现代密码学第五讲(一)：流密码
现代密码学PPT课件
信息安全所面临的威胁来自很多方面，并且随着时 间的变化而变化。这些威胁可以宏观地分为人为威 胁和自然威胁。
自然威胁可能来自于各种自然灾害、恶劣的场地环 境、电磁辐射和电磁干扰、网络设备自然老化等。 这些事件有时会直接威胁信息的安全，影响信息的 存储媒质。
3. 完整性业务
和保密业务一样，完整性业务也能应用于消息流、 单个消息或一个消息的某一选定域。用于消息流的 完整性业务目的在于保证所接收的消息未经复制、 插入、篡改、重排或重放，即保证接收的消息和所 发出的消息完全一样；这种服务还能对已毁坏的数 据进行恢复，所以这种业务主要是针对对消息流的 篡改和业务拒绝的。应用于单个消息或一个消息某 一选定域的完整性业务仅用来防止对消息的篡改。
2. 认证业务
用于保证通信的真实性。在单向通信的情况下，认 证业务的功能是使接收者相信消息确实是由它自己 所声称的那个信源发出的。在双向通信的情况下， 例如计算机终端和主机的连接，在连接开始时，认 证服务则使通信双方都相信对方是真实的（即的确 是它所声称的实体）；其次，认证业务还保证通信 双方的通信连接不能被第三方介入，以假冒其中的 一方而进行非授权的传输或接收。
恶意软件指病毒、蠕虫等恶意程序，可分为两类， 如图1.2所示，一类需要主程序，另一类不需要。前 者是某个程序中的一段，不能独立于实际的应用程 序或系统程序；后者是能被操作系统调度和运行的 独立程序。来自图1.2 恶意程序分类
对恶意软件也可根据其能否自我复制来进行分类。 不能自我复制的一般是程序段，这种程序段在主程 序被调用执行时就可激活。能够自我复制的或者是 程序段（病毒）或者是独立的程序（蠕虫、细菌 等），当这种程序段或独立的程序被执行时，可能 复制一个或多个自己的副本，以后这些副本可在这 一系统或其他系统中被激活。以上仅是大致分类， 因为逻辑炸弹或特洛伊木马可能是病毒或蠕虫的一 部分。
现代密码学_清华大学_杨波着+习题答案
一、古典密码（1,2,4）解：设解密变换为m=D(c)≡a*c+b (mod 26)由题目可知密文ed 解密后为if，即有：D(e)=i ：8≡4a+b (mod 26) D(d)=f ：5≡3a+b (mod 26) 由上述两式，可求得a=3，b=22。
因此，解密变换为m=D(c)≡3c+22 (mod 26)密文用数字表示为：c=[4 3 18 6 8 2 10 23 7 20 10 11 25 21 4 16 25 21 10 23 22 10 25 20 10 21 2 20 7] 则明文为m=3*c+22 (mod 26)=[8 5 24 14 20 2 0 13 17 4 0 3 19 7 8 18 19 7 0 13 10 0 19 4 0 7 2 4 17]= ifyoucanreadthisthankateahcer4. 设多表代换密码C i≡ AM i + B (mod 26) 中，A是2×2 矩阵，B是0 矩阵，又知明文“dont”被加密为“elni”，求矩阵A。
解：dont = (3,14,13,19) => elni = (4,11,13,8)二、流密码 （1,3,4）1. 3 级 线 性 反 馈 移 位 寄 存 器 在 c 3=1 时 可 有 4 种 线 性 反 馈 函 数 ， 设 其 初 始 状 态 为 (a 1,a 2,a 3)=(1,0,1)，求各线性反馈函数的输出序列及周期。
解：设反馈函数为 f(a 1,a 2,a 3) = a 1⊕c 2a 2⊕c 1a 3当 c1=0，c2=0 时，f(a 1,a 2,a 3) = a 1，输出序列为 101101…，周期为 3。
当 c1=0，c2=1 时，f(a 1,a 2,a 3) = a 1⊕a 2，输出序列如下 10111001011100…，周期为 7。
当 c1=1，c2=0 时，f(a 1,a 2,a 3) = a 1⊕a 3，输出序列为 10100111010011…，周期为 7。
现代密码的主要分类
现代密码的主要分类密码是信息安全领域中最基本的保护手段之一。
在现代密码学中，密码被分为多个分类，每种分类都具有不同的特点和应用场景。
下面将介绍现代密码的主要分类。
1. 对称密码对称密码也被称为私钥密码，是最常见的密码类型之一。
在对称密码中，加密和解密使用相同的密钥。
