现代密码学-流密码
现代密码学-绪论
在网络中插入伪造的消息冒充消息发送者，在文件中插入伪造记录等 重放、假冒、诽谤、中间人攻击（Man-in-the-Middle，简称“MITM”）
主动攻击很难完全防止，因为它是不断变化的
13/
第一章 绪论 ：1.1 信息安全面临的威胁
*** 安全威胁的来源
安全威胁主要来自于黑客(又称入侵者)和恶意代码(包括病 毒)的非法入侵
各种自然灾害(洪水，雷电等)，恶劣的场地环境(漏水，烟火，粉 尘，温湿度失调，害虫)、电磁辐射与干扰，系统故障(网络设备 自然老化、电源、软硬件故障、通讯故障)等等。
对信息系统具有摧毁性，故障性，秘密泄漏。
人为威胁：
对信息及信息系统的人为攻击 ▪ 通过寻找系统的弱点，以便达到破坏，欺骗，窃取数据等目的 ▪ 人为威胁可区分为有意和无意两种
犯罪分子
非法窃取系统资源，对数据进行未授权的修改或破坏计算机系统。 如盗用信用卡号和密码，银行转帐，网络钓鱼等
17/
第一章 绪论 ：1.1 信息安全面临的威胁
*** 安全威胁的来源
威胁来源之恶意代码
恶意代码指病毒、蠕虫等恶意程序，往往是黑客编写使用的工具或 者具有独立执行能力的病毒等软件
恶意代码可分为两类：
*** 安全威胁的来源
从黑客性质上又可分为如下几种：
无恶意的人(白帽子、灰帽子)
仅仅是破译和进入一个计算机系统，为了展示自己在计算机网络 方面的才能，满足某种心理需求(病毒编写者，黑客软件编写者和 使用者)
心怀不轨，有报复心理的人
对计算机系统实施破坏，以达到某种心理平衡。比如不满的雇员， 竞争的对手
、密钥的窃取等等都是现实的威胁
安全漏洞(Vulnerability)是信息及信息系统产生安全问题 的内因
现代密码学杨波课后习题讲解
选择两个不同的大素数p和q， 计算n=p*q和φ(n)=(p-1)*(q-1)。 选择整数e，使得1<e<φ(n)且e 与φ(n)互质。计算d，使得 d*e≡1(mod φ(n))。公钥为 (n,e)，私钥为(n,d)。
将明文信息M（M<n）加密为 密文C，加密公式为 C=M^e(mod n)。
将密文C解密为明文信息M，解 密公式为M=C^d(mod n)。
课程特点
杨波教授的现代密码学课程系统介绍了密码学的基本原 理、核心算法和最新进展。课程注重理论与实践相结合， 通过大量的案例分析和编程实践，帮助学生深入理解和 掌握密码学的精髓。
课后习题的目的与意义
01 巩固课堂知识
课后习题是对课堂知识的有效补充和延伸，通过 解题可以帮助学生加深对课堂内容的理解和记忆。
不要重复使用密码
避免在多个账户或应用中使用相同的密码， 以减少被攻击的风险。
注意网络钓鱼和诈骗邮件
数字签名与认证技术习题讲
05
解
数字签名基本概念和原理
数字签名的定义
数字签名的应用场景
数字签名是一种用于验证数字文档或 电子交易真实性和完整性的加密技术。
电子商务、电子政务、电子合同、软 件分发等。
数字签名的基本原理
利用公钥密码学中的私钥对消息进行签 名，公钥用于验证签名的正确性。签名 过程具有不可抵赖性和不可伪造性。
Diffie-Hellman密钥交换协议分析
Diffie-Hellman密钥交换协议的原理
该协议利用数学上的离散对数问题，使得两个通信双方可以在不安全的通信通道上协商出一个共 享的密钥。
Diffie-Hellman密钥交换协议的安全性
该协议在理论上被证明是安全的，可以抵抗被动攻击和中间人攻击。
现代密码学精讲
2.1.4 现代密码学主要技术(续)
签名和认证函数必须满足的性质 1) 当且仅当Vk’ (m, s)=True时，s是消息m的合法签 名。 2) 对于任何签名者以外的实体在计算上不可能得 到任意的一组mf和sf满足Vk’ (mf , sf)=True。 数字签名的争议解决(不可否认) 如果签名者和验证者对签名发生争议，可由验证 者带着签名 (m, s) 提交给可信任第三方 (TTP) ，由 TTP验证该签名，最后进行仲裁。
2.1.4 现代密码学主要技术(续)
证书链和证书路径
图2.5 证书链
2.1.4 现代密码学主要技术(续)
(3) 认证与鉴别技术 鉴别或实体认证 定义 9 鉴别或实体认证是一个过程。在这个过程 中一方通过获得一些确定的证据来确认参加实体 认证的另一方的身份，而具有相应身份的实体也 确实就是正在参与这一认证过程的另一方。 例子1 实体A与B通电话，如果A与B认识就可以通 过声音来确定对方的真实性。 例子2 实体A通过信用卡在银行ATM机上取钱。 # 特点：时实性。
