祖冲之序列密码算法(ZUC算法)
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
R1,R2非线性函数F的2个32比特记忆单元变量
W非线性函数F输出的32比特字
Z算法每拍输出的32比特密钥字
k初始种子密钥
iv初始向量
D用于算法初始化的字符串常量
3.3
下列缩略语适用于本部分：
ZUC祖冲之序列密码算法或祖冲之算法
LFSR线性反馈移位寄存器
BR比特重组
F非线性函数
4
4.1
祖冲之算法逻辑上分为上中下三层，见图1。上层是16级线性反馈移位寄存器（LFSR）；中层是比特重组（BR）；下层是非线性函数F。
d10=1101011110001002，
d11=0011010111100012，
d12=1011110001001102，
d13=0111100010011012，
d14=1111000100110102，
d15=1000111101011002。
(2)对0≤i≤15，有si=ki‖di‖ivi。
(3)LFSRWithInitialisationMode (W>> 1)。
4
首先执行下列过程一次，并将F的输出W舍弃：
(1)BitReconstruction()；
(2)F(X0,X1,X2)；
(3)LFSRWithWorkMode()。
然后进入密钥输出阶段。在密钥输出阶段，每运行一个节拍，执行下列过程一次，并输出一个32比特的密钥字Z：
k0‖k1‖……‖k15
和
iv0‖iv1‖……‖iv15，
其中ki和ivi均为8比特字节，0≤i≤15。密钥装入过程如下：
(1)D为240比特的常量，可按如下方式分成16个15比特的子串：
D=d0‖d1‖……‖d15，
其中：
d0=1000100110101112，
d1=0100110101111002，
祖冲之
第
1
本部分描述了祖冲之序列密码算法，可用于指导祖冲之算法相关产品的研制、检测和使用。
2
以下术语和约定适用于本部分。
2.1
比特
二进制字符0和1称之为比特。
2.2
字节
由8个比特组成的比特串称之为字节。
2.3
字
由2个以上（包含2个）比特组成的比特串称之为字。
本部分主要使用31比特字和32比特字。
2.4
d2=1100010011010112，
d3=0010011010111102，
d4=1010111100010012，
d5=0110101111000102，
d6=1110001001101012，
d7=0001001101011112，
d8=1001101011110002，
d9=0101111000100112，
LFSRWithInitialisationMode(u)
{
(1)v= 215s15+217s13+ 221s10+ 220s4+ (1+ 28)s0mod(231-1)；
(2)s16=(v+u) mod (231-1)；
(3)如果s16=0，则置s16=231-1；
(4)(s1,s2,…,s15,s16)(s0,s1,…,s14,s15)。
(1)BitReconstruction()；
}
4
在工作模式下，LFSR不接收任何输入。其计算过程如下：
LFSRWithWorkMode()
{
(1)s16= 215s15+217s13+ 221s10+ 220s4+ (1+ 28)s0mod(231-1)；
(2)如果s16=0，则置s16=231-1；
(3)(s1,s2,…,s15,s16)(s0,s1,…,s14,s15)。
}
4.3
比特重组从LFSR的寄存器单元中抽取128比特组成4个32比特字X0、X1、X2、X3。BR的具体计算过程如下：
BitReconstruction()
{
(1)X0=s15H‖s14L；
(2)X1=s11L‖s9H；
(3)X2=s7L‖s5H；
(4)X3=s2L‖s0H。
}
4.4
F包含2个32比特记忆单元变量R1和R2。
L1(X) =X(X<<< 2)(X<<< 10)(X<<< 18)(X<<< 24)，
L2(X) =X(X<<< 8)(X<<< 14)(X<<< 22)(X<<< 30)。
4.5
