《应用密码学》 第五讲 分组密码的工作模式 课件
合集下载
《分组密码理论》课件
分组密码的工作模式
ECB模式
电子密码本模式，是最简单的分组密码工作模式。它将明 文分成固定长度的块，然后对每个块进行加密。
CBC模式
密码块链接模式，将前一块的密文作为下一块的加密密钥 ，使得明文中的重复内容在密文中也呈现规律性变化。
CFB模式
密码反馈模式，将前一块的密文作为下一块的加密密钥， 同时将加密后的密文反馈回来与明文进行异或操作，以实 现加密和解密过程。
介绍量子密码学的基本原理， 包括量子态的叠加性和纠缠性 ，以及量子不可克隆定理等。 这些原理为抗量子计算攻击的 分组密码提供了理论基础。
列举一些已经提出的抗量子计 算攻击的分组密码算法，如基 于多线性映射、基于哈希函数 、基于编码理论的算法等。
分析抗量子计算攻击分组密码 研究中面临的挑战，如算法效 率、实现难度和安全性证明等 ，并对未来的研究方向进行展 望。
分组密码的应用场景
通信安全
01
分组密码广泛应用于通信加密领域，如TLS/SSL协议中的AES加
密算法。
存储安全
02
在存储加密中，分组密码也扮演着重要的角色，用于保护数据
的机密性和完整性。
身份认证
03
分组密码还可以用于身份认证，通过加密和验证消息的完整性
来确保通信双方的身份安全。
2023
PART 02
2023
REPORTING
THANKS
感谢观看
基于云计算的分组密码
ห้องสมุดไป่ตู้云计算环境下的 安全需求
随着云计算技术的普及，数 据安全和隐私保护成为重要 需求。因此，研究基于云计 算的分组密码是必要的。
基于云计算的分 组密码算法原理
介绍基于云计算的分组密码 算法的基本原理，包括如何 利用云计算的分布式处理能 力提高加密和解密的速度， 以及如何利用云计算的存储 能力实现密钥的分布式存储 等。
现代密码学课件--第5讲 分组密码
2013-8-8
20
I型迭代分组密码
以对合密码函数构造的多轮迭代分组密码。
E[x, k]=fI[fI [ fI [fI[x, k(1)]，k(2)] ，k(r-1)]，k(r)] D[y, k] =fI [fI[ fI[fI[y, k(r)]，k(r-1)] ，k(2)] ，k(1)]
密钥量要足够大：
尽可能消除弱密钥并使所有密钥同等地好，以防止 密钥穷举攻击奏效。
由密钥确定置换的算法要足够复杂：
充分实现明文与密钥的扩散和混淆，没有简单的关 系可循，要能抗击各种已知的攻击。
2013-8-8 8
分组密码算法应满足的要求
加密和解密运算简单：
易于软件和硬件高速实现。
数据扩展：
一般无数据扩展，在采用同态置换和随机化加密技术时 可引入数据扩展。
2013-8-8
16
S盒的组合
问题: 如何将几个S盒组合起来构成一个n值较 大的组。
将几个S盒的输入端并行，并通过坐标置换(P-盒)将各S 盒输出比特次序打乱，再送到下一级各S盒的输入端，起到 了Shannon所谓的“扩散”作用。S盒提供非线性变换，将 来自上一级不同的S盒的输出进行“混淆”。经过P-盒的扩 散作用使1均匀地分散到整个输出矢量中，从而保证了输出 密文统计上的均匀性，这就是Shannon的乘积密码的作用。
密钥k=(k0, k1,…, kt-1 ) 明文 x=(x0, x1,…, xm-1) 加密算法 密钥k=(k0, k1,…, kt-1 ) 明文 x=(x0, x1,…, xm-1)
密文 x=(y0, y1,…, ym-1)
解密算法
2013-8-8
5
密码学第五章 分组密码1
➢ 如在对密钥的穷搜索攻击中，所需数据量(即截获的密 文组或明密对)与实施该攻击所需的运算次数相比是很 小的。因此,这种穷搜索攻击所需的复杂度实际是处理 复杂度。又如 Biham 和 shamir 的差分密码分析是一种 选择明文攻击，其复杂度主要由进行该攻击所需的明密 对来决定。因此，差分密码分析的复杂度实际上是数据 复杂度。