这意味着发送方和接收方需要共享同一个密钥，才能进行加密和解密操作。
对称密码的优势在于加密解密速度快，但其密钥管理与分发会带来一定的安全风险。
常见的对称密码算法有DES、AES和3DES等。
2. 公钥密码公钥密码也被称为非对称密码，是另一种常见的密码类型。
在公钥密码系统中，加密和解密使用不同的密钥。
发送方使用接收方的公钥进行加密，而接收方使用自己的私钥进行解密。
公钥密码的优势在于密钥管理方便，不需要事先共享密钥。
常见的公钥密码算法有RSA、ElGamal和ECC等。
3. 哈希算法哈希算法是一种将任意长度的数据转换为固定长度摘要的密码技术。
它常被用于验证数据的完整性和一致性。
哈希算法的特点是不可逆，即无法通过摘要反推原始数据。
常见的哈希算法有MD5、SHA-1和SHA-256等。
4. 消息认证码（MAC）消息认证码是一种基于密钥的密码操作，用于验证消息的完整性和来源。
它通过对消息进行加密和生成消息验证码来实现身份验证和防篡改功能。
常见的消息认证码算法有HMAC和CMAC等。
5. 数字签名数字签名是一种通过非对称密码算法，为文档或数据附加一个唯一的标记来验证发送方身份和消息完整性的技术。
数字签名可以防止篡改和抵赖，并且不需要发送方和接收方共享密钥。
常见的数字签名算法有RSA和DSA等。
6. 流加密和分组加密流加密和分组加密是对称密码算法的两种不同方式。
在流加密中，数据按位或按字节加密。
流加密的特点在于加密和解密速度快，适用于实时数据传输。
而分组加密将数据分成固定长度的块进行加密处理。
常见的分组加密算法有DES和AES 等。
7. 转身密码置换密码是一种基于置换的加密技术，通过改变数据中的位置或次序来加密数据。
现代密码学第五讲（一）：流密码
现代密码学第五讲（一）：流密码《现代密码学》第五讲流密码（一）上讲内容回顾分组密码定义（分组填充）分组密码的发展历史（Shannon DES AES。
）保密系统的安全性分析及分组密码的攻击（主动/被动唯密文/已知明（密）文/选择明（密）文/自适应选择明（密）文）数据加密标准（DES）算法介绍高级加密标准（AES）算法介绍中国无限局域网标准（SMS4）算法介绍?分组密码算法的运行模式本章主要内容流密码（序列密码）的思想起源?流密码技术的发展及分类基于移位寄存器的流密码算法?其它流密码算法Estream推荐流密码算法软件算法硬件算法密钥流生成器种子密钥明文m1k1c1m2k2c2加密过程密钥流生成器种子密钥密文c1k1m1c2k2m2解密过程设明文为m=m1m2… m i∈GF(2), i>0?设密钥为k=k1k2… ki∈GF(2), i>0?设密文为c=c1c2… c i∈GF(2), i>0?则加密变换为c i＝m i+ k i(mod 2) i>0?则解密变换为m i＝c i+ k i(mod 2) i>0思想起源：20世纪20年代的Vernam 体制，即“一次一密”密码体制。
香农利用信息论证明“一次一密”密码体制在理论上不可破译?由有限的种子密钥生成无限长的随机密钥序列?流密码研究内容——设计安全高效的伪随机序列发生器密钥流生成、存储和分发困难随机序列计算机无法实现评测标准：线性复杂度高；周期大Golomb伪随机性测试周期为r的0－1序列的随机性公设如下：r是奇数，则0－1序列{si}的一个周期内0的个数比1的个数多一个或少一个；若r是偶数，则0的个数与1的个数相等.在长度为r的周期内，长为1的游程的个数为游程总数的1/2，长为2的游程的个数占游程总数的1/22,…, 长为c的游程的个数占总游程的1/2c.而且对于任意长度，0的游程个数和1的游程个数相等.例：0110111101中，4个游程长度为1，1个游程长度为2，1个游程长度为4异相自相关函数是一个常数.设一个周期为r的序列a1, a2,…, a r, a r+1, a r+2,…，将序列平移T位得到另外一个序列a T, a T+1,… a r+T, a r+T+1,…，若a i= a i+T, 则称对应第i位相等。
流密码1.1
第2章流密码基本概念设(,,,,)是一个密码体制，其中：明文消息空间，：密文消息空间，：密钥空间，:加密规则集合，解密规则集合。