密钥装入过程将128比特的初始密钥k和128比特的初始向量iv扩展为16个31比特字作为LFSR寄存器单元变量s0,s1,…,s15的初始状态。设k和iv分别为
字表示
本部分字默认采用十进制表示。当字采用其它进制表示时，总是在字的表示之前或之后添加指示符。例如，前缀0x指示该字采用十六进制表示，后缀下角标2指示该字采用二进制表示。
2.5
高
本部分规定字的最高位总是位于字表示中的最左边，最低位总是位于字表示中的最右边。
3
3.1
+算术加法运算
mod 整数取余运算
⨁按比特位逐位异或运算
பைடு நூலகம்图1祖冲之算法结构图
4.2
4
LFSR包括16个31比特寄存器单元变量s0,s1,…,s15。
LFSR的运行模式有2种：初始化模式和工作模式。
4
在初始化模式下，LFSR接收一个31比特字u。u是由非线性函数F的32比特输出W通过舍弃最低位比特得到，即u=W>> 1。在初始化模式下，LFSR计算过程如下：
4.6
4
首先把128比特的初始密钥k和128比特的初始向量iv按照4.5节密钥装入方法装入到LFSR的寄存器单元变量s0,s1,…,s15中，作为LFSR的初态，并置32比特记忆单元变量R1和R2为全0。然后执行下述操作：
重复执行下述过程32次：
(1)BitReconstruction()；
(2)W=F(X0,X1,X2)；
⊞模232加法运算
‖字符串连接符
∙H取字的最高16比特
∙L取字的最低16比特
<<<k32比特字左循环移k位
>>k32比特字右移k位
ab向量a赋值给向量b，即按分量逐分量赋值
3.2
下列符号适用于本部分：
s0,s1,s2,…,s15线性反馈移位寄存器的16个31比特寄存器单元变量
X0,X1,X2,X3比特重组输出的4个32比特字
F的输入为3个32比特字X0、X1、X2，输出为一个32比特字W。F的计算过程如下：
F (X0,X1,X2)
{
(1)W=(X0R1)⊞R2；
(2)W1=R1⊞X1；
(3)W2=R2X2；
(4)R1=S(L1(W1L‖W2H))；
(5)R2=S(L2(W2L‖W1H))。
}
其中S为32比特的S盒变换，定义在附录A中给出；L1和L2为32比特线性变换，定义如下：
W非线性函数F输出的32比特字
Z算法每拍输出的32比特密钥字
k初始种子密钥
iv初始向量
D用于算法初始化的字符串常量
3.3
下列缩略语适用于本部分：
ZUC祖冲之序列密码算法或祖冲之算法
LFSR线性反馈移位寄存器
BR比特重组
F非线性函数
4
4.1
祖冲之算法逻辑上分为上中下三层，见图1。上层是16级线性反馈移位寄存器（LFSR）；中层是比特重组（BR）；下层是非线性函数F。
d10=1101011110001002，
d11=0011010111100012，
d12=1011110001001102，
d13=0111100010011012，
d14=1111000100110102，
d15=1000111101011002。
(2)对0≤i≤15，有si=ki‖di‖ivi。
(3)LFSRWithInitialisationMode (W>> 1)。
4
首先执行下列过程一次，并将F的输出W舍弃：
(1)BitReconstruction()；
(2)F(X0,X1,X2)；
(3)LFSRWithWorkMode()。
然后进入密钥输出阶段。在密钥输出阶段，每运行一个节拍，执行下列过程一次，并输出一个32比特的密钥字Z：
k0‖k1‖……‖k15
和
iv0‖iv1‖……‖iv15，
其中ki和ivi均为8比特字节，0≤i≤15。密钥装入过程如下：
(1)D为240比特的常量，可按如下方式分成16个15比特的子串：
D=d0‖d1‖……‖d15，
其中：
d0=1000100110101112，
d1=0100110101111002，
祖冲之
第
1
本部分描述了祖冲之序列密码算法，可用于指导祖冲之算法相关产品的研制、检测和使用。
2
以下术语和约定适用于本部分。
2.1
比特
二进制字符0和1称之为比特。
2.2
字节
由8个比特组成的比特串称之为字节。
2.3
字
由2个以上（包含2个）比特组成的比特串称之为字。
