AES算法的文献综述(06 集成电路工程 薛小铃)

AES算法的文献综述

2006集成电路工程061121298 薛小铃

1 引言

计算机网络的广泛普及与使用，电子信息技术已经渗透到了人们日常生活的各行各业，在金融、电信、政府机构等更为重要。人们越来越意识到信息安全的重要性。密码学作为信息安全领域的一项重要技术，被普遍认为是解决信息安全保护最有效的方法。现在网络应用的信息安全技术(如数据加密技术、数字签名技术、消息论证与身份识别技术、防火墙技术以及反技术等)都是以密码学为基础的。分组密码以其高效率、低开销、实现简单和易于标准化等特点在现代密码学研究中占据重要地位。2000年10月2日，美国国家标准技术研究所(NIST)在综合考虑了安全性、性能效率和灵活性的基础上，将分组密码Rijndael算法确定为高级加密标准(AES)，取代广泛使用了20多年的数据加密标准(DES)。

2 AES算法的历史背景

自20世纪70年代以来一直被广泛使用的数据加密标准DES算法的有效密钥只有56比特，即256≈7×1016种可能的密钥值。然而，随着更快的处理器的出现和大规模并行处理系统的发展，使得计算机比以前的计算速度快得多。因此，这个数字并不像以前那样巨大，在某种意义上说，它是很小的。另一方面，有些人觉得DES算法中替换的合理性从来就没有完全解释清楚。他们的担心是在替换中可能有些东西会损坏密文的完整性，或者在DES算法中存在不为人知的“后门”。进入上世纪九十年代后，另一种由DES衍生出来的算法—三重DES，被广泛使用。但是它的安全性并不意味着建立在168位的密钥之上，研究表明，可以将其转化为对108位密钥的攻击。最重要的是，三重DES的加密和解密时间消耗较大，不能很好的适用飞速增长的实时信息加密需求。所有这些，都使得人们开始期待一种更安全、更为公开的加密标准的出现。

1997年4月15日，NIST发起了征集AES算法的活动，并成立了专门的AES 工作组，目的是为了确定一个非保密的公开披露的全球免费使用的分组密码算法，用于保护下一世纪政府的敏感信息，并希望成为秘密和公开部门的数据加密标准。1997年9月12日在联邦登记处公布了征集AES候选算法的通告。AES

的基本要求是：比三重DES快，而且至少和三重DES一样安全，分组长度128比特，密钥长度为128/192/256比特。1998年8月20日，NIST召开了第一次候选大会并公布了15个候选算法。1999年3月22日，举行了第二次AES候选会议，从中选出5个AES将成为新的公开的联邦信息处理标准(FIPS—Federal Information Proeessing Standard)，用于美国政府组织保护敏感信息的一种特殊的加密算法。NIST预测，AES会被广泛地应用于组织学院及个人。入选AES的五种算法是MARs、Rc6、Serpent、Twofish和Rijndael。2000年10月2日，美国商务部部长NormanY.Mineta宣布，经过三年来世界著名密码专家之间的竞争，助Rijndael数据加密算法最终获胜。为此而在全球范围内角逐了数年的激烈竞争宣告结束。这一新加密标准的问世将取代DES数据加密标准成为21世纪保护国家敏感信息的高级算法。

3 AES算法研究现状分析

目前对高级加密标准算法的研究主要集中在三个方面：设计原理、安全性能分析和统计性能分析。设计原理方面主要研究算法在设计时所遵循的原则、算法采用的整体结构以及各组成部分的数学基础和性能。安全性能研究主要集中在分析抵抗现有已知密码攻击方法上，主要包括强力攻击、差分密码分析、线性密码分析、专用攻击和插值攻击。目前对差分密码分析和线性密码分析研究得比较深入，对专用攻击主要集中在基本攻击原理上，对插值攻击的研究主要集中在寻找算法的代数表示。统计性能主要是研究算法随机化数据的能力，目前有关Rijndael 算法的统计性能方面的研究还较少，所见统计测试在测试项目的选择和测试数据的构造上也尽相同，但大多数测试都基于NIST统计测试工具包进行。

