://random.mat.sbg.ac.at/tests/）。 （2）它是不可预测的。即使给出产生序列的算法或硬件和所有以 前产生的比特流的全部知识，也不可能通过计算来预测下一个随机 比特应是什么。 （3）它不能可靠地重复产生。如果用完全同样的输入对序列产生 器操作两次将得到两个不相关的随机序列。
签名中的素数。
4.1.1 随机数的使用
序列密码的保密性完全取决于密钥的随机性。如果密钥是真正 的随机数，则这种体制在理论上就是不可破译的。但这种方式所需 的密钥量大得惊人，在实际中是不可行的。 目前一般采用伪随机序列来代替随机序列作为密钥序列，也就 是序列存在着一定的循环周期。这样序列周期的长短就成为保密性 的关键。如果周期足够长，就会有比较好的保密性。现在周期小于 1010的序列很少被采用，周期长达1050的序列也并不少见。
第四章 密码学基础1
混乱：
指明文、密钥和密文之间的统计关系尽可能
复杂，使得攻击者无法理出三者的相互依赖 关系。
s-p网络的轮函数包括3个变换：代换、 置换、密钥混合。
4.3.2 DES数据加密标准
1 算法简介
数据加密标准(Data Encryption Standard,DES) 是使用 最广泛的密码系统。1973年美国国家标准局征求国家 密码标准文字，IBM公司于1974年提交，于1977年被 采纳为DES。 DES出现后20年间，在数据加密方面发挥了不可替代的 作用。20世纪90年代后，随着技术的发展，密钥长度 偏短，DES不断传出被破译的进展情况。1998年12月 美国国家标准局不再用DES作为官方机密，推荐为一般 商业应用，于2001年11月发布了高级加密标准 （AES）。
字母表是循环的，Z后面的是A，能定义替换
表，即密钥。 明文：a b c d e f g h I j k l m n o p q r s t uvwxyz 密文: D E F G H I J K L M N O P Q R S T U VWXYZABC
Caesar算法能用如下公式表示： C=E(3,m)=(m+3) mod 26 如果对字母表中的每个字母用它之后的第k个 字母来代换，而不是固定其后面第3个字母， 则得到了一般的Caesar算法： C=E(k,m)=(m+k) mod 26
如果加密、解密用不同的密钥，是非对 称加密。图解
Ek1(P)=C
Dk2(C)=P Dk2(Ek1(P))=P
4.1.3密码的分类 1按应用技术分：
手工密码 机械密码 电子机内乱密码
通过电子电线，程序进行逻辑运算，以少量制乱
精品文档-密码学基础(范九伦)-第4章
第4章 Hash函数
实际应用中的Hash函数可分为简单的Hash函数和带密钥的 Hash函数。带密钥的Hash函数通常用来作为消息认证码(Message Authentication Code)。假定Alice和Bob有一个共享的密钥k， 通过该密钥可以产生一个Hash函数Hk。对于消息x，Alice和Bob 都能够计算出相应的消息摘要y=Hk(x)。Alice通过公共通信信道 将二元组(x，y)发送给Bob。当Bob接收到(x，y)后，它可以通过 检验y=Hk(x)是否成立来确定消息x的完整性。如果y=Hk(x)成立， 说明消息x和消息摘要y都没有被篡改。
第4章 Hash函数
下面给出带密钥的Hash函数族的定义。 定义4.1.4 一个带密钥的Hash函数族包括以下构成要素： (1) X：所有消息的集合(有限集或无限集)； (2) Y：所有消息摘要构成的有限集合； (3) K：密钥空间，是所有密钥的有限集合； (4) 对任意的k∈K，都存在一个Hash函数Hk∈H，Hk: X→Y。 如果Hk(x)=y，则二元组(x，y)∈X×Y称为在密钥k下是有效 的。
第4章 Hash函数 生日攻击的思想来源于概率论中一个著名的问题——生日问
题。该问题是问一个班级中至少要有多少个学生才能够使得有两 个学生生日相同的概率大于1/2。该问题的答案是23。即只要班 级中学生的人数大于23人，则班上有两个人生日相同的概率就将 大于1/2。基于生日问题的生日攻击意味着要保证消息摘要对碰 撞问题是安全的，则安全消息摘要的长度就有一个下界。例如， 长度为40比特的消息摘要是非常不安全的，因为仅仅在220(大约 为一百万)个随机Hash函数值中就有50%的概率发现一个碰撞。所 以对于安全的消息摘要，现在通常建议可接受的最小长度为128 比特(此时生日攻击需要超过264个Hash函数值)。而实际使用的消 息摘要一般为160比特甚至更长。
第4讲 序列密码
1
0
0
1
1010 1101 0110 0011 1001
0
17
LFSR
举例
1111 0111 1011 0101 → → → → → → → → → → 1 1 1 1 0 1 0 1 1 0
0
1
0
0
1010 1101 0110 0011 1001 0100
0
18
LFSR
举例
1111 0111 1011 0101 → → → → → → → → → → → 1 1 1 1 0 1 0 1 1 0 0
LFSR的周期
上例周期为15 不同的LFSR周期不一定相同
