《应用密码学》分组密码(1)
应用密码学(1-10章全) 精品
• 密码学是信息安全学科建设和信息系统安全工程实践 的基础理论之一。
• 对密码学或密码技术一无所知的人不可能从技术层面 上完全理解信息安全。
4/31
第1章 密码学概述
1.2 密码技术发展简介
根据不同时期密码技术采用的加密和解密实现手段的不同特点 ，密码技术的发展历史大致可以划分为三个时期，即古典密码、 近代密码和现代密码时期。
9/31
第1章 密码学概述
1.3.1密码学的主要任务（续） ③ 鉴别
这是一种与数据来源和身份鉴别有关的安全服务。鉴别服务包括对身 份的鉴别和对数据源的鉴别。对于一次通信，必须确信通信的对端是预期的 实体，这就涉及到身份的鉴别。 对于数据，仍然希望每一个数据单元发送到或来源于预期的实体， 这就是数据源鉴别。数据源鉴别隐含地提供数据完整性服务。密码学可通过 数据加密、数字签名或鉴别协议等技术来提供这种真实性服务。
第1章 密码学概述
本章主要内容
• 信息安全与密码技术 • 密码技术发展简介 • 密码学基本概念 密码学的主要任务 密码系统的概念
对密码系统的攻击
密码系统的安全性 密码体制的分类
对称与非对称密码体制的主要特点
3/31
第1章 密码学概述
1.1
信息安全与密码技术
• 密码技术是一门古老的技术； • 信息安全服务要依赖各种安全机制来实现，而许多安 全机制则需要依赖于密码技术 ； • 密码学贯穿于网络信息安全的整个过程，在解决信息 的机密性保护、可鉴别性、完整性保护和信息抗抵赖 性等方面发挥着极其重要的作用。
应用密码学
清华大学出版社 2008年9月
课程主要内容
分组密码(全)
7
分组密码的发展历史
二十世纪之前的密码算法
算法、密钥保密
二十世纪之后的密码算法
Kerckhoffs假设：密码分析者已有密码算法 及实现的全部详细资料. Kerckhoff假设蕴涵着密码的安全性完全依赖 于密钥.
8
分组密码的发展历史
民用 不存在陷门 足够的安全强度 标准化通信需求
12
分组密码的发展历史
1999年，NIST从提交的15个候选草案中 选取了5个优良的算法作为AES的候选算法： MARS、RC6、Rijndael、Serpent和 Twofish， 综合评价最终确定Rijndael算法为新的数据 加密标准，2001年12月正式公布FIPS197标准。 /aes
定义 一个分组密码体制(P, K, C, E, D)， 其中P=C={0,1}l ；K={0,1}t. 加密变换： E：P×K→C, 当k ∈K确定时，
Ek为P →C的一一映射.
解密变换： D: C×K →P, 当k ∈K确定时，
Dk为C →P的一一映射.
Dk·Ek=I
6
特点 明文、密文组长度为n，密钥长度为t，密钥量 为 2t 密文中的任一位数字与该组明文所有的数字均 有关 每组明文使用相同密钥加密 本质是{0，1，…，2n-1}集合上的自映射或置 换
22
保密系统的安全性分析 及分组密码攻击手段
主动攻击：主动出击，先发制人
3. 选择明文攻击：密码分析者可得到所需要的任何 明文所对应的密文，这些密文与待解的密文是用同 一个密钥加密得来的. 4. 选择密文攻击：密码分析者可得到所需要的任何 密文所对应的明文，解密这些密文所使用的密钥与 解密待解的密文的密钥是一样的.
