第17讲--m序列与BM算法(密码学)

10
3、B-M算法
任意给定一个N长序列 a ( a 0 . , a1 , , a N 1 ) ，按n归纳定义
f n ( x ), l n
n 0 , 1, 2 , , N 1
l0 0
1、取初始值： f 0 ( x ) 1,
2、设
f 0 ( x ), l 0 , f 1 ( x ), l1 , , f n ( x ), l n
产生尽可能好的、参与密码变换的序列。
（2）当已知一个长为N序列a时，如何构造一个级 数尽可能小的LFSR来产生它。这是从密码分析角度来考
虑，要想用线性方法重构密钥序列所必须付出的最小代价。 这个问题可通过B-M算法来解决。
7
1、概念简介
设 a ( a 0 . , a 1 , , a N 1 ) 是 F 2 上的长度为N的序列，而 2 l 是 F 2 上的多项式，c0=1. f ( x ) c 0 c1 x c 2 x c l x 如果序列中的元素满足递推关系：
f7 (x) f6 (x) 1 x x l7 l6 3
1 这表明， x x 3 ,3 即为产生所给序列一个周期的最短线 性移位寄存器。
14
3
5
3、m序列的自相关特性
若 a ( a 0 a 1 a 2 )是一个周期为p的0、1序列， 定义{0 1}上的映射η 为：( 0 ) 1, (1) 1 ，定义 序列 a ( a 0 a 1 a 2 ) 的自相关函数为
C (t )
(a
i0
p 1
i
) ( a i t )
M 序 列 与 B-M 算 法
（一）m序列的性质
1、 m序列的统计特性
m序列的“0、1”信号的频次规律
性质1 ：r级m序列的一个周期中，1出现 0出现 2 r 1 1 个。
2
r 1
个，
2
m序列的游程分布规律

若干个信号连续出现的现象称游程。对于
序列a，称a中形如01…10或10…01的段为
8
线性移位寄存器的综合问题可表述为：给定一个N长 二元序列a，如何求出产生这一序列的最小级数的线性移 位寄存器，即最短的线性移存器？ 几点说明：
1、反馈多项式f(x)的次数l。因为产生a且级数最小的线性 移位寄存器可能是退化的，在这种情况下 f(x)的次数<l；并且此 时 f(x)中的cl=0，因此在反馈多项式f(x)中c0=1，但不要求cl=1。 2、规定：0级线性移位寄存器是以f(x)=1为反馈多项式的 线性移位寄存器，且n长(n=1, 2, …, N)全零序列，仅由0级线性 移位寄存器产生。事实上，以f(x)=1为反馈多项式的递归关系式 是：ak=0，k=0, 1, …, n-1.因此，这一规定是合理的。
性质5：若 a
r
(a0a1a2 )

