分组密码算法MIBS

攻击过程如下。（１）选择由满足下面形式的明文组成的结构：ＬＰ（ｘ，ｘ，ａ，ｘ，ａ，ａ，ｘ，ｘ）ｂ，ｂ，ｂ，ｂ，ｂ，ｂ，（０＝１２３４５６７８１２３４５６ｘ，ｂ），Ｒ（ｙ，ｙ，ｙ，ｙ，ｙ，ｙ，ｙ，ｙ）。其中ｘ（ｉ＝１，２，４，７，８），ｙ（１）及ｘ取遍４ｂｉｔ的所有可能值， ≤ｉ ≤８８０＝１２３４５６７８ｉｉａｂｉｔ的常数。ｉ和ｂｉ是４
ｉ献［１］。用ｓｔａｔｅ表示第ｉ轮的密钥扩展，轮密钥按如下关系式生成（１２）： ≤ｉ ≤３０ｉｉｉｉｉ是初始密钥；ｓｔａｔｅ＝ｓｔａｔｅ＝Ｓ－ｂｏｘ（ｓｔａｔｅ［７９～７６］）ｏｘ（ｓｔａｔｅ［７５～７２］）１９；ｓｔａｔｅｓｔａｔｅ ‖ Ｓ－ｂ ‖ ＞ｉｉｉｉｉｉｓｔａｔｅ［７１～０］；ｓｔａｔｅ＝ｓｔａｔｅ［７９～１９］ｔａｔｅ［１８～１４］ｏｕｎｄｏｕｎｔｅｒｔａｔｅ［１３～０］；ｋｓｔａｔｅ［７９～ ‖ｓＲ ‖ｓ－ｃｉ＝
图２８轮不可能差分特征及１２轮不可能差分分析路线Ｆｉｇ．２８ｒｏｕｎｄｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａｎｄ１２ｒｏｕｎｄｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａｔｔａｃｋ
图１Ｆ函数图Ｆｉｇ．１ＦｕｎｃｔｉｏｎＦｏｆＭＩＢＳ
ＭＩＢＳ的轮函数由轮密钥加、Ｓ盒变换、扩散层及Ｐ置换组成。设Ｌ，Ｒ是第ｉ轮的输入，ｋ２ｂｉｔｉ－１ｉ－１ｉ是３Ｆ（ｋ，Ｌ），ＲＬ。轮密钥，第ｉ轮的迭代公式为：ＬＲｉ＝ｉｉ－１ｉ－１ｉ＝ｉ－１轮密钥加：每轮输入的左３２ｂｉｔ都与３２ｂｉｔ的轮密钥相异或。
４８］。
２约减至１２轮的ＭＩＢＳ算法不可能差分分析
文献［３］中第一次提出了８０ｂｉｔ密钥１２轮ＭＩＢＳ的不可能差分分析，但结果有误，下文具体指出。接着
５９６３我们提出了新的约减至１２轮的ＭＩＢＳ不可能差分分析，所需明文量为２，时间复杂度为２次加密运算。
４４Ｓ盒变换：Ｓ＝｛４，１５，３，８，１３，１０，１２，０，１１，５，７，１４，２，６，１，９｝，Ｓ：Ｆ：ｙｓ（ｘ），１。 ≤ｉ ≤８ →Ｆｉ＝ｉ２２
混合层：此层为线性变换，由下列线性关系式构成：ｙ，ｙ ′ ｙ，ｙ ′ ｙ，ｙ ′ ｙｙｙｙｙｙｙｙｙｙｙｙｙｙｙ１＝２３４５６７２＝１３４６７８３＝１２４５７８ｙ ′ ｙ，ｙ ′ ｙ，ｙ ′ ｙ，ｙｙｙｙｙｙｙｙｙｙｙｙｙ４＝１２３５６８５＝１２４５６６＝１２３６７ｙ，ｙ ′ ｙ。ｙ ′ ｙｙｙｙｙｙｙｙ７＝２３４７８８＝１３４５８Ｐ置换：将混合层输出的８个半字节按新的顺序输出，Ｐ＝｛２，８，１，３，６，７，４，５｝。１１密钥生成算法由于文中分析的是８０ｂｉｔ密钥的算法，所以下边只给出８０ｂｉｔ的密钥生成算法，６４ｂｉｔ的生成算法详见文
２１对ＡｓｌｉＢａｙ攻击的分析
－４，因此在文献［３］节５３第３步（ｃ）部分，作者指出此步每个剩余明文对能排除所有子密钥猜测值的２６８－４１３＋ｍ６８－４２在第一对后剩余密钥数为２（１－２），又由于有２对明文，所以共剩余２（１－２）
［５］节２３详细的分析。这一概率的计算错误也导致了明文量选取过少，时间复杂度从而也计算错误。所以文献［３］的不可能差分分析结果是错误的。２２轮密钥关系［０～１２］＝ｋ［１９～３１］，性质由密钥生成算法很容易得到，相邻两轮轮密钥间具有以下线性关系：ｋｉｉ＋１即ｋ［０］＝ｋ［３］。其中方括号内数字表示半字节中ｂｉｔ位。 ‖ｋ ‖ｋ ‖ｋ ‖ｋ ‖ｋ ‖ｋｉ，１ｉ，２ｉ，３ｉ，４ｉ＋１，５ｉ＋１，６ｉ＋１，７ｉ＋１，８２３约减至１２轮的ＭＩＢＳ不可能差分分析类似于［６］中对Ｃａｍｅｌｌｉａ的不可能差分分析，本文给出ＭＩＢＳ的不可能差分特征，并在这一特征前边加３轮，后边加１轮构成下文的１２轮不可能差分分析路线，如图２所示。
５９果的错误，并提出新的不可能差分分析。并提出了对约减至１２轮的ＭＩＢＳ算法的攻击，此攻击需２选择明文和６３次加密运算。２
ＩｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓｏｆｒｅｄｕｃｅｄｒｏｕｎｄＭＩＢＳ
轻量级分组密码算法ＭＩＢＳ不可能差分分析
