第2章密码学导论(2)
算法 三重DES算法 高级加密标准AES算法 RC4算法 加密操作模式
3
传统密码学历史
传统密码学起源于古代的密码术。早在古罗马 时代恺撒大帝就采用“替代”方法加密自己发 布的命令，这种“替代”加密方法被称为“恺 撒加密法”。传统密码学的基本原理可以归结 为两条对数据处理的方法：替代和换位。 美国国家标准局(NBS)于1977年颁布的数据加 密标准(DES)是目前广泛应用的传统加密方法。 美国国家标准与技术学会(NIST)在2001年颁布 的高级加密标准(AES)将是未来取代DES的一 种加密方法。
以此类推，可以用归纳法证明存在以下等式：
28
DES算法的解密过程(4)
当DES算法经过16次解密处理，可以得到：
L’16 || R’16 = R0 || L0
再经过DES算法后期左右换位和逆初始排列的 处理就可以得到：
IP – 1(L0 || R0) = IP – 1(IP(P)) = P (2.12)
23
DES算法每轮处理过程
每轮处理可以表示为: Li = R i-1, Ri = Li-1 ⊕ F(Ri-1, Ki)
待加密64比特数据块 Lj-1 (32比特) Rj-1 (32比特) 扩展排列 48 8个S-盒 排列 Kj 排列选择2 48比特 56比特密钥 Cj-1 (28比特) Dj-1 (28比特) 左移位 左移位
分析：在DES算法的正常求解过程中，通过两 次“异或”运算抵消了复杂的“替代”和“换 位”处理函数F对数据块的处理，无需寻找F的 逆函数。
29
三重DES算法
早在20世纪70年代颁布DES标准的时候，一些 密码学专家就预测到随着计算技术的发展， DES将难以满足安全性的需求，因此，提出了 对多重DES算法的研究。 多重DES算法基本思路是：通过多次对数据块 执行DES加密算法，提高密文的安全性。 三重DES算法，简称为TDES、TDEA或者 3DES，在1999年被接纳为NIST标准，该算法 可以将DES的密钥扩展为112比特或者168比特 长度。
18
数据加密标准DES(续1)
IBM公司提交的加密算法是一种对称密钥的块加密算 法，块长度为128个比特，密钥长度为128个比特。 该加密算法经过NSA安全评估后，将其块长度更改为 64个比特，密钥长度更改为56个比特，并且修改了原 来加密算法中的替代矩阵S-盒。 对于NSA对DES算法的更改有以下评论：
22
DES算法概述(续2)
DES加密处理分成三个部分:
(1) 64比特明文块通过初始排列IP(换位)处理； (2) 通过16个轮回的替代和移位处理, 左右半换位形成 预输出 (3) 预输出的64比特块进行逆初始排列IP-1处理, 产生64 比特块密文
DES解密过程与DES加密过程基本一样, 但是需 要按照相反顺序使用子密钥, 即按照K16, K15, …, K1顺序处理每个轮回
(1) NSA降低密钥长度是为了降低DES加密算法的安全性，使得 NSA在必要时，有能力破译DES加密系统。 (2) NSA修改原来加密算法中的S-盒，是为自己破译DES加密系 统设置了后门
19
数据加密标准DES(续2)
到了20世纪90年代初期，有两次不成功 的对DES破译的报告显示，DES的S-盒具 有很强的防范攻击的能力。 这说明更改 的S-盒是增强了DES的安全性 到了20世纪90年代中期，对于DES成功 的破译报告表明，较短的密钥长度是 DES算法的安全弱点。
15
传统密码学原理(续3)
矩阵加密方法必须事先确定矩阵的n和m的值。 对于矩阵加密方法会提出这样的问题：
– 如果读入的待加密字符串装不下一个n×m的矩阵时， 应该如何处理？ – 如果读入的待加密字符串装不满一个n×m的矩阵时， 应该如何处理？
实际上矩阵加密方法属于块加密方法，这两个 问题是块加密方法必须处理的问题。
16
传统密码学算法
大部分常用的传统加密算法都是块加密 算法, 它处理固定长度块的明文, 输出相 同长度的密文块 目前最常用, 最重要的传统加密算法包括:
(1) 数据加密标准DES (2) 三重数据加密算法3DES或TDEA (3) 高级加密标准AES
17
数据加密标准DES
数据加密标准，英文缩写DES，是迄今为止应 用最为广泛的标准化加密算法之一。 DES是美国国家标准局(NBS，现在更名为美国 国家标准与技术学会NIST)于1977年标准化的 NIST) 1977 一种传统密码学加密算法。 DES是在国际商用机器(IBM)公司于1973年提 出的一种加密方法的基础上，经过美国国家安 全局(NSA)的验证和修改后标准化的加密方法。
20
DES算法概述
DES加密算法总体上是比较容易了解的一种加 密算法。虽然其中具体的“替代”和“换位” 的处理函数还是比较复杂，但是，这并不妨碍 对DES加密算法的理解。 DES算法处理过程沿时间轴纵向可以分成前期 处理、16次循环处理、后期处理部分，横向可 以分成数据处理和密钥处理两个部分。
5
凯撒密码(续)
如果假定每个英文字母对应一个数值(例如a = 1, b = 2), 并且对于每个明文字母p经过凯撒密码 处理后得到密文字母C, 则凯撒密码加密算法可 以表示为 C = E(p) = (p + 3) mode 26 凯撒密码的解密算法可以表示为 p = D(C) = (C - 3) mod 26 明文: a b c d e f g h i j k l m n o p q r s t u v w x y z 密文: D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
4
凯撒密码
恺撒加密法是将明文中的每个字母用该 字母对应的后续第3个字母替代，这里假 定字母按照字母表顺序循环排列，即明 文中的字母a对应密文中的字母D，明文 中的字母x对应密文中字母A。例如 明文：attack after dark 密文：DWWDFN DIWHU GDUN
abcdefghijklmnopqrstuvwxyz abcdefghIjklmnopqrstuvwxyz
7
通用恺撒加密法的启示
从通用恺撒加密法可以得到这样的启示，如果 某个加密法只依靠密钥保密，则这种密钥的选 择应该具有很好的随机性，并且可以选择的空 间足够大，使得攻击者利用现有的计算技术， 在可能的时间范围内无法破译。 根据目前主频为3.0GHz计算机的处理能力，长 度为80的二进制数密钥在目前基本上是无法穷 举了。 通用恺撒加密法的密钥相当于长度为5的二进 制数密钥，当然就很容易被破译。
8
课堂练习
采用恺撒算法加密明文“meet you at six”。
9
为何需要公开加密/解密算法?