3.1 AES算法国内研究现状

国内对Rijndael算法研究分析的热情不亚于国际同行。早在AES终选算法确定之前，中国科学院软件研究所研究员吴文玲等人就深入分析了Rijndael算法的密钥生成过程，使用能量攻击对三种密钥长度的算法进行分析，攻击复分别为267、299和2131，大大降低了Rijndael密钥攻击的规模。信息工程大学的研究生李娜及其导师陈卫红教授通过研究q-多项式的性质给出求解S盒代数表达式一种简易的算法，具有可预先计算、操作简单的特点和一定的通用性，对曾祥勇等提出的一类S-盒进行了仿射等价划分，进一步明确了这些S-盒间的相互关系。

国防科技大学博士冯国柱等人对Rijndael算法作了变动和改进，使新算法在不降低抗差分攻击性能的情况下提高统计效果，并可部分抵抗Square攻击，代价是牺牲少许密钥装填速度。北京理工大学胡辛征等人研究发现Rijndael算法S-盒在有限域GF(28)上的迭代循环周期过短，仅有2、27、59、81、87等五种可能，并设计了一种新的仿射变换加以改进，使有限域上所有元素的迭代循环周期达到最大，即256。信息工程大学戚文峰等人调整Rijndael算法轮变换的顺序，采用密钥的变形形式，通过合理安排求取密钥的顺序，利用密钥相关性将五轮简化算法的密钥穷尽量由原来的4×240减少到240+232+216+9×28。

在国内对Rijndael硬件研究除了对其硬件实现的优化设计之外，由于受有关条件的限制，AISC的实现还未见诸报端。而对基于其他硬件的Rijndael实现已经有了一定的研究，如曾毅使用Xilinx的FPGA VirtexlI XC2V3000-4对Rijndael 密码算法进行了实现和验证，其采用一种优化的非流水线加密/解密数据路径，同时提出了一种新的可配置的动态密钥调度结构，使得该设计支持128、192和256比特的密钥，而且其设计可以配置Rijndael算法的四种工作模式。陈作新提出“动态密码补位法”对算法进行补偿，应用于在要求密文长度与明文长度相等的场合，以提高明文加密的安全性并应用于IC卡的关键数据的加密中。梅迎春设计的高性能智能安全卡是基于A VR单片机、结合USB接口技术、采用Rinjdael 算法和分布式CA认证体制的一种硬件实现。沈启峰等给出了有限域加法和乘法运算的优化的方法，为实现FPGA高速设计提供了设计思路。

3.2 AES算法国外研究现状

从应征为侯选算法，到被选为终选算法，到最后被确定为AES标准，直至现在，Rijndael算法一直经受着世界各国密码机构和专家的强化攻击。但是，目前尚未存在对完整Rijndael算法的成功攻击，只提出了几种对减少轮数化算法的攻击方法。最有名的当数密码设计者自己提出的Square攻击，其主要思想是利用第四轮字节替换前后平衡性的改变来猜测密钥字节，对128比特密钥下四到六轮简化算法有效。

ELI BIHAM和NATHAN KENER对四到六轮简化算法的Square攻击进行了改进，攻击的时间复杂度降低一倍并认为如果把Rijndael算法轮密钥的顺序颠倒过来，攻击复杂度将还可降低28。Stefan Lucks利用密钥生成算法的弱点，将

Square攻击的密钥长度扩展到192和256比特的情况，用此方法攻击七轮简化算法比穷尽搜索快。NIELS FERGUSON等人利用部分和技术将六轮Square攻击的复杂度从272降到244并将之推广到七轮和八轮简化算法，展示密钥生成算法中几个违背设计准则的特性，利用其慢扩散性设计了一个针对256比特密钥下九轮简化算法的密钥相关攻击方案。HENRI GILBERT和MARINE MINIER利用由算法本身推导出的某些局部函数之间的冲突特性对四到七轮简化算法进行了攻击。JUNG HEE CHEON等人将五轮不可能差分攻击推广到六轮，虽然复杂度高于相应的Squre攻击，但仍快于密钥穷尽搜索。JOAN DAEMEN和VINCENT RIJMEN 在文中研究AES候选算法在智能卡上实现时抵抗计时和能量攻击的情况，评估这些算法抵抗这两种攻击的难度。FRANCOIS KOEUNE和JEAN-JACQUES QUISQUATER描述了一种针对Rijndael算法的计时攻击，展现了攻破一个粗心的实现设计的过程，基本方法是对每个密钥数千次的测量。