➢ 事实上，并没有一个真正实用的密码被证明是计算上安 全的。一般地人们只能证明某个密码是不安全的，因为 这只要找到一种方法，其复杂度远小于 2n 和 2t 。
3. 分组密码的设计原则
➢ 一个好的分组密码应是既难破译又易于实现的。 ➢ 安全性原则
密码学
第5章 分组密码（1）
1. 概述
分组密码就是将明文消息序列
m1, m2 ,, mk ,
分成等长的消息组
(m1, m2 , , mn )(mn1, mn2 , , m2n )
在密钥控制下，按固定的算法 Ek 一组一组进行加密。 加密后输出等长密文组
( y1, y2 , , ym )( ym1, ym2 , , y2m )
➢ 计算安全性只是一个相对概念，它依赖于攻击者的计算 能力和所采用的攻击方式。一般地,计算上安全是指对该 密码的最佳攻击方法的困难性超过了攻击者的计算能 力。
➢ 人们为了定量描述这种“困难性”，通常使用“复杂度” 的概念：一种攻击的复杂度是指为了实施该攻击所需的 平均运算次数。一个密码的安全性的评估，依据已知的 关于该密码的最佳攻击方法的复杂度。
➢ 70 年代,美国数据加密标准 DES 的出台,标志着现代分组密 码学的开始。从此揭开了商用民用密码研究的序幕。
➢ 这是信息化社会发展的产物。
越来越多的敏感信息通过网络传输和存贮，迫切需要具有高强 度、高速率、便于软硬实现、易于标准化的加密体制。
➢ 事实上，并没有一个真正实用的密码被证明是计算上安 全的。一般地人们只能证明某个密码是不安全的，因为 这只要找到一种方法，其复杂度远小于 2n 和 2t 。
3. 分组密码的设计原则
➢ 一个好的分组密码应是既难破译又易于实现的。 ➢ 安全性原则
密码学
第5章 分组密码（1）
1. 概述
分组密码就是将明文消息序列
m1, m2 ,, mk ,
分成等长的消息组
(m1, m2 , , mn )(mn1, mn2 , , m2n )
在密钥控制下，按固定的算法 Ek 一组一组进行加密。 加密后输出等长密文组
( y1, y2 , , ym )( ym1, ym2 , , y2m )
➢ 计算安全性只是一个相对概念，它依赖于攻击者的计算 能力和所采用的攻击方式。一般地,计算上安全是指对该 密码的最佳攻击方法的困难性超过了攻击者的计算能 力。
➢ 人们为了定量描述这种“困难性”，通常使用“复杂度” 的概念：一种攻击的复杂度是指为了实施该攻击所需的 平均运算次数。一个密码的安全性的评估，依据已知的 关于该密码的最佳攻击方法的复杂度。
➢ 70 年代,美国数据加密标准 DES 的出台,标志着现代分组密 码学的开始。从此揭开了商用民用密码研究的序幕。
➢ 这是信息化社会发展的产物。
越来越多的敏感信息通过网络传输和存贮，迫切需要具有高强 度、高速率、便于软硬实现、易于标准化的加密体制。
分组密码的工作模式 讲义
24
总 评：
（1）ECB模式简单、高速，但最弱，易受重发 和替换攻击，一般不采用。
（2）CBC，CFC，OFB模式的选用取决于实际 的特殊需求。
（3）明文不易丢信号，对明文的格式没有特殊 要求的环境可选用CBC模式。需要完整性认证功能时 也可选用该模式。
（4）容易丢信号的环境，或对明文格式有特殊 要求的环境，可选用CFB模式。
(B) 添充随机数. 相对而言,方法(A)简单,易实现,但安全性没有第二 种方法好.
27
短块处理方法----密文挪用方法
在有些应用中,如数据库加密,磁盘信息加密等,不 允许密文的长度比明文的长度大,这时如何解决短块问 题?
这就用到密文挪用方法.
