对称密码学及其应用-04第六三章 序列密码概述+分组密码运行模式
第2讲 对称密码
7
2010/5/28
流密码的实现方式
• • • • • LSFR方式 DES方式 RC4 …… 量子密码，混沌密码
LSFR流密码
线性反馈移位寄存器
移位寄存器是流密码产生密钥流的一个主要组成部 分. GF(2)上一个n级反馈移位寄存器由n个二元存储 器与一个反馈函数f(a1,a2,…,an)组成, 如图所示.
算法使用密文作为输入，但使用子密钥Ki的 次序与加密过程相反，即第1轮使用Kn, 第2 轮使用Kn-1, ……, 最后一轮使用K1. • 这一特性保证了解密和加密可采用同一算 法和硬件结构. Feistel密码结构
2 数据加密标准DES
• 数据加密标准(data encryption standard, DES), 最为广泛使用和流行, 美国IBM公 司研制, Lucifer密码(128位密钥)的一种 发展和修改(56位密钥); • 设计目标
密码反馈（CFB）模式
• 分组密码 流密码 • 一个单元损坏影响多个单元
4
2010/5/28
输出反馈(OFB)模式
• 分组密码 流密码 • 一个单元损坏只影响对应单元
计数器(CTR)模式
计数器模式的主要特点
• 可以并行实现，适用于高速网络 • 可以随机访问加密的数据分组
二重DES算法
• 为了提高DES的安全性，并利用现有DES的软硬
S-Box-i
F中的代换由8个S盒组成, 每个S盒的输入长为6比特、输出 长为4比特, 每个S盒给出了4个代换(由一个表的4行给出)
S-盒的构造
P-盒置换
3
2010/5/28
子密钥的产生
DES的解密
• DES的解密算法和加密算法完全相同,只是
密码学5.1对称密码体制
5.1.补充 S-DES教学算法 补充 教学算法
1. 加密模型 1) 输入输出
8位明文 位明文 p=(p0,p1,…,p7) 10位密钥 位密钥 k=(k0,k1,…,k9)
加密
8位密文 位密文 c=(c0,c1,…,c7)
2) 算法流程
加密 8位明文 位明文 p=(p0,p1,…,p7)
初始置换IP
第三章 对称密码体制
3) 对m2做10位转 位变换 位转8位变换 做 位转 位变换P8 P8=
① ② ③ ④ ⑤ ⑥ ⑦ ⑧ ⑨ ⑩ ⑥ ③ ⑦ ④ ⑧ ⑤ ⑩ ⑨
m2=(0 0 0 0 1 1 1 0 0 0) 得子密钥k1=P8(m2)=(1 得子密钥k1=P8(m2)=(1 0 1 0 0 1 0 0) 4) 分别对 左右两个5位码循环左移 次 分别对m2左右两个 位码循环左移 左右两个 位码循环左移2次 m2=(0 0 0 0 1 移位后m3=(0 移位后m3=(0 0 1 0 0 1 1 0 0 0) 0 0 0 1 1)
5.1 分组密码
5.1.1 分组密码概述
分组密码的 分组密码的模型
密钥k=(k0,k1,…,km-1) 密钥 明文 分组 加密E 加密 k (p) 密文 分组 如：01101011 密钥k=(k0,k1,…,km-1) 密钥 解密D 解密 k (c) 明文 分组 p=(p0,p1,…,pn-1) 如：10110101
VI. 将L1与L4进行异或 与 进行异或 L1=(1 0 0 0) L4=(0 1 0 0) L5=L1⊕ L5=L1⊕L4=(1 1 0 0) VII.将L5与R1拼接即得到 位输出 将 与 拼接即得到 拼接即得到8位输出 p3= L5 ‖ R1=(1 1 0 0 0 1 0 0) 3) 对p3进行左右交换 进行左右交换 p4=SW(p3)=(0 1 0 0 1 1 0 0)
密码学原理与应用
密码学原理与应用密码学是一门研究数据加密和解密的学科，其目的是保护信息安全和隐私。
在现代社会中，密码学扮演着至关重要的角色，应用于各个领域，包括网络通信、金融交易、数据存储等。
本文将介绍密码学的基本原理和其在实际应用中的重要性。
一、对称密码与非对称密码在密码学中，常用的加密算法可以分为对称密码和非对称密码两大类。