2.1.4 现代密码学主要技术(续)
公钥加密 定义 7 一个由加密函数集{Ee: eK}和解密函数集 {Dd: dK} 组成加密方案，每一个相关联的加 / 解 密密钥对(e, d)，加密密钥e公开，称为公开密钥， 而解密密钥d保密，称为秘密密钥。 # 显然安全公钥密码系统要求从 e 计算 d 为不可能。
2.1.4 现代密码学主要技术(续)
加密方案 加密方案是由一个加密函数集 {Ee: eK} 和解密函 数集{Dd: dK}构成，并且满足任意一个加密密钥 eK存在唯一一个解密密钥dK使 Dd=Ee1，也就是 对于所有明文消息mM ，存在Dd(Ee(m)) = m，(e, d)称为密钥对。设计加密方案就是确定M、 C、 K、 {Ee: eK}、{Dd:dK}的过程。
现代密码学_第四五讲 分组密码
循环左移
D1 (28位) (56位) 置换选择2 k1 (48位)
14 3 23 16 41 30 44 46
置换方法
17 28 19 7 52 40 49 42 11 15 12 27 31 51 39 50 24 6 4 20 37 45 56 36 1 21 26 13 47 33 34 29 5 10 8 2 55 48 53 32
20
迭代的轮数
分组密码一般采用简单的、安全性弱的密码函数进行多
轮迭代运算，使得安全性增强。一般来说，分组密码迭代轮 数越多，密码分析越困难，但也不是追求迭代轮数越多越好， 过多迭代轮数会使加解密算法的性能下降，而实际的安全性 增强不明显。 决定迭代轮数的准则：密码算法分析的难度大 于简单穷举搜索攻击的难度。分组密码迭代轮数一般采用8、 10、12、16、20的居多。
循环左移
C16 (28位)
循环左移
C16 (28位) (56位) 置换选择2 k16 (48位)
注：去掉9,18,22,25,35,38, 43,54位
注：密钥各位在子密钥出现次数基本相同(12次至15次)，平均次数为13.7
30
压缩替代S-盒(48位压缩到32位)
48比特
6比特 6比特 6比特 6比特 6比特 6比特 6比特 6比特
考虑，通常密钥长度t不能太大。当然，密钥长度t不能太小，
否则，难以抵抗对密钥的穷举搜索攻击。
7
分组密码的要求
分组长度要足够大 密钥量要足够大
当分组长度较小时，攻击者通过 穷举明文空间，得到密码变换规 律，难于抵御选择明文攻击。
密码变换足够复杂
加密和解密运算简单 无数据扩展或压缩
21
现代密码学复习概述.
12
代换密码的分类
按照一个明文字母是否总是被一个固定的字符代换进行划分：
单表代换密码(移位、仿射、替换)
对明文消息中出现的同一个字母，在加密时都使用同一 固定的字母来代换，不管它出现在什么地方。
多表代换密码(维吉利亚、Playfair、转轮)
明文消息中出现的同一个字母，在加密时不是完全被同一 固定的字母代换，而是根据其出现的位置次序，用不同的字母代换。
C = ( 9
9/28/2017
8
8
24 ) = ( J I I Y )
15
希尔密码(Hill密钥矩阵的逆矩阵
9/28/2017
16
希尔密码(Hill Cipher)解密过程
解密过程
M＝C×K-1＝
=( 7 8 11 11 ) =( H I L L )
9/28/2017
17
希尔密码举例
明文是“cyber”，数字化后为 2, 24,1, 4,17 ；
密钥：
10 5 12 0 0 3 14 21 0 0 k 8 9 11 0 0 0 0 0 11 8 0 0 0 3 7
T
加密：
密码体制分类
对称密码 (单钥密码, 私钥密码) 加密密钥与解密密钥相同，如：分组密码，流密码 非对称密码体制(双钥密码,公钥密码)
加密密钥与解密密钥不同，如：公钥密码
9/28/2017
9
密码体制的攻击
对于加密体制，可有以下不同级别攻击形式：
（1） 唯密文攻击。此时攻击者只能从截获的密文进行分析，试图 获得相应的明文或密钥；
者可以选择密文，并可以得到相应的明文。
（5）选择文本攻击 能够选择明文并得到对应的密文，也能选择密 文得到对应的明文。
现代密码学-2016-3资料
我能干什么? 你能干这个,不能干那个.