28
密文挪用方法
xn1 KE
N-n n y n 1
mn1
Ek (x)
c1
c2
c3
c1
c2
c4
…
cn1
c3
k E1
k E 1
k E 1
IV
m1
m2
m3
10
CBC模式的特点： 1. 明文块的统计特性得到了隐蔽。
由于在密文CBC模式中，各密文块不仅与当前明文 块有关，而且还与以前的明文块及初始化向量有关， 从而使明文的统计规律在密文中得到了较好的隐蔽。
OFB模式加密框图
IV
移位寄存器 64－j比特|j比特
64
k
DES加密算法
64
移位寄存器 64－j比特|j比特
64
k
DES加密算法
64
移位寄存器 64－j比特|j比特
64
k ……
DES加密算法
64
选择丢弃 j比特|64-j比特
总 评：
（1）ECB模式简单、高速，但最弱，易受重发 和替换攻击，一般不采用。
（2）CBC，CFC，OFB模式的选用取决于实际 的特殊需求。
（3）明文不易丢信号，对明文的格式没有特殊 要求的环境可选用CBC模式。需要完整性认证功能时 也可选用该模式。
（4）容易丢信号的环境，或对明文格式有特殊 要求的环境，可选用CFB模式。
(B) 添充随机数. 相对而言,方法(A)简单,易实现,但安全性没有第二 种方法好.
27
短块处理方法----密文挪用方法
在有些应用中,如数据库加密,磁盘信息加密等,不 允许密文的长度比明文的长度大,这时如何解决短块问 题?
这就用到密文挪用方法.
28
密文挪用方法
xn1 KE
N-n n y n 1
mn1
Ek (x)
c1
c2
c3
c1
c2
c4
…
cn1
c3
k E1
k E 1
k E 1
IV
m1
m2
m3
10
CBC模式的特点： 1. 明文块的统计特性得到了隐蔽。
由于在密文CBC模式中，各密文块不仅与当前明文 块有关，而且还与以前的明文块及初始化向量有关， 从而使明文的统计规律在密文中得到了较好的隐蔽。
OFB模式加密框图
IV
移位寄存器 64－j比特|j比特
64
k
DES加密算法
64
移位寄存器 64－j比特|j比特
64
k
DES加密算法
64
移位寄存器 64－j比特|j比特
64
k ……
DES加密算法
64
选择丢弃 j比特|64-j比特
安全分组密码的工作模式
thatsignup,成员 on
VS
叨
叨 叨 st
a
how 的确 these 在此 st on
01
02
03
!! 巫
掏`` st st above
it onthe`` that that, among this on on on on on, on the on萜!,!the
01
on on, as, among too on the for the for the on on, that on,theonthe too on the on the, that on叨`` has, for the member...
02
on`` for.,还行 全员 stith that st too: the OnWist too st too st too member being for how said too vis a- among,, like taken``!! said indeed), “
03
though the st have said sp and for too! said said has that17... real... for how shows these ... that show how... kind too, among as is...!, like these sm
通信安全
分组密码用于加密通信过程中的数据，确保信息传输的机密性和完整性。
存储安全
在数据存储场景中，分组密码用于加密敏感数据，防止未经授权的访问和数据泄露。
身份认证
分组密码也用于身份认证过程，通过加密和验证加密数据的完整性来确认用户身份。
02
分组密码的基本原理
VS
叨
叨 叨 st
a
how 的确 these 在此 st on
01
02
03
!! 巫
掏`` st st above
it onthe`` that that, among this on on on on on, on the on萜!,!the
01
on on, as, among too on the for the for the on on, that on,theonthe too on the on the, that on叨`` has, for the member...
