密码学复习

a明文被变换成看似无意义的随机消息，称为密文，这种变换过程称为加密；b其逆过程，即由密文恢复出原明文的过程称为解密。对明文进行加密操作的人员称为加密员或密码员。c密码员对明文进行加密时所采用的一组规则称为加密算法。

d接收者对密文进行解密时所采用的一组规则称为解密算法。

a常用的密码分析有哪几类？

(1) 唯密文攻击。

(2) 已知明文攻击。

（3）选择明文攻击。

（4）选择密文攻击。

e截收者虽然不知道系统所用的密钥，但通过分析可能从截获的密文推断出原来的明文或密钥，这一过程称为密码分析

f对密码进行分析的尝试称为攻击。

g从一个文本中随机选择两个字符，两个字符相同的概率称为重合指数。

h序列密码算法或称流密码算法，通过将明（密）文同密码流逐位相异或进行加（解）密；b其特点是实现简单，速度一般比较快，错误传播少或没有。

e如果移位寄存器的反馈函数f (a1,a2,…,a n)是a1,a2,…,a n的线性函数,则称之为线性反馈移位寄存器(LFSR)。此时输出序列

an+t=f(at,at+1,…,a n+t-1)=c nat⊕c n-1at+1⊕…⊕c1an+t-1

其中常数ci=0或1(总是假定c n=1),⊕是模2加法。

n级线性反馈移位寄存器的最大周期为2n-1。周期达到最大值的序列称为m序列。a

f分组密码算法采用密钥将固定长度的明(密)文分组通过加(解)密算法加(解)密成相同长度的密(明)文分组。

1．数据复杂性。用作攻击输入所需的数据量。

2．处理复杂性。完成攻击所需要的时间，这个经常叫做工作因素。

3．存储需求。进行攻击所需要的存储量。

c分组密码设计主要采用两种结构：Feistel和SP网络。

Feistel结构的思想实际上是山农提出的利用乘积密码实现混淆和扩散思想的具体应用。e Feistel结构：

加密: L i = Ri-1; Ri = Li-1⊕F(Ri-1,Ki)

解密: Ri-1 = Li ;

Li-1 = Ri⊕F(Ri-1,Ki)= Ri⊕F(Li,Ki)

对于一个好的S盒，其布尔函数应满足以下9个基本条件：可逆性、没有陷门

1.平衡性(Balance)。

2.严格雪崩准则(Strict Avalanche Criterion)。

3.高阶SAC。

4.非线性。

5.线性结构。

6.输出bit独立原则。当一个输入bit取补时，每二个输出bit之间的相关系数变为0。

7.完备性。每个输出bit与每个输入bit相关。

8.输入/输出差分分布.即差分的最大值尽量小。差分均匀性

9.线性近似和抗线性攻击的能力。

DES算法流程

加密流程：

L0R0 ←IP(<64位明文>)

Li←Ri-1

Ri←Li-1?⊕(Ri-1,Ki)

<64位密文>←IP-1(R16L16)

解密流程：

R16L16 ←IP(<64位密文>)

Ri-1←Li

Li-1←Ri (Li,Ki)

<64位明文>←IP-1(L0R0)

DES算法具有互补性。定义EK (P) = C表示用密钥K把明文P加密成密文C，x*表示x的补，则EK* (P*) = C*。d

DES算法的安全性

在代数结构上，DES算法不是一个群。

在安全性方面，DES算法有一些弱密钥、半弱密钥和可能的弱密钥。

特别地，DES算法具有互补性。定义EK (P) = C表示用密钥K把明文P加密成密文C，x*表示x的补，则EK* (P*) = C*。这可能DES算法是的一大弱点。

DES算法的密钥长度比较短，只有56 b。在现在看来，不能抗强力攻击(255次尝试)。另外，频谱测试表明DES算法是非随机的。差分密码分析表明，对DES算法，选择明文攻击比穷举攻击有效。

差分密码分析法：247次尝试

线性密码分析法：243次尝试

CBC的表达式：Y0＝IV，Yi=DES K(Xi⊕Yi-1),1?i?n

OFB的表达式：Z0=IV,Zi=DES K(Zi-1),Yi=Xi⊕Zi, 1?i?n

特点：在OFB模式中，一个密文块Yi（或明文块Xi）的改变在解密（或加密）时只会引起相应的明文块Xi（或密文块Yi）的改变，不会引起其他密文块的改变。

在CBC模式中，一个密文块Yi的改变在解密时时只会引起相应的相应的明文块Xi 和Xi+1.的改变，不会引起其他明文块的改变。而一个明文块Xi的改变，在加密时将会相应的密文块Yi以及其后的所有密文块的改变。

