第4章 分组密码
现代密码学_清华大学_杨波著_部分习题答案[1]
![现代密码学_清华大学_杨波著_部分习题答案[1]](https://img.taocdn.com/s3/m/1ce7aa8502d276a200292edc.png)
= YWPKXYHVKXONPTJCHYBXLPKTB ∵ 11*19 ≡ 1 mod 26 (说明：求模逆可采用第 4 章的“4.1.6 欧几里得算法”，或者直接穷举 1~25) ∴ 解密变换为 D(c)≡19*(c-23)≡19c+5 (mod 26) 对密文 C 进行解密：
密文用数字表示为：
c=[4 3 18 6 8 2 10 23 7 20 10 11 25 21 4 16 25 21 10 23 22 10 25 20 10 21 2 20 7] 则明文为 m=3*c+22 (mod 26)
=[8 5 24 14 20 2 0 13 17 4 0 3 19 7 8 18 19 7 0 13 10 0 19 4 0 7 2 4 17]
⇒
Ri'
=
L' i −1
⊕
F
(
R' i −1
,
Ki' )
( ) ( ) ⇔
Li−1 ⊕ F (Ri−1, Ki )
'=
Li−1
⊕
F
(
R' i −1
,
Ki'
)
'
根据(i)(ii) 根据(iii)
⇔
F (Ri−1, Ki )
=
F
(
R' i −1
,
Ki' )
⇔
P(S
( E ( Ri −1 )
⊕
现代密码学(第三章)讲述
一、分组密码的基本概念
分组密码的优缺点
分组密码的加解密算法（E，D）简洁快速，所占用的 计算资源小，易于软件和硬件实现。一般来说，用 硬件实现时，流密码比分组密码更简单快速；用软 件实现时，分组密码比流密码更简单快速。 加解密算法（E，D）参数固定，比流密码更容易实现 标准化。 由于明文流被分段加密，因此容易实现同步，而且传 输错误不会向后扩散。 分组密码的安全性很难被证明，至多证明局部安全性。
2018/12/21 17
一、分组密码的基本概念
透明性和灵活性
透明性即要求算法是可证明安全的（虽然 这是很困难的）。这就要求算法尽可能 使用通用部件，避免黑盒。 灵活性即要求算法的实现可以适应多种计 算环境；明文分组长度可以伸缩；算法 可以移植和变形。
2018/12/21 18
一、分组密码的基本概念
要求：加解密算法（E，D）不存在弱明文和弱密钥。
2018/12/21 6
一、分组密码的基本概念
为了抵抗已知明文攻击（甚至选择明文攻 击），分组密码应该满足的性质
混淆性：所设计的密码应使得明文、密文、密钥之 间的依赖关系相当复杂，以至于这种依赖关系对 密码分析者来说是无法利用的。密码分析者利用 这种依赖关系的方法非常多，因此混淆性也是一 个极为繁杂的概念。
2018/12/21 3
一、分组密码的基本概念
分组密码所面对的主要威胁： 已知明文攻击
分组密码的密钥z被重复使用，即多次一密。 因此最主要的威胁就是已知明文攻击。 设攻击者Eve获得了一组明文/密文对（m，c）。 他试图在加密方程c=E(m, z) 或解密方程 m=D(c, z)中求出密钥z 。
2018/12/21 4
2018/12/21 26
《密码学》教学大纲
《密码学》教学大纲一、课程概述《密码学》是计算机科学、信息安全、数学等领域的一门综合性学科，涵盖了密码编码学、密码分析学、密钥管理等方面的知识。
本课程旨在让学生全面了解密码学的基本原理、方法和技术，掌握密码学在信息安全中的应用，并提高学生的密码学实践能力和创新思维。
二、课程目标1、理解密码学的基本概念、原理和数学基础知识，掌握密码编码学和密码分析学的基本方法。