将明文消息m按一定的规则进行编码后可表示为明文串：m=m0m1m2…，mi∈流密码加解密明文消息x方式是首先利用密钥产生一个密钥流序列:k=k0k1k2…然后对明文串m=m0m1m2…施以加密变换进行加密，得到密文序列:c=E k0（m0）E k1（m1）E k2（m2）…=c0c1c2…，Ez i ∈，ci∈，m i∈，k i∈解密时，对密文序列c0c1c2…施以解密变换获得明文序列m=D k0（c0）D k1（c1）D k2（c2）…=m0m1m2…，Dz i ∈，ci∈，m i∈，k i∈密钥流序列由密钥流发生器f产生：ki =f(k,σi),这里σi是记忆元件（存储器）在时刻i的状态（见教材有限状态自动机说明）。
同步密码流密码分为同步与自同步两种，在同步密码中ki =f(k,σi)与明文无关，因此，密文c i=E Zi（m i）不依赖明文，同步流密码模型如教材p13图2-2所示。
例考察密码体制(,,,,)，其中明文消息空间，密文消息空间和密钥空间都是由26个英文字母组成，加解密算法使用模26整数环26上的加法，假设对明文：I am glad to see you有一密钥流序列（视为由密钥生成）是sgdwkqbmdzhfpqx。
现对上述明文将加密变换进行加密（不考虑空格）。
加密变换/算法:c i=Eki （mi）=(mi+k i)mod26y=E s（I）E g（a）E d（m）…E m（t）E d（o）E Z（s）…E q（o）E x（s）Es（I）(=8+18)=26mod26=0→AEg（a）(=0+6)=6mod26=6→GEd（m）(=12+3)=15mod26=15→P…Em（t）(=19+12)=31mod26=5→FEd（o）(=14+3)=17mod26=17→REZ（s）(=18+25)=43mod26=17→R…Eq（o）(=14+16)=30mod26=4→EEx（s）(=20+23)=43mod26=17→R因此，加密的密文序列为：AGPB…FRR…ER。
现代密码学(密钥)概述
1）流密码
流密码（Stream Cipher）也称序列密码，是对称密码算 法的一种。流密码具有实现简单、便于硬件实施、加解密处 理速度快、没有或只有有限的错误传播等特点，因此在实际 应用中，特别是专用或机密机构中保持着优势，典型的应用 领域包括无线通信、外交通信。
密钥k
密钥流 产生器
异或运算
明文m
弱密钥
弱密钥：由密钥 k 确定的加密函数与解密函数相同 ，即 。
DES的弱密钥： 密函数相同。
如果各轮产生的子密钥一样，则加密函数与解
DES
k
(•)
DES
1 k
(•)
DES至少有4个弱密钥 ：
➢ 0101010101010101
➢ 1f1f1f1f0e0e0e0e
➢ e0e0e0e0f1f1f1f1
（ 56 位） 置换选(择48 2
k1
位)
循环左移
循环左移
C i（ 28 位）
D i（ 28 位）
（ 56 位）
置换选择
2
ki
（ 48 位）
置换选择1(PC-1)和置换选择2(PC-2)
总结－DES示意图
DES的安全性分析
DES的安全性完全依赖于密钥，与算法本身没有 关系。 主要研究内容：
➢ 密钥的互补性； ➢ 弱密钥与半弱密钥； ➢ 密文-明文相关性； ➢ 密文-密钥相关性； ➢ S-盒的设计； ➢ 密钥搜索。
2
15 11 8
3
10 6
12 5
9
0
7
14 2
13 1
10 6
12 11 9
5
3
8
13 6
2
11 15 12 9
现代密码
5.1.4 序列密码
1．随机数的判定 • 序列的随机性测试的16种手段：频率检验（Frequency Test）、块内频数
检验（Frequency Test within a Block）、游程检验（Runs Test）、块内最长 游程检验（Test for the Longest Run of Ones in a Block）、二元矩阵秩检验 （Binary Matrix Rank Test）、离散傅里叶变换检验（Discrete Fourier Transform （Spectral） Test） 、非重叠模块匹配检验（Non-overlapping Template Matching Test）、重叠模块匹配检验（Overlapping Template Matching Test）、Maurer 的通用统计检验（Maurer‘s“Universal Statistical”Test）、Lempel-Ziv压缩检验（Lempel-Ziv Compression Test）、 线性复杂度检验（Linear Complexity Test）、序列检验（Serial Test）、近 似熵检验（Approximate Entropy Test）、累加和检验（Cumulative Sums （ Cusum） Test）、随机游动检验（Random Excursions Test）、随机游动状 态频数检验（Random Excursions Variant Test）等。