1. 对称密码对称密码又称为秘密密钥密码，加密和解密使用相同的密钥。
常见的对称密码算法有DES、AES等。
对称密码的优点是加密解密速度快，但由于密钥需要在通信双方事先共享，因此密钥分发的安全性成为一个问题。
2. 非对称密码非对称密码又称为公开密钥密码，是一种使用不同的密钥进行加密和解密的方法。
公开密钥由公开部分和私有部分组成，公开部分可向他人公开使用，私有部分则保密。
常见的非对称密码算法有RSA、椭圆曲线密码等。
非对称密码的优点是密钥不需要共享，但加密解密速度较慢。
二、数字签名与数字证书除了加密和解密数据，密码学还涉及到数字签名和数字证书的应用。
1. 数字签名数字签名是一种用于验证文件或消息真实性和完整性的技术。
发送方使用私钥对文件进行加密，接收方使用发送方的公钥对文件进行解密，并通过比对加密前后的文件哈希值来验证文件是否被篡改。
数字签名可以保证文件的身份认证和数据完整性。
2. 数字证书数字证书是证明公钥拥有者身份的电子文档，其中包含公钥、拥有者信息以及证书颁发机构的签名。
通过数字证书，可以确保公钥的可信性和所有权，从而建立安全的通信连接。
常见的数字证书标准是X.509。
三、密码学在实际应用中的重要性密码学在现代社会中有着广泛的应用，以下是几个密码学在实际应用中的重要性的例子：1. 网络通信安全在互联网上进行的各种网络通信，如电子邮件、网上购物等，都需要使用密码学来确保通信的机密性和完整性。
通过使用对称密码和非对称密码，可以保护用户的隐私信息，防止敏感数据被黑客截取和篡改。
2. 金融交易安全传统的金融交易如银行转账、信用卡支付等，以及现代的加密货币交易，都依赖密码学来保护交易的安全性和防止欺诈行为。
对称密码体制PPT课件
64比特
左移j比特
….
明文：0000000000000001 密钥： 22234512987ABB23 密文：0A4ED5C15A63FEA3
2）完全效应 指密文中的每个比特都由明文的许多比特决定。由
DES中的扩展和S盒产生的扩散和混淆作用表明了强烈的 完全效应。
2、设计标准 （1）S盒的设计
• 每一行的元素都是从0-15的置换。 • S盒是非线性的。 • 如果改变输入的一个比特，输出中的两个或更多比特会改变。 • 如果一个S盒的两个输入只有中间两个比特不同（第3和第4个比特），输出中至少有两个比特
P=DK1(DK2(C))
2.三重DES（以被广泛采用）
优点：能对付中途攻击。密钥长度为168bit
即用两个56位的 密钥K1、K2，发 送方用K1加密， K2解密，再使用 K1加密。接收方 则使用K1解密， K2加密，再使用 K1解密，其效果 相当于将密钥长 度加倍。
5 应用模式
电子密码本 ECB (electronic codebook
由于DES算法完全公开，其安全性完全依赖于对密钥的保护，必须有可 靠的信道来分发密钥。如采用信使递送密钥等。因此，它不适合在网络 环境下单独使用。
4 DES的变形
1.两重DES
双重DES密钥长度 为112bit,密码强 度似乎增强了一 倍，但问题并非 如此。
C=EK2(EK1(P))
双重DES易 受中途攻击
在每轮开始将输入的64比特数据分 成左、右长度相等的两半，将右半 部分原封不动地作为本轮输出的64 比特数据的左半部分，同时对右半 部分进行一系列的变换，即用轮函 数作用右半部分，然后将所得结果 （32比特数据）与输入数据的左半 部分进行逐位异或，将所得数据作 为本轮输出的64比特数据的右半部 分。
对称密码学及其应用 第6章 序列密码概述
第六章
序列密码概述
序列密码的基本概念 序列密码的分类
1
《对称密码学及其应用》
5.1 分组密码的统计测试原理
流密码基本概念 流密码的发展 流密码的应用领域
2
加解密过程示意图
《对称密码学及其应用》
加密和解密算法的操作通常都是在一组密钥的控制下进行 的, 分别称为加密密钥(Encryption Key) 和解密密钥 (Decryption Key).