2、掌握对称密码、非对称密码、哈希函数等常见密码体制的特点和实现原理，了解数字签名、消息认证码等应用密码学技术。
3、熟悉密码学在网络安全、数据保护等领域的应用，了解密码学的发展趋势和前沿技术。
4、培养学生的创新思维和实践能力，让学生能够根据实际需求设计和实现简单的密码学方案。
三、课程内容第一章密码学概述1、密码学的定义和历史发展2、密码学的应用领域和重要性3、密码学的分类和基本概念第二章密码编码学基础1、对称密码体制和非对称密码体制的特点和原理2、哈希函数和数字签名的概念和应用3、加密算法的设计原则和评估指标第三章对称密码体制1、数据加密标准（DES）的原理和应用2、国际数据加密算法（IDEA）的原理和应用3、分组密码和流密码的特点和实现方法第四章非对称密码体制1、RSA算法的原理和应用2、ElGamal算法和Diffie-Hellman密钥交换的原理和应用3、椭圆曲线密码学的原理和应用第五章哈希函数和数字签名1、SHA-1、SHA-256等常见哈希函数的原理和应用2、RSA数字签名算法的原理和应用3、其他数字签名方案的原理和应用，如DSA、ECDSA等第六章应用密码学技术1、数字证书和PKI系统的原理和应用2、消息认证码（MACs）和完整性校验算法的原理和应用3、零知识证明和身份基加密方案的概念和应用第七章密码分析学基础1、密码分析学的定义和重要性2、密码分析的基本方法和技巧，如统计分析、频率分析、差分分析等3、对称密码分析和非对称密码分析的特点和难点第八章密码管理基础1、密钥管理的概念和原则，如密钥生成、分发、存储、使用和销毁等2、密钥管理技术在企业和个人中的应用，如公钥基础设施（PKI）、加密磁盘等3、密码政策和安全意识教育的重要性。
第3章 分组密码s
数据加密标准 （ＤＥＳ）
因此， 各种各样的ＤＥＳ替代者在某些领域， 某种程度上 流行起来． 但都未成为世界范围的标准． 为此， 美国ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ） 开始建立一个新的标准． 可以想象， 一 旦美国政府采纳一新的标准， 世界上其它国家也都会效仿．
分组密码的基本设计原则
分组密码常常以乘积密码（就是两种或两种以上简单密 码的相继应用）的方式来设计。由合理选择的许多子密码 构成的乘积密码既可实现良好的混乱、又可实现良好的扩 散。 Ｆｅｉｓｔｅｌ提出利用乘积密码可获得简单的代换密码，乘积 密码指顺序地执行两个或多个基本密码系统，使得最后结果 的密码强度高于每个基本密码系统产生的结果，Ｆｅｉｓｔｅｌ还 提出了实现代换和置换的方法。
因此
REi −1 = LEi
LEi−1 = REi ⊕ F ( REi−1 , Ki ) = REi ⊕ F ( LEi , K i )
所以解密过程第 1轮的输出为 LE15‖ RE15，等于加 密过程第 16轮输入左右两半交换后的结果。
数据加密标准 (DES) 数据加密标准 (DES) (Data Encryption Standard)
→
E ki
→ LE
k2
( m2 ) E k1 ( m1 ) E k0 (m 0 )
分组密码
分组密码：
m2n mn m0 m m m L 2 n+1 n +1 1 → Ek M M M m m m 3n −1 2n−1 n −1
１９７７年ＤＥＳ由ＩＢＭ 设计并正式由ＮＢＳ 公布使用．
分组密码算法Rijndael的优化实现
现一 次性掩 盖 。
在第 一轮 之 前 ， 用 了一个 初 始密 钥加 层 ， 了 应 为