密码学之分组密码算法
密码学之分组密码算法密码学之分组密码算法简介分组密码算法(Block Cipher Algorithm)是将输⼊数据划分成固定长度的组进⾏加密和解密的⼀类对称密码算法。
其安全性主要以来于密钥，通信双⽅使⽤相同的密钥加密和解密。
其优势有速度快，易于标准化和便于软硬件实现等特点。
下标集:₀₁₂₃₄₅₆₇₈₉⁻ ¹ ₋DES加密算法DES简介于1977年公布的第⼀个被⼴泛应⽤的商⽤数据加密算法，在抵抗了⼆⼗余年的密码分析后，其安全性已⽆法得到保障。
所以在1998年12⽉以后就不再使⽤DES加密算法。
但是其衍⽣的三重DES加密算法⽬前还有其应⽤场景。
加密过程算法总览DES加密算法就如下图所⽰。
其输⼊为64位(bit)的明⽂，使⽤56位(bit)的密钥，但是附加了8位奇偶校验位(位于8,16,...,64位)组合成64位密钥。
在64位密钥的控制下，最终产⽣了64(bit)的密⽂。
在下图中X=X₁X₂X₃...X₆₄即为输⼊明⽂，在经过初始转换IP的换位处理后，得到⼀个乱序的明⽂组，并将其分为L₀和R₀两部分，每部分各32位。
⽽K₁K₂...K₁₆则是⽣成由初始密钥⽣成的轮密钥，长度有48位。
其次进⾏如下图所⽰与密钥有关的16轮迭代变换。
对R₀在进⾏⼦密钥K₁控制下的f变换，其得到的结果与L₀作逐位异或后，作为下⼀轮的R₁，⽽R₀则作为下⼀轮的L₁。
在经过16轮如上步骤，最后经过逆初始置换P⁻¹处理后得到密⽂Y=Y₁Y₂Y₃...Y₆₄初始置换IP与逆初始置换IP⁻¹IP操作是对原明⽂的位次顺序进⾏打乱，⽽逆初始置换IP⁻¹是IP操作的⼀个逆操作，其⽬的是为了撤销之前的初始置换操作。
其实这两种操作对密码⽅⾯的作⽤并不⼤。
其具体操作正如表格中所⽰，在如下表格中依次填⼊该顺序位次下的bit位，最终组成新的位次顺序。
如第⼀位的的内容即为原明⽂中第58位处的内容。
轮密钥的产⽣初始密钥K在经过选择置换PC_1后同样分为两个部分C₀和D₀，每部分各28位(bit)，该选择置换实际是在除去了奇偶校验位的置换。
【软考继续教育-应用密码学】14-17对称密码体制(1-4)
24 6 4 20 37 45 56 36
1 21 26 13 47 33 34 29
5 10 8 2 55 48 53 32
图5-24 置换选择1
密钥（48位）
图5-25 置换选择2
41
循环左移位
轮 1 序 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16
移 位 数
1
1
2
17
CBC模式
18
CBC模式的特点
同一个明文分组重复出现时产生不同的密文分 组 加密函数的输入是当前的明文分组和前一个密 文分组的异或；对每个分组使用相同的密钥。 将明文分组序列的处理连接起来了。每个明文 分组的加密函数的输入与明文分组之间不再有 固定的关系 有助于将CBC模式用于加密长消息
输出（64位）
图5-17 逆初始置换（IP－1）
34
Li Ri 1
Ri Li 1 F ( Ri 1 , K i )
R16 R15
L16 L15 F ( R15 , K16 )
35
输入（32位）
输入（32位，来自于S盒）
32 4 8 12 16 20 24 28
1 5 9 13 17 21 25 29
8 7 6 5 4 3 2 1
48 47 46 45 44 43 42 41
16 15 14 13 12 11 10 9
56 55 54 53 52 51 50 49
24 23 22 21 20 19 18 17
64 63 62 61 60 59 58 57
32 31 30 29 28 27 26 25
2
2
2
2
2
分组密码学
分组密码学
分组密码学是一种加密技术，它将待加密的数据分成若干块，每个块都采用相同的加密算法进行加密，以保证数据的安全性。
分组密码学中最常见的算法是DES和AES，它们都是基于同样的思想：将明文块通过一个固定的算法转化为密文块。