，学学院，山东济南２５０１００；２．山东大学密码技术与信息安全教育部重点实验室，山东济南２５０１００）
摘要：轻量级分组密码算法适用于ＲＦＩＤ等计算资源严格受限的环境。指出之前ＡｓｌｉＢａｙ等人不可能差分分析结
２］数。不可能差分分析［是由Ｂｉｈａｍ和Ｓｈａｍｉｒ提出的一种密码分析技术，是分组密码算法的一种重要分析方
法。它利用概率为０的不可能出现的差分特征过滤错误密钥。文献［３］第一次提出了约减至１２轮的ＭＩＢＳ算法的不可能差分分析，但我们发现该分析结果有误。本文提出了新的约减至１２轮的ＭＩＢＳ不可能差分分
１３＋ｍ
个错误密钥，此
时如果取ｍ＝０，则没有错误密钥剩余。作者的叙述和计算看起来貌似没什么问题，但是仔细计算后发现，作者开始就把每个明文对能排除错误
－４－８子密钥的概率错算成了２，这一错误与文献［４］节４１第３步（ｃｉｉｉ）中的２如出一辙，文献［４］中的这一８７－６８５］中指出，并详细的分析和计算了正确的概率为２错误也已经在文献［／２６＝２。
５９６３析，该攻击所需明文量为２，时间复杂度为２次加密运算。
本文在第一部分首先简单描述了ＭＩＢＳ算法。第二部分指出了文献［３］中的错误，并提出全新的约减至１２轮ＭＩＢＳ的不可能差分分析。最后对全文进行了总结。
１ＭＩＢＳ算法简介
ＭＩＢＳ是Ｆｅｉｓｔｅｌ结构的分组密码算法，消息分组长度为６４ｂｉｔ，共有３２轮。密钥长度有６４ｂｉｔ和８０ｂｉｔ两２ｂｉｔ的值。而且ＭＩＢＳ中是以４ｂｉｔ为一个单位的，称为半字节或半种。６４ｂｉｔ的消息分组分成Ｌ０和Ｒ０两个３位元。
０引言
微型计算设备由于其高度便携性等特点，得到越来越广泛的应用，因此其安全性也备受关注，出现了许
［１］多专门设计的轻量级加密算法。ＭＩＢＳ是由ＭａｒｙａｍＩｚａｄｉ等人在ＣＡＮＳ２００９上提出的轻量级分组密码算
法，它占用资源少，适合应用于计算能力受限的微型计算设备上，如ＲＦＩＤ等。ＭＩＢＳ算法是分组长度为６４ｂｉｔ的Ｆｅｉｓｔｅｌ结构的分组密码算法，共有３２轮，密钥有６４ｂｉｔ和８０ｂｉｔ两种参
实际上通过这一步，每个剩余明文对只能对２４ｂｉｔ的部分子密钥猜测值进行过滤，对剩余的６８－２４＝
２４－４２０４４ｂｉｔ值没有任何的约束及过滤作用，所以能过滤掉错误密钥的个数为１× ２ × ２＝２，而猜测的子密钥一６８２０６－４８－４，所以这步能过滤所有６８ｂｉｔ密钥猜测值的概率为２／２８＝２，而不是２。更多说明可参考文献共有２
５９６３ｃｈｏｓｅｎｐｌａｉｎｔｅｘｔｓａｎｄ２ｅｎｃｒｙｐｔｉｏｎｓ．１２ｒｏｕｎｄｓａｎｄｎｅｅｄｓ２
Ｋｅｙｗｏｒｄｓ：ｌｉｇｈｔｗｅｉｇｈｔｂｌｏｃｋｃｉｐｈｅｒ；ＭＩＢＳ；ｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓ
１，２１，２ＤＵＣｈｅｎｇｈａｎｇ，ＣＨＥＮＪｉａｚｈｅ
（１．ＳｃｈｏｏｌｏｆＭａｔｈｅｍａｔｉｃｓ，ＳｈａｎｄｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ２５０１００，Ｓｈａｎｄｏｎｇ，Ｃｈｉｎａ；２．ＫｅｙＬａｂｏｒａｔｏｒｙｏｆＣｒｙｐｔｏｌｏｇｉｃＴｅｃｈｎｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ，ＭｉｎｉｓｔｒｙｏｆＥｄｕｃａｔｉｏｎ，ＳｈａｎｄｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ２５０１００，Ｓｈａｎｄｏｎｇ，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＭＩＢＳｉｓｓｕｉｔａｂｌｅｆｏｒｅｘｔｒｅｍｅｌｙｃｏｎｓｔｒａｉｎｅｄｅｎｖｉｒｏｎｍｅｎｔｓ，ｓｕｃｈａｓＲＦＩＤｔａｇｓ．ＢａｓｅｄｏｎｔｈｅａｎａｌｙｓｉｓｏｆｔｈｅｆｌａｗｉｎＡｓｌｉＢａｙ ’ ｓｗｏｒｋ，ａｎｅｗｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌｃｒｙｐｔａｎａｌｙｓｉｓｗａｓｐｒｏｐｏｓｅｄ．ＴｈｅａｔｔａｃｋｏｆＭＩＢＳｗａｓｒｅｄｕｃｅｄｔｏ