算速度 快 、 存储 要求低 、 灵活性 强最终 当选 Ａ Ｓ 并选 使攻 击者 无法 从 明文端 剥去其 它计 算部件 。 Ｅ． 择 Ｒｊｄ ｅ 作 为 美 国政 府 高 级 加 密标 准 （ Ｅ ） ｉ ａ］ ｎ Ａ Ｓ 的加 为 了使 加 密 和 解 密算 法 在 结 构上 更 加 接 近 ， 最 密算 法 ． Ｅ 取 代早 期 的数据 加 密标 准 （ Ｅ ） ｉ ． 后 一 轮 的线 性 混 合层 与 前 面 各 轮 的 线 性 混 合 层 不 Ａ Ｓ Ｄ Ｓ 。Ｒｊ ｎ
维普资讯
２０ ０ ７年 ８月
咸 阳 师 范学 院学 报
Ｊｕ ｏ ｍａ ｆ ａ ｙ ｎ ｒ ｌ ｉ ｅ ｔ ｌ Ｘｉｎ ａ ｇＮ来自 ｍａ ｖ ￣ｉ ｏ Ｕｎ ｙ
Ａｕ ． ０ ７ ｇ２ ０
Ｖｏ ．２ Ｎｏ ４ １ ． ２
第２卷 ２
第 ４期
Ｒｊｄ ｅ 没有 这 种 结构 。 ｉ ａｌ ｎ 其轮 函数 是 由三 个 不 同 可表 示 为二 维 数 组 ， 它有 ４行 Ⅳ 列 ， 个 明文 数据 ｈ 一 的可逆 一致变换 组成 。 它们 为三个 “ 。 谓“ 称 层” 所 一致 块分 组 按 Ｏ０ １ ２ａ ，ａ１ ｌ ， １ 的顺 序 映射 到 Ｏ ０ ，ｏ ， ’ ｅ ．ａ ，ｏ ￣ ；ｏ口１ ａ … ￣ ａ ！ 变换” 是指 状态 的每个 比特都是 用类 似 的方法进 行处 状 态 阵列 中如 表 １所示 。
现代密码学知识点整理：
第一章 基本概念1. 密钥体制组成部分：明文空间，密文空间，密钥空间，加密算法，解密算法 2、一个好密钥体制至少应满足的两个条件：（1）已知明文和加密密钥计算密文容易；在已知密文和解密密钥计算明文容易； （2）在不知解密密钥的情况下，不可能由密文c 推知明文 3、密码分析者攻击密码体制的主要方法： （1）穷举攻击 （解决方法:增大密钥量）（2）统计分析攻击（解决方法：使明文的统计特性与密文的统计特性不一样） （3）解密变换攻击（解决方法：选用足够复杂的加密算法） 4、四种常见攻击（1）唯密文攻击：仅知道一些密文（2）已知明文攻击：知道一些密文和相应的明文（3）选择明文攻击：密码分析者可以选择一些明文并得到相应的密文 （4）选择密文攻击：密码分析者可以选择一些密文，并得到相应的明文【注：①以上攻击都建立在已知算法的基础之上；②以上攻击器攻击强度依次增加；③密码体制的安全性取决于选用的密钥的安全性】第二章 古典密码（一）单表古典密码1、定义：明文字母对应的密文字母在密文中保持不变2、基本加密运算设q 是一个正整数，}1),gcd(|{};1,...,2,1,0{*=∈=-=q k Z k Z q Z q q q（1）加法密码 ①加密算法：κκ∈∈===k X m Z Z Y X q q ;,;对任意，密文为：q k m m E c k m od )()(+== ②密钥量：q （2）乘法密码 ①加密算法：κκ∈∈===k X m Z Z Y X q q ;,;*对任意，密文为：q km m E c k m od )(== ②解密算法：q c k c D m k mod )(1-==③密钥量：)(q ϕ （3）仿射密码 ①加密算法：κκ∈=∈∈∈===),(;},,|),{(;21*2121k k k X m Z k Z k k k Z Y X q q q 对任意；密文q m k k m E c k m od )()(21+==②解密算法：q k c k c D m k mod )()(112-==-③密钥量：)(q q ϕ （4）置换密码 ①加密算法：κσκ∈=∈==k X m Z Z Y X q q ;,;对任意上的全体置换的集合为，密文)()(m m E c k σ==②密钥量：!q③仿射密码是置换密码的特例 3.几种典型的单表古典密码体制 （1）Caeser 体制：密钥k=3 （2）标准字头密码体制： 4.单表古典密码的统计分析（二）多表古典密码1.