在分组密码学中，密钥的长度对加密算法的安全性有很大影响。
如果密钥长度过短，攻击者可以通过穷举法轻易地破解加密算法；反之，如果密钥长度过长，加密和解密过程会变得非常缓慢。
为了增强分组密码学的安全性，人们还发明了很多扩展算法，如三重DES、RSA等。
这些算法在不同的场合下得到了广泛的应用，如网上银行、数字证书等领域。
总的来说，分组密码学是一种非常重要的加密技术，它在信息安全领域发挥着重要的作用。
随着计算机技术的不断发展，分组密码学也在不断更新和改进，以适应不断变化的安全需求。
- 1 -。
应用密码学习题答案5
《应用密码学》习题和思考题答案第5章 对称密码体制5－1 画出分组密码算法的原理框图，并解释其基本工作原理。
答：图5-1 分组密码原理框图1210-t 1210-t )分组密码处理的单位是一组明文，即将明文消息编码后的数字序列im m m m ,,,,210 划分成长为L 位的组()0121,,,,L m m m m m -=,各个长为L 的分组分别在密钥()0121,,,,t k k k k k -= （密钥长为t ）的控制下变换成与明文组等长的一组密文输出数字序列()0121,,,,L c c c c c -= 。
L 通常为64或128。
解密过程是加密的逆过程。
5－2 为了保证分组密码算法的安全强度，对分组密码算法的要求有哪些？ 答：（1）分组长度足够大；（2）密钥量足够大；（3）密码变换足够复杂。
5－3 什么是SP 网络？答：SP 网络就是由多重S 变换和P 变换组合成的变换网络，即迭代密码，它是乘积密码的一种，由Shannon 提出。
其基本操作是S 变换（代替）和P 变换（换位），前者称为S 盒，后者被称为P 盒。
S 盒的作用是起到混乱作用，P 盒的作用是起到扩散的作用。
5－4 什么是雪崩效应？答：雪崩效应是指输入（明文或密钥）即使只有很小的变化，也会导致输出发生巨大变化的现象。
即明文的一个比特的变化应该引起密文许多比特的改变。
5－5 什么是Feistel 密码结构？Feistel 密码结构的实现依赖的主要参数有哪些？ 答：1K nK i密文明文图5－6 Feistel密码结构Feistel 密码结构如图5－6所示。
加密算法的输入是长为2w 位的明文和密钥K ，明文被均分为长度为w 位的0L 和0R 两部分。
这两部分经过n 轮迭代后交换位置组合在一起成为密文。
其运算逻辑关系为：1(1,2,,)i i L R i n -==11(,)(1,2,,)i i i i R L F R K i n --=⊕=每轮迭代都有相同的结构。
分组密码体制
两个基本设计方法
由于对称分组密码的缺点是不善于隐藏明文的 统计特性，因而对“统计分析”攻击方式的抵御能 力不强，故Shannon提出了两个抵抗“统计分析” 的方法：混淆和扩散。
◆混淆：目的是为了隐藏明文和密文之间的关系，增加密 钥和密文之间关系的复杂性。可以使用“代替”的方法 来实现。
◆扩散：目的是让密文没有统计特征，也就是将明文中的 统计信息散布到整个密文中，增加密文与明文之间关系 的复杂性，以挫败推测出密钥的尝试。可以使用“置换” 的方法来实现。
对于给定的64位的明文p，通过初始置换IP获得64位的 p320，位并记将为pR00分，为即左p0右=I两P(部p)=分L，0R前0。面IP32置位换记如为图L所0，示后。面
置换表中的数字1～64代表的仅仅是明文 分组中元素所处的位置，而非元素的值！
• 第四步：初始逆置换IP-1 应用初始逆置换IP-1对最后一轮迭代之后得到 的R16L16进行置换，得到密文C。
• 分组加密算法本质上体现了n位明文分组和n位密文分组的一一 映射。
• 分组大小n的选择