合集下载

【国家自然科学基金】_轻量级分组密码_基金支持热词逐年推荐_【万方软件创新助手】_20140803

2014年序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24
科研热词链路层轻量级密码轻量级分组密码立方测试相关密钥模板攻击有效点选取最佳攻击点数据对齐数据切割差分功耗分析攻击密钥中比特加密算法功耗预处理分组密码不可能差分攻击 wsn tinysec tinysbsec s盒 present mibs算法 led lblock密码
推荐指数 3 2 2 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1
2013年序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35
推荐指数 1 1 1 1 1
2012年序号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

科研热词分组密码轻量级分组密码 mibs 黑盒攻击部分和技术轻量级密码轮密钥超级s盒计数法积分密码分析汉明重量泄露汉明重泄露概率积分密码分析旁路立方体攻击差分故障分析差分密码分析密码分析代数旁路攻击不可能差分分析 piccolo算法 lblock klein integral攻击 epcbc aes
推荐指数 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1
2013年科研热词轻量级分组密码分组密码轻量级加密算法流密码射频识别技术(rfid) 低功耗 present 部分和技术轻量级积分分析物联网混沌映射消息鉴别码时间复杂度无线传感器网络数据复杂度散列函数故障模型密钥扩展密码学算法区分器分组加密分析八阵图算法优化代数故障分析中间相遇攻击不可能差分 verilog hdl实现 piccolo mibs算法 klein cryptminisat biclique分析 attiny 推荐指数 4 4 2 2 2 2 2 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1