保密:非授权人无法识别信息.
我与你说话时,别人能不能偷听?
完整性:防止消息被篡改.
传送过程过程中别人篡改过没有?
不可否认:不能对所作所为进行抵赖.
我收到货后,不想付款,想抵赖,怎么样? 我将钱寄给你后,你不给发货,想抵赖,如何?
2016年3月
现代密码学
2.对称密码算法--IDEA
来学嘉和James Massey1990年公布,1992年更名为IDEA(国际数据加密算法).
特点: 16
1分6 组长度为64位,分4子组进行操作,密钥长度为128位,使用异或,模2 加,模 2 +1乘三个混合运算,在16位子分组上进行.
强化了抗差分分析的能力,应用于PGP中. 软件实现IDEA比DES快两倍. 乘加结构(MA)保证了扩散的特点.
算法必须提供高度的安全性 算法必须有详细的说明,并易于理解 算法的安全性取决于密钥,不依赖于算法 算法适用于所有用户 算法适用于不同应用场合 算法必须高效,经济 算法必须能被证实有效 算法必须是可出口的
现代密码学
中南大学信息科学与工程学院计算机系 段桂华
2016年3月
现代密码学
后更名为NIST 1974年8月27日,NBS开始第二次征集,IBM提交了算法LUCIFER. 1975年3月公开发表,1977年1月由美国国家标准局NBS颁布为数据加密标准 DES，同年7月成为美国联邦信息处理标准FIPS-46.
2016年3月
位扩展
现代密码学
中南大学信息科学与工程学院计算机系 段桂华
位置换
2016年3月
子密钥生成
64比特初始密钥k经过换位函数PC-1将 位置号为8,16,24,32,40,48,56和64 的8位奇偶位去掉并换位;换位后的数据 分为2组,经过循环左移位LSi和换位函数 PC-2变换后得到每次迭代加密用的子密 钥ki
现代密码学小题整理
一一、是非判断题（10分）1.差分分析是一种攻击迭代密码体制的选择明文攻击方法，所以，对于DES和AES都有一定的攻击效果。
（对）2.反馈移位寄存器输出序列生成过程中，抽头位对输出周期长度的影响起着决定性的作用，而初态对输出周期长度没影响。
（对）二、选择题（15分）1.公钥密码体制至少能抵御的攻击是（C.选择明文攻击）2.适合文件加密，而且有少量错误时不会造成同步失败，是软件加密的最好选择，这种分组密码的操作模式是指（D.输出反馈模式）3.按目前的计算能力，RC4算法的密钥长度至少应为（C.128）位才能保证安全强度。
4.密钥在其生命生命周期中处于不同的状态，每种状态包含若干时期，那么密钥备份时期是密钥处于（B.使用状态）5.量子密码更适合实现下面哪项密码技术。
（D.密钥分发）6.当用户收到一个证书是，应当从（C.CRL）中检查证书是否已经被撤销。
（CRL：证书撤销列表）A.在PKI中，关于RA的功能，下面说法正确的是（B.验证申请者身份）。
7.数字水印是信息隐藏技术研究领域的重要分支，现主要应用领域是（A.版权保护）8.在DES算法中，如果给定初始密钥K，经子密钥产生器产生的各个子密钥都相同，则称该密钥K为弱密钥，DES算法中弱密钥的个数为（B.4个）。
9.生日攻击是针对于下面哪种密码算法的分析方法（D.MD5）。
10.指数积分法是针对下面哪种密码算法的分析方法（C.ElGamal）11.密钥存档是密钥处于（C.过期状态）三、填空题（15分）1.关于DES算法的安全性，若Ek（m）=Dk（m），则这样的密钥称为弱密钥，又其互补性使DES在选择明文攻击下所需的工作量减半。
