1.三种公钥密码体制 - my

用背包加密的实现方案
选一组正整数a 作为公钥予以公布， 公钥予以公布 选一组正整数a1,a2,…,an作为公钥予以公布，m=m1m2…mn 明文符号串。 是n位0，1明文符号串。利用公钥加密如下 : +…a c=a1m1+a2m2+…anmn 从已知密文c求解明文m=m 等价于解背包问题。 从已知密文c求解明文m=m1m2…mn等价于解背包问题。 【例】 已知 a1=12，a2=20，a3=25,a4=28,a5=31,a6=38,a7=55,a8=77 ， ， 明文是 m1=11101011，m2=01011111 ， 分别加密得密文 c1=12+20+25+31+55+77=220 c2=20+28+31+38+55+77=249 由密文和已知的密钥a 由密文和已知的密钥 1,a2,…,an可以用求解背包问题的方法获得 明文。 明文。
信宿
Shannon保密通信模型 保密通信模型
对称密码体制不能满足信息安全需求的发展。 对称密码体制不能满足信息安全需求的发展。
（1）陌生人间的保密通信问题 （2）密钥管理的困难性问题 传统密钥管理两两分别用一对密钥时则n 传统密钥管理两两分别用一对密钥时则n个用户需要 C(n,2)=n(n- )/2个密钥当用户量增大时密钥空间急剧增大如: C(n,2)=n(n-1)/2个密钥当用户量增大时密钥空间急剧增大如: n=100 时 ， C(100,2)= 4,995 ； C(100 100, n=100 n=5000时 C(5000 )=12 497, 5000, 12, n=5000时 ，C(5000,2)=12,497,500 5000 （3）数字签名的问题 对称加密算法难以实现抗抵赖的安全需求。 对称加密算法难以实现抗抵赖的安全需求。
Shamir攻击 攻击
陷门是在某个系统或某个文件中 设置的"机关 机关" 设置的 机关
若考虑a 若考虑 3=131，u/m进一步缩小为 ， 进一步缩小为 ），（0.52676，0.52677） （0.05353，0.05354），（ ， ），（ ， ） 若考虑a 若考虑 4=318，u/m进一步缩小为 ， 进一步缩小为 （0.05353，0.05354） ， ） 如何确定整数u和 使得 使得u/m落入区间呢？对于本例至少有以 落入区间呢？ 如何确定整数 和m使得 落入区间呢 下两种方法： 下两种方法： 通过变换b （1）u=53,m=990,通过变换 i=53ai(mod 990),i=1,2,…,8,得超 ） 通过变换 得超 递增序列1， ， ， ， ， 递增序列 ，5，13，24，49，123，225，505。 ， ， 。 例如， 例如，53*467=24751=1(mod 990),53*355=18815=5(mod 990) 等等。 等等。 （2）u=28,m=523,得1,3,7,13,26,65,119,269. ） 得
但是， 对于某些特殊的a 但是 ， 对于某些特殊的 a1,… ,an ， 背包问题是容易 解决的，比如超递增背包问题的解就很容易找到。 超递增背包问题的解就很容易找到 解决的，比如超递增背包问题的解就很容易找到。
超递增背包问题
若正整数a 若正整数a1,… ,an满足条件 ai≥a1+… +ai-1 ,2≤i≤n ， 则称其为超递增序列 比如1 比如1，3，6，13，27，52是一个超递增序列，而1，3， 13，27，52是一个超递增序列， 是一个超递增序列 4，9，15，25不是超递增序列。 15，25不是超递增序列。 不是超递增序列 超递增序列的解是容易找到的。 超递增序列的解是容易找到的。将总质量与序列中最大 的书比较，如果总质量小于这个数，则它不在背包中； 的书比较，如果总质量小于这个数，则它不在背包中；如果 总质量大于这个数，则它在背包中， 总质量大于这个数，则它在背包中，用背包质量减去这个数 ，转向考查序列下一个最大的数，重复这个过程知道结束。 转向考查序列下一个最大的数，重复这个过程知道结束。 (2)
2
n 以 n=100 为例： 2100=1.27×1030, 以每秒搜索107 n=100为例 ： 2100= 27×1030, 以每秒搜索 107 100 为例
种方案的超高速计算机进行穷举，一年只能完成 3.1536×1014次，完成所有的穷举则需要： 1536× 完成所有的穷举则需要：
15
4.02×10 （年） 02×
i=1
∑ ai xi =b
11/59
n
背包问题有没有效解法？ 背包问题有没有效解法？
一般地，求解背包问题是计算上困难的， 一般地，求解背包问题是计算上困难的，求解这类问 题还没有有效算法。理论上只能采用穷举搜索， 题还没有有效算法。理论上只能采用穷举搜索，那需要多 少次穷击 针对多次