分组密码和数据加密标准

40
Recommended Reading
• 王育民刘建伟编著, 通信网的安全----理论与技术,2000,5 • Scneier, B. Applied Cryptography, New York: Wiley, 1996 • Mel, H.X. Baker, D. Cryptography Decrypted. Addison Wesley, 2001
4
图示：n＝3时，一个n位到n位的分组密码
BOX S
n=3 0 2n=8 0 1 2n=8 0 1 2 3 4 5 6 7
5
1
Transformer
Transformer
2 3 4 5 6 7
0
1
1
1
Feistel密码
• 大多数传统分组加密算法都采用Feistel密码结构，包括DES在内。 • Feistel建议使用乘积密码来增强密码的强度。
34
计时攻击
• 通过对执行给定的多种密文解密所需时间的观察，来获得关于密钥或明文的信息。 • 利用加/解密算法对于不同的输入所花的时间有着细微的差别。 • DES可以抵御计时攻击。
35
差分分析和线性分析
• 1990年，以色列密码学家Eli Biham和Adi Shamir提出了差分密码分析法，可对DES 进行选择明文攻击。 • 线性密码分析比差分密码分析更有效。
17
示意图
DES
18
DES描述
• DES利用56比特串长度的密钥K来加密长度为 64位的明文，得到长度为64位的密文。
19
DES加解密过程
• 令i表示迭代次数，⊕表示逐位模2求和，f为加密函数。DES的加密和解密过程表示如下。

密码学分组密码

4. 加密和解密运算简单，易于软件和硬件的高速实现。
5. 数据扩展。一般无数据扩展，在采用同态置换和随机化加密技术时可引进数据扩展。
6. 差错传播尽可能小。
设计分组密码常用的一些方法介绍 1. 代换
将n长的明文分组变换为唯一n长密文分组，这样的变换是可逆的，称明文分组到密文分组的可逆变换为代换。
D1（28 位）
8 2 16 1
（56 位）置换选择 2
k1
(48 位)
循环左移
循环左移
Ci（28 位）
Di（28 位）
置换选择 2 ki
（56 位）
（48 位）
置换选择1和置换选择2
DES解密
和Feistel密码一样，DES的解密和加密使用同一算法，只是子密钥的使用顺序相反。
子密钥是独立产生的，可以独立存储。
DES加解密过程
令i表示迭代次数，表示逐位模2求和，f为加密函
数。DES的加密和解密过程表示如下。
加密过程：
L0R0 IP( 64bit输入码 )
பைடு நூலகம்
Li Ri1
i 1,2,,16
Ri Li1 f (Ri1, ki ) i 1,2,,16
64bit密文 IP1(R16L16 )
解密过程：
20 21 22 23 24 25
24 25 26 27 28 29
28 29 30 31 32 1
E的作用：
将32比特的输入膨胀为48比特。
则输出为：B = t32 t1 t2 …… t32 t1
选择扩展运算：
12 34 56 78 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32

对轻量级密码算法MIBS的相关密钥不可能差分攻击

ＣＨＥＮＰｉｎｇ，ＬＩＡＯＦｕ— ｃｈｅｎｇ，ＷＥＩＨｏｎｇ — ｒｕ
（ＳｃｈｏｏｌｏｆＭａｔｈｅｍａｔｉｃｓａｎｄＰｈｙｓｉｃｓ，ＵｎｉｖｅｒｓｉｔｙｏｆＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＢｅｉｊｉｎｇ，Ｂｅｉｊｉｎｇ１０００８３，Ｃｈｉｎａ）
进行扩展，对１４轮的ＭＩＢＳ．８Ｏ进行了攻击，并给出了复杂度分析。此攻击的结果需要的数据复杂度为２和时问复杂度为２。关键词：轻量级分组密码；ＭＩＢＳ算法；相关密钥；不可能差分攻击中图分类号：ＴＰ３０９文献标识码：Ａ文章编号：１０００ — ４３６Ｘ（２０１４）０２ — ０１９０ — ０４
陈平，廖福成，卫宏儒
ｆ北京科技大学数理学院，北京１０００８３）
摘
要：研究了轻量级分组密码算法ＭＩＢＳ抵抗相关密钥不可能差分的能力。利用ＭＩＢＳ一８０密钥编排算法的性质，
给出了一个密钥差分特征，并结合特殊明密文对的选取，构造了一个１０轮不可能差分。在此不可能差分特征上
Ｒｅｌａｔｅｄ－ — ｋｅｙｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａｔｔａｃｋｏｎａｌｉｇｈｔｗｅｉｇｈｔｂｌｏｃｋｃｉｐｈｅｒＭＩＢＳ
Ｋｅｙｗｏｒｄｓ：ｌｉｇｈｔｗｅｉｇｈｔｂｌｏｃｋｃｉｐｈｅｒ；ＭＩＢＳａｌｇｏｉｒｔｈｍ；ｒｅｌａｔｅｄ — ｋｅｙ；ｉｍｐｏｓｓｉｂｌｅｄｉｆｆｅｒｅｎｔｉａｌａ￣ａｃｋ