本部分主要使用31比特字和32比特字。
2.4
d2=1100010011010112，
d3=0010011010111102，
d4=1010111100010012，
d5=0110101111000102，
d6=1110001001101012，
d7=0001001101011112，
d8=1001101011110002，
d9=0101111000100112，
LFSRWithInitialisationMode(u)
{
(1)v= 215s15+217s13+ 221s10+ 220s4+ (1+ 28)s0mod(231-1)；
(2)s16=(v+u) mod (231-1)；
(3)如果s16=0，则置s16=231-1；
(4)(s1,s2,…,s15,s16)(s0,s1,…,s14,s15)。
(1)BitReconstruction()；
}
4
在工作模式下，LFSR不接收任何输入。其计算过程如下：
LFSRWithWorkMode()
{
(1)s16= 215s15+217s13+ 221s10+ 220s4+ (1+ 28)s0mod(231-1)；
(2)如果s16=0，则置s16=231-1；
(3)(s1,s2,…,s15,s16)(s0,s1,…,s14,s15)。
}
4.3
比特重组从LFSR的寄存器单元中抽取128比特组成4个32比特字X0、X1、X2、X3。BR的具体计算过程如下：
BitReconstruction()
{
(1)X0=s15H‖s14L；
(2)X1=s11L‖s9H；
(3)X2=s7L‖s5H；
(4)X3=s2L‖s0H。
}
4.4
F包含2个32比特记忆单元变量R1和R2。
L1(X) =X(X<<< 2)(X<<< 10)(X<<< 18)(X<<< 24)，
L2(X) =X(X<<< 8)(X<<< 14)(X<<< 22)(X<<< 30)。
4.5
密钥装入过程将128比特的初始密钥k和128比特的初始向量iv扩展为16个31比特字作为LFSR寄存器单元变量s0,s1,…,s15的初始状态。设k和iv分别为
字表示
本部分字默认采用十进制表示。当字采用其它进制表示时，总是在字的表示之前或之后添加指示符。例如，前缀0x指示该字采用十六进制表示，后缀下角标2指示该字采用二进制表示。
2.5
高
本部分规定字的最高位总是位于字表示中的最左边，最低位总是位于字表示中的最右边。
3
3.1
+算术加法运算
mod 整数取余运算
⨁按比特位逐位异或运算
பைடு நூலகம்图1祖冲之算法结构图
4.2
4
LFSR包括16个31比特寄存器单元变量s0,s1,…,s15。
LFSR的运行模式有2种：初始化模式和工作模式。
4
在初始化模式下，LFSR接收一个31比特字u。u是由非线性函数F的32比特输出W通过舍弃最低位比特得到，即u=W>> 1。在初始化模式下，LFSR计算过程如下：
4.6
4
首先把128比特的初始密钥k和128比特的初始向量iv按照4.5节密钥装入方法装入到LFSR的寄存器单元变量s0,s1,…,s15中，作为LFSR的初态，并置32比特记忆单元变量R1和R2为全0。然后执行下述操作：
重复执行下述过程32次：
(1)BitReconstruction()；
(2)W=F(X0,X1,X2)；
⊞模232加法运算
‖字符串连接符
∙H取字的最高16比特
∙L取字的最低16比特
<<<k32比特字左循环移k位
>>k32比特字右移k位
ab向量a赋值给向量b，即按分量逐分量赋值
3.2
下列符号适用于本部分：
s0,s1,s2,…,s15线性反馈移位寄存器的16个31比特寄存器单元变量
X0,X1,X2,X3比特重组输出的4个32比特字
F的输入为3个32比特字X0、X1、X2，输出为一个32比特字W。F的计算过程如下：
F (X0,X1,X2)
{
(1)W=(X0R1)⊞R2；
(2)W1=R1⊞X1；
(3)W2=R2X2；
(4)R1=S(L1(W1L‖W2H))；
(5)R2=S(L2(W2L‖W1H))。
}
其中S为32比特的S盒变换，定义在附录A中给出；L1和L2为32比特线性变换，定义如下：