是一个r级m序列，那么
2 1,
r
C ( t ) ( a i ) ( a i t ) i0
2 2
t 0 0 t 2 1
r
1,
6
（二）、B-M迭代算法
根据密码学的需要，对线性反馈移位寄存器 (LFSR)主要考虑下面两个问题： （1）如何利用级数尽可能短的LFSR产生周期大、随 机性能良好的序列，即固定级数时，什么样的移存器 序列周期最长。这是从密钥生成角度考虑，用最小的代价
f5 (x) f 4 (x) 1 x x l5 l4 3
3
第3步，计算d5：d5=1·5 + 1·4 + 0·3 + 1·2=0，从而 a a a a
f6 (x) f5 (x) 1 x x l6 l5 3
3
第4步，计算d6：d6=1·6 + 1·5 + 0·4 + 1·3=0，从而 a a a a
便是产生序列a的最短线性移
12
4、实例
例2、求产生周期为7的m序列一个周期：0011101的最 短线性移位寄存器。
解：设 a 0 a1 a 2 a 3 a 4 a 5 a 6 0011101 ，首先取初值 f0(x)=1, l0=0 ， 则由a0=0得d0=1•a0=0从而 f1(x)=1, l1=0 ；同理由a1=0得 d1=1•a1=0从而 f2(x)=1, l2=0 。 由a2=1得d2=1•a2=1，从而根据l0= l1 = l2=0 知 f3(x)=1+x2+1 =1+x3, l3=3
11
（ⅰ） 若 d n =0，则令：
f n 1 ( x ) f n ( x ), l n 1 l n 。
（ⅱ） 若 d n =1，则需区分以下两种情形： ① 当： l 0 l1 l n 0 时， 取： f n 1 ( x ) 1 x 设： f n 1 ( x ) f n ( x ) x
l1 l n
(n)
(0 n N )
均已求得，且 l 0
记：
f n ( x ) c0
(n)
c1
(n)
x c ln
(n)
(n)
x , c0
ln
(n)
1,
(n)
再计算：
d n c0
a n c1
a n 1 c l n
a n ln
称dn为第n步差值。然后分两种情形讨论：
a k c1 a k 1 c 2 a k 2 c l a k l , k l , l 1, , N 1 (2)
则称 f ( x ), l 产生二元序列a。其中 f ( x ), l 表示以f(x)为反馈 多项式的l级线性移位寄存器。
如果f(x)是一个能产生a并且级数最小的线性移位寄存器的 反馈多项式，l是该移存器的级数，则称 f ( x ), l 为序列a的 线性综合解。
n 1
, l n 1 n 1 。
f m ( x ), l n 1 max{ l n , n 1 l n }
② 当有 m（ 0 m n ） ，使： l m l m 1 l m 2 l n 。
nm
最后得到的 位寄存器。
f N ( x ), l N
度为k (1 k
为k (1 k
r 2)
的1游程，有2 r 2 k 个长度
r 2)
的0游程。
4
2、m序列的移加特性
L(t)(a)是左移变换，就是将序列 a 左移t位所得 到的序 列。
性质3：若
a
是由r级本原线性移存器产生的m序列,
则 a L( t ) ( a ) ( t 0 mod 2 r 1) 是与 a 平移等价的m序列。 r 性质4：周期为p的m序列 a ，左移t ( t 0 mod 2 1) 位 得到序列 b ，将 a 与 b 按位对齐。则在一个周期 段中，序列 a 与序列 b （0，0）的有(p-3)/4对，（1， 1）、（1、0）、（0、1）的各有(p+1)/4对。
第1步，计算d3：d3=1·3+ 0·2 + 0·1 + 1·0=1 a a a a 因为l2<l3，故m=2，由此
f 4 (x) f3 (x) x
3 2
f 2 (x) 1 x x
3
l 4 max{ 3 , 3 1 3} max{ 3 ,1} 3
13
第2步，计算d4：d4=1·4 + 1·3 + 0·2 + 1·1=0，从而 a a a a
3、给定一个N长二元序列a，求能产生a并且级数最小 的线性移位寄存器，就是求a的线性综合解。利用B-M算法 可以有效的求出。
9
2、B-M算法要点 用归纳法求出一系列线性移位寄存器：
f n ( x ), l n
f n ( x ) ln ,
0
n 1, 2 , , N
每一个 f n ( x ), l n 都是产生序列a的前n项的最短线性移 位寄存器，在 f n ( x ), l n 的基础上构造相应的 ， 使得f n 1 ( x ), l n 1 是产生给定序列前n+1项的最短移存器， f n 1 ( x ), l n 1 则最后得到的 就是产生给定N长二元序列a的 f N ( x ), l N 最短的线性移位寄存器。
一个1游程或0游程，游程中所含1或0的个
数称为该游程的长度，如0110为一个长为
2的1游程，101为一个长为1的0游程。
3
m序列的游程分布规律
性质2：将r级m序列的一个周期段首尾相接，其游程 总数为N=2r-1；其中没有长度大于r的游程；有1个长
度为r的1游程，没有长度为r的0游程；没有长度为
r-1的1游程，有1个长度为r-1的0游程；有 2 r 2 k 个长