现代密码学_第四五讲分组密码

循环左移
D1 (28位) (56位) 置换选择2 k1 (48位)
14 3 23 16 41 30 44 46
置换方法
17 28 19 7 52 40 49 42 11 15 12 27 31 51 39 50 24 6 4 20 37 45 56 36 1 21 26 13 47 33 34 29 5 10 8 2 55 48 53 32
20
迭代的轮数
分组密码一般采用简单的、安全性弱的密码函数进行多
轮迭代运算，使得安全性增强。一般来说，分组密码迭代轮数越多，密码分析越困难，但也不是追求迭代轮数越多越好，过多迭代轮数会使加解密算法的性能下降，而实际的安全性增强不明显。决定迭代轮数的准则：密码算法分析的难度大于简单穷举搜索攻击的难度。分组密码迭代轮数一般采用8、 10、12、16、20的居多。
循环左移
C16 (28位)
循环左移
C16 (28位) (56位) 置换选择2 k16 (48位)
注：去掉9,18,22,25,35,38, 43,54位
注：密钥各位在子密钥出现次数基本相同(12次至15次)，平均次数为13.7
30
压缩替代S-盒(48位压缩到32位)
48比特
6比特 6比特 6比特 6比特 6比特 6比特 6比特 6比特
考虑，通常密钥长度t不能太大。当然，密钥长度t不能太小，
否则，难以抵抗对密钥的穷举搜索攻击。
7
分组密码的要求
分组长度要足够大密钥量要足够大
当分组长度较小时，攻击者通过穷举明文空间，得到密码变换规律，难于抵御选择明文攻击。
密码变换足够复杂
加密和解密运算简单无数据扩展或压缩
21

分组加密的四种模式（ECB、CBC、CFB、OFB）

分组加密的四种模式（ECB、CBC、CFB、OFB）加密⼀般分为对称加密(Symmetric Key Encryption)和⾮对称加密(Asymmetric Key Encryption)。

对称加密⼜分为分组加密和序列密码。

分组密码，也叫块加密(block cyphers)，⼀次加密明⽂中的⼀个块。

是将明⽂按⼀定的位长分组，明⽂组经过加密运算得到密⽂组，密⽂组经过解密运算（加密运算的逆运算），还原成明⽂组。

序列密码，也叫流加密(stream cyphers)，⼀次加密明⽂中的⼀个位。

是指利⽤少量的密钥（制乱元素）通过某种复杂的运算（密码算法）产⽣⼤量的伪随机位流，⽤于对明⽂位流的加密。

解密是指⽤同样的密钥和密码算法及与加密相同的伪随机位流，⽤以还原明⽂位流。

分组加密算法中，有ECB,CBC,CFB,OFB这⼏种算法模式。

1)ECB(Electronic Code Book)/电码本模式DES ECB（电⼦密本⽅式）其实⾮常简单，就是将数据按照8个字节⼀段进⾏DES加密或解密得到⼀段8个字节的密⽂或者明⽂，最后⼀段不⾜8个字节，按照需求补⾜8个字节进⾏计算，之后按照顺序将计算所得的数据连在⼀起即可，各段数据之间互不影响。

特点：1.简单，有利于并⾏计算，误差不会被传送；2.不能隐藏明⽂的模式；repetitions in message may show in cipher text/在密⽂中出现明⽂消息的重复3.可能对明⽂进⾏主动攻击；加密消息块相互独⽴成为被攻击的弱点/weakness due to encrypted message blocks being independent2)CBC(Cipher Block Chaining)/密⽂分组链接⽅式DES CBC（密⽂分组链接⽅式）有点⿇烦，它的实现机制使加密的各段数据之间有了联系。