1“）统如计果分n较析一码小”般，，方的不则法，同得的对变到攻于换的击的n明。位总文分数空组为间的(和2对n密)!称，文分也空组就间密是有限，容易受到 2）如果n充说分，大密，钥则的由个于数得为到(的2n明)!个文。空间和密文空间足够大， 明文的统计特征将被掩盖，可以抵抗“统计分析”方法的攻击 ；但同时也将导致密钥数目的急剧增加和密钥空间的急剧增大 ，这会给密钥的分配、管理和存储带来很大的困难。
Feistel 密码结构
DES算法的整体结构 ——Feistel密码结构
• 每一轮的迭代算法 加密：对于每一轮 i=1,2,...,n,新 的左右部分根据如下规则重新
密码学第五章 分组密码1
➢ 事实上，并没有一个真正实用的密码被证明是计算上安 全的。一般地人们只能证明某个密码是不安全的，因为 这只要找到一种方法，其复杂度远小于 2n 和 2t 。
3. 分组密码的设计原则
➢ 一个好的分组密码应是既难破译又易于实现的。 ➢ 安全性原则
密码学
第5章 分组密码（1）
1. 概述
分组密码就是将明文消息序列
m1, m2 ,, mk ,
分成等长的消息组
(m1, m2 , , mn )(mn1, mn2 , , m2n )
在密钥控制下，按固定的算法 Ek 一组一组进行加密。 加密后输出等长密文组
( y1, y2 , , ym )( ym1, ym2 , , y2m )
➢ 计算安全性只是一个相对概念，它依赖于攻击者的计算 能力和所采用的攻击方式。一般地,计算上安全是指对该 密码的最佳攻击方法的困难性超过了攻击者的计算能 力。
➢ 人们为了定量描述这种“困难性”，通常使用“复杂度” 的概念：一种攻击的复杂度是指为了实施该攻击所需的 平均运算次数。一个密码的安全性的评估，依据已知的 关于该密码的最佳攻击方法的复杂度。
➢ 70 年代,美国数据加密标准 DES 的出台,标志着现代分组密 码学的开始。从此揭开了商用民用密码研究的序幕。
➢ 这是信息化社会发展的产物。
越来越多的敏感信息通过网络传输和存贮，迫切需要具有高强 度、高速率、便于软硬实现、易于标准化的加密体制。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 128比特：10轮.
无限局域网密码算法--SMS4
• 中国政府颁布的C0标准算法
• 分组加密算法：明文和密文分组长度128比特
• 结构：类似于hash的结构，基本操作单位32比特
下次课再见！
分组密码发展
• 理论强度，97年$100000的机器可以在6小时内用穷 举法攻破DES. • 实际攻破的例子，97年1月提出挑战，有人利用 Internet的分布式计算能力，组织志愿军连接了 70000多个系统在96天后攻破.
这意味着随着计算能力的增长，必须相应地 增加算法密钥的长度。
分组密码发展
扩散：明文和密钥中任何一比特值得改变，都会在某 种程度上影响到密文值的变化，以防止将密钥分解 成若干个孤立的小部分，然后各个击破。（扩散函 数）
P= K= C= p1 p2 p3 p4 p5 k1 k2 k3 k4 k5 c1 c2 c3 c4 c5
E: pi^ki = ci D: ci^ki = pi 已知明密文比特：pi^ci = ki
分组密码的特点
• • • • 民用 不存在陷门 足够的安全强度 标准化通信需求
应用中对于分组码的要求
• 安全性
• 运行速度
• 存储量(程序的长度、数据分组长度、高速缓存大小 ) • 实现平台(硬、软件、芯片) • 运行模式
分组密码设计问题
• 分组密码的设计问题在于找到一种算法，能在密钥 控制下从一个足够大且足够好的置换子集中，简单 而迅速地选出一个置换，用来对当前输入的明文的 数字组进行加密变换。
加密算法
解密算法
分组密码的定义
• n是明文空间大小，m是密文空间大小
• 通常取n=m。
• 若n>m，则为有数据扩展的分组密码。
• 若n<m，则为有数据压缩的分组密码。
分组密码历史 • 二十世纪之前的密码算法
算法、密钥保密
• 二十世纪之后的密码算法
Kerokhoffs假设：密码分析者已有密码算法及实现 的全部详细资料. Kerckhoff假设蕴涵着密码的安全性完全依赖于密钥.