举例：反馈函数仅引入b1，则周期最大为4
阶为n的LFSR的最大周期为2n-1 周期主要与反馈函数有关
26
LFSR的周期
已经证明：当反馈函数是本原多项式时， 周期达到最大为2n-1 本原多项式定义
若阶为n的多项式P(x)能够整除xt+1，其中t = 2n-1，且对于任何d < 2n-1且d| 2n-1 ，P(x)不能 整除xd+1，则称P(x)为本原多项式
41
序列密码的评价标准
周期 统计特性 线性复杂度（局部线性复杂度） 混淆与扩散 非线性特性
42
真随机序列
信息源
电磁辐射，热噪声，人机交互等
不能用于加密，可以用于生成密钥
43
1
1000 1100 1110
LFSR
举例
1111 0111 1011 0101 → → → → → → → → → → → → → → → 1 1 1 1 0 1 0 1 1 0 0 1 0 0 0
24
1
04密码技术与应用
4. 3
对称密码技术
现代密码算法不再依赖算法的保密， 而是把把算法和密钥分开。其中， 密码算法可以公开，但是密钥是保 密的，密码系统的安全性在于保持 密钥的保密性。如果加密密钥和解 密密钥相同，或实质上等同（即从 一个可以推出另外一个），我们称 其为对称密钥、私钥或单钥密码体 制。 对称密码技术又可分为序列密码和分 组密码两大类。序列密码每次加密 一位或一字节的明文，也称为流密 码。序列密码是手工和机械密码时 代的主流方式。分组密码将明文分 成固定长度的组，用同一密钥和算 法对每一块加密，输出也是固定长 度的密文。最典型的就是1977年美 国国家标准局颁布的DES算法。
量子密码的优点是可以防止窃听（见P81）
4. 2
古典密码技术
在计算机出现之前，密码学的算法主要是通过字符之 间代替或易位实现的，一般称这些密码体制为古典密码 或者传统加密技术。其中包括：移位密码、单表替换密 码、多表替换密码等。 古典密码的主要应用对象是对文字信息进行加密解密。 以英文为例，文字由字母中的一个个字母组成，字母表 可以按照排列组合顺序进行一定的编码，把字母从前到 后都用数字表示。此时，大多数加密算法都有数学属性， 这种表示方法可以对字母进行算术运算，字母的加减法 将形成对应的代数码。 古典密码有着悠久的历史（见P81）
4.1.3 密码的分类与算法
可以从不同角度根据不同的标准对密码技术进行分类。P79 1. 按历史发展阶段划分
（1）手工密码。（2）机械密码。
（3）电子机内乱密码。（4）计算机密码。 2. 按保密程度划分
（1）理论上保密的密码。（2）实际上保密的密码。
（3）不保密的密码。 3. 按密钥方式划分
（1）对称式密码（2）非对称式密码
2. DES算法的实现步骤 DES算法实现加密需要三个步骤： 第一步：变换明文。对给定的64位比特的明文X,首先 通过一个置换IP表来重新排列X,从而构造出64位比特 的X0，X0=IP（X）=L0R0 ，其中L0表示X0的前32位， R0表示X0的后32位。 第二步：按照规则迭代。规则为： Li=Ri-1 Ri=Li-1异或f(Ri-1,Ki) (i=1,2,3,„,16) 其中f表示一种置换，又Ｓ盒置换构成，Ｋi是一些由 密钥编排函数产生的比特块。 第三步：对L16R16利用IP-1作逆置换，就得到密文y。 DES算法具有极高的安全性，目前除了穷举搜索法 对 DES算法进行攻击外，还没有发现更有效的方法。而56 位长的密钥的穷举空间件为256，这意味着如果一台计 算机的速度是每秒检测100万个密钥，而搜索完全部密 钥就需要将近2285年的时间，具体的密钥长度与破解 难度可以参考表4-5。随着科技发展，可以考虑把DES 密钥的长度再增加一些，以此来达到更高的保密程度。 此外（详见P87-88）
密码学复习
•只要选择合适的反馈函数便可使序列的周期达到 最大值2n -1，周期达到最大值的序列称为m序列。
反馈函数:b1+b3
4.4 线性移位寄存器的一元多项式表示
设n级线性移位寄存器的输出序列{ ai } 满足递推关系 ak+n＝c1 ak＋n－1 c2 ak＋n－2 ... cn ak，
对任何k≥1成立。将这种递推关系用一个一 元高次多项式
表4.1 三级反馈移位 寄存器的输出状态表
图4.4 一个3级反馈移位寄存器
•三级反馈移位寄存器，其初始状态为(a1,a2,a3)＝(1,0,1)，
•输出可由表4.1求出，其输出序列为10111011101…，周期为4。
线性反馈移位寄存器（LFSR）
如果移位寄存器的反馈函数f(a1, a2, …, an)是a1, a2, …, an的线性函数，则称之为线性 反馈移位寄存器（LFSR）。
现代密码学理论与实践05 50/28
2013-8-15
扩展欧几里德算法求逆
元素{01}是乘法单位元。对任意次数小于8 的非零二元多项式b(x)，其 乘法逆元记为b-1(x)，可通过下述方法找到：使用扩展欧几里德算法计 算多项式a(x)和c(x)使得 b(x)a(x)+m(x)c(x)=1 m(x) = x8 + x4 + x3 + x +1
习题
1、对于线性替代密码，设已知明码字母J(9) 对应于密文字母P(15)，即9k mod 26 = 15, 试 计算密钥k以破译此密码。