02
on`` for.,还行 全员 stith that st too: the OnWist too st too st too member being for how said too vis a- among,, like taken``!! said indeed), “
03
though the st have said sp and for too! said said has that17... real... for how shows these ... that show how... kind too, among as is...!, like these sm
通信安全
分组密码用于加密通信过程中的数据，确保信息传输的机密性和完整性。
存储安全
在数据存储场景中，分组密码用于加密敏感数据，防止未经授权的访问和数据泄露。
身份认证
分组密码也用于身份认证过程，通过加密和验证加密数据的完整性来确认用户身份。
02
分组密码的基本原理
第五章 分组密码(5.1-5.3)
5.1分组密码基本概念
对于分组密码两个设计原则是扩散和混淆。 扩散原则： 1)明文中的每一位影响密文中的许多位，这样可 以隐蔽明文的统计特性；
2)使得密钥的每一位影响密文的许多位
扩散例子
分组密码的基本要求
混淆原则：设计的密码算法应使得密钥和明文 以及密文之间的依赖关系变得尽可能复杂。 可以使用复杂的非线性代替变换来达到较好的 混淆效果。
差分密码分析(Differential cryptanalysis)
差分密码分析是一种 攻击迭代分组密码 的 选 择明文统计分析破译法。 它不是直接分析密文或密钥的统计相关性，而 是分析明文差分和密文差分之间的统计相关 性。
差分密码分析(Differential cryptanalysis)
线性攻击
S盒的非线性特点是DES安全性的主要源泉
Rueppel[1986]的流密码专著中曾提出以最接近 的线性函数逼近非线性布尔函数的概念， Matsui推广了这一思想以 最隹线性函数逼近S 盒输出的非零线性组合[1993]，即所谓线性攻 击，这是一种已知明文攻击法。
线性攻击
为此对每一S盒的输入和输出之间构造统计线性路径， 并最终扩展到整个算法。
48 bit寄存器
密 钥 产 生 器
选择压缩运算 S
32 bit寄存器
置换运算 P
按bit模2和 Li (32bit) Ri (32bit)
乘积变换框图
给定明文差分为1的明文对，其对应的密文差分可计算 得到（不唯一）。（选择明文攻击，此时敌手有DES 加密器，但不知道密钥）
挑选出概率最大的密文差分，作为正确的密文差分，对应的 明文对为正确对。 对于最后一轮(i=16)的乘积变换中的8个S盒，输出差分是唯一 的(可由正确的密文差分经逆置换IP-1推出)，输入差分可能有 多种情况。 对于正确对，尝试所有可能的第16轮的子密钥K16（48bits) 输出正确差分的次数最大的子密钥很可能就是真正的子密钥
分组密码的工作模式
5.6.2 CBC模式的优点
如果明文分组中的一位出错，将影响该分组的密文及其以后的所 有密文分组。
在一定程度上等防止数据篡改.
但是如果密文序列中丢失1位，那么所有后续分组要移动1位，并 且解密将全部错误。
CBC模式的缺点
加密的消息的长度只能是分组长度的倍数，不是任意长度的消息。
以des为例，必须等到每8个字节都接受到之后才能开始加密， 否则就不能得到正确的结果。
这在要求实时性比较高的时候就显得不合适了。
密码反馈模式Cipher FeedBack (CFB)
是一种将DES转化成流密码的技术，不再要求报文被填充成整个分组，可以 实时运行，如果要传输一个字符流，每个字符都可以使用面向字符的流密 码立刻加密和传输。
加密：加密函数的输入是一个64位的移位寄存器，产生初始向量IV。加密 函数高端j位与明文P1的第一单元异或，产生j位密文C1进入移位寄存器低 端，继续加密，与P2输入异或，如此重复直到所有明文单元都完成加密。
该模式也是比较浪费的，因为在每轮加解密中都丢弃了大部分结果,j 输出反馈模式（OFB）
优点是：错误传播小，当前明文分组的错误不会影响后继的密文 分组；且密文中的1比特错误只导致明文中的1个错误；消息长度 是任意的。
OFB模式的缺点是：密文篡改难于检测
加密算法将仅仅是一系列异或运算，这将极大地提高吞吐量。 仅要求实现加密算法，但不要求实现解密算法。对于 AES 等加/解密本质上不同的算法来说，这种简
化是巨大的
适合传输语音图像
计数器模式Counter (CRT)
CTR的优点
预处理： 算法和加密盒的输出不依靠明文和密文的输入 高效:可以做并行加密,允许同时处理多块明文 / 密文 第 i 块 密 文 的 解 密 不 依 赖 于 第 i-1 块 密 文 ， 提 供 很 高 的 随 机 访 问 能 力