AES算法有3条设计和评估准则：①安全。抗所有已知的攻击；②代价。在多个平台上快速简洁地实现；③设计简单。f

AES算法设计思想：采用宽轨迹策略(WTS)和SP结构。g

把一个信息分组State分成四行x列的矩阵形式，一轮AES算法包含4种变换：

1. 字节代换SubBytes(State)。使用一个S盒πS对State进行非线性变换，其中πS

是有限域{0，1}8的一个置换。SubWord(A0，A1，A2，A3) = (B0，B1，B2，B3)，其中Bi = SubBytes(Ai)。

2. 行移位变换ShiftRow(State)。分组长度为128或192 b时，State下三行分别循环

左移1、2、3字节。

3. 列混合变换MixColumn(State) = C*State是有限域GF(2 8 )4上的一个线性变换。

4. 轮密钥加法变换AddRoundKey(State，RoundKey)。轮密钥加是将由函数

KeyExpansion(key)生成的轮密钥RoundKey简单地与状态State进行逐比特异或。

用伪代码表示AES算法轮变换Round(State，RoundKey)

Round (State, RoundKey)

{

ByteSub (State);

ShiftRow (State);

MixColumn (State);

AddRoundKey (State, RoundKey)

}

最后一轮的轮变换与前面各轮不同，将MixColumn 这一步去掉。

用伪码表示AES 算法加密过程：

①将轮密钥RoundKey 与明文State 异或

AddRoundKey(State ，RoundKey)；

②对前Nr －1轮中的每一轮进行相同的变换

Round(State ，RoundKey)

{ S ubBytes(State)；(用S 盒进行一次变换操作)

ShiftRow(State)；MixColumn(State)；

AddRoundKey(State ，RoundKey)；}

③最后一轮变换:FinalRound(State ，RoundKey)

{ S ubBytes(State)；ShiftRow(State)；

AddRoundKey(State ，RoundKey)；}

最后的State 即为密文。解密过程把加密过程完全反过来即可。

AES 算法加密全过程

加密算法为顺序完成以下操作：初始的密钥加；(Nr-1)轮迭代；一个结尾轮。即 Rijndael (State, CipherKey)

{

KeyExpansion (CipherKey, ExpandedKey);

AddRoundKey (State, ExpandedKey);

for (i=1; i

Round (State, ExpandedKey+Nb* i);

FinalRound (State, ExpandedKey+Nb*Nr)

}

密码分组链接(CBC)模式算法过程：

for i =1 to n Y i = E K （P i ⊕Y i －1）（加密）；（Y 0为初值）

for i =1 to n do P i = D K （Y i ）⊕Y i －1；（解密）

)(1n K n Y E Y （可选进程）；MAC = MSB m (Y n )；（认证）

输出反馈(OFB)模式

OFB 模式实际上相当于一个序列密码算法，其密钥流产生方法为：

for i =1 to n do S i = E K （S i －1）；（S 0为初值）

h 杂凑函数应满足以下条件：

① 函数的输入可以是任意长。

② 函数的输出是固定长。

③ 已知x ，求H (x )较为容易，可用硬件或软件实现。

④ 找出任意两个不同的输入x 、y ，使得H (y )=H (x )在计算上是不可行的。

迭代型杂凑函数的一般结构

MD5的算法过程

1）补位。补位方法为：先补一个1，然后补0，使数据长度len （字节数）除以64 的余数为56。就算数据的原始长度L (字节数)除以64 的余数恰好为56，也要补上64 B 。

2）补数据长度。L (比特数)用一个8 B 的数表示，追加到已补位数据的后面；这样数据总长就是64的整数倍。

3）分组。把补位后的数据按64 B 分为n 组：P 0，…，P n -1。

4）初始化缓冲器。4个4 B的寄存器初始值用16进制表示为：A = 0x01234567，B=0x89abcdef，C = 0xfedcba98，D = 0x76543210。

5）循环运算。对n个分组进行循环运算。先取a = A，b = B，c = C，d = D。

每次循环有4轮，每轮进行16步迭代，共64步迭代运算。

每一步的运算形式为a←b+CLS s(a+g(b,c,d)+X[k]+T[I])