不公开加密算法，则难以破译密码。公开加密 算法, 仅仅是实际应用的需要。 电报的出现才使得加密算法与密钥的分离。加 密算法可以在加密设备中实现，该设备被窃之 后，应该不会影响保密电报的传递。这就需要 将加密算法与密钥的分离， 只有公开加密/解密算法, 才能由制造商大规模 生产廉价的加密/解密设备和芯片. 才能普及加 密算法的应用。
10
传统密码学原理
传统密码学包括两条原理: 替代和换位 替代: 将明文中的字母采用其它字母/数字/符号 替代. 如果明文采用比特序列表示, 则将明文比 特模式替代为密文比特模式.
– 凯撒密码就是采用替代原理设计的加密算法
换位: 将明文中的元素(字母/比特/字母组/比特 组)进行某种形式的重新排列
6
通用凯撒密码算法
W. Stallings将凯撒密码算法中的字母表移位数 从3扩展到任意数k < 26, 这样, 就可以得到通用 凯撒密码加密算法: C = E(p) = (p + k) mode 26 这样, 通用凯撒密码解密算法就可以表示为: p = D(C) = (C - k) mod 26 这里k就是通用凯撒密码的密钥. 由于k只有25 个可能取值, 所以, 在已知加密/解密算法下, 只 要尝试25种密钥, 就可以破译通用凯撒密码.
第2章 密码学导论(2)
传统密码学概述
关键知识点
传统密码学的基本原理是“替代”和“换位” 传统密码学的加密和解密采用同一个密钥 传统密码学的安全性很大程度上决定密钥长度 目前常用的传统密码学算法是DES算法，56比 特的DES算法并不安全。 未来拟采用的传统密码学算法是AES算法
2
主要内容
密钥: 明文: 2 5 1 3 4 行 a t t a c k a f t e r d a r k 密文: TADCEKAKRTFAATR
列
25134即按阵中第2、5、1、3、4列的顺序形成密文
14
课堂练习
采用矩阵加密法加密明文“meet you at six”，请采用3×4矩阵，密钥为3142。
Lj (32比特)
Rj (32比特)
Cj (28比特) 图2.6 DES算法每轮处理过程
Dj (28比特)
24
16次乘积变换的目的是使明文增大其混 乱性和扩散性，使得输出不残存统计规 律，使破译者不能从反向推算出密钥。 DES开创了算法全部公开的先例。有关 部门与学者经过多年研究和全面考核， 普遍认为DES的保密性良好， 对它的批 评是：密钥长度（56位）不够长，迭代 次数（16次）不够多。
– 最简单的一种换位加密算法是围栏技术, 将明文书 写成为上下对角线形式, 再按照行顺序分别读出上 行和下行的字母序列
11
传统密码学原理(续1)
按照围栏方法对前面举例中的明文“attack after dark”的加密过程如下所示。 经过加密之后的密文就是一串没有意义的字符 串：“ATCATRAKTAKFEDR”。 ATCATRAKTAKFEDR” a t c a t r a k t a k f e d r
L’0 || R’0 = IP(C) (2.3)
3
传统密码学历史
传统密码学起源于古代的密码术。早在古罗马 时代恺撒大帝就采用“替代”方法加密自己发 布的命令，这种“替代”加密方法被称为“恺 撒加密法”。传统密码学的基本原理可以归结 为两条对数据处理的方法：替代和换位。 美国国家标准局(NBS)于1977年颁布的数据加 密标准(DES)是目前广泛应用的传统加密方法。 美国国家标准与技术学会(NIST)在2001年颁布 的高级加密标准(AES)将是未来取代DES的一 种加密方法。
以此类推，可以用归纳法证明存在以下等式：
28
DES算法的解密过程(4)
当DES算法经过16次解密处理，可以得到：
L’16 || R’16 = R0 || L0
再经过DES算法后期左右换位和逆初始排列的 处理就可以得到：
IP – 1(L0 || R0) = IP – 1(IP(P)) = P (2.12)
23
DES算法每轮处理过程
每轮处理可以表示为: Li = R i-1, Ri = Li-1 ⊕ F(Ri-1, Ki)
待加密64比特数据块 Lj-1 (32比特) Rj-1 (32比特) 扩展排列 48 8个S-盒 排列 Kj 排列选择2 48比特 56比特密钥 Cj-1 (28比特) Dj-1 (28比特) 左移位 左移位
分析：在DES算法的正常求解过程中，通过两 次“异或”运算抵消了复杂的“替代”和“换 位”处理函数F对数据块的处理，无需寻找F的 逆函数。
29
三重DES算法
早在20世纪70年代颁布DES标准的时候，一些 密码学专家就预测到随着计算技术的发展， DES将难以满足安全性的需求，因此，提出了 对多重DES算法的研究。 多重DES算法基本思路是：通过多次对数据块 执行DES加密算法，提高密文的安全性。 三重DES算法，简称为TDES、TDEA或者 3DES，在1999年被接纳为NIST标准，该算法 可以将DES的密钥扩展为112比特或者168比特 长度。