答： k=9-1*15 mod 26 9-1 mod 26=3 k=3*15 mod 26=19
第四章 序列密码
4.1 序列密码的基本概念
分子生物学第4章重点及试题
一、名词解释：转录:是指以DNA为模板，在依赖于DNA的RNA聚和酶催化下，以4中NTP（ATP、CTP、GTP和UTP）为原料，合成RNA的过程。
转录单位 (transcription unit):从启动子到终止子的序列 (转录起始点)。
模板链（template strand）:又称反义链, 指与转录物互补的DNA链（极性方向3’→5’）。
编码链:又称有义链, 指不作模板的DNA单链（极性方向5’→3’）。
hnRNA：核内不均一RNA，是存在于真核细胞核中的不稳定，大小不均一的一组高分子RNA的总称。
转录的极性：转录的效率与转录单位的位置有关。
转录起始：RNA聚合酶与DNA转录启动子结合形成有功能的转录起始复合物的过程。
启动子（Promoters）：指DNA分子上被RNA聚合酶、转录调节因子等识别并结合形成转录起始复合物的区域。
核心启动子：RNA聚合酶能够直接识别并结合的启动子。
RNA聚合酶：是催化以DNA为模板（template）、三磷酸核糖核苷为底物、通过磷酸二酯键而聚合的合成RNA的酶。
C端结构域(CTD)：RNApolⅡ的大亚基中有 C 末端结构域。
CTD中含一保守氨基酸序列的多个重复Tyr－Ser p－Pro－Thr p－Ser p－Pro－Ser p C端重复七肽。
沉默子（silencer）：沉默子能够同反式因子结合从而阻断增强子及反式激活因子作用并最终抑制该基因的转录活性的真核基因中的一种特殊的序列。
增强子(enhancer)：是一类正调控元件，能够从转录起始位点的上游或下游数千个碱基处来激活转录。
绝缘子（insulater）：阻断增强子或沉默子的DNA序列。
上游：转录起点上游的序列，是调控区，与转录的方向相反。
下游：转录起点下游的区域，是编码区，与转录的方向一致。
转录起点：＋1位点，RNA聚合酶的转录起始位点，起始NTP多为ATP或GTP。
转录泡：在转录时RNA聚合酶Ⅱ（RNAPⅡ）与DNA模板结合，会形成一个泡状结构，成为转录泡。
序列密码(讲用)
f(x1,x2,x3)=x1x2⊕x3 一个GF(2)上的3阶非线性反馈移位寄存器
18/32
在初始状态下,即0时刻
第3级 第2级 第1级 输出
1
0
1
f(x1,x2,x3)=x1x2⊕x3 在第一个时钟到来时
第3级 第2级 第1级
S0=(1, 0, 1)
输出
1 1 f(x1,x2,x3)=x1x2⊕x3 x1=1, x2=0, x3=1
12/32
自同步序列密码
自同步序列密码的密钥流的产生和已经产生的固定数量 的密文字符有关，即是一种有记忆变换的序列密码。如图所 示。 密钥流 生成器 密 钥 流 ki 明文流mi 加密算法E 自同步序列密码模型
13/32
密钥流 生成器 密 钥 流 ki 密文流ci 解密算法D 明文流mi
自同步序列密码的特点
输出序列满足： an＋t＝c1an＋t－1+c2an＋t－2+…+cnat，t≥0
21/32
例 设一个GF(2)上的5阶线性反馈移位寄存器如图所示，其反 馈函数为f(x1，x2，x3，x4，x5)＝x1⊕x4，初始状态为S0＝ （1，0，0，1，1） x5 x4 x3 x2 x1 输出
＋ 容易验证该线性反馈移位寄存器的输出序列为 1001101001000010101110110001111100110…， 这个线性移位寄存器序列是一个周期序列，周期为31。
2/32
容易想到，使用流密码对消息 m 执行加密时，最简单的 做法就是让密钥流中的第 i 个比特与明文串中的对应比特直 接做 XOR 运算，即
对应的解密算法为：
3/32
由于实现XOR逻辑运算非常简单， 因此这 样的加解密操作将是快速有效的。如果这里的 密钥流是完全随机的(random)、与明文相同长 度的比特串，对应的密码被称为一次一密体制 (one-time pad)。显然，此时明文串与密文串之 间就是相互独立的。 不知道密钥的攻击者即 便守候在公开信道上从而得到密文串，他也无 法获得关于明文的任何信息。事实上， Shannon曾证明了“一次一密的密码体制是不 可破解的(unbreakable)”。
4.2线性反馈移位寄存器序列
第二节线性反馈移位寄存器序列1基本概念和性质反馈移位寄存器, 特别线性反馈移位寄存器是许多密钥序列生成器的重要部件, 这一节引进线性反馈移位寄存器的模型, 并用数学(特别是代数)工具描述线性反馈移位寄存器.2设n是正整数, n级反馈移位寄存器的模型见下图a k+n−1 a k+n−2……… a k+1a k输出f (x n,…, x2, x1)反馈函数其中f(x1,…, x n)是一逻辑函数, 即f(x1,…, x n)∈2[x1,…, x n]这里2= {0, 1}表示二元域, n≥ 1.3当f(x1,…, x n)是线性函数时, 即f(x1, x2, … , x n) =c1x1+c2x2+ … +c n x n, c i∈2,称对应的反馈移位寄存器为线性反馈移位寄存器(简称LFSR), 所产生的序列称为线性(反馈)移位寄存器序列, 简记为LFSR序列.45此时所产生的序列适合关系式a n +k = 10n i −=∑c n −i a k +i , k = 0, 1, 2, ….并称序列a = (a 0, a 1,…)为n 级线性递归序列。