定义：明文中不同位置的同一明文字母在密文中对应的密文字母不同2.基本加密运算 （1）简单加法密码 ①加密算法:κκ∈=∈====),...,(,),...,(,,11n n n nq n q n n k k k X m m m Z Z Y X 对任意设,密文：),...,()(11n n k k m k m m E c ++==②密钥量：nq （2）简单乘法密码 ①密钥量：n q )(ϕ 1.简单仿射密码①密钥量：n n q q )(ϕ2.简单置换密码 ①密钥量：nq )!( （3）换位密码 ①密钥量：!n（4）广义置换密码①密钥量：)!(nq（5）广义仿射密码 ①密钥量：n n r q3.几种典型的多表古典密码体制 （1）Playfair 体制： ①密钥为一个5X5的矩阵②加密步骤：a.在适当位置闯入一些特定字母，譬如q,使得明文字母串的长度为偶数，并且将明文字母串按两个字母一组进行分组，每组中的两个字母不同。
密码学复习
•只要选择合适的反馈函数便可使序列的周期达到 最大值2n -1，周期达到最大值的序列称为m序列。
反馈函数:b1+b3
4.4 线性移位寄存器的一元多项式表示
设n级线性移位寄存器的输出序列{ ai } 满足递推关系 ak+n＝c1 ak＋n－1 c2 ak＋n－2 ... cn ak，
对任何k≥1成立。将这种递推关系用一个一 元高次多项式
表4.1 三级反馈移位 寄存器的输出状态表
图4.4 一个3级反馈移位寄存器
•三级反馈移位寄存器，其初始状态为(a1,a2,a3)＝(1,0,1)，
•输出可由表4.1求出，其输出序列为10111011101…，周期为4。
线性反馈移位寄存器（LFSR）
如果移位寄存器的反馈函数f(a1, a2, …, an)是a1, a2, …, an的线性函数，则称之为线性 反馈移位寄存器（LFSR）。
现代密码学理论与实践05 50/28
2013-8-15
扩展欧几里德算法求逆
元素{01}是乘法单位元。对任意次数小于8 的非零二元多项式b(x)，其 乘法逆元记为b-1(x)，可通过下述方法找到：使用扩展欧几里德算法计 算多项式a(x)和c(x)使得 b(x)a(x)+m(x)c(x)=1 m(x) = x8 + x4 + x3 + x +1
习题
1、对于线性替代密码，设已知明码字母J(9) 对应于密文字母P(15)，即9k mod 26 = 15, 试 计算密钥k以破译此密码。
答： k=9-1*15 mod 26 9-1 mod 26=3 k=3*15 mod 26=19
第四章 序列密码
4.1 序列密码的基本概念
现代密码学杨波课后习题讲解
习题
第四章 公钥密码
习题
1.证明以下关系：
(1)(a mod n) (b mod n),则a b mod n (2) a b mod n,则b a mod n
(3) a b mod n,b c mod n,则a c mod n
解：（1）设 a mod n ra ,b mod n rb ，由题意得 ra rb ，且存在 整数 j, k ，使得a jn ra ,b kn rb ,可得 a b ( j k)n, 即n | (a b), 证得a b mod n
习题
习题
习题
习题
第五章密钥分配与密钥管理
习题
2.Diffie-Hellman密钥交换协议，中间人攻击，详细实施过程。
ECB模式：每个明文组独立地以同一密钥加密 CBC模式：加密算法的输入是当前明文组与前一密文组的异或
习题
习题
4. 在 8 比特 CFB 模式中，如果在密文字符中出现 1 比特的错误， 问该错误能传播多远。
CFB模式：每次只处理输入的j比特，将上一次的密文用作 加密算法的输入以产生伪随机输出，该输出再与当前明文 异或以产生当前密文。