18
数据加密标准DES(续1)
IBM公司提交的加密算法是一种对称密钥的块加密算 法，块长度为128个比特，密钥长度为128个比特。 该加密算法经过NSA安全评估后，将其块长度更改为 64个比特，密钥长度更改为56个比特，并且修改了原 来加密算法中的替代矩阵S-盒。 对于NSA对DES算法的更改有以下评论：
22
DES算法概述(续2)
DES加密处理分成三个部分:
(1) 64比特明文块通过初始排列IP(换位)处理； (2) 通过16个轮回的替代和移位处理, 左右半换位形成 预输出 (3) 预输出的64比特块进行逆初始排列IP-1处理, 产生64 比特块密文
DES解密过程与DES加密过程基本一样, 但是需 要按照相反顺序使用子密钥, 即按照K16, K15, …, K1顺序处理每个轮回
(1) NSA降低密钥长度是为了降低DES加密算法的安全性，使得 NSA在必要时，有能力破译DES加密系统。 (2) NSA修改原来加密算法中的S-盒，是为自己破译DES加密系 统设置了后门
19
数据加密标准DES(续2)
到了20世纪90年代初期，有两次不成功 的对DES破译的报告显示，DES的S-盒具 有很强的防范攻击的能力。 这说明更改 的S-盒是增强了DES的安全性 到了20世纪90年代中期，对于DES成功 的破译报告表明，较短的密钥长度是 DES算法的安全弱点。
15
传统密码学原理(续3)
矩阵加密方法必须事先确定矩阵的n和m的值。 对于矩阵加密方法会提出这样的问题：
– 如果读入的待加密字符串装不下一个n×m的矩阵时， 应该如何处理？ – 如果读入的待加密字符串装不满一个n×m的矩阵时， 应该如何处理？
实际上矩阵加密方法属于块加密方法，这两个 问题是块加密方法必须处理的问题。
16
传统密码学算法
大部分常用的传统加密算法都是块加密 算法, 它处理固定长度块的明文, 输出相 同长度的密文块 目前最常用, 最重要的传统加密算法包括:
(1) 数据加密标准DES (2) 三重数据加密算法3DES或TDEA (3) 高级加密标准AES
17
数据加密标准DES
数据加密标准，英文缩写DES，是迄今为止应 用最为广泛的标准化加密算法之一。 DES是美国国家标准局(NBS，现在更名为美国 国家标准与技术学会NIST)于1977年标准化的 NIST) 1977 一种传统密码学加密算法。 DES是在国际商用机器(IBM)公司于1973年提 出的一种加密方法的基础上，经过美国国家安 全局(NSA)的验证和修改后标准化的加密方法。
20
DES算法概述
DES加密算法总体上是比较容易了解的一种加 密算法。虽然其中具体的“替代”和“换位” 的处理函数还是比较复杂，但是，这并不妨碍 对DES加密算法的理解。 DES算法处理过程沿时间轴纵向可以分成前期 处理、16次循环处理、后期处理部分，横向可 以分成数据处理和密钥处理两个部分。
5
凯撒密码(续)
如果假定每个英文字母对应一个数值(例如a = 1, b = 2), 并且对于每个明文字母p经过凯撒密码 处理后得到密文字母C, 则凯撒密码加密算法可 以表示为 C = E(p) = (p + 3) mode 26 凯撒密码的解密算法可以表示为 p = D(C) = (C - 3) mod 26 明文: a b c d e f g h i j k l m n o p q r s t u v w x y z 密文: D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
4
凯撒密码
恺撒加密法是将明文中的每个字母用该 字母对应的后续第3个字母替代，这里假 定字母按照字母表顺序循环排列，即明 文中的字母a对应密文中的字母D，明文 中的字母x对应密文中字母A。例如 明文：attack after dark 密文：DWWDFN DIWHU GDUN
abcdefghijklmnopqrstuvwxyz abcdefghIjklmnopqrstuvwxyz
7
通用恺撒加密法的启示
从通用恺撒加密法可以得到这样的启示，如果 某个加密法只依靠密钥保密，则这种密钥的选 择应该具有很好的随机性，并且可以选择的空 间足够大，使得攻击者利用现有的计算技术， 在可能的时间范围内无法破译。 根据目前主频为3.0GHz计算机的处理能力，长 度为80的二进制数密钥在目前基本上是无法穷 举了。 通用恺撒加密法的密钥相当于长度为5的二进 制数密钥，当然就很容易被破译。
8
课堂练习
采用恺撒算法加密明文“meet you at six”。
9
为何需要公开加密/解密算法?