线性递归序列是LFSR 序列的数学描述, 但为书写简便, 以后在称谓上我们就用LFSR 序列.定义4.1 设a是LFSR序列, 称a的次数最小的特征多项式为a的极小多项式.定理4.1 设a是LFSR序列, 则a的极小多项式是唯一的.6进一步, 设m(x)是a的极小多项式, 则f(x)是a的一a(x)|f(x).个特征多项式当且仅当ma显然, LFSR序列的极小多项式刻画了生成该序列的最短LFSR,而定理4.1进一步说明, 这样的最短LFSR是唯一的.78设f (x )是F 2上n 次多项式, a =(a 0,a 1,a 2,…)是以f (x )为特征多项式的线性递归序列, 则a 由前n 比特a 0,a 1,…,a n −1唯一确定.例如: 设f (x )=x 3+x +1, a =(0,1,1,…)是以f (x )为特征多项式的线性递归序列, 则a =(0,1,1,1,0,0,1,0,1,1,1,…).定义4.2 对于F上序列a, 若存在非负整数k和正2整数T, 使得对任意i≥k, 都有a=a i, 则称a是准周i+T期序列, 最小这样的T称为a的周期, 记为per(a); 若k=0, 则称a是(严格)周期序列.注4.1 设per(a)=T, R是正整数, 若对任意i≥k, 有a i+R=a i, 则T|R.9显然, LFSR是一种有限状态机, 因此, 由LFSR生成的序列必然是准周期的. 下面的定理表明反之也是成立的, 即所有的准周期序列都可用LFSR来生成.定理4.2 a是准周期序列当且仅当a是LFSR序列.10利用序列的极小多项式可以判断序列是否严格周期.(x)是a的极小多项定理4.3 设a是LFSR序列, ma(0)≠0.式, 则a是周期序列当且仅当ma11进一步, 序列的周期由其极小多项式的周期完全确定.定理4.4 设a是周期序列, f(x)是它的极小多项式, 则per(a)=per(f(x)).12注4.2 若a是非严格周期序列, 定理4.4也成立. 由于非周期序列总可以转化成周期序列, 并且实际中使用的序列也都是周期序列, 故后面的讨论仅针对周期序列.13推论4.1 设f(x)是F上不可约多项式, 则以f(x)为2特征多项式的非零序列a有per(a)=per(f(x)).14最后, 我们给出LFSR序列的根表示.[x]是n次无重因子多项式,f(0)≠0, 定理4.5 设f(x)∈F2F2m是f(x)的分裂域, α1,α2,…,αn∈F2m是f(x)的全部根, 则,a1,…), 存在唯对任意以f(x)为特征多项式的序列a=(a一一组β,β2,…,βn∈F2m, 使得1a k=β1α1k+β2α2k+⋅⋅⋅+βnαn k, k≥0.15反之,设β,β2,…,βn∈F2m,若1a k=β1α1k+β2α2k+⋅⋅⋅+βnαn k∈F2, k≥0,,a1,…)以f(x)为特征多项式, 且f(x)是a的极则a=(a≠0, 1≤i≤n.小多项式当且仅当βi16m-序列注意到LFSR总是将0状态转化成0状态, 因此对于一个n级LFSR, 最多可输出周期为2n−1的周期序列.定义4.3 设a是n级LFSR序列, 若per(a)=2n−1, 则称a为n级最大周期序列, 简称为n级m-序列.17由定义显然有定理4.6 设a是n级LFSR序列, 则a是n级m-序列当且仅当a的极小多项式是n次本原多项式18定理4.7 若a是以n次本原多项式f(x)为极小多项式的m-序列, 则0, a, La,…, L2n−2a是以f(x)为特征多项式的序列全体.定理4.7说明, 由同一个本原多项式生成的两条m-序列彼此平移等价. 由定理4.7, 容易证明m-序列满足以下平移可加性.19定理4.8 设a是n级m-序列, 则对于非负整数s和t, 有L s a+L t a=L k a或0, 其中0≤k≤2n−2.注4.3 实际上, 定理4.8给出的平移可加性是m-序列的特有性质, 即对于周期为T的序列a, 非负整数s和t, 若L s a+L t a=L k a或0, 0≤k≤2n−2, 则a是m-序列.20m-序列是最重要的线性反馈移位寄存器序列, 不仅是因为m-序列的周期可达到最大, 而且因为m-序列的统计特性完全满足Golomb S.W.提出的三条随机性假设.2122(1) 元素分布设a 是周期为T 的序列, 将a 的一个周期依次排列在一个圆周上, 并且使得a 0和a T −1相邻, 我们称这样的圆为a 的周期圆.23引理4.1 设a 是n 级m-序列, 0 < k ≤ n , 则F 2上任意一个k 维向量(b 1,b 2,…,b k )在 a 的一个周期圆中出现的次数N (b 1,b 2,…,b k )为N (b 1,b 2,…,b k ) = 122, (,,,)(0,0,...,0)21,.n k k n k b b b −−⎧≠⎪⎨−⎪⎩…若，否则特别地, 分别取k=1和k=n, 有推论4.2 在n级m-序列的一个周期中1出现2n−1次, 0出现2n−1−1次.