密码代数结构的任何弱点都将有利于密码分析新方案的设计。因此，在对简化Rijndael算法进行攻击尝试的同时，人们也把相当多的精力集中到Rijndael算法内部结构各种性质的研究上。

NIELS FERGUSON等人给出了Rijndael算法一个直观而紧凑的代数表示形式，但尚未有用此表达式进行攻击的例子。ERIC FILIOL将Rijndael算法的每一输出比特看作以明文比特和密钥比特为变量的布尔函数fi(p1,p2,…,pn,k1,…,kn)，并用Mohius变换将之计算出来，观察其低次项(如单项式piki)的分布情况。通过比较fi代数正规式与完全随机的布尔函数代数正规式的差异考察fi是否具有随机特性结果发现Rijndael算法布尔函数的随机特性并不十分理想。Elad Barkan 和Eli Biharm通过替换Rijndael算法中的所有不变常量，如既约多项式、列混合运算中的系数和S-盒中的仿射变换等，产生许多新的等价对偶密码，有平方对偶、对数对偶和自对偶等数百种之多。一方面，对偶密码有其可利用之处，如通过选择比原算法更快的对偶算法来优化密码速度，甚至加解密使用不同的对偶密码;又如实现加解密时每次随机选择不同的密码以抵抗错误攻击和能量攻击。另一方面，由于对偶密码的结构也许更容易分析，可能会有助于施差分或线性攻击，而对偶密码又可以很容易转地换成原算法，所以对偶密码的存在可能是Rijndael 算法一种潜在的威胁。

2005年8月15日，加利福尼亚州萨尼维尔市Juniper网络公司宣布，采用同时支持3-DES和Rijndael算法的GigaScreen3 ASIC的Netscreen-5000系列防火墙和虚拟专网(VPN)系统产品，可以提供15Gbps的ASIC加速的VNP吞吐量。但是，ASIC实现缺乏算法和参数更换的灵活性，而FPGA实现不但具有软件实现的灵活性、成本效益以及算法更换能力，还具有ASIC实现的高效性和物理安全性，随着研究的深入，基于FGPA的硬件实现向更高速、小面积的ASIC方向在发展。

随着经济社会的发展，无论是组织还是个人对于信息安全盒保密的要求都会提高，密码产品的需求必然大热，密码理论在信息科学研究中地位肯定也会不断增强。

4 AES算法实现技术简介

4.1 软件实现

AES算法在设计之初就将软件实现的高效性、灵活性作为一个目标。事实证明，Rijndael算法在通用处理器上能获得相当不错的性能。

4.2 硬件实现

在虚拟专用网(VPN)和波分复用系统的光纤链路、视频加密、Internet高端路由器等高速应用中，硬件实现才是最佳解决方案。硬件实现能确保加密算法及其密钥扩展的物理安全，因为硬件实现通常不容易被外部攻击者接触或修改。加密速度最大化和占用面积最小化的目标可由专用集成电路(ASIC)和现场可编程门阵列(FPGA)实现。ASIC实现是为给定算法专门设计的，速度快、效率高，在占用面积和功耗方面具有优势。对于海量应用来说，ASIC解决方案具有最好的性能价格比。

硬件设计不同于软件设计，在硬件资源允许的范围内，应充分发挥其并行性的特点，并且用硬件完成某算法的设计其时间是固定的，这一特点在一些应用中有重要作用。AES算法硬件设计是应考虑适合多种不同硬件、处理器及接口电路的形式，使它能在各种硬件设备上高效运行。