不公开加密算法，则难以破译密码。公开加密 算法, 仅仅是实际应用的需要。 电报的出现才使得加密算法与密钥的分离。加 密算法可以在加密设备中实现，该设备被窃之 后，应该不会影响保密电报的传递。这就需要 将加密算法与密钥的分离， 只有公开加密/解密算法, 才能由制造商大规模 生产廉价的加密/解密设备和芯片. 才能普及加 密算法的应用。
10
传统密码学原理
传统密码学包括两条原理: 替代和换位 替代: 将明文中的字母采用其它字母/数字/符号 替代. 如果明文采用比特序列表示, 则将明文比 特模式替代为密文比特模式.
– 凯撒密码就是采用替代原理设计的加密算法
换位: 将明文中的元素(字母/比特/字母组/比特 组)进行某种形式的重新排列
6
通用凯撒密码算法
W. Stallings将凯撒密码算法中的字母表移位数 从3扩展到任意数k < 26, 这样, 就可以得到通用 凯撒密码加密算法: C = E(p) = (p + k) mode 26 这样, 通用凯撒密码解密算法就可以表示为: p = D(C) = (C - k) mod 26 这里k就是通用凯撒密码的密钥. 由于k只有25 个可能取值, 所以, 在已知加密/解密算法下, 只 要尝试25种密钥, 就可以破译通用凯撒密码.
第2章 密码学导论(2)
传统密码学概述
关键知识点
传统密码学的基本原理是“替代”和“换位” 传统密码学的加密和解密采用同一个密钥 传统密码学的安全性很大程度上决定密钥长度 目前常用的传统密码学算法是DES算法，56比 特的DES算法并不安全。 未来拟采用的传统密码学算法是AES算法
2
主要内容
密钥: 明文: 2 5 1 3 4 行 a t t a c k a f t e r d a r k 密文: TADCEKAKRTFAATR
列
25134即按阵中第2、5、1、3、4列的顺序形成密文
14
课堂练习
采用矩阵加密法加密明文“meet you at six”，请采用3×4矩阵，密钥为3142。
Lj (32比特)
Rj (32比特)
Cj (28比特) 图2.6 DES算法每轮处理过程
Dj (28比特)
24
16次乘积变换的目的是使明文增大其混 乱性和扩散性，使得输出不残存统计规 律，使破译者不能从反向推算出密钥。 DES开创了算法全部公开的先例。有关 部门与学者经过多年研究和全面考核， 普遍认为DES的保密性良好， 对它的批 评是：密钥长度（56位）不够长，迭代 次数（16次）不够多。
– 最简单的一种换位加密算法是围栏技术, 将明文书 写成为上下对角线形式, 再按照行顺序分别读出上 行和下行的字母序列
11
传统密码学原理(续1)
按照围栏方法对前面举例中的明文“attack after dark”的加密过程如下所示。 经过加密之后的密文就是一串没有意义的字符 串：“ATCATRAKTAKFEDR”。 ATCATRAKTAKFEDR” a t c a t r a k t a k f e d r
L’0 || R’0 = IP(C) (2.3)
合集下载
第二章经典密码学
• 定义: (密码体制）它是一个五元组（P,C,K,E,D)满足条件： （1）P是可能明文的有限集；（明文空间） （2）C是可能密文的有限集；（密文空间） （3）K是一切可能密钥构成的有限集；（密钥空间） *（4）任意 k K ,有一个加密算法 ek E 和相应的解密算法 dk D，使得 ek : P C 和 dk :C P 分别为加密解密函 数，满足 dk (ek (x)) x,这里, x P 。
c y
r t
y c
p o
t p
or YTCOPR
graphy
g a
r h
a g
p y
h p
ry AHGYPR
求得的密文是：YTCOPRAHGYPR
注：事实上，置换密码是Hill密码的特例。给定一个集合{1,2,..,m}的
置换矩阵
1 若j (i)
K (kij )mn
kij 0
否则
(置换矩阵是每一行和每一列刚好在一个“1”，而其余元素为“0”
对 k (a,b) K, 定义 ek(x)=ax+b (mod 26)和dk(y)=a-1(y-b)(mod 26)
x, y Z /(26)
• 例子，设k＝（7，3），注意到7-1(mod 26)=15,加密函数是 ek(x)=7x+3,相应的解密函数是dk(y)=15(y-3)=15y-19 , 易见 dk(ek(x)=dk(7x+3)=15(7x+3)-19
5*.若Alice和Bob在一次通信中使用相同的密钥，那 么这个加密体制为对称的，否则称为非对称的。
1.移位密码体制
• 设P=C=K=Z/(26),对 k K ,定义 ek (x) x k(mod 26) y C 同时dk(y)=y-k (mod 26)
c y
r t
y c
p o
t p
or YTCOPR
graphy
g a
r h
a g
p y
h p
ry AHGYPR
求得的密文是：YTCOPRAHGYPR
注：事实上，置换密码是Hill密码的特例。给定一个集合{1,2,..,m}的
置换矩阵
1 若j (i)
K (kij )mn
kij 0
否则
(置换矩阵是每一行和每一列刚好在一个“1”，而其余元素为“0”
对 k (a,b) K, 定义 ek(x)=ax+b (mod 26)和dk(y)=a-1(y-b)(mod 26)
x, y Z /(26)
• 例子，设k＝（7，3），注意到7-1(mod 26)=15,加密函数是 ek(x)=7x+3,相应的解密函数是dk(y)=15(y-3)=15y-19 , 易见 dk(ek(x)=dk(7x+3)=15(7x+3)-19