，(ab mod 2n ) (abdiv2n )
1，(ab mod 2n ) (abdiv2n )
注意：(ab mod 2n)相当于 ab 的 n 个有效最低位，(ab div 2n) 是 ab 右移 n 位。
IDEA：明文、分组、密钥、8轮迭代（不是传统的feistel）、 输出变换
习题
习题
Elgamal：y,p,g,x；密文对 解：(1) C1≡gk mod p = 72 mod 71 = 49，
C2≡yBk M mod p = (32×30) mod 71= 57 密文为 C=(C1, C2)=(49, 57)。
现代密码学杨波课后习题讲解
习题
习题
3.设 n=4,n=f(a1,a2,a3,a4)=a1⊕a4⊕1⊕a2a3，初始状态为 (a1,a2,a3,a4)=(1,1,0,1)，求此非线性反馈移位寄存器的输出 序列及周期。
解：列出该非线性反馈移位寄存器 的状态列表和输出列（如右图）： a5 111 0 1
a6 111 0 1
n n
注意：(ab mod 2n)相当于 ab 的 n 个有效最低位，(ab div 2n) 是 ab 右移 n 位。 IDEA：明文、分组、密钥、8轮迭代（不是传统的feistel）、 输出变换
习题
习题
习题
第四章 公钥密码
习题
1.证明以下关系： (1) (a mod n) (b mod n), 则a b mod n (2) a b mod n, 则b a mod n (3) a b mod n, b c mod n, 则a c mod n 解：（1）设 a mod n ra , b mod n rb ，由题意得 ra rb ，且存在 整数 j , k ，使得 a jn ra , b kn rb , 可得 a b ( j k )n, 即n | (a b), 证得 a b mod n
1
1 1 1 1 0 1 c3c2c1 010 101 1 1 0
由此可得密钥流的递推关系为：
03 常见密码体制
3
3.1.1 换位（置换）密码
置换法又称换位法。 在置换密码中，明文和密文的字母保持相同，但 顺序被打乱了。即它把明文中的字母重新排列， 本身不变，但位置变了。如：把明文中的字母的 顺序倒过来写，然后以固定长度的字母组发送或 记录。 明文：computer systems
4
密文：sm etsy sretupmoc
29
DES是IBM公司提供的密码算法，1977 年7月15日，美国国家标准局NBS宣布接 受这个建议，作为联邦信息处理标准46 号，数据加密标准DES正式颁布，供商 业界和非国防性政府部门使用。
30
1979年，美国银行协会批准使用 1980年，美国国家标准局（ANSI）赞同 DES作为私人使用的标准,称之为DEA （ANSI X.392） 1983年，国际化标准组织ISO赞同DES作 为国际标准，称之为DEA-1 该标准规定每五年审查一次
1
第二部分 密码学基础
第2章 密码学基础
第3章 常见密码体制 第4章 数字签名技术 第5章 密钥管理技术
基本概念 小结
密码学的发展可以分为三个阶段： 第一个阶段：古代加密法(隐写术、黑帮行话) 第二个阶段：传统密码学阶段(手工或机械变换) 第三个阶段：计算机密码学阶段 明文（Plaintext）：消息的初始形式； 密文（CypherText）：加密后的形式 明文记为P或M，且为字符序列，P=[P1,P2,…,Pn] 密文记为C, C=[C1,C2,…,Cn] 明文和密文之间的变换记为 C=E(P)及P=D(C) 其中：C表示密文，E为加密算法； P表示明文，D为解密算法 要求密码系统满足：P=D(E(P))
1 2 3 4 E N G I N E E R I N G
明 文