3．序列密码算法 • 序列密码涉及到大量的理论知识，提出了众多的设计原理，也得到了广
泛的分析，但许多研究成果并没有完全公开，这也许是因为序列密码目 前主要应用于军事和外交等机密部门的缘故。目前，国外公开的比较常 用的序列密码算法主要有A5、RC4、SEAL等，我国学者自主设计的算法有 祖冲之序列密码算法（ZUC）等。
密码学课件3(流密码)
1 0 1 1 1 0
即输出序列为101110111011…，周期为4。 如果移位寄存器的反馈函数f(a1,a2,…,an)是a1，a2，…，an的 线性函数，则称之为线性反馈移位寄存器LFSR（linear feedback shift register）。此时f可写为 f(a1,a2,…,an)=cna1 cn-1a2 … c1an 其中常数ci=0或1 2加法。ci=0或1可用开关的断开 和闭合来实现，如图2.10所示。
流密码与分组密码的比较：
流密码的特点： 优点：处理速度快，实时性能好，错误传播小 缺点：明文扩散性差，密钥须同步 分组密码的特点：
优点：明文扩散性好，不需密钥同步
缺点：加密速度慢，错误易扩散和传播
图2.1 分组密码和流密码的比较
图2.1 分组密码和流密码的比较
2.1.1 同步流密码
根据加密器中记忆元件的存储状态σi是否依赖于输入的明文 字符，流密码可进一步分成同步和自同步两种。σi独立于明文 字符的叫做同步流密码，否则叫做自同步流密码。由于自同 步流密码的密钥流的产生与明文有关，因而较难从理论上进 行分析。目前大多数研究成果都是关于同步流密码的。在同 步流密码中，由于zi=f(k,σi)与明文字符无关，因而此时密文字 符yi=Ezi(xi)也不依赖于此前的明文字符。因此，可将同步流密 码的加密器分成密钥流产生器和加密变换器两个部分。如果 与上述加密变换对应的解密变换为xi=Dzi(yi)，则可给出同步 流密码体制的模型如图2.2所示。
1
从而得到
0 1 c5 c4 c3 c2 c1 0 1 0 0 0 0 0 1
1 0 0 1 0 0 1 0 0 0 0 1 1 0 11 0 11 0
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《现代密码学》第五讲流密码（一）上讲内容回顾⏹分组密码定义（分组填充）⏹分组密码的发展历史（Shannon DES AES。
）⏹保密系统的安全性分析及分组密码的攻击（主动/被动唯密文/已知明（密）文/选择明（密）文/自适应选择明（密）文）⏹数据加密标准（DES）算法介绍⏹高级加密标准（AES）算法介绍⏹中国无限局域网标准（SMS4）算法介绍⏹分组密码算法的运行模式本章主要内容⏹流密码（序列密码）的思想起源⏹流密码技术的发展及分类⏹基于移位寄存器的流密码算法⏹其它流密码算法⏹Estream推荐流密码算法⏹软件算法⏹硬件算法密钥流生成器种子密钥明文m1k1c1m2k2c2加密过程密钥流生成器种子密钥密文c1k1m1c2k2m2解密过程⏹设明文为m=m1m2… m i∈GF(2), i>0⏹设密钥为k=k1k2… k i∈GF(2), i>0⏹设密文为c=c1c2… c i∈GF(2), i>0⏹则加密变换为c i＝m i+ k i(mod 2) i>0⏹则解密变换为m i＝c i+ k i(mod 2) i>0⏹思想起源：20世纪20年代的Vernam 体制，即“一次一密”密码体制。
香农利用信息论证明“一次一密”密码体制在理论上不可破译⏹由有限的种子密钥生成无限长的随机密钥序列⏹流密码研究内容——设计安全高效的伪随机序列发生器密钥流生成、存储和分发困难随机序列计算机无法实现评测标准：线性复杂度高；周期大Golomb伪随机性测试周期为r的0－1序列的随机性公设如下：⏹r是奇数，则0－1序列{si}的一个周期内0的个数比1的个数多一个或少一个；若r是偶数，则0的个数与1的个数相等.⏹在长度为r的周期内，长为1的游程的个数为游程总数的1/2，长为2的游程的个数占游程总数的1/22,…, 长为c的游程的个数占总游程的1/2c.而且对于任意长度，0的游程个数和1的游程个数相等.例：0110111101中，4个游程长度为1，1个游程长度为2，1个游程长度为4异相自相关函数是一个常数.设一个周期为r的序列a1, a2,…, a r, a r+1, a r+2,…，将序列平移T位得到另外一个序列a T, a T+1,… a r+T, a r+T+1,…，若a i= a i+T, 则称对应第i位相等。