5*.若Alice和Bob在一次通信中使用相同的密钥，那 么这个加密体制为对称的，否则称为非对称的。
1.移位密码体制
• 设P=C=K=Z/(26),对 k K ,定义 ek (x) x k(mod 26) y C 同时dk(y)=y-k (mod 26)
密码学-古典密码
每组中的两个字母H不ill 同体。制
P 中同行, 为紧靠各自右端的字母 P 中同列, 为紧靠各自下方的字母
密文 非同行同列, 为确定矩阵的对角字母
2. Vigenere体制
设明文m = m1m2…mn，k = k1k2…kn，则密文 c = Ek(m) = c1c2…cn，
其中ci = (mi + ki) mod 26, i = 1, 2, …, n。 当密钥的长度比明文短时，密钥可以周期性地
4. Vernam体制
Vernam密码在加密前首先将明文编码为(0, 1)字符串。
设明文m = m1m2…mn，k = k1k2…kn，其中mi , ki∈GF(2) ， 则密文c = c1c2…cn ，其中
ci = mi⊕ki , i ≥1。
在用Vernam密码对明文加密时，如果对不同的明文使 用不同的密钥，则这时Vernam密码为“一次一密”（onetime pad）密码，在理论上是不可破译的。如果存在不 同的明文使用相同的密钥，则这时Vernam密码就比较 容易被破译。
例2.5（P16）
2.3.2 多表古典密码的统计分析
在多表古典密码的分析中，首先要确定密钥字的长度, 也就是要首先确定所使用的加密表的个数，然后再分析确 定具体的密钥。
确定密钥字长的常用方法有：
设设 设
对任意
对任意
密文
对任意
密其密文中文其的中乘的法加都法是都模是q 模乘q法加. 法显.然显, 然简,单简乘单法
密加码法的密密码钥的量密为钥量为
其中的加法和乘法都是模q 加法和乘法.
显然, 简单仿射密码的密钥量为
2. 2 几种典型的古典密码体制
几种典型的单表 古典密码体制
P 中同行, 为紧靠各自右端的字母 P 中同列, 为紧靠各自下方的字母
密文 非同行同列, 为确定矩阵的对角字母
2. Vigenere体制
设明文m = m1m2…mn，k = k1k2…kn，则密文 c = Ek(m) = c1c2…cn，
其中ci = (mi + ki) mod 26, i = 1, 2, …, n。 当密钥的长度比明文短时，密钥可以周期性地
4. Vernam体制
Vernam密码在加密前首先将明文编码为(0, 1)字符串。
设明文m = m1m2…mn，k = k1k2…kn，其中mi , ki∈GF(2) ， 则密文c = c1c2…cn ，其中
ci = mi⊕ki , i ≥1。
在用Vernam密码对明文加密时，如果对不同的明文使 用不同的密钥，则这时Vernam密码为“一次一密”（onetime pad）密码，在理论上是不可破译的。如果存在不 同的明文使用相同的密钥，则这时Vernam密码就比较 容易被破译。
例2.5（P16）
2.3.2 多表古典密码的统计分析
在多表古典密码的分析中，首先要确定密钥字的长度, 也就是要首先确定所使用的加密表的个数，然后再分析确 定具体的密钥。
确定密钥字长的常用方法有：
设设 设
对任意
对任意
密文
对任意
密其密文中文其的中乘的法加都法是都模是q 模乘q法加. 法显.然显, 然简,单简乘单法
密加码法的密密码钥的量密为钥量为
其中的加法和乘法都是模q 加法和乘法.
显然, 简单仿射密码的密钥量为
2. 2 几种典型的古典密码体制
几种典型的单表 古典密码体制
第2章密码学导论(3)
19
RSA算法的密钥选择(续)
（2）选择一个很大的随机整数d，使得该整数与 (p – 1) * (q – 1)的最大公因子为1 （3）从p，q和d中计算出e，e是以(p – 1) * (q – 1) 为模的d的倒数，即 e * d = 1 (mod (p – 1) * (q – 1)) • 从以上算法过程可以看出，私钥是根据一定规 则选择的，而公钥是计算得出的。
9
公钥密码学原理
• W. Diffie和M. Hellman于1976年首先给出了公 钥密码系统的定义： • 一个公钥密码系统由一对加密算法E和解密算 法D构成，该公钥密码系统采用一个密钥对集 合KS = {(PK, VK)}，对于任何一个KS集合中 的密钥对(PK, VK)与任何一个明文P，存在以 下特性： • （1）采用密钥对(PK, VK)中任何一个密钥对 明文P执行加密算法E，都可以采用另外一个密 钥对密文进行解密。
第2章 密码学导论(3)
公钥密码学概述
关键知识点
• 公钥密码学是为了解决电信网环境下的安全数 据传递而提出的密码方法。 • 公钥密码学可以公开部分密钥。 • 公钥加密算法目前采用计算不可逆原理 • 目前广泛应用的公钥加密算法是RSA算法 • Diffie-Hellman密钥生成算法可以解决在公共电 信网环境下数据加密传递的问题
10
公钥密码学原理(续1)
（2）对于掌握了密钥对(PK, VK)，则加密算法E 和解密算法D都是容易计算的。 （3）如果公开密钥对中的一个密钥，例如PK， 则无法通过计算推导出另外一个密钥，例如 VK。 （4）如果只掌握了密钥对中的一个密钥PK，并 且利用该密钥将明文P加密得到密文C，则无法 再利用该密钥将C进行解密得到明文P。 • 这4个特性较为完整地刻画了公钥密码系统的 特征。
PPT
第2章传统加密技术
对称加密也叫传统加密戒单钥加密
What is cryptography?