密码算法分类-iv
对称密钥密码又可分为：
分组密码： 每次对一块数据加密 多数网络加密应用 DES,IDEA,RC6,Rijndael 流密码 每次对一位或一字节加密 手机 One-time padding,Vigenére,Vernam
8
《对称密码学及其应用》
密码算法分类-v
公开密钥密码:
22
《对称密码学及其应用》
流密码的关键点
安全核心问题
密钥流生成器的设计：流密码强度完全 依赖于密钥流产生器所生成序列的随机 性（Randomness）和不可预测性 （Unpredictability） 密钥管理 保持收发两端密钥流的同步
同步流密码可靠解密的关键问题
23
《对称密码学及其应用》
密钥流生成器的结构
存储器 …
S1
存储器 …
驱
动
器
. . .
S2
非线性 组合器F
ki
SN
密钥流生成器组成
24
《对称密码学及其应用》
密钥流生成器的结构
组合函数F有下述要求
分组密码算法的运行模式
分组密码算法的运行模式
分组密码算法的运行模式指的是，将明文进行二进制分组后，对
每个分组进行加密操作，最终得到密文。
在这个过程中，通常采用以
下几种运行模式：
1. 电子密码本模式（Electronic Codebook，ECB）：将明文按
照固定长度进行分组，并且每个分组都使用相同的密钥进行加密。
该
方法简单易实现，但存在明文重复时会出现加密后的密文也重复的情况。
2. 密码分组链接模式（Cipher Block Chaining，CBC）：在加
密过程中，将前一个分组的密文与当前分组的明文进行异或，再进行
加密。
这种方法可以避免明文重复出现的问题，提高了密文的安全性。
3. 计数器模式（Counter，CTR）：用一个计数器作为输入，然
后对计数器进行加密，得到一个伪随机数，再和明文进行异或得到密文。
该方法可以并行加密，效率较高，但安全性取决于伪随机数的质量。
以上三种模式是分组密码算法中比较常用的模式，除此之外还有
更多的模式，每种模式都有其优缺点，需要根据具体情况选择合适的
方法。
精品课件-应用密码学-6 分组密码运行模式
CFB模式错误传播
1、明文某一组中有错，会使以后的密恢复。
2、密文里的一位错误会引起明文的一个单独错误，此 处，错误进入移位寄存器，导致密文成为无用信息，直 到该错误从移位寄存器中移出。
例：对于8位（1个字节）的加密，则会产生9字节的错 误
10
电码本ECB模式 直接利用加密算法分别对分组数据组加密。 最大特性：在给定的密钥下，同一明文组总产生同样 的密文组。这会暴露明文数据的格式和统计特征。
明文数据都有固定的格式，需要以协议的形式定义， 重要的数据常常在同一位置上出现，使密码分析者可以 对其进行统计分析、重传和代换攻击。
错误传播：单个密文分组中有一个或多个比特错误只 会影响该分组的解密结果。
银行1：发送者 1.5分组
银行2：接收者 1.5分组
储户姓名
6分组
储户帐号
2分组
存款金额
1分组
9
“1” = 0011001 “9” = 0011101
分组重放攻击
To: Bank From: ATM Action: Deposit Amount: $100.00
To: Bank From: ATM Action: Deposit Amount: $900.00
明文分组P2 (b) 解密
明文分组PN
5
ECB模式实例 例如明文“I thought was not the thought I thought I thought”，空白去掉，则采用ECB模式加密？
6
EBC模式
7
EBC模式 EBC模式DES算法加密后
8
分组重放攻击
银行转帐的例子：
日期/时间标记：1分组
分组密码的运行模式
1
对称密码加密
维吉尼亚密码破解
得到密钥长度后，将密钥用同一个字符 替换得到的密文字符集合到一起，这些 密文字符的集合就相当于一个单表加密 所得到密文。这样就可以用前面的频率 分析法进行密码破解了。 例子中，r字符对应密文：kvekvrj…. k or v=e!