设两个序列相同位的个数为n，不同位的个数为d，则R(T)=(n-d)/r为自相关函数流密码技术的发展及分类⏹序列密码是世界各国的军事和外交等领域中使用的主要密码体制之一⏹2000年1月欧洲启动的NESSIE 工程中，流密码算法的设计与分析也列上了公开征集评测的日程；6个流密码算法（Leviathan 、UIi 一128、BMGL 、SOBER —t32、SOBER —tl 、SNOW ）进入了第二阶段评估，但是因为他们都不符合NESSIE 的征集准则而最终全部落选⏹2003年3月，日本政府的密码研究与评估委员会（CRYPTREC ）推荐了三个流密码算法：MUGI 、MULTI-S01和RC4-128.⏹ECRYPT 是欧洲FP6下的IST 基金支持的一个为期四年的项目，该项目启动于2004年2月，STVL （Symmetric techniques virtual lab ）正在进行流密码算法的公开征集评估活动.征集活动到2005 年4月29 日结束，征集到了34个流密码算法.2007年4月开始进入第三轮评估，16个算法进入第三轮评估./stream/phase3list.html2008年4月8个算法成为推荐算法.2008年8月更新为7个推荐算法.Profile 1 (SW)Profile 2 (HW)CryptMT (CryptMT Version 3)DECIM (DECIM v2 and DECIM-128)Dragon Edon80HC (HC-128 and HC-256)F-FCSR (F-FCSR-H v2 and F-FCSR-16)LEX (LEX-128, LEX-192 and LEX-256)Grain (Grain v1 and Grain-128)NLS (NLSv2, encryption-only)MICKEY (MICKEY 2.0 and MICKEY-128 2.0)Rabbit Moustique Salsa20Pomaranch (Pomaranch Version 3)SOSEMANUK Trivium⏹在同步流密码中，密（明）文符号是独立的，一个错误传输只会影响一个符号，不影响后面的符号。
⏹缺点：一旦接收端和发送端的种子密钥和内部状态不同步，解密就会失败，两者必须立即借助外界手段重新建立同步。
k c ik 密钥流生成器密钥流生成器信道c iz i m iz im iE (z i ,m i )E (z i ,m i )自同步流密码的优点是即使接收端和发送端不同步，只要接收端能连续地正确地接受到n 个密文符号，就能重新建立同步。
因此自同步流密码具有有限的差错传播，且分析较同步流密码的分析困难得多k c ik 密钥流生成器密钥流生成器信道c iz im iz im iE (z i ,m i )E (z i ,m i )流密码技术的发展及分类思考：假设j=n/4,n为分组长度对于DES，n=64, j=16；对AES，n=128,j=32 CFB模式为（）流密码？OFB模式为（）流密码？CTR模式为（）流密码？自同步、同步、同步⏹挪威政府的首席密码学家Ernst Selmer 于1965年提出了移位寄存器理论，它是序列密码中研究随机密钥流的主要数学工具.⏹移位寄存器是指有n 个寄存器（称为n-级移位寄存器）r 1,r 2,…,r n 从右到左排列，每个寄存器中能存放1位二进制数，所有寄存器中的数可以统一向右（或向左）移动1位，称为进动1拍. 即r 1的值(b 1)右移1位后输出，然后r 2的值(b 2)送r 1, r 3的值(b 3)送r 2,……最后，r n 的值(b n )送r n-1.b nr n b n-1r n-1……b 2r 2b 1r 1⏹反馈移位寄存器(feedback shift register,FSR)是由n 位的寄存器和反馈函数(feedback function)组成，如下图所示，n 位的寄存器中的初始值称为移位寄存器的初态.