kryptos graphein
「隐藏的」
「书写」
一种「隐秘传递讯息」 的学問
加密演算法
普通的资 讯(明文)
难以理解的 资料(密文)
解密演算法
密码学史简介
传统密码学→自历史上对密码
学有记录开始，到近代电脑科 学发展以前 传统密码学的加解密（cipher和 cypher），几乎专指「加密演 算法」及「解密演算法」。
密钥
密文
加密算法
解密算法
• 对称密码的安全使用需要满足下面两个要求：
- 加密算法必须足够强的。即使对手拥有一定数量的密文和产生每 个密文的明文，也丌能破译密文戒収现密钥。 - 収送者和接收者必须在某种安全的形式下获得密钥，并且必须保 证密钥安全。
对称密码的模型
计算机网络安全的本质： 是一场入侵者和设计者（或管理员）之间的智力战争。 入侵者努力要找到漏洞，而设计者（或管理员）努力要 封堵漏洞。 入侵者的优势在于他仅仅需要找到一个弱点，而设计者 必须找到并根除所有来获得完全的安全
密码学史简介
现代密码学经过计算机与电子学的发
展后计算机将资料转换成二进位的形 式，让密码学不再限于书写的文字。
今天的密码学，已被广泛应用在日常
生活中 E.g.自动柜员机的晶片卡、电 脑使用者存取密码、电子商务
本章主要内容
1.明确如下几个基本概念（术语）： 1）明文：原始的消息；2）密文：加密后的消息； 3）加密：从明文到密文的变换过程； 4）解密：从密文到明文的变换过程； 5）密码编码学：研究各种加密方案的领域（加密方案被称为密码体制 戒密码）； 6）密码分析学—丌知道任何加密细节的条件下解密消息的技术 7）密码编码学和密码分析学统称密码学。 2.介绍对称加密过程的一般模型，了解传统加密算法的使用环境； 3.重点介绍各种古典密码的算法原理； 4.简要介绍隐写术。
对称加密也叫传统加密戒单钥加密
What is cryptography?
kryptos graphein
「隐藏的」
「书写」
一种「隐秘传递讯息」 的学問
加密演算法
普通的资 讯(明文)
难以理解的 资料(密文)
解密演算法
密码学史简介
传统密码学→自历史上对密码
学有记录开始，到近代电脑科 学发展以前 传统密码学的加解密（cipher和 cypher），几乎专指「加密演 算法」及「解密演算法」。
密钥
密文
加密算法
解密算法
• 对称密码的安全使用需要满足下面两个要求：
- 加密算法必须足够强的。即使对手拥有一定数量的密文和产生每 个密文的明文，也丌能破译密文戒収现密钥。 - 収送者和接收者必须在某种安全的形式下获得密钥，并且必须保 证密钥安全。
对称密码的模型
计算机网络安全的本质： 是一场入侵者和设计者（或管理员）之间的智力战争。 入侵者努力要找到漏洞，而设计者（或管理员）努力要 封堵漏洞。 入侵者的优势在于他仅仅需要找到一个弱点，而设计者 必须找到并根除所有来获得完全的安全
密码学史简介
现代密码学经过计算机与电子学的发
展后计算机将资料转换成二进位的形 式，让密码学不再限于书写的文字。
今天的密码学，已被广泛应用在日常
生活中 E.g.自动柜员机的晶片卡、电 脑使用者存取密码、电子商务
本章主要内容
1.明确如下几个基本概念（术语）： 1）明文：原始的消息；2）密文：加密后的消息； 3）加密：从明文到密文的变换过程； 4）解密：从密文到明文的变换过程； 5）密码编码学：研究各种加密方案的领域（加密方案被称为密码体制 戒密码）； 6）密码分析学—丌知道任何加密细节的条件下解密消息的技术 7）密码编码学和密码分析学统称密码学。 2.介绍对称加密过程的一般模型，了解传统加密算法的使用环境； 3.重点介绍各种古典密码的算法原理； 4.简要介绍隐写术。
李发根现代密码学2
ant cnat cn1at1 c1ant1, t 1,2,
线性反馈移位寄存器：实现简单、速度快、有较为成熟的理论， 成为构造密钥流生成器的最重要的部件之一。
例 下图是一个5级线性反馈移位寄存器，其初始状 态为（a1,a2,a3,a4,a5）=(1,0,0,1,1)
表2.2 一个3级反馈移位 寄存器的状态和输出
状态 （a3,a2,a1)
输出
101
1
图3 一个3级反馈移位寄存器
110 111
0 1
即输出序列为101110111011…，
011 101
1 1
周期为4。
110
0
线性反馈移位寄存器LFSR（linear feedback shift register）
可求出输出序列为 1001101001000010101110110001111100110…
周期为31。
总是假定c1,c2,…,cn中至少一个0，否则 f(a1,a2,…,an)≡0。
总是假定cn=1。
LFSR输出序列的性质：完全由其反馈函数决定。 n级LFSR状态数：最多有2n个。 n级LFSR的状态周期： 2n-1。 输出序列的周期=状态周期， 2n-1。
RC4是一种基于非线性数据表变化的流密码，它 以一个足够大的数据表S为基础，对表进行非线性 变换，产生非线性的密钥流序列。