分组密码分组密码的工作模式-PPT精品
24
密码反馈(CFB)模式
方法：加密时，加密算法的输入是64比 特移位寄存器，其初值为某个初始向量IV。 加密算法输出的最左(最高有效位)J比特与明 文的第一个单元P1进行异或，产生密文的第 一个单元C1,并传送该单元。然后将移位寄 存器的内容左移j位并将C1送入送入移位寄 存器最右边的j位。这一过程一直进行到明文 的所有单元都被加密为止。具体的过程如下：
64-j比特 j比特
C m 1 64-j比特 j比特
K DES 加密
K DES
加密
选j比特 丢弃64-j比特 选j比特 丢弃64-j比特
选j比特 丢弃64-j比特
c1
12
2.密码分组链接（CBC）模式
为了解决ECB的安全缺陷，可以让重复 的明文分组产生不同的密文分组，
CBC（cipher block chaining）模式就可满足 这一要求。图4.11是CBC模式示意图，它一 次对一个明文分组加密，每次加密使用同一 密钥,加密算法的输入是当前明文分组和前一 次密文分组的异或，因此加密算法的输入不 会显示出与这次的明文分组之间的固定关系， 所以重复的明文分组不会在密文中暴露出这 种重复关系。
20
2. （CBC）模式特点
消息分成模块 加密是相互联系的 密文与明文联结 利用一个初始向量开始： Ci = DESK1(Pi XOR Ci-1)
C-1 = IV
适合加密长度大于64比特的消息 还可以用来进行用户鉴别(见报文鉴别部分)
21
Advantages and Limitations of CBC
13
2.密码分组链接(CBC)模式
x1
x2
IV=y0
K
DES 加密
密码反馈(CFB)模式
方法：加密时，加密算法的输入是64比 特移位寄存器，其初值为某个初始向量IV。 加密算法输出的最左(最高有效位)J比特与明 文的第一个单元P1进行异或，产生密文的第 一个单元C1,并传送该单元。然后将移位寄 存器的内容左移j位并将C1送入送入移位寄 存器最右边的j位。这一过程一直进行到明文 的所有单元都被加密为止。具体的过程如下：
64-j比特 j比特
C m 1 64-j比特 j比特
K DES 加密
K DES
加密
选j比特 丢弃64-j比特 选j比特 丢弃64-j比特
选j比特 丢弃64-j比特
c1
12
2.密码分组链接（CBC）模式
为了解决ECB的安全缺陷，可以让重复 的明文分组产生不同的密文分组，
CBC（cipher block chaining）模式就可满足 这一要求。图4.11是CBC模式示意图，它一 次对一个明文分组加密，每次加密使用同一 密钥,加密算法的输入是当前明文分组和前一 次密文分组的异或，因此加密算法的输入不 会显示出与这次的明文分组之间的固定关系， 所以重复的明文分组不会在密文中暴露出这 种重复关系。
20
2. （CBC）模式特点
消息分成模块 加密是相互联系的 密文与明文联结 利用一个初始向量开始： Ci = DESK1(Pi XOR Ci-1)
C-1 = IV
适合加密长度大于64比特的消息 还可以用来进行用户鉴别(见报文鉴别部分)
21
Advantages and Limitations of CBC
13
2.密码分组链接(CBC)模式
x1
x2
IV=y0
K
DES 加密
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
原始图
CBC模式
二、分组密码的工作模式
3、密文反馈（CFB）
CFB:分组密码流密码
设明文 P=（ P1, P2，…， Pn ）， 密钥为K，
密文 C= （C1,C2，… ，Cn）， 假定Si表示当前加密函数的64比特位的输入值， 传输单位为j比特，则有以下表示：
加密过程：Ci= Pi ⊕ (E (Si，K)的高j位),i=1，… ，n
Si+1=(Si<<j)|Ci 解密过程： Pi =Ci(E (Si，K)的高j位) ,i=1，… ，n
2020/2/1
Si+1=(Si<<j)|Ci
二、分组密码的工作模式
3、密文反馈（CFB）
2020/2/1
二、分组密码的工作模式
因而在程序中便表现为少量语句和指令的大量重 复。
●各种语言程序往往具有某种固定格式。 ●数据库的记录也往往具有某种固定结构。 ●操作系统和网络也有同样的问题。
2020/2/1
一、计算机数据的特殊性
1、存在明显的数据模式 ● 根据明文相同、密钥相同，则密文相同的道
理，这些固有的数据模式在密文中表现出来。 ●掩盖明文数据模式的方法： 预处理技术（随即掩盖） 链接技术 ●如果不能掩盖数据模式，既是采用再好的密