其实现的机理如下：加密步骤如下：1）⾸先将数据按照8个字节⼀组进⾏分组得到D1D2......Dn（若数据不是8的整数倍，⽤指定的PADDING数据补位）2）第⼀组数据D1与初始化向量I异或后的结果进⾏DES加密得到第⼀组密⽂C1（初始化向量I为全零）3）第⼆组数据D2与第⼀组的加密结果C1异或以后的结果进⾏DES加密，得到第⼆组密⽂C24）之后的数据以此类推，得到Cn5）按顺序连为即为加密结果。

分组密码加密算法的常见算法结构

分组密码加密算法的常见算法结构随着计算机技术的不断发展，信息安全问题也越来越受到关注。

在信息传输过程中，数据的加密是保障信息安全的重要手段之一。

分组密码加密算法是一种常见的加密算法，它将明文数据分成若干个固定长度的分组，通过对每个分组进行加密来实现整个消息的加密。

本文将介绍分组密码加密算法的常见算法结构，以及它们的优缺点和应用场景。

1. 基本结构分组密码加密算法的基本结构由两个部分组成：明文分组和密文分组。

明文分组是指明文数据被分割成固定长度的块，每个块长度通常为64位或128位。

密文分组是指加密后的明文分组，长度与明文分组一致。

加密算法的核心是将明文分组转换为密文分组，这个过程称为加密。

解密的过程是将密文分组转换为明文分组。

分组密码加密算法的常见算法结构包括：ECB、CBC、CFB和OFB。

这些算法结构在加密和解密过程中采用不同的方式来处理明文和密文分组。

2. ECB模式ECB（Electronic Codebook）模式是最简单的分组密码加密算法结构，它将每个明文分组单独加密，得到对应的密文分组。

每个明文分组之间是独立的，因此ECB模式无法处理明文分组之间的关系。

这种模式的缺点是，它容易受到重放攻击，即攻击者可以拦截并重复发送相同的密文分组，从而获得明文数据。

ECB模式的优点是加密和解密过程简单，可以并行处理多个分组。

它适用于每个明文分组的安全性要求不高的情况，例如对称密钥的传输和存储。

3. CBC模式CBC（Cipher Block Chaining）模式是一种常见的分组密码加密算法结构，它采用前一个密文分组来加密当前的明文分组。

具体地，在加密过程中，首先将前一个密文分组和当前明文分组进行异或运算，得到一个新的数据块，然后对这个新数据块进行加密。

解密过程与加密过程相反，将密文分组解密后再与前一个密文分组进行异或运算，得到对应的明文分组。

CBC模式的优点是可以处理明文分组之间的关系，提高安全性。

02分组密码—DES算法及AES简介

分组密码和流密码的比较
• 基本区别
– 粒度 8字节分组 vs. 1比特或1字节
各自适应不同的应用数据格式 – 分组密码对相同的明文分组，总是输出相同的密文分组；
而流密码却输出不同的密文比特
– 流密码一般快很多
• 分组密码多些，是商用密码的主流
– 分组密码也可以用作流模式
• 安全性对比
– 流密码是核心密码的主流
L1 ＝R2⊕F(k2,R1) ＝L1⊕F(k2,R1)⊕F(k2,R1) ＝L1
L0 ＝R1⊕F(k1,R0) ＝L0⊕F(k1,R0)⊕F(k1,R0) ＝L0
kpwang@
Copyright by © 王鲲鹏
Feistel伪代码
明文m – 长度n＝2t，记为m0m1，每个长度为t 密钥k – 产生r个子密钥k1,k2 ,...,kr 加密E m： for i=2 to r+1 do 0, 1 mi＝mi-2 XOR f(mi-1, ki-1) i, i+1 <- ki 得密文（mr，mr+1） r, r+1 <- kr 解密D for i=r to 1 do mi-1＝mi+1 XOR f(mi, ki) 或 for i=r-1 to 0 do mi＝mi+2 XOR f(mi+1, ki+1) ＝mi XOR f(mi+1, ki+1) XOR f(mi+1, ki+1) ＝mi
– 密文分组和明文分组同样长 • 对某个密钥可以构造一个明密文对照表
– 电码本 (Substitution Table) – 所以分组的长得至少64比特才好
– 密钥空间2 << 可逆映射个数(2 )!