RC4数据表的大小随着参数n的变化而变化，通 常取n=8，此时总共可以生成28个元素的数据表， 主密钥的长度至少为40比特。
RC4密钥流的每个输出都是数据表S中的一个ቤተ መጻሕፍቲ ባይዱ 机元素。
第2章 流密码
2.1 流密码的基本概念 2.2 线性反馈移位寄存器 2.3 流密码RC4
计算机网络安全--第二章 密码技术
11
凯撒密码
加密规则：位移量=3！
12
代换密码
【例】 设明文为Caesar cipher is a substitution，取k=3采用凯撒 密码进行加密变换，同时给出逆变换。
明文：m=Caesar cipher is a substitution。 加密：c: ，对应得到字母F a: ，对应得到字母D e: ，对应得到字母H 其余字母加密运算类似。 经凯撒密码变换后得到的密文是：C＝FDHVDU FLSKHU LV D VXEVWLWXWLRQ 解密：解密代换是加密代换的逆变换，对于密文C执行解密变换可以得到对应的 明文m。 F: ，对应得到字母C D: ，对应得到字母A H: ，对应得到字母E
19
2.2
古典密码体制
代换密码
置换密码
07:22:48
20
置换密码
置换密码
无密钥换位密码
通过重新排列消息中元素的位置 而不改变元素本身来变换一个消 息的密码方案
【例】 无密钥换位密码的加解密运算，设明文消息为proceed meeting as agreed。
加密运算：对于明文消息按行书写（每行4列），得到 proc eedm eet i ngas agre ed** 逐列读出，即得到密文peenaereeggdodtar*cmise*，并将密文传输给信息的接收者。
第2章 密码技术
1
第二章
密码技术
Internet在给人们带来各种便捷的同时， 网络上的种种不安全因素使得个人信息的安 全受到严重威胁.
密码技术是应对网络安全威胁的有效手段 之一，多种密码技术的综合应用可以保证信 息的机密性、完整性和消息源的不可否认性.
[经济学]计算机网络安全--第二章 密码技术
可以很快看出其正确的偏移量是4
15
代换密码
1、单表代换密码（Monoalphabetic Cipher） 是指对于一个给定的加
密密钥，明文消息空间 【例】 简单的代换密码，设M=C= ，首先将26个英文字母与模 26的剩余类集合 中的每一元素将被代换 {0,1,2,…,25}建立一一对应关系，所包含元素表示为A=0 ，B=1，…，Z=25。将加 为密文消息空间中的唯 密算法 定义为下面的 上的一个置换为 一元素
对于第二种情况，它的偏移量最多就是25因 此可以通过穷举法，很轻易地进行破解
14
穷举法：
方法是在表格中写下密文中的某个小片段 使用所有可能的偏移量解密后的内容—— 称为候选明文。 分析表格中的候选明文是否具有实际含义， 得出正确的偏移量，解密整个密文。 例如密文片段是： "EXXEGOEXSRGI"
0 1 2 3 4 5 6 7 8 9 10 11 12 凯撒密码就属于单表代 21 12 25 17 24 23 19 15 22 13 18 3 9 换密码 13 14 15 16 17 18 19 20 21 22 23 24 25 5 10 2 8 16 11 14 7 1 4 20 0 6
02:33:34
8
2.2
古典密码体制
代换密码
置换密码
02:33:34
9
代换密码
通过符号的简单替换而达到掩 盖明文信息的目的，也就是将 代换密码的思想 明文中的字母由其他字母、数 字或者符号取代的一种方法， M 称为明文空间，C 称为密文空间，其中的替代方案就称为密钥。 K 称为密钥空间。E K (m)为以k为密钥将
2.2
古典密码体制
密码学导论
密码学应用的案例
那我给你讲个超酷的密码学应用案例——网上银行转账。
你想啊，当你要把自己辛辛苦苦挣的钱从一个账户转到另一个账户的时候，就像是在一个充满魔法和陷阱的世界里运送宝藏。
这时候密码学就像超级英雄一样闪亮登场啦。
银行系统会用加密算法把你的转账信息，比如转账金额、收款账号啥的都加密成一堆乱码。
这乱码就像外星人的语言一样，黑客就算截获了这些信息，看到的也只是些莫名其妙的字符，根本不知道是啥意思。
只有银行那边用对应的解密密钥，才能把这些乱码还原成正常的转账信息，就像拥有特殊翻译器一样，这样就能安全地完成转账啦。
还有就是咱们平常登录各种APP的时候，比如社交软件或者购物APP。
你输入密码登录，密码可不是就那么赤裸裸地在网络里跑来跑去的哦。
密码学就像给你的密码穿上了隐身衣，把它加密成一种神秘的形式传输到服务器。
服务器就像一个神秘城堡的守卫，它用密钥来检查这个加密后的密码是否正确。
如果正确，就放你这个“尊贵的用户”进去，要是不对，那就只能把你拒之门外啦。
再说说数字签名，这就像是你在网络世界的签名一样独特。
比如说，一家大公司要发布一个超级重要的公告文件，他们就会用数字签名技术。
这就好比公司的大老板用自己独特的印章盖在文件上，这个印章是通过密码学算法生成的。