推论4.3 在n级m-序列的一个周期(圆)中每个(n维)非零状态出现且仅出现1次.2425(2) 游程分布设a 是周期序列, a 在一个周期圆中形如010...01全为 和 101...10全为的项分别叫做a 的0游程和1游程. 而0游程中连续0的个数及1游程中连续1的个数称为游程长度. m -序列具有非常理想的游程分布.定理4.9 设0<k≤n−2, 在n级m-序列的一个周期圆中, 长为k的0游程和1游程各出现2n−k−2次; 长度大于n的游程不出现; 长度为n的1游程和长度为n−1的0游程各出现一次; 长度为n的0游程和长度为n−1的1游程不出现; 游程总数为2n−1.2627(3) 自相关函数m-序列的自相关函数满足二值性, 即定理4.10 设a 是n 级m -序列, 则C a (t ) = 10(1)k k t T a a k +−+=−∑=1, 0(mod 21);21,0(mod 21).n n n t t ⎧−≠−⎪⎨−≡−⎪⎩若若.线性复杂度与Berlekamp-Massey算法线性复杂度的概念是针对LFSR结构提出的, 它衡量了用LFSR来生成给定序列的最小代价. 由于特征多项式完全刻画了生成序列的LFSR, 故自然有以下定义.28定义4.4 设a是周期序列, 称序列a的极小多项式的次数为a的线性复杂度, 记为LC(a).注4.4 对于周期序列a, 显然有LC(a)≤per(a)291969年提出的Berlekamp-Massey算法[14]解决了求序列极小LFSR的问题. 对于线性复杂度为L的序列a, 该算法在已知a的连续2L比特的前提下即可还原出整条序列, 计算时间复杂度仅为O(L2).30第四章序列密码因此, 好的伪随机序列必须具有高的线性复杂度. 对于上一小节介绍的n级m-序列, 其周期为2n−1, 是n 级LFSR能输出的最大周期序列, 但n级m-序列的极小多项式是n次本原多项式, 这意味着n级m-序列的线性复杂度等于n, 则在已知2n比特的条件下, 利用Berlekamp-Massey算法可还原出长为2n−1的原序列. 可见, n级m-序列绝不可单独作为密钥流序列使用.31。
密码学概述与古典密码详解演示文稿
y=24, 7*24+21(mod26)=7, yh
security对应的密文：rxjfkzyh
21/02242//210/224
42
第42页，共60页。
eg：仿射加密。设(a,b)=(7,21)，对明文‘security’ 加密。对‘vlxijh’解密。
m a1(c b) mod 26
7-1mod26=? 7*15mod26=1 v=21, 15(21-21)mod26=0, va l=11, 15(11-21)mod26=6, lg
aKttSe
如何解密？？？？
21/02242//210/242
33
第33页，共60页。
三、 单表代换密码
就是明文中的字母由其他字母、数字或符 号所取代的一种方法。
算法：建立一个代换表，加密时将明文字 符通过代换表代换为相应的密钥文字。
具体的代替表称之为密钥。
21/02242//210/224
34
第34页，共60页。
21/02242//210/224
13
第13页，共60页。
2 人为攻击
主动攻击：包括对数据流的某些篡改或产生某些 假的数据流。
分为以下四个子类： ①中断：是对系统的可用性进行攻击，如禁止设备
的正常使用或管理。
②篡改：是对系统的完整性进行攻击，如修改数据
文件中的数据、替换某一程序使其执行不同的功能、 修改网络中传送的消息内容等。
eg1：已知明文是‘Beijing 2008 Olympic Games’，密
钥k = 6，e = (14)(56)。
加密过程是：
step1:将明文m按照宽度k分行。
M= B e i j i n
第4章 信息加密与鉴别技术
撒密码变换为：
加密：
C Ek ( P) ( p 3) mod 26
解密：
P Dk (C) ( p 3) mod 26
一般的凯撒密码变换
加密：
C Ek ( P) ( p k ) mod 26
解密：
P Dk (C) ( p k ) mod 26
凯撒密码的安全性
5.1.2 加密算法的模型
加密密钥 安全信道 明文（P） 加密（E） 发送端 密文（C） 公共信道 解密（D） 接收端 明文（P） 解密密钥
发送端和接收端对数据的处理
发送端对数据的处理可以用下式描述：
C EK加密 (P)
接收端对数据的处理可以用下式描述：
P DK解密 (C)
密码学研究的内容
D
E F G H I J K L M N O P Q R S T
E
F G H I J K L M N O P Q R S T U
F
G H I J K L M N O P Q R S T U V
G
H I J K L M N O P Q R S T U V W
H
I J K L M N O P Q R S T U V W X
凯撒密码加密的原理