两位创始人将经过多次变换的序列作为公钥公开， 两位创始人将经过多次变换的序列作为公钥公开， 再次悬赏100美元。又过两年，Lagarias-Odlyzko和 100美元 再次悬赏100美元。又过两年，Lagarias-Odlyzko和 Brickell几乎同时提出攻击方法 几乎同时提出攻击方法， MH型背包公钥密 Brickell几乎同时提出攻击方法，使MH型背包公钥密 码系统受到致命的打击。 码系统受到致命的打击。 小结： 小结： Mekle-Hellman背包加密方案有着重要的历史意义 背包加密方案有着重要的历史意义， Mekle-Hellman背包加密方案有着重要的历史意义， 因为它是第一个具体实现了的公钥加密方案。 因为它是第一个具体实现了的公钥加密方案。随后人 们提出了许多变体，其中绝大多数变体（ 们提出了许多变体，其中绝大多数变体（包括原始方 已被证明是不安全的。一个例外是Chor Rivest背 Chor案）已被证明是不安全的。一个例外是Chor-Rivest背 包方案。
• 公钥应公开，私钥保密；
• • • •
系统开放性好，密钥管理较容易； 可提供抗抵赖服务（数字签名） 加解密运算复杂，效率低，不宜作数据加密； 安全性依赖某数学难题,存在“可能报文攻击”威胁。
三种公钥密码体制
1 背包公钥密码体制 2 Rabin公钥密码体制 公钥密码体制 3 椭圆曲线密码体制（ECC） 椭圆曲线密码体制（ ）
2. 公钥加密模型 公钥加密模型:
公钥密码又称为双钥密码和非对称密码，是1976年由Diffie和 Hellman在其“密码学新方向 密码学新方向”一文中提出的，见划时代的文献： 密码学新方向 W.Diffie and M.E.Hellman, New Directions in Cryptography, IEEE Transaction on Information Theory, V.IT-22.No.6, Nov 1976, PP.644-654 公开密钥密码模型
解密过程
背包的安全性
Merkle和Hellman提出： Merkle和Hellman提出：谁能破译这个新的背包公钥系 提出 统，可获奖励50美元。两年后被Shamir找到规律并将它 可获奖励50美元。两年后被Shamir找到规律并将它 50美元 Shamir 破译。 破译。 Shamir攻击 Shamir攻击 Shamir攻击主要是抓住 攻击主要是抓住MH背包公钥密码中的公钥序列 攻击主要是抓住 背包公钥密码中的公钥序列 和产生它的超递增序列之间的关系作为突破口。 和产生它的超递增序列之间的关系作为突破口。
700克 700克？ 我们可以看出没有办法拿出一些物品使重量 和等于700 700克 和等于700克。 当物品数目相当大的时候， 当物品数目相当大的时候，计算就没有这么 简单了。 简单了。
10/59
数学表示：
已知有n个物品，它们的重量分别为a1,a2,…,an， 现在把其中某些物品装入重量为b的背包。这个问 题导致求满足下面等式的xi， xi =0或者1， i=1,2,…,n.
《应用密码学》 应用密码学》
•公开密钥密码体制 公开密钥密码体制
教师：刘嘉勇 教师： 学生： 学生：XXX
公钥密码体制
一、 基本原理
1.现有密码体制的主要问题： 1.现有密码体制的主要问题： 现有密码体制的主要问题 密码分析者
X’
K’
明文m 解密变换D
信源
明文m
密文c 加密变换E 普通信道 K 安全信道 密钥源
866g=799g 单词书） 30g 866g=799g（单词书）+30g（笔）+37g（橡皮） g=799 37g 橡皮） 25g+ 30g+ 37g+ 504g+ 711g+ 799g=866g g+1 g+1 g+0 g+0 g+1 g=866 即 0*25g+1*30g+1*37g+0*504g+0*711g+1*799g=866g
直尺25g 直尺25g 橡皮37g 橡皮37g
数学书504g 数学书504g
单词书799g 单词书799g
笔30g
钱包711g 钱包711g
866g=？700g=？ 866g=？700g=？
9/59
866克 866克？ 因为这个例子只有6个物品， 因为这个例子只有 6 个物品 ， 可以很容易看 出答案： 出答案：
密码分析者
X’
K’
信源
明文m
密文c 加密变换E 解密变换D 普通信道
明文m
信宿
公开密钥Ke
秘密密钥Kd 密钥源
3. 两种密码体制的比较
对称密码体制 • 对明文/密文变换时，加解密密钥相同，或可相互导出； • 双方在通信前需要安全地协商共享密钥； • 加解密算法效率较公开密码算法高； • 算法安全性较高 • 系统开放性差，密钥管理复杂； • 不能提供抗抵赖服务。 公开密码体制 • 对明文/密文变换时，加解密密钥不相同，且不可能相互导出；