加密算法的输入为当前计数器 只需加密，没有解
的值，该输出值与当前明文异 密；简单，可预处
或以产生密文
理，并行处理
实时性和速度要求 比较高的加密场合
与CFB相似，不同之处是本次 加密算法的输入为前一次加密 算法的输出
分组密码算法作为 有挠信道上（如卫 一个密钥流产生器， 星通讯）传送数据 对于密文被篡改难 流 以进行检测
二、分组密码的工作模式
2、密文分组链接CBC模式
CBC的特点: 没有已知的并行实现算法 能隐藏明文的模式信息
需要共同的初始化向量IV 相同明文生成不同密文 初始化向量IV可以用来改变第一块 对明文的主动攻击是不容易的 误差传递：密文块损坏明文块损坏 安全性好于ECB 适合于传输长度大于64位的报文，还可以进行用户鉴 别,是大多系统的标准如 SSL、IPSec
密码学基础
（第五讲） 分组密码的工作模式
2020/2/1
目录
1、密码学的基本概念 2、古典密码 3、数据加密标准（DES） 4、高级数据加密标准（AES） 5、分组密码的工作模式 6、序列密码 7、习题课：复习对称密码 8、公开密钥密码（1） 9、公开密钥密码（2） 10、Hash函数
2020/2/1
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
ECB的特点: 简单和有效 可以并行实现 不能隐藏明文的模式信息 相同明文生成相同密文，同样信息多次出现造成泄
漏 对明文的主动攻击是可能的
信息块可被替换、重排、删除、重放 误差传递：密文块损坏仅对应明文块损坏 适合于传输短信息
OFB的特点: 分组密码流密码 没有已知的并行实现算法 隐藏了明文模式
需要初始值IV 对于不同的消息，IV必须唯一 误差传递：一个单元损坏只影响对应单元 对明文的主动攻击是可能的
信息块可被替换、重排、删除、重放 安全性较CFB差
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
OFB:分组密码流密码
设明文 P=（ P1, P2，…， Pn ）， 密钥为K，
密文 C= （C1,C2，… ，Cn）， 假定Si表示当前加密函数的64比特位的输入值， 传输单位为j比特，则有以下表示：
加密过程：Ci= Pi ⊕ (E (Si，K)的高j位),i=1，… ，n
Si+1=(Si<<j)| E (Si，K)的高j位
2020/C CTR OFB
CFB
描述
特点
用途
每个明文组独立地以同一密钥 加密
明文相同，密文相 同；操作简单，容 易受到重复和代换 攻击；无差错传播
传送短数据（如一 个加密密钥）
加密算法的输入是当前明文组 初始向量IV保密和
和前一密文组
完整性，密文差错
传播
传输数据分组；认 证
解密过程： Pi =Ci(E (Si，K)的高j位) ,i=1，… ，n
2020/2/1
Si+1=(Si<<j)| E (Si，K)的高j位
二、分组密码的工作模式
4、输出反馈（OFB）
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
3、密文反馈（CFB）
2020/2/1
二、分组密码的工作模式
3、密文反馈（CFB）
CFB的特点: 分组密码流密码 没有已知的并行实现算法 隐藏了明文模式
需要初始值IV 对于不同的消息，IV必须唯一 误差传递：一个单元损坏影响多个单元
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
1、电码本工作模式（ECB） ●直接利用相同密钥对明文的各分组进行加密。
●设 明文为P=（ P1, P2，…， Pn ），
密钥为K，
密文为C=（C1,C2，… ，Cn）
加密过程： Ci=E（Pi，K），i=1，2 …，n
解密过程： Pi=D（Ci，K），i=1，2 …，n
● 电码本方式是分组密码的基本工作模式。
使用与明文分组规则相同的计数器长度，加密不同 的分组所使用的计数器值（I）必须不同
设明文 P=（ P1,P2，…，Pn ）， 密钥为K， 密文 C= （C1,C2，… ，Cn），
加密过程: Ci = Pi ⊕ Oi Oi = DES(I，K)
解密过程：Pi=Ci ⊕Oi Oi = DES(I，K)
每次只处理输入的j比特，将 有差错传播 上一次密文用作加密算法的输 入以产生伪随机输出，该输出 与当前明文异或以产生密文
传送数据流，认证
复习题
1、计算机数据有什么样的特殊性，给数据加密带
来什么样的问题？
2、DES算法的工作模式有哪些？简述它们的特点。
2020/2/1
或Ci=E（Pi ⊕ Ci-1，K）,i=2， … ，n 解密过程：Pi=D（Ci）⊕Ci-1， i=2， … ，n