凯撒密码加密的原理是把明文中的每一个字母都用该字 母在字母表中右边的第ｋ个字母替代（这里k就是加密密钥 ），并认为Z后边又是A。 例如，假如k为3，其替代表（在这里，为了不出现混淆 ，明文使用的是小写字母，密文使用的是大写字母，在实
际使用中可不作这样要求）如下：
凯撒密码举例
明文为：network security 则密文为：QHWZRUN VHFXULWB 如果将26个字母分别对应于整数0~25，可得凯
现代密码学知识点整理：
第一章 基本概念1. 密钥体制组成部分：明文空间，密文空间，密钥空间，加密算法，解密算法2、一个好密钥体制至少应满足的两个条件：（1）已知明文和加密密钥计算密文容易；在已知密文和解密密钥计算明文容易；（2）在不知解密密钥的情况下，不可能由密文c 推知明文3、密码分析者攻击密码体制的主要方法：（1）穷举攻击（解决方法:增大密钥量）（2）统计分析攻击（解决方法：使明文的统计特性与密文的统计特性不一样）（3）解密变换攻击（解决方法：选用足够复杂的加密算法）4、四种常见攻击（1）唯密文攻击：仅知道一些密文（2）已知明文攻击：知道一些密文和相应的明文（3）选择明文攻击：密码分析者可以选择一些明文并得到相应的密文（4）选择密文攻击：密码分析者可以选择一些密文，并得到相应的明文【注：✍以上攻击都建立在已知算法的基础之上；✍以上攻击器攻击强度依次增加；✍密码体制的安全性取决于选用的密钥的安全性】第二章 古典密码（一）单表古典密码1、定义：明文字母对应的密文字母在密文中保持不变2、基本加密运算设q 是一个正整数，}1),gcd(|{};1,...,2,1,0{*=∈=-=q k Z k Z q Z q q q（1）加法密码✍加密算法：κκ∈∈===k X m Z Z Y X q q ;,;对任意，密文为：q k m m E c k m od )()(+== ✍密钥量：q（2）乘法密码✍加密算法：κκ∈∈===k X m Z Z Y X q q ;,;*对任意，密文为：q km m E c k m od )(==✍解密算法：q c k c D m k mod )(1-==✍密钥量：)(q ϕ（3）仿射密码✍加密算法：κκ∈=∈∈∈===),(;},,|),{(;21*2121k k k X m Z k Z k k k Z Y X q q q 对任意；密文✍解密算法：q k c k c D m k mod )()(112-==- ✍密钥量：)(q q ϕ（4）置换密码✍加密算法：κσκ∈=∈==k X m Z Z Y X q q ;,;对任意上的全体置换的集合为，密文✍密钥量：!q ✍仿射密码是置换密码的特例3.几种典型的单表古典密码体制（1）Caeser 体制：密钥k=3（2）标准字头密码体制：4.单表古典密码的统计分析（1）26个英文字母出现的频率如下：频率 约为0.12 0.06到0.09之间 约为0.04 约0.015到0.028之间小于0.01 字母 e t,a,o,i.n,s,h,r d,l c,u,m,w,f,g,y,p,b v,k,j,x,q ,z【注：出现频率最高的双字母：th ；出现频率最高的三字母：the 】（二）多表古典密码1.定义：明文中不同位置的同一明文字母在密文中对应的密文字母不同2.基本加密运算（1）简单加法密码✍加密算法:κκ∈=∈====),...,(,),...,(,,11n n n n q n q n n k k k X m m m Z Z Y X 对任意设,密文：✍密钥量：n q（2）简单乘法密码✍密钥量：n q )(ϕ1.简单仿射密码✍密钥量：n n q q )(ϕ2.简单置换密码✍密钥量：n q )!(（3）换位密码✍密钥量：!n（4）广义置换密码✍密钥量：)!(n q（5）广义仿射密码✍密钥量：n n r q3.几种典型的多表古典密码体制（1）Playfair 体制：✍密钥为一个5X5的矩阵✍加密步骤：a.在适当位置闯入一些特定字母，譬如q,使得明文字母串的长度为偶数，并且将明文字母串按两个字母一组进行分组，每组中的两个字母不同。
【生物课件】第四章 序列分析
第二步：查找ORF并将目标序列翻译成蛋白质序列
利用相应工具，如ORF Finder、Gene feature(Baylor College of Medicine)、GenLang(University of Pennsylvania)等，查找ORF并将 DNA序列翻译成蛋白质序列
第三步：在数据库中进行序列搜索
可以利用BLAST进行ORF核苷酸序列和ORF翻译的蛋白质序列搜索
第四步：进行目标序列与搜索得到的相似序列的整体列线(global alignment)
虽然第三步已进行局部列线(local alignment)分析，但整体列线有助于 进一步加深目标序列的认识
第五步：查找基因家族
进行多序列列线(multiple sequence alignment)和获得列线区段的可视信息。 可分别在AMAS(Oxford University)和BOXSHADE(ISREC,Switzerland)等服 务器上进行
色体”、基因—“同源基因”和基因组的一个片断—“同源片断”
必须指出，相似性(similarity)和同源性(homology)是两 个完全不同的概念。