• 1997年, 美国标准技术研究所（NIST）对DES进行 再次评测并宣布：DES算法的安全强度已经不足以 保障联邦政府信息数据的安全性, 所以NIST建议撤销 相关标准. • 同时, NIST开始征集新的数据加密标准----高级数据 加密标准(Advanced Encryption Standard). • 新算法的分组长度为128, 支持可变密钥长度128、 192、256比特.
分组密码的定义 定义 一个分组密码体制(P, K, C, E, D)，其 中P=C={0,1}l ；K={0,1}t. 加密变换： E：P×K→C, 当k ∈K确定时，Ek为P
→C的一一映射.
解密变换： D: C×K →P, 当k ∈K确定时，Dk为C
→P的一一映射. Dk·Ek=I
k=(k0,k1,…,kt-1) m=(m0,m1,…,ml-1) (明文) k=(k0,k1,…,kt-1) m=(m0,m1,…,ml-1) (明文) c=(c0,c1,…,cl-1) (密文)
分组密码
《应用密码学》
本节主要内容
• • • • • • • 分组密码定义 分组密码的发展历史 保密系统的安全性分析及分组密码的攻击 数据加密标准（DES）算法介绍 高级加密标准（AES）算法介绍 中国无限局域网标准（SMS4）算法介绍 分组密码算法的运行模式
分组密码的定义
• 分组密码（block cipher）是现代密码学中的重要 体制之一，其主要任务是提供数据保密性 • 分组密码加解密速度较快 (对称密码特点) • 现代分组密码发展非常快，技术较成熟（公开测 评） ，使用广泛 • 其他密码算法设计领域有广泛应用，例如：可以 用于构造伪随机数生成器、流密码、认证码和哈 希函数等
分组密码发展
• 日本政府在2000年成立了密码研究与评估委员会 （CRYPTREC）并参考欧洲NESSIE工程的作法对 密码算法的安全性和效率等问题进行评估，以备政 府使用. • 2002年初步拟定了推荐算法的草案, 2003年3月确定 了推荐算法名单, 其中分组密码算法包括： (1)分组长度为64比特的算法：CIPHERUNICORN-E、 MISTY1和3-key-TDES. (2)分组长度为128比特的算法：Camellia、 CIPHERUNICORN-A、Hierocrypt-3、SC2000和 Rijndael128.
分组密码设计准则
迭代结构：选择某个较为简单的密码变换，在密钥控 制下以迭代方式多次利用它进行加密变换，就可以 实现预期的扩散和混乱效果。（轮函数）
密钥K
密钥编排 生成子密钥算法
K1
K2
。。。
Hale Waihona Puke Kn明 文 MF
F
。。。
F
密 文 C
如果密码体制不是幂等的(F2≠F), 那么多次迭代有可 能提高密码体制的安全性. 采用迭代结构的优点：软、硬件实现节省了代码 （硬件）资源.
分组密码算法应满足的要求
• 分组长度n要足够大：
防止明文穷举攻击法奏效。
• 密钥量要足够大：
尽可能消除弱密钥并使所有密钥同等地好，以防止密钥穷 举攻击奏效。
• 由密钥确定置换的算法要足够复杂：
充分实现明文与密钥的扩散和混淆，没有简单的关系可循， 要能抗击各种已知的攻击。
分组密码算法应满足的要求
• 加密和解密运算简单：
主动攻击：主动出击，先发制人 3. 选择明文攻击：密码分析者可得到所需要的任何 明文所对应的密文，这些密文与待解的密文是用同 一个密钥加密得来的. 4. 选择密文攻击：密码分析者可得到所需要的任何 密文所对应的明文，解密这些密文所使用的密钥与 解密待解的密文的密钥是一样的.