或 Pi=D（Ci）⊕IV, i=1
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
CTR的特点： 能够对多个明文分组的加、解密进行独立、并行处理 进行异或之前的基本加密处理不依赖明文和密文的
输入，可以预先处理 实现简单，加解密过程相同 不存在错误传播，因此不宜确保数据的完整性
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
●加密算法的输入是当前的明文组和上一个密文组的 异或，而加密使用的密钥是相同的。 ●设 明文 P=（ P1, P2，…， Pn ），
密钥为K， 密文 C= （C1,C2，… ，Cn）， 加密过程： Ci= E（Pi⊕IV,K）,i=1
码算法也是徒劳的。
2020/2/1
二、分组密码的工作模式
1977年DES颁布。1981年美国针对DES制定 了四种基本的工作模式，后来扩展为五种模式（可 用于任何分组密码）：
电码本(ECB) 密文分组链接(CBC) 计数器模式（CTR） 输出反馈(OFB) 密文反馈(CFB)
2020/2/1
二、分组密码的工作模式
目录
11、数字签名（1） 12、数字签名（2） 13、身份认证 14、密钥管理 15、PKI技术 16、复习公钥密码 17、总复习
2020/2/1
一、计算机数据的特殊性
1、存在明显的数据模式 ● 许多数据都具有某种固有的模式。这主要是
由数据冗余和数据结构引起的。 ●各种计算机语言的语句和指令都十分有限，
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
原始图
CBC模式
二、分组密码的工作模式
3、密文反馈（CFB）
CFB:分组密码流密码
设明文 P=（ P1, P2，…， Pn ）， 密钥为K，
密文 C= （C1,C2，… ，Cn）， 假定Si表示当前加密函数的64比特位的输入值， 传输单位为j比特，则有以下表示：
加密过程：Ci= Pi ⊕ (E (Si，K)的高j位),i=1，… ，n
Si+1=(Si<<j)|Ci 解密过程： Pi =Ci(E (Si，K)的高j位) ,i=1，… ，n
2020/2/1
Si+1=(Si<<j)|Ci
二、分组密码的工作模式
3、密文反馈（CFB）
2020/2/1
二、分组密码的工作模式
因而在程序中便表现为少量语句和指令的大量重 复。
●各种语言程序往往具有某种固定格式。 ●数据库的记录也往往具有某种固定结构。 ●操作系统和网络也有同样的问题。
2020/2/1
一、计算机数据的特殊性
1、存在明显的数据模式 ● 根据明文相同、密钥相同，则密文相同的道
理，这些固有的数据模式在密文中表现出来。 ●掩盖明文数据模式的方法： 预处理技术（随即掩盖） 链接技术 ●如果不能掩盖数据模式，既是采用再好的密
加密算法的输入为当前计数器 只需加密，没有解
的值，该输出值与当前明文异 密；简单，可预处
或以产生密文
理，并行处理
实时性和速度要求 比较高的加密场合
与CFB相似，不同之处是本次 加密算法的输入为前一次加密 算法的输出
分组密码算法作为 有挠信道上（如卫 一个密钥流产生器， 星通讯）传送数据 对于密文被篡改难 流 以进行检测
二、分组密码的工作模式
2、密文分组链接CBC模式
CBC的特点: 没有已知的并行实现算法 能隐藏明文的模式信息
需要共同的初始化向量IV 相同明文生成不同密文 初始化向量IV可以用来改变第一块 对明文的主动攻击是不容易的 误差传递：密文块损坏明文块损坏 安全性好于ECB 适合于传输长度大于64位的报文，还可以进行用户鉴 别,是大多系统的标准如 SSL、IPSec
密码学基础
（第五讲） 分组密码的工作模式
2020/2/1
目录
1、密码学的基本概念 2、古典密码 3、数据加密标准（DES） 4、高级数据加密标准（AES） 5、分组密码的工作模式 6、序列密码 7、习题课：复习对称密码 8、公开密钥密码（1） 9、公开密钥密码（2） 10、Hash函数
2020/2/1
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
ECB的特点: 简单和有效 可以并行实现 不能隐藏明文的模式信息 相同明文生成相同密文，同样信息多次出现造成泄
漏 对明文的主动攻击是可能的
信息块可被替换、重排、删除、重放 误差传递：密文块损坏仅对应明文块损坏 适合于传输短信息
OFB的特点: 分组密码流密码 没有已知的并行实现算法 隐藏了明文模式
需要初始值IV 对于不同的消息，IV必须唯一 误差传递：一个单元损坏只影响对应单元 对明文的主动攻击是可能的