相似性是指序列比对过程中用来描述检测序列和
目标序列之间相同DNA碱基或氨基酸残基顺序所占 比例的高低。相似性本身的含义，并不要求与进化起源是
否同一，与亲缘关系的远近、甚至于结构与功能有什么联系。
【生物课件】第四章 序列分析
表1 九种完整DNA序列的碱基组成
表2 人类胎儿球蛋白基因不同区段的碱基组成
二．碱基相邻频率
分析DNA序列的主要困难之一是碱基相邻的频率 不是独立的。碱基相邻的频率一般不等于单个碱基 频率的乘积
例： 鸡血红蛋白β链的RNA编码区的438个碱基
应用密码学第4章序列密码体制
第4章 序列密码体制
发生器的周期必须非常长，要比密钥更换之前发生器所
能输出的位的长度还要长得多。如果其周期比明文还要短， 那么明文的不同部分将用同样的加密——这是一个严重的弱 点。如果密码分析者熟悉这样的一批明文，他就可以恢复出 密钥流，然后恢复出更多的明文。即使分析者仅有密文，他 也可以用同一密钥流加密的不同部分密文相异或得到明文跟 明文的异或。这只是一个有非常长密钥的单一异或运算罢了。 周期需要多长取决于应用。用于加密连续T1连接通信 的密钥发生器每天加密237比特。那么它的周期应该比这个 数大几个数量级，尽管密钥每天都要更换。如果周期足够长， 你仅仅需要每周甚至每月才更换密钥一次。
第4章 序列密码体制
第4章 序列密码体制
4.1 密码学中的随机数 4.2 序列密码的概念及模型 4.3 线性反馈移位寄存器 4.4 非线性序列简介
4.5 常用的序列密码 密码学中的随机数
为什么在密码学中要讨论随机数的产生？因为许多密码 系统的安全性都依赖于随机数的生成，例如DES加密算法中 的密钥，RSA加密和数字签名中的素数。所有这些方案都需 要足够长度并且要“随机”的数，即使得任何特定值被选中
第4章 序列密码体制
4.1.4 伪随机数的评价标准
如果一序列产生器是伪随机的，它应有下面的性质： （1）看起来是随机的，表明它可以通过所有随机性统计
检验。
现在有许多统计测试。它们采用了各种形式，但共同思路 是它们全都以统计方式检查来自发生器的数据流，尝试发现数
据是否是随机的。
确保数据流随机性的最广为人知的测试套件就是 GeorgeMarsaglia的DIEHARD软件包（请参阅 /pub/diehard/）。另一个适合此类测试的 合理软件包是pLab（请参阅http://random.mat.sbg.ac.at/tests/）。
第4章 分组密码
举例
k=01110000 01110011 01101110 01100111 01110011 01100001 01101101 00110100
0 0 0 0 0 0 0 0
1 1 1 1 1 1 1 0
1 1 1 1 1 1 1 1
1 1 0 0 1 0 0 1
0 0 1 0 0 0 1 0
6
Feistel单轮的加解密
Li-1
Ri-1
Li-1
Ki
Ri-1
F +
Li 加密 Ri
F +
Li 解密 Ri
Ki
Feistel结构中间的轮运算和最后一轮的有区别，最后一轮运 算不需要置换。目的使得加密和解密的编程完全一致。
7
数据加密标准-DES
• DES的历史 1971年，IBM，由Horst Feistel领导的密码研究项 目组研究出LUCIFER算法。并应用于商业领域。 1973年，美国标准局征求标准，IBM提交结果 1977年，被选为数据加密标准。 1994年，美国决定98年12月以后不再使用DES算 法 • DES是一种明文分组为64比特，有效密钥56比特， 输出密文64比特的，具有16轮迭代的分组对称密码 算法，DES由初始置换，16轮迭代，初始逆置换组 成。 • DES的解密算法与加密算法相同，只是解密子密钥 与加密子密钥的使用顺序刚好相反。
2
分组密码的设计原则
针对安全性的一般设计原则 – 明文分组长度和密钥长度望尽可能大 – 扩散和混淆是由Shannon提出的设计密码系统的 两个基本方法，目的是抗击敌手对密码系统的统计 分析。 – 混乱原则(confusion)：又称混淆原则，是指密钥 和明文以及密文之间的依赖关系尽可能的复杂 算法设计时，采用复杂的代数运算 – 扩散原则(diffusion)：密钥或明文的每一位影响 密文的许多位以便隐蔽明文的统计特性 比如古典密码中的hill密码的设计思想
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4.4 线性移位寄存器的一元多项式表示
设 n 级线性移位寄存器的输出序列满足递推 关系 an+k=c1an+k-1 c2an+k-2 … cnak (*) 对任何 k 1 成立。这种递推关系可用一个一 元高次多项式 P(x)=1+c1x+…＋cn-1xn-1＋cnxn 表示，称这个多项式为LFSR的联系多项式或 特征多项式。
初始状态由用户确定，当第i个移位时钟脉冲 到来时，每一级存储器ai都将其内容向下一级 ai-1传递，并根据寄存器此时的状态a1,a2,…,an 计算f(a1,a2,…,an)，作为下一时刻的an。反馈函 数f(a1,a2,…,an)是n元布尔函数，即n个变元 a1,a2,…,an可以独立地取0和1这两个可能的值， 函数中的运算有逻辑与、逻辑或、逻辑补等运 算，最后的函数值也为0或1。