• 攻击手段 1. 穷举法：当分组长度n较小时，攻击者可以有效地 穷举明文空间，得到密钥。 2. 差分分析 3. 线性分析 4. 相关密钥 5. 侧信道攻击 … 利用一些先验知识（如字典攻击），达到快速攻击的 目的；攻击复杂度小于穷举攻击，则理论有效
输入64 比特明文数据 IP 初始置换 IP 在密钥控制下 16 轮迭代
初始逆置换 1 IP- 1 IP
输出 64 比特密文数据
AES算法算法概述
• 分组加密算法：明文（128/256比特）和密文分组 （128/192/256比特）可变长度。 • SPN结构：轮函数包含代换层-置换层-密钥混合层。 • 密钥长度：128比特（AES的密钥空间：2^{128}）
混淆：是指在加密变换过程中使明文、密钥以及密文 之间的关系尽可能地复杂化，以防密码破译者采用 统计分析法进行破译攻击。(线性ax+b=c /非线性 ax2+b=c) 设算法为凯撒密码（即密文和密钥及明文成线性关 系）： Ek(m)= m+k (mod 26) ， mM ； 则已知一对明密文字符，密钥信息即得。 Ek(m)= (m+k)*k (mod 26) ， mM ；
易于软件和硬件高速实现。
• 数据扩展：
一般无数据扩展，在采用同态置换和随机化加密技术时可引 入数据扩展。
• 差错传播尽可能地小。
分组密码发展
• 1973年5月美国联邦政府提出征求在传输和存储数据 中保护计算机数据的密码算法的建议； • 1975年3月，美国国家标准局(NBS) 首次公布IBM公 司提出的算法Lucifer中选； • 1977年1月NBS正式向社会公布，采纳IBM公司设计 的方案作为非机密数据的数据加密标准 (Data Encryption Standard). DES正式成为美国联邦政府 信息处理标准，即FIPS-46标准，同年7月开始生效。 • 此后，每隔几年美国国家保密局（NSA）对DES作 新的评估，并重新审定它是否继续作为联邦加密标 准。
分组密码发展
• 欧洲于2000年1月启动了NESSIE工程, 该工程的目 的是评价出包含分组密码, 流密码等在内的一系列安 全, 高效和灵活的密码算法. • 至2000年9月, 共征集到了17个分组密码算法, 同时 将TDES和AES纳入了评估范围，并作为分组密码算 法的评测基准. • 经过3年2个阶段的筛选，最终确定下列算法为推荐 的分组密码算法：MISTY-64、Camllia-128、AES128和SHACAL-2。
分组密码发展
• 1999年，NIST从提交的15个候选草案中选取了5个 优良的算法作为AES的候选算法：MARS、RC6、 Rijndael、Serpent和Twofish， • 综合评价最终确定Rijndael算法为新的数据加密标 准，2001年12月正式公布FIPS-197标准。 • /aes
密钥不可重复使用
保密系统的安全性分析 及分组密码攻击手段
• 攻击目的 1. 完全破译：破译使用者的密钥 例：备用钥匙 2. 部分破译：恢复某些密文对应的明文 例：猜测出某些特定格式的明文 信函开头：DEAR ***
• 攻击种类 被动攻击：守株待兔
1. 唯密文攻击：密码分析者有一个或更多的用同一个 密钥加密的密文，通过对这些截获的密文进行分析 得出明文或密钥. 2. 已知明文攻击：除待解的密文外，密码分析者有一 些明文和用同一个密钥加密这些明文所对应的密文.
• 明文和密文分组长度为64比特 • 算法包含两部分：迭代加解密和密钥编排
• Feistel结构（加解密相似）：加密和解密除密钥编
排不同外, 完全相同
（思考：1 为什么解密函数不是逆函数？2 为什么不
用逆函数来解密）
• 密钥长度：56比特（DES的密钥空间：2^{56}）， 每7比特后为一个奇偶校验位（第8位），共64比特 • 轮函数采用混乱和扩散的组合，共16轮