分组密码体制

2018/10/5
图3.1 分组密码框图
3
• 与流密码不同之处在于输出的每一位数字不是只与相应时刻输入的明文数字有关，而是与一组长为n的明文数字有关。 • 在相同密钥下，分组密码对长为n的输入明文组所实施的变换是等同的，所以只需研究对任一组明文数字的变换规则 • 这种密码实质上是字长为n的数字序列的代换密码
– 在以软件实现时，应选用简单的运算，使作用于子段上的密码运算易于以标准处理器的基本运算，如加、乘、移位等实现，避免用以软件难于实现的逐比特置换。 – 为了便于硬件实现，加密和解密过程之间的差别应仅在于由秘密密钥所生成的密钥表不同而已。这样，加密和解密就可用同一器件实现。 – 设计的算法采用规则的模块结构，如多轮迭代等，以便于软件和VLSI（超大规模集成电路）快速实现。
2018/10/5
13
• 如果分组长度太小，系统则等价于古典的代换密码，容易通过对明文的统计分析而被攻破。
– 这个弱点不是代换结构固有的，只是因为分组长度太小。如果分组长度n足够大，而且从明文到密文可有任意可逆的代换，那么明文的统计特性将被隐藏而使以上的攻击不能奏效
• 从实现的角度来看，分组长度很大的可逆代换结构是不实际的。
2018/10/5 9
⑤ 数据扩展尽可能地小。一般无数据扩展，在采用同态置换和随机化加密技术时可引入数据扩展。 ⑥ 差错传播尽可能地小。 • 要实现上述几点要求：
– 首先要在理论上研究有效而可靠的设计方法 – 而后进行严格的安全性检验 – 要易于实现
2018/10/5
10
§3.1.1 代换
• 如果明文和密文的分组长都为n比特，则明文的每一个分组都有2n个可能的取值。为使加密运算可逆（使解密运算可行），明文的每一个分组都应产生惟一的一个密文分组，这样的变换是可逆的， • 称明文分组到密文分组的可逆变换为代换。

分组密码体制

5
两个基本设计方法
由于对称分组密码的缺点是不善于隐藏明文的统计特性，因而对“统计分析”攻击方式的抵御能力不强，故Shannon提出了两个抵抗“统计分析” 的方法：混淆和扩散。
◆混淆：目的是为了隐藏明文和密文之间的关系，增加密钥和密文之间关系的复杂性。可以使用“代替”的方法来实现。
◆扩散：目的是让密文没有统计特征，也就是将明文中的统计信息散布到整个密文中，增加密文与明文之间关系的复杂性，以挫败推测出密钥的尝试。可以使用“置换” 的方法来实现。
对于给定的64位的明文p，通过初始置换IP获得64位的 p320，位并记将为pR00分，为即左p0右=I两P(部p)=分L，0R前0。面IP32置位换记如为图L所0，示后。面
置换表中的数字1～64代表的仅仅是明文分组中元素所处的位置，而非元素的值！
• 第四步：初始逆置换IP-1 应用初始逆置换IP-1对最后一轮迭代之后得到的R16L16进行置换，得到密文C。
• 分组加密算法本质上体现了n位明文分组和n位密文分组的一一映射。
• 分组大小n的选择
1“）统如计果分n较析一码小”般，，方的不则法，同得的对变到攻于换的击的n明。位总文分数空组为间的(和2对n密)!称，文分也空组就间密是有限，容易受到 2）如果n充说分，大密，钥则的由个于数得为到(的2n明)!个文。空间和密文空间足够大，明文的统计特征将被掩盖，可以抵抗“统计分析”方法的攻击；但同时也将导致密钥数目的急剧增加和密钥空间的急剧增大，这会给密钥的分配、管理和存储带来很大的困难。
Feistel 密码结构
DES算法的整体结构 ——Feistel密码结构
• 每一轮的迭代算法加密：对于每一轮 i=1,2,...,n,新的左右部分根据如下规则重新

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

分组密码算法MIBS

【国家自然科学基金】_轻量级分组密码_基金支持热词逐年推荐_【万方软件创新助手】_20140803

分组密码和数据加密标准

密码学分组密码

对轻量级密码算法MIBS的相关密钥不可能差分攻击

现代密码学_第四五讲 分组密码

分组加密的四种模式（ECB、CBC、CFB、OFB）

分组密码加密算法的常见算法结构

02分组密码—DES算法及AES简介

分组密码体制

分组密码体制

现代密码学_第四五讲分组密码