5 AES算法设计要点

通观整个AES 算法，包括线性和非线性运算，所有的运算定义在有限域GF上；执行该算法时除了要查查找表之外，其它的运算都是简单的异或和移位，

运行的速度很快。在每一轮运算又在密钥扩展应用了非线性操作，大大增强了抗差分和线性密码分析能力。S-盒变换是AES算法的核心。

5.1 轮运算要点

(1) 所有操作都是可逆的；

(2) 每一步对一定攻击都有很强的抵抗能力，S-盒能抵抗差分和线性密码分析，行循环左移能抵抗截断差分密码分析及Square攻击，列混合达到了扩散的目的；

(3) 能在广泛的硬件平台上高效快速地执行；

(4) 每一步操作都比较容易描述。

5.2 密钥扩展

(1) 非线性操作防止了仅仅由密钥的差分而导致每一轮子密钥的差分；

(2) 密钥扩展产生的效果使每一轮子密钥都不同；

(3) 有效地抵抗密钥相关分析及已知部分密钥的分析；

(4) 消除了每轮中以及轮与轮之间的对称性；

(5) 运行速度快，容易描述。

6 结束语

AES算法的实现程序，对处理器性能、内存的需求量等方面的要求低，可以广泛的应用到智能卡、卫星通信、数字电视、流式媒体、加密键盘、ATM、CDM等智能设备中，可提供很高的安全性能，因此，AES将在今后很长时间内具备广阔的应用前景。

参考文献

[1] SKLA VOS N,KOUFOPA VLOU O.Architectures and VLSI Implementations of

the AES-Proposal Rijndael[C].Computers IEEE Transactions on. 2002, 51(12): 154-159.

[2] CALTAGIRONE C,ANANTHAK.High Througput,Parallelized128-bit AES

Encryption in a Resource-Limited FPGA[C]Pro-ceedings of the fifteenth annual ACM symposium on Parallel algorithm and architectures.2003:913-925.

[3] 戴尔蒙[比]，瑞蒙[比]．高级加密标准（AES）算法：Rijndael的设计［M］．谷

大武，徐胜波译．北京：清华大学出版社，2003：9-59.

[4] WU Wen-ling,HE Ye-ping,Feng Deng-guo,QING Si-han.Power Attack of MARS

and Rijndael[J].Jornal of Software,2002,13(4):532-536.

[5] 李娜，陈卫红．一类S-盒密码学性质的研究[A].第八届中国密码学学术会议

3023号稿件，2003：64-73．

[6] 冯国柱，李超，多磊，谢端强，戴清平．变形的Rijndael及其差分和统计特

性[J]．电子学报，2002，30(10)：154-156．

[7] 聂能，谢显中，竺南直主编．2003年通信理论与信号处理年会论文集[C]．北

京：电子工业出版社，2003：926-930．

[8] 曾毅，鲁欣，付宇卓．一种优化可配置的AES密码算法硬件实现［J］．微电

子学与计算机．2004，12(21)：34-37．

[9] 陈作新，刘鸿雁．一种应用于IC卡数据加密的Rijndael的改进算法．计算工

程[J]．2005，1(31)：155-156．

[10] 沈启峰，黄士坦，杨靓．AES中有限域运算的优化及算法高速实现［J］．微

机发展．2005，12(12)：15-17.

[11] FERGUSON N,KELSEY J,SCHNEIER B,STAY M,WAGNER D,WHITING

D.Improved Cryptanalysis of Rijndael[C].Proceedings of Fast Software

Encryption Workshop 20008.Berlin:Springer-Verlag,2000:213-230.

[12] RALPH WERNSORF.The Round Functions of Rijndael Generate the Alternating

Guoup[C].FSE 2002,Berlin:Springer-Verlag,2002:143-148.

[13] 王简瑜，张鲁国．基于FPGA的AES加/解密算法的可重构设计[J]．计算

机工程，2008，26(07)：163-164．

[14] ZHANG WENTAO,WU WENLING,FENG DENGGUO.New Results on

Impossible Differential Cryptanalysis of Reduced AES[C].Information Security and Cryptology–ICISC 2007.Seoul,Korea,Springer-Verlag,2007:239-250. [15] CHITU C,CHIEN D,VERBAUWHEDE.A hardware implementation in FPGA

of Rijndael algorithm.The 2002 45th Midwest Symposium,2002,1(4):50-71.