⏹工作原理：移位寄存器中所有位的值右移1位，最右边的一个寄存器移出的值是输出位，最左边一个寄存器的值由反馈函数的输出值填充，此过程称为进动1拍. 反馈函数f 是n 个变元(b 1,b 2,…,b n )的布尔函数.移位寄存器根据需要不断地进动m 拍，便有m 位的输出，形成输出序列a 1,a 2,…,a m .b n r n b n-1r n-1……b 2r 2b 1r 1输出位o i反馈函数f⏹线性反馈移位寄存器LFSR(linear feedback shift register）的反馈函数为线性函数⏹作为密钥流的序列{a i}的周期一定要大否则密钥流的空间太小，利用穷举搜索可以得到密钥流{a i}⏹n级LFSR输出的序列的周期r不依赖于寄存器的初始值，而依赖于特征多项式p(x)定义设n 级LFSR 的输出序列{a i }满足递推关系这种递推关系可用一个一元高次多项式表示，称这个多项式为LFSR 的特征多项式。
n n 11n 21(1).k n k n k k a c a c a c a k ++--+-=⊕⊕⊕≥ 111()1n n n n f x c x c xc x --=++++定义设是上的多项式，使的最小的n 称为的周期或者阶。
例：为上多项式，以它为特征多项式的LFSR 的输出序列周期。
()f x ()f x (2)GF ()|(1)n f x x -432()1f x x x x x =++++(2)GF 5432(1)(1)(1)()(1)x x x x x x f x x -=++++-=-所以f(x)的周期为5()|1,5nf x x n -<解：对应的n 级LFSR 的反馈函数为10001100…f(b 1,b 2,b 3,b 4状态 输出位000111000011000011000011100011100001100b 4b 3b 2b 1)输出序列的周期为5⏹n级LFSR输出的序列的最大周期是2n-1为什么？⏹LFSR的寄存器状态遍历2n-1个非零状态⏹初始状态为全零，则输出序列为0的循环定义当LFSR的寄存器状态遍历2n-1个非零状态时，序列的周期达到最大2n-1，这种序列被称为m序列。
定义若n次不可约多项式f(x)的阶为2n-1，则称f(x)为n次本原多项式。
定理{a i}是周期为2n 1的m-序列的充要条件是其特征多项式f(x)为n阶本原多项式一个3-级的反馈移位寄存器，反馈函数f(x)= b 3⊕b 1，初态为100，输出序列？3()1f x x x =++742342(1)(1)(1)(1)()x x x x x x x x x f x -=+++++=+++ ()|1,7n f x x n -<所以f(x)的周期为7生成多项式为初态为100放入寄存器，输出序列情况如下b3b 2b 100111010011101…f(b 1,b 2,b 3)=b 1⊕b 3状态 输出位10001100111101111011010000111000输出序列的周期为7流密码的攻击攻击目的：确定整个密钥流{k i}攻击手段：惟密文已知明文选择明/密文自适应选择明/密文1 若LFSR 的反馈函数已知，破译者已知连续n 位明密文对和则可以推导出n 比特密钥流，继而由反馈函数得到整个密钥流{k i }2 已知明文攻击下，假设破译者已知了2n 位明密文对，，则可确定一段2n 位长的密钥序列，由此可以完全确定n 级反馈多项式的系数。
},,,{221n m m m M =},,,{21n m m m },,,{21n c c c },,,{221n c c c C =i i i c m k ⊕=},,,{21n k k k },,,{221n k k k K =n 个线性方程包含n 个未知数：b 1,b 2,...,b n ，所以可惟一解出b i (i=0，1，…，n )从而可确定该线性反馈移位寄存器接下来的状态，也就能够得到余下的密钥序列。
11211223111211211n n n n n n n n n n n n n n k k b k b k b k k b k b k b k k b k b k b +-+-++--=+++⎧⎪=+++⎪⎨⎪⎪=+++⎩例：5级线性反馈移位寄存器产生的密钥序列加密得到的明文串为011001111111001，对应的密文串为101101011110011。