2.选择合适的n级线性反馈移位寄存器可使序列的周期达到最大值2^n-1，这样序列称为m 序列，但敌手知道这序列中一段长为 n 的明密文对即能破译其后序列的密文。
3.密钥分配和协商的最大区别是：密钥分配是通信双方中一方或密钥分配中心选取一个秘密密钥发给双方，而密钥协商是保密通信双方（或更多方）通过公开信道的通信来共同形成秘密密钥的过程。
现代密码学总结
现代密码学总结现代密码学总结第⼀讲绪论1、密码学是保障信息安全的核⼼2、安全服务包括：机密性、完整性、认证性、不可否认性、可⽤性3、⼀个密码体制或密码系统是指由明⽂（m或p）、密⽂（c）、密钥（k）、加密算法（E）和解密算法（D）组成的五元组。
4、现代密码学分类：（1）对称密码体制：（⼜称为秘密密钥密码体制，单钥密码体制或传统密码体制）密钥完全保密；加解密密钥相同；典型算法：DES、3DES、AES、IDEA、RC4、A5 （2）⾮对称密码体制：（⼜称为双钥密码体制或公开密钥密码体制）典型算法：RSA、ECC第⼆讲古典密码学1、代换密码：古典密码中⽤到的最基本的处理技巧。
将明⽂中的⼀个字母由其它字母、数字或符号替代的⼀种⽅法。
（1）凯撒密码：c = E(p) = (p + k) mod (26)p = D(c) = (c –k) mod (26)（2）仿射密码：明⽂p ∈Z26，密⽂c ∈Z26 ，密钥k=(a,b)ap+b = c mod (26)（3）单表代换、多表代换Hill密码：（多表代换的⼀种）——明⽂p ∈(Z26)m，密⽂c ∈(Z26)m，密钥K ∈{定义在Z26上m*m的可逆矩阵}——加密 c = p * K mod 26解密p = c * K-1 mod 26Vigenere密码：查表解答（4）转轮密码机：2、置换密码：将明⽂字符按照某种规律重新排列⽽形成密⽂的过程列置换，周期置换3、密码分析：（1）统计分析法：移位密码、仿射密码和单表代换密码都没有破坏明⽂的频率统计规律，可以直接⽤统计分析法（2）重合指数法完全随机的⽂本CI=0.0385，⼀个有意义的英⽂⽂本CI=0.065实际使⽤CI 的估计值CI ’：L ：密⽂长。
fi ：密⽂符号i 发⽣的数⽬。
第三讲密码学基础第⼀部分密码学的信息论基础1、 Shannon 的保密通信系统模型（1）对称密码体制（2）（3）⼀个密码体制是⼀个六元组：（P , C, K 1, K 2, E, D )P--明⽂空间C--密⽂空间K 1 --加密密钥空间 K 2--解密密钥空间E --加密变换D --解密变换对任⼀k ∈K 1,都能找到k’∈K 2，使得D k’ (E k (m ))=m ，?m ∈M.2、熵和⽆条件保密（1）设随机变量X={xi | i=1,2,…,n}, xi 出现的概率为Pr(xi) ≧0, 且, 则X 的不确定性或熵定义为熵H(X)表⽰集X 中出现⼀个事件平均所需的信息量(观察前)；或集X 中每出现⼀个事件平均所给出的信息量(观测后).（2）设X={x i |i=1,2,…,n}, x i 出现的概率为p (x i ) ≥0，且∑i=1,…,n p (x i )=1;0 )(1log )()(≥=∑ii ai x p x p X HY={y i |i=1,2,…,m}, y i 出现的概率为p (y i ) ≥0，且∑i=1,…,m p (y i )=1; 则集X 相对于集Y 的条件熵定义为（3） X 视为⼀个系统的输⼊空间，Y 视为系统的输出空间，通常将条件熵H (X|Y)称作含糊度，X 和Y 之间的平均互信息定义为：I (X,Y)=H (X)-H (X|Y) 表⽰X 熵减少量。