置换密码
置换密码是采用换位法进行加密的。它把 明文中的字母重新排列，本身不变，但位置变
二.古典密码
藏头诗 2013年新闻： 江苏抓获特大贩毒团伙95人 毒贩接头写“藏头诗” 马到成功， 勾起回忆， 接踵而至， 吾心酸楚。
二、古典密码
点秋香
我画蓝江水悠悠， 爱晚亭上枫叶愁。
秋月溶溶照佛寺，
香烟袅袅绕经楼。
缺点
1.冗余信息过多
2.不适合加密大量信息
3.可重用性差
二.古典密码
在计算机出现之前 , 密码学由基于字符 的密码算法构成。不同的密码算法之间 互相替代(Substitution) 或相互置换 (Transposition) , 好的密码算法是结 合这两种方法 , 每次进行多次 运算。 现在的计算机密码算法要复杂的多, 但 基本原理没有变化。
凯撒密码破解： 1.根据字母频率
英文字母中单字母出现的频率
2.穷举法
移位替代的密钥空间有限，只有25个密 钥，利用暴力攻击法很容易破解
公元九世纪，阿拉伯密码破译专 家，击破单表替换密码！
隐藏字母频率
更大的密钥空间
多表替代密码
多表替代密码是以一系列的（两个以上） 替代表依次对明文消息的字母进行替代 的加密方法。 形式：其中的每个明文字母可以被密文 中的不同字母来代替，而每个密文字母 也可以表示多个明文 优点：干扰字母出现频率，密钥空间足 够大
序列密码(讲用)
9
序列密码
序列密码为一六元组（P,C,K,L,E,D）和函数g，并满足 以下条件：
1. P是由所有可能明文构成的有限集。 2. C是由所有可能密文构成的有限集。 3. K是由所有可能密钥构成的有限集。
因为确定性算法产生的序列是周期的或准 周期的，为了使序列密码达到要求的安全保密 性，密钥经其扩展成的密钥流序列应该具有如 下性质：极大的周期、良好的统计特性、抗线 性分析、抗统计分析。
我们仅对实用中最感兴趣的二元情形即 GF(2)上的序列密码原理进行介绍，但其理论 是可以在任何有限域GF(q)中进行研究的。
5
由此可见, 序列密码的安全性主要依赖于密钥序列k0k1…=A(k)， 当k0k1…是离散无记忆的随机序列时,则该系统就是一次一密密 码, 它是不可破的. 但通常A(k)是一个由k通过确定性算法产生的 伪随机序列, 因而此时, 该系统就不再是完全保密的. 设计序列密 码的关键是设计密钥序列A(k)，密钥序列A(k)的设计应考虑如 下几个因素:
（2）无错误传输。在传输期间，一个密文字符被改变只 影响该字符的恢复，不会对后继字符产生影响。
12
自同步序列密码
自同步序列密码的密钥流的产生和已经产生的固定数量 的密文字符有关，即是一种有记忆变换的序列密码。如图所 示。
密钥流 生成器
密钥流 生成器
密 钥 流
ki 明文流mi 加密算法E
密文流ci
密 钥 流
《应用密码学》
序列密码
1
1 概述
按照对明文消息加密方式的不同，对称密码体制一般可以分为两类：分组密 码(block cipher)和流密码(stream cipher) 。
现代密码学知识点整理：
第一章 基本概念1. 密钥体制组成部分：明文空间，密文空间，密钥空间，加密算法，解密算法2、一个好密钥体制至少应满足的两个条件：（1）已知明文和加密密钥计算密文容易；在已知密文和解密密钥计算明文容易；（2）在不知解密密钥的情况下，不可能由密文c 推知明文3、密码分析者攻击密码体制的主要方法：（1）穷举攻击（解决方法:增大密钥量）（2）统计分析攻击（解决方法：使明文的统计特性与密文的统计特性不一样）（3）解密变换攻击（解决方法：选用足够复杂的加密算法）4、四种常见攻击（1）唯密文攻击：仅知道一些密文（2）已知明文攻击：知道一些密文和相应的明文（3）选择明文攻击：密码分析者可以选择一些明文并得到相应的密文（4）选择密文攻击：密码分析者可以选择一些密文，并得到相应的明文【注：✍以上攻击都建立在已知算法的基础之上；✍以上攻击器攻击强度依次增加；✍密码体制的安全性取决于选用的密钥的安全性】第二章 