信息块可被替换、重排、删除、重放 安全性较CFB差
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
OFB:分组密码流密码
设明文 P=（ P1, P2，…， Pn ）， 密钥为K，
密文 C= （C1,C2，… ，Cn）， 假定Si表示当前加密函数的64比特位的输入值， 传输单位为j比特，则有以下表示：
加密过程：Ci= Pi ⊕ (E (Si，K)的高j位),i=1，… ，n
Si+1=(Si<<j)| E (Si，K)的高j位
2020/C CTR OFB
CFB
描述
特点
用途
每个明文组独立地以同一密钥 加密
明文相同，密文相 同；操作简单，容 易受到重复和代换 攻击；无差错传播
传送短数据（如一 个加密密钥）
加密算法的输入是当前明文组 初始向量IV保密和
和前一密文组
完整性，密文差错
传播
传输数据分组；认 证
解密过程： Pi =Ci(E (Si，K)的高j位) ,i=1，… ，n
2020/2/1
Si+1=(Si<<j)| E (Si，K)的高j位
二、分组密码的工作模式
4、输出反馈（OFB）
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
3、密文反馈（CFB）
2020/2/1
二、分组密码的工作模式
3、密文反馈（CFB）
CFB的特点: 分组密码流密码 没有已知的并行实现算法 隐藏了明文模式
需要初始值IV 对于不同的消息，IV必须唯一 误差传递：一个单元损坏影响多个单元
2020/2/1
二、分组密码的工作模式
4、输出反馈（OFB）
1、电码本工作模式（ECB） ●直接利用相同密钥对明文的各分组进行加密。
●设 明文为P=（ P1, P2，…， Pn ），
密钥为K，
密文为C=（C1,C2，… ，Cn）
加密过程： Ci=E（Pi，K），i=1，2 …，n
解密过程： Pi=D（Ci，K），i=1，2 …，n
● 电码本方式是分组密码的基本工作模式。
使用与明文分组规则相同的计数器长度，加密不同 的分组所使用的计数器值（I）必须不同
设明文 P=（ P1,P2，…，Pn ）， 密钥为K， 密文 C= （C1,C2，… ，Cn），
加密过程: Ci = Pi ⊕ Oi Oi = DES(I，K)
解密过程：Pi=Ci ⊕Oi Oi = DES(I，K)
每次只处理输入的j比特，将 有差错传播 上一次密文用作加密算法的输 入以产生伪随机输出，该输出 与当前明文异或以产生密文
传送数据流，认证
复习题
1、计算机数据有什么样的特殊性，给数据加密带
来什么样的问题？
2、DES算法的工作模式有哪些？简述它们的特点。
2020/2/1
或Ci=E（Pi ⊕ Ci-1，K）,i=2， … ，n 解密过程：Pi=D（Ci）⊕Ci-1， i=2， … ，n
或 Pi=D（Ci）⊕IV, i=1
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
2020/2/1
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
2020/2/1
二、分组密码的工作模式
5、计数器模式（CTR）
CTR的特点： 能够对多个明文分组的加、解密进行独立、并行处理 进行异或之前的基本加密处理不依赖明文和密文的
输入，可以预先处理 实现简单，加解密过程相同 不存在错误传播，因此不宜确保数据的完整性
2020/2/1
二、分组密码的工作模式
1、电码本工作模式（ECB）
2020/2/1
二、分组密码的工作模式
2、密文分组链接CBC模式
●加密算法的输入是当前的明文组和上一个密文组的 异或，而加密使用的密钥是相同的。 ●设 明文 P=（ P1, P2，…， Pn ），
密钥为K， 密文 C= （C1,C2，… ，Cn）， 加密过程： Ci= E（Pi⊕IV,K）,i=1
码算法也是徒劳的。
2020/2/1
二、分组密码的工作模式
1977年DES颁布。1981年美国针对DES制定 了四种基本的工作模式，后来扩展为五种模式（可 用于任何分组密码）：
电码本(ECB) 密文分组链接(CBC) 计数器模式（CTR） 输出反馈(OFB) 密文反馈(CFB)
2020/2/1
二、分组密码的工作模式
目录
11、数字签名（1） 12、数字签名（2） 13、身份认证 14、密钥管理 15、PKI技术 16、复习公钥密码 17、总复习
2020/2/1
一、计算机数据的特殊性
1、存在明显的数据模式 ● 许多数据都具有某种固有的模式。这主要是
由数据冗余和数据结构引起的。 ●各种计算机语言的语句和指令都十分有限，