图4-4 GF(2)上的n级线性反馈移位寄存器
输出序列{at}满足 an+t=cnat cn-1at+1 … c1an+t-1 其中t为非负正整数。 线性反馈移位寄存器因其实现简单、速度快、 有较为成熟的理论等优点而成为构造密钥流生 成器的最重要的部件之一。
例4.2 图4-5是一个5级线性反馈移位寄存器， 其初始状态为（a1,a2,a3,a4,a5）=(1,0,0,1,1)，可 求出输出序列为 1001101001000010101110110001111100110 … 周期为31。
即输出序列为101110111011…，周期为4。 如果移位寄存器的反馈函数f(a1,a2,…,an)是a1 ，a2，…，an的线性函数，则称之为线性反馈 移位寄存器LFSR（linear feedback shift register ）。此时f可写为 f(a1,a2,…,an)=cna1 cn-1a2 … c1an 其中常数ci=0或1 2加法。ci=0或1可 用开关的断开和闭合来实现，如图4-4所示。
由此可见, 序列密码的安全性主要依赖于密钥序列 k0k1…=A(k)，当k0k1…是离散无记忆的随机序列时, 则该系统就是一次一密密码, 它是不可破的. 但通常 A(k)是一个由k通过确定性算法产生的伪随机序列, 因 而此时, 该系统就不再是完全保密的. 设计序列密码的 关键是设计密钥序列A(k)，密钥序列A(k)的设计应考虑 如下几个因素: (1)系统的安全保密性; (2)密钥k易于分配、保管，更换简便； (3)产生密钥序列简单快速。 目前最为流行和实用的密钥流产生器，其驱动部分是 一个或多个线性反馈移位寄存器。
线性反馈移位寄存器输出序列的性质完全由 其反馈函数决定。n级线性反馈移位寄存器最 多有2n个不同的状态。若其初始状态为0，则 其状态恒为0。若其初始状态非0，则其后继状 态不会为0。因此n级线性反馈移位寄存器的状 态周期小于等于2n-1。其输出序列的周期与状 态周期相等，也小于等于2n-1。只要选择合适 的反馈函数便可使序列的周期达到最大值2n-1 ，周期达到最大值的序列称为m序列。
例4.1 图4-3 是一个3级反馈移位寄存器，其 初始状态为(a1,a2,a3)=(1,0,1)，求出输出序列。
图 4-3 一个3级反馈移位寄存器
一个3级反馈移位寄存器 的状态和输出
状态 （a1,a2,a3)
输出
10
1 0 1 1 1 0
常见的两种密钥流产生器
因为确定性算法产生的序列是周期的或准周 期的，为了使序列密码达到要求的安全保密性， 使得密钥经其扩展成的密钥流序列具有如下性 质：极大的周期、良好的统计特性、抗线性分 析、抗统计分析。 我们仅对实用中最感兴趣的二元情形即GF(2) 上的序列密码原理进行介绍，但其理论是可以 在任何有限域GF(q)中进行研究的。
4.1 引言
人们试图用序列密码方式仿效”一次一密” 密码. 从而促成了序列密码的研究和发展. 序列 密码是世界军事, 外交等领域应用的主流密码 体制. 在通常的序列密码中, 加解密用的密钥序 列是伪随机序列, 它的产生容易且有较成熟的 理论工具, 所以序列密码是当前通用的密码系 统. 序列密码的安全性主要依赖于密钥序列, 因而什么样的伪随机序列是安全可靠的密钥序 列, 以及如何实现这种序列就成了序列密码中 研究的一个主要方面.
设 n 级线性移位寄存器对应于递推关系 (*) ， 由于ai∈GF(2) (i=1,2,…,n)，所以共有2n组初始 状态，即有2n个递推序列，其中非恒为零的序 列 有 2 n-1 个 ， 记 2 n-1 个 非 零 序 列 的 全 体 为 G(p(x))。
图4-5 一个5级线性反馈移位寄存器
在线性反馈移位寄存器中总是假定c1,c2,…,cn 中至少有一个不为0，否则f(a1,a2,…,an)≡0，这 样的话，在n个脉冲后状态必然是00…0，且这 个状态必将一直持续下去。若只有一个系数不 为0，设仅有cj不为0，实际上是一种延迟装置。 一般对于n级线性反馈移位寄存器，总是假定 cn=1。
4.2 序列 密码的一般原理
序列密码的基本思想是利用一个短密钥k通 过一个算法来产生一个密钥流k=k0k1…，并使 用如下规则对明文串m=m0m1m2…加密： c=c0c1c2…=Ek0(m0)Ek1(m1)Ek2(m2)…。密钥流由 密钥流发生器A产生： k0k1…=A(k)，
二进制序列密码体制模型
2.2 线性反馈移位寄存器
移位寄存器是序列密码产生密钥流的一个主 要组成部分。GF(2)上一个n级反馈移位寄存器 由n个二元存储器与一个反馈函数f(a1,a2,…,an) 组成，如图4.2所示。
图4.2 GF(2)上的n级反馈移位寄存器
每一存储器称为移位寄存器的一级，在任一 时刻，这些级的内容构成该反馈移位寄存器的 状态，每一状态对应于GF(2)上的一个n维向量， 共有2n种可能的状态。每一时刻的状态可用n 长序列 a1,a2,…,an 或n维向量 (a1,a2,…,an) 表示，其中ai是第i级存储器的内容。