古典密码（一）单表古典密码1、定义：明文字母对应的密文字母在密文中保持不变2、基本加密运算设q 是一个正整数，}1),gcd(|{};1,...,2,1,0{*=∈=-=q k Z k Z q Z q q q（1）加法密码✍加密算法：κκ∈∈===k X m Z Z Y X q q ;,;对任意，密文为：q k m m E c k m od )()(+== ✍密钥量：q（2）乘法密码✍加密算法：κκ∈∈===k X m Z Z Y X q q ;,;*对任意，密文为：q km m E c k m od )(==✍解密算法：q c k c D m k mod )(1-==✍密钥量：)(q ϕ（3）仿射密码✍加密算法：κκ∈=∈∈∈===),(;},,|),{(;21*2121k k k X m Z k Z k k k Z Y X q q q 对任意；密文✍解密算法：q k c k c D m k mod )()(112-==- ✍密钥量：)(q q ϕ（4）置换密码✍加密算法：κσκ∈=∈==k X m Z Z Y X q q ;,;对任意上的全体置换的集合为，密文✍密钥量：!q ✍仿射密码是置换密码的特例3.几种典型的单表古典密码体制（1）Caeser 体制：密钥k=3（2）标准字头密码体制：4.单表古典密码的统计分析（1）26个英文字母出现的频率如下：频率 约为0.12 0.06到0.09之间 约为0.04 约0.015到0.028之间小于0.01 字母 e t,a,o,i.n,s,h,r d,l c,u,m,w,f,g,y,p,b v,k,j,x,q ,z【注：出现频率最高的双字母：th ；出现频率最高的三字母：the 】（二）多表古典密码1.定义：明文中不同位置的同一明文字母在密文中对应的密文字母不同2.基本加密运算（1）简单加法密码✍加密算法:κκ∈=∈====),...,(,),...,(,,11n n n n q n q n n k k k X m m m Z Z Y X 对任意设,密文：✍密钥量：n q（2）简单乘法密码✍密钥量：n q )(ϕ1.简单仿射密码✍密钥量：n n q q )(ϕ2.简单置换密码✍密钥量：n q )!(（3）换位密码✍密钥量：!n（4）广义置换密码✍密钥量：)!(n q（5）广义仿射密码✍密钥量：n n r q3.几种典型的多表古典密码体制（1）Playfair 体制：✍密钥为一个5X5的矩阵✍加密步骤：a.在适当位置闯入一些特定字母，譬如q,使得明文字母串的长度为偶数，并且将明文字母串按两个字母一组进行分组，每组中的两个字母不同。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《对称密码学及其应用》
密码反馈CFB
CFB:分组密码 自同步流密码 Si 为移位寄存器, j为流单元宽度 加密: Ci = Pi⊕(EK(Si)的高j位) Si+1= (Si<<j)|Ci 解密: Pi = Ci⊕(EK(Si)的高j位) Si+1 = (Si<<j)|Ci
北邮信息安全中心 北邮计算机学院
yi
加密器 明文反馈型流密码
北邮信息安全中心 北邮计算机学院
密文反馈型流密码
12
《对称密码学及其应用》
主要内容
序列密码的基本概念 序列密码的分类 分组密码的运行模式
<<<
北邮信息安全中心 北邮计算机学院
13
《对称密码学及其应用》
3.8 分组密码的工作模式
分组密码的工作模式，也称为密码模式，通 常是由基本密码算法、一些反馈和一些简单 运算组合而成。 特点：
其安全性依赖于基本密码 模式的效率将不会明显地低于基本密码 不同的模式有不同的特点，适用于不同场合
北邮信息安全中心 北邮计算机学院
14
《对称密码学及其应用》
3.8 分组密码的工作模式