1个分组运算完成后，取A = a + A，B = b + B，C = c + C，D = d + D进行下一个分组循环运算，最后的输出结果是A，B，C，D的串联A || B || C || D。

⑤输出消息的n个分组都被处理完后，最后一个H MD5的输出即为产生的消息摘要。

CV0=IV;

CV q+1=CV q+RF I{Yq,RF H[Yq,RF G(Yq,RF F(Yq,CV q))]}

MD=CV L

SHA的算法过程

1）补位与分组。SHA算法的补位与分组方法同MD5算法完全一样。

2）初始化缓冲器。5个4 B的寄存器初始值用16进制表示为：A = 0x67452301，B=0xefcdab89，C = 0x98badcfe，D = 0x10325476，E = 0xc3d2e1f0。

3）循环运算。对n个分组进行循环运算。先取a = A，b = B，c = C，d = D，e = E。

每次循环有4轮，每轮进行20次迭代，共80次迭代运算（t = 0，…，79）。

1个分组运算过程为：

for t = 0 to 79 {temp = (a<<<5) + F(b, c, d) + e + W t + kt；e = d；d = c；c = b<<<30；

b = a；a = temp；}

1个分组运算完成后，取A = a + A，B = b + B，C = c + C，D = d + D，E = e + E进行下一个分组循环运算，最后的输出结果是A，B，C，D，E的串联A || B || C || D || E。

MD5和MD4的关系d

1）MD5增加了第四轮；SHA也是如此，但SHA在第四轮中采用的函数与第二轮相同。

2）MD5的每一步迭代都有唯一的加法常数；SHA保留了的MD4方案，每20轮重复使用一个常数。

1. 因子

设a，b(b≠0)是两个整数，如果存在另一整数m，使得a=mb，则称b整除a，记为b|a，且称b是a的因子。

2. 素数

称整数p(p>1)是素数，如果p的因子只有±1，±p。

3. 称c是两个整数a、b的最大公因子，如果

①c是a的因子也是b的因子，即c是a、b的公因子。

②a和b的任一公因子，也是c的因子。

表示为c=gcd(a, b)。

3.5 如果gcd(a,b)=1，则称a和b互素。

4. 如果(a mod n)=(b mod n)，则称两整数a和b模n同余，记为a≡b mod n。

4.5 称与a模n同余的数的全体为a的同余类，记为[a]，

5. 模乘逆元

对x，若有y，使得x×y≡1 mod n，如3×3≡1 mod 8，则称y为x的倒数，也称为模乘逆元。

8. 素性检验

素性检验是指对给定的数检验其是否为素数。

Fermat 定理 若p 是素数，a 是正整数且gcd(a , p )=1，则ap -1≡1 mod p 。e

设n 是一正整数，小于n 且与n 互素的正整数的个数称为n 的欧拉函数，记为φ(n )。f Euler 定理 若a 和n 互素，则a φ(n )≡1 mod n 。g

Euclid 算法是基于下面一个基本结论： h

对任意非负整数a 和正整数b ，有gcd(a, b)=gcd(b, a mod b)。

①RSA 算法过程

首先, 选取三个数, p , q , e, 其中 p , q 是两个相异的大质数, e 是与(p -1)(q -1)互质的数，计算 n = p *q ，e , n 便是公钥；接著, 用欧几里德扩展法计算d , 使得de ≡1 mod (p -1)(q -1)，p , q , d 便是私钥。假设被签消息为M ，则

签名过程为S == M d mod n

验证过程为M == S e mod n

1）二进制有限域{0, 1}n 表示所有n -bit 向量x =（x 1，…，x n ）的集合。

2）x (i )表示向量的第i 位改变。

3）汉明距离w (x )表示x 中所有非0元素的个数。

4）完备性。对密码算法f : {0, 1}n →{0, 1}m ，如果每一位输出依赖于每一位输入，则称f 是完备的，即1,,i n ?=和1,,,j m x ?=?∈{0, 1}n ，使得j j i x f x f ))(())(()(≠

5）雪崩效应。当密码算法f 的任意一位输入改变时，如果平均有一半的输出位改变，则称f 具有雪崩效应，即(){0,1}2(()(())/2n n

i x w f x f x m -∈-=∑，1,

,i n ?= 6）严格雪崩准则。当f 的任意一位输入改变时，如果每一位输出改变的概率为0.5，则称f 满足严格雪崩准则