别人收到这个文件的时候，可以用特定的方法验证这个“印章”是不是真的来自这家公司，要是有人想篡改文件内容，那这个“印章”就会立马失效，就像假的签名一眼就能被识破一样。
这就保证了文件的真实性和完整性，可神奇了呢。
第2章现代加密技术
法，它的产生被认为是20世纪70年代信息加密技
术发展史上的两大里程碑之一。
1977年7月，美国国家标准局正式颁布数据
加密标准DES（ Data Encryption Standard）。
1980年12月，美国国家标准委员会正式采用DES
算法作为美国的商用加密算法。
19
一、DES密码的设计思路
扩散： 要求明文的统计特性扩散消失到密文中。要做到这
加密和解密算法的操作通常都是在一组密钥的控 制下进行的,分别称为加密密钥(Encryption Key) 和解密密钥(Decryption Key). 加密技术＝加密算法＋密钥
4
Data
加密过程
加密算法及密钥
3A78
明文
解密过程 解密算法及密钥
密文
算法是一些公式、法则或程序，规定了明文
与密文之间的变换方法。
明文中每一个字符被替换成密文中的另外一个字符， 而位置不变。对密文进行逆替换就可恢复出明文。 例如：单字母（简单）替代密码
就是明文的一个字符用相应的一个密文字符代 替。加密过程中是从明文字母表到密文字母表的一 一映射。
14
2.1.3 密码系统的设计原则
易操作原则 不可破原则 整体安全原则 与计算机、系统匹配原则 柯克霍夫斯原则：密码系统中的算法即使被密码
9
2.1.2 密码技术的分类
2、按照保密程度 理论上保密的密码：一次一密 实际上保密的密码：现在使用的DES、RSA等 不保密的密码：早期的密码体制
10
一次一密
一次一密密码，由AT&T公司的Gilbert Vernam 在1917年提出。发方和收方各保存一份一次一密乱 码本，它是一个大的不重复的完全随机的密钥字母 集。发方用乱码本中的某一页密钥加密明文。
现代密码学 (2)
a=0101110, T2a =0111001…,
Ra,a(2)=(-1)0+0+(-1)1+1+(-1)0+1 +(-1)1+1 +(-1)1+0 +(-1)1+0 +(-1)0+1=-1, Ra,a(3)= Ra,a(4)= Ra,a(5)= Ra,a(6)=-1.
16
伪随机序列
哥伦布(Golomb, 1955)随性假设
12
2.2 线性反馈移位寄存器序列
伪随机序列 考虑二元序列: a={ai}=a0a1a2a3 …. 周期序列
定义2.1 设a= (a0, a1,…,ai,…)是一个二元序列，若 存在正整数N和非负整数m，使得ai+N=ai对于任意i m成立，则称二元序列a是终归周期序列。如果 m=0，则称序列a是严格周期序列，简称周期序列。
基于大数分解困难问题
公钥密码
基于离散对数困难问题 ......
3
2.1 流密码一般模型
流密码( stream cipher)(序列密码)体制模型
明文序列: m= m1 m2 m3 …; 密钥序列: z=z1 z2 z3 …; 密文序列: c= c1c2 c3 …; 加密变换: ci=E(zi,mi) (i=1,2,3,…); 解密变换: mi=D(zi, ci) (i=1,2,3,…).
如果cn=0，则称LFSR是退化的；否则称LFSR是非 退化的。
把多项式： f(x)=1+c1x+c2x2+…+cnxn
称为LFSR的特征多项式(characteristic polynomial), 或级连多项式、或生成多项式。
Ra,a(2)=(-1)0+0+(-1)1+1+(-1)0+1 +(-1)1+1 +(-1)1+0 +(-1)1+0 +(-1)0+1=-1, Ra,a(3)= Ra,a(4)= Ra,a(5)= Ra,a(6)=-1.
16
伪随机序列
哥伦布(Golomb, 1955)随性假设
12
2.2 线性反馈移位寄存器序列
伪随机序列 考虑二元序列: a={ai}=a0a1a2a3 …. 周期序列
定义2.1 设a= (a0, a1,…,ai,…)是一个二元序列，若 存在正整数N和非负整数m，使得ai+N=ai对于任意i m成立，则称二元序列a是终归周期序列。如果 m=0，则称序列a是严格周期序列，简称周期序列。
基于大数分解困难问题
公钥密码
基于离散对数困难问题 ......
3
2.1 流密码一般模型
流密码( stream cipher)(序列密码)体制模型
明文序列: m= m1 m2 m3 …; 密钥序列: z=z1 z2 z3 …; 密文序列: c= c1c2 c3 …; 加密变换: ci=E(zi,mi) (i=1,2,3,…); 解密变换: mi=D(zi, ci) (i=1,2,3,…).
如果cn=0，则称LFSR是退化的；否则称LFSR是非 退化的。
把多项式： f(x)=1+c1x+c2x2+…+cnxn
称为LFSR的特征多项式(characteristic polynomial), 或级连多项式、或生成多项式。