电子密码本ECB (electronic codebook mode) 密码分组链接CBC (cipher block chaining) 密码反馈CFB (cipher feedback) 输出反馈OFB (output feedback) 计数器模式CTR
北邮信息安全中心 北邮计算机学院
31
《对称密码学及其应用》
讨论时间。。。
北邮信息安全中心 北邮计算机学院
32
Байду номын сангаас
与它对应的是分组密码，是指将明文消息（含 多个字符），逐组地进行加密。 流密码算法：RC4，A5，SEAL，PKZIP…
北邮信息安全中心 北邮计算机学院
4
《对称密码学及其应用》
流密码原理
将明文划分成字符（如单个字母），或其编码的 基本单元（如0，1数字），字符分别与密钥流作 用进行加密，解密时以同步产生的同样的密钥流 实现。 xi∈GF(2),i≥0 设明文为 x=x0x1x2… 设密钥为 设密文为 r=r0r1r2… y=y0y1y2… ri∈GF(2),i≥0 yi∈GF(2),i≥0
k
密钥流生成器
内部状态 …
特点： 需要收发两端的精确 同步； 没有差错传播 可以防止密文中的插 入和删除 yi
输出函数 ri xi
Eri(xi)
加密器
北邮信息安全中心 北邮计算机学院
10
《对称密码学及其应用》
流密码分类-自同步流密码
密钥流的产生是密钥及固定大小的以往的密文（或明 文）位的函数，则这种序列密码被称为自同步序列密 码或非同步序列密码。
则加密变换为 则解密变换为
北邮信息安全中心 北邮计算机学院
yi ＝ Eri(xi) i≥0 xi ＝ Dri(yi) i≥0
5
《对称密码学及其应用》
基于流密码体制的加密通信模型
秘密信道
密钥源
k k
……
密钥源
k k
密钥流生成器
密钥序列
Alice
密钥流生成器
信道 密钥序列
r0r1r2…
密文序列
r0r1r2…
北邮信息安全中心 北邮计算机学院
15
《对称密码学及其应用》
电子密码本（ECB）
Ci = EK(Pi) ⇔ Pi = DK(Ci)
北邮信息安全中心 北邮计算机学院
16
《对称密码学及其应用》
ECB特点
简单和有效 可以并行实现 不能隐藏明文的模式信息
相同明文 相同密文 同样信息多次出现造成泄漏
对明文的主动攻击是可能的
流密码分类
按照是否使用同一密钥 对称流密码 非对称流密码 按照密钥流的产生是否与明文或密文有关 同步流密码SSC (Synchronous Stream Cipher) 自同步流密码SSSC (Self-Synchronous Stream Cipher) 明文反馈型流密码 密文反馈型流密码 特殊的流密码 加法流密码
24
《对称密码学及其应用》
OFB加密示意图
Ci =Pi⊕(EK(Si)的高j位);Si+1=(Si<<j)|(EK(Si)的高j位)
北邮信息安全中心 北邮计算机学院
25
《对称密码学及其应用》
OFB解密示意图
Pi=Ci⊕(EK(Si)的高j位); Si+1=(Si<<j)|(EK(Si)的 高j位)
输出反馈OFB
OFB:分组密码 同步流密码 Si 为移位寄存器, j为流单元宽度 加密: Ci =Pi⊕(EK(Si)的高j位) Si+1=(Si<<j)|(EK(Si)的高j位) 解密: Pi=Ci⊕(EK(Si)的高j位) Si+1=(Si<<j)|(EK(Si)的高j位)
北邮信息安全中心 北邮计算机学院
没有已知的并行实现算法 能隐藏明文的模式信息
需要共同的初始化向量IV 相同明文 不同密文 初始化向量IV可以用来改变第一块 定期更换IV
对明文的主动攻击是不容易的
信息块不容易被替换、重排、删除、重放 误差传递：密文块损坏 两明文块损坏
安全性好于ECB 适合于传输长度大于64位的报文
北邮信息安全中心 北邮计算机学院
Bob
明文序列
Eri(xi)
……
密文序列
Dri(yi)
明文序列
x0x1x2…
北邮信息安全中心 北邮计算机学院
y0y1y2…
y0y1y2…
x0x1x2…
6
《对称密码学及其应用》
主要内容
序列密码的基本概念 序列密码的分类 <<< 分组密码的运行模式
北邮信息安全中心 北邮计算机学院
7
《对称密码学及其应用》
σ i = (ci −t , ci −t +1 ,L , ci −1 ) zi = g (σ i , k )
ci = h( zi , mi )
北邮信息安全中心 北邮计算机学院
11
《对称密码学及其应用》
流密码分类-自同步流密码
k … 内部状态 输出函数 ri xi
Eri(xi)
密钥流生成器
缺点：错误扩散； 优点：自动同步；
北邮信息安全中心 北邮计算机学院
26
《对称密码学及其应用》
OFB特点
OFB:分组密码 同步流密码 没有已知的并行实现算法 优点：
隐藏了明文模式 没有误差传递：一个单元损坏只影响对应单元
缺点：
不具有自同步能力，要求系统要保持严格的同步 重新同步时需要新的IV，IV可以用明文形式传送
对明文的主动攻击是可能的
信息块可被替换、重排、删除、重放
安全性较CFB差
北邮信息安全中心 北邮计算机学院
27
《对称密码学及其应用》
计数器模式(Counter Mode)
Diffie等人在1979年提出
将一个计数器输入到寄存器中。 每一个分组完成加密后，计数 器都要增加某个常数，典型值 是1。 该模式的同步和错误扩散特性 同OFB模式完全一样。 可直接生成第i 个密钥比特ki ； 保密随机访问数据文件时是非 常有用
20
《对称密码学及其应用》
CFB加密示意图
Ci =Pi⊕(EK(Si)的高j位) ; Si+1=(Si<<j)|Ci
北邮信息安全中心 北邮计算机学院
21
《对称密码学及其应用》
CFB解密示意图
Pi=Ci⊕(EK(Si)的高j位); Si+1=(Si<<j)|Ci
北邮信息安全中心 北邮计算机学院
22
《对称密码学及其应用》
北京邮电大学
《对称密码学及其应用》
第六章 序列密码概述 第三章 分组密码的运行模式
计算机学院 李晖 lihuill@
北邮信息安全中心 北邮计算机学院
1
《对称密码学及其应用》
主要内容
序列密码的基本概念 序列密码的分类 分组密码的运行模式 <<<
北邮信息安全中心 北邮计算机学院
信息块可被替换、重排、删除、重放
误差传递：密文块损坏 适合于传输短信息
北邮信息安全中心 北邮计算机学院
仅对应明文块损坏
17
《对称密码学及其应用》
密码分组链接CBC
Ci=EK(Ci-1⊕Pi) ⇔ Pi=DK(Ci )⊕ Ci-1
北邮信息安全中心 北邮计算机学院
18
《对称密码学及其应用》
CBC特点
北邮信息安全中心 北邮计算机学院
8
《对称密码学及其应用》
流密码分类-同步流密码（1）
密钥序列独立于消息序列，又称为密钥自动密钥；
σ i +1 = f (σ i , k )
zi = g (σ i , k )
ci = h( zi , mi )
北邮信息安全中心 北邮计算机学院
9
《对称密码学及其应用》
流密码分类-同步流密码（2）
内部状态
下一状态函数 （计数器）
k
输出函数（分组密码 算法，选最低位输出）
ki
北邮信息安全中心 北邮计算机学院
28
《对称密码学及其应用》
工作模式选用原则
ECB模式，简单、高速，但最弱，易受重发攻击，一般 不推荐； CBC,CFB,OFB的选择取决于实用特殊考虑； CBC适用于文件加密，但较ECB慢，且需要另加移存器 和组的异或运算，但安全性加强。软件加密最好选用此 种方式； OFB和CFB较CBC慢许多，每次迭代只有少数bit完成加 密。若可以容忍少量错误扩展，可选CFB。否则，可选 OFB; 在字符为单元的流密码种多选CFB模式，如终端和主机 间通信。而OFB用于高速同步系统，不容忍差错传播。