密码编码学与网络安全（第五版）课件：03-分组密码与DES.ppt

1、Chapter 3 分组密码与数据加密标准分组密码与数据加密标准 2022-1-222nPlayfair、hill、 Vigenre的密钥空间？n单表和多表的区别？2022-1-223本节课程内容本节课程内容n分组密码一般原理、设计准则、设计方法nDES加解密算法nDES的强度2022-1-224n流密码流密码q每次加密数据流的一位或一个字节每次加密数据流的一位或一个字节n分组密码分组密码q将一个明文组作为整体加密且通常得到的是与将一个明文组作为整体加密且通常得到的是与之等长的密文组之等长的密文组2022-1-225流密码模型流密码模型加密算法加密算法密文密文明文明文密钥密钥Kb 位位b 位位

2、2022-1-226n分组密码的一般设计原理：分组密码的一般设计原理：q分组密码是将明文消息编码表示后的数字（简称明分组密码是将明文消息编码表示后的数字（简称明文数字）序列，划分成长度为文数字）序列，划分成长度为n的组（可看成长度的组（可看成长度为为n的矢量），每组分别在密钥的控制下变换成等的矢量），每组分别在密钥的控制下变换成等长的输出数字（简称密文数字）序列长的输出数字（简称密文数字）序列n理想分组密码体制理想分组密码体制q2n!个映射个映射q大规模大规模2022-1-227Feistel网络（网络（1）nFeistel网络的设计动机网络的设计动机q密钥长为密钥长为k位，分组长为位，分组长

3、为n位，采用位，采用2k个变换个变换n一个分组密码是一种映射：记为E(X,K) 或 称为明文空间， 称为密文空间， 为密钥空间。 FFFntm222ntnkFFKFXXE222,),(mF2tF2Feistel网络（网络（2）2022-1-229nShannon n目的：挫败基于统计方法的密码分析目的：挫败基于统计方法的密码分析q混淆（混淆（confusion）：使得：使得密文密文的统计特性的统计特性与密钥与密钥的取值之间的关系尽量复杂。的取值之间的关系尽量复杂。q扩散（扩散（diffusion）：明文的统计特征消散在密文中，：明文的统计特征消散在密文中，使得使得明文和密文明文和密文之间的统计

4、关系尽量复杂。之间的统计关系尽量复杂。刻画密码系统的两个基本构件刻画密码系统的两个基本构件Feistel网络（网络（3）2022-1-2210n分组长度分组长度 n密钥长度密钥长度 n轮数轮数 n子密钥生成算法子密钥生成算法n轮函数轮函数Fn快速软件加解密快速软件加解密n易于分析易于分析Feistel网络（网络（4）2022-1-2211nDES的历史的历史nDES的基本结构的基本结构nDES核心构件的细节描述核心构件的细节描述nDES轮密钥的生成轮密钥的生成nDES的安全性分析的安全性分析2022-1-22122022-1-2213历史历史发明人发明人：美国：美国IBM公司公司 W. Tuc

5、hman 和和 C. Meyer 1971-1972年研制成功年研制成功基础：基础：1967年美国年美国Horst Feistel提出的理论提出的理论产生：美国国家标准局（产生：美国国家标准局（NBS)1973年年5月到月到1974年年8月两次发布通告，月两次发布通告， 公开征求用于电子计算机的加密算法。经评选从一大批算法中采纳公开征求用于电子计算机的加密算法。经评选从一大批算法中采纳 了了IBM的的LUCIFER方案方案标准化：标准化：DES算法算法1975年年3月公开发表，月公开发表，1977年年1月月15日由美国国家标日由美国国家标 准局颁布为数据加密标准（准局颁布为数据加密标准（Dat

6、a Encryption Standard），于），于 1977年年7月月15日生效日生效2022-1-2214DES是一种用是一种用56位密钥来加密位密钥来加密64位数据的方法。位数据的方法。概述概述2022-1-2215DES算法框图算法框图 输入 64 bit明文数据 初始置换IP 乘积变换 （16轮迭代） 逆初始置换IP-1 64 bit密文数据 输出标准数据加密算法2022-1-22162022-1-2217初初始始置置换换和和初初始始逆逆置置换换2022-1-2218初始置换和初始逆置换初始置换和初始逆置换DES中的初始置换和初始逆置换中的初始置换和初始逆置换2022-1-2219

7、n 初始置换与初始逆置换是互逆的初始置换与初始逆置换是互逆的n 严格而言不具有加密的意义严格而言不具有加密的意义Note2022-1-2220十十六六轮轮迭迭代代加加密密Round i第第i i轮轮加加密密2022-1-2221DES第第i轮迭代加密轮迭代加密2022-1-2222F函数函数2022-1-2223扩展扩展E置换（置换（E-盒）盒）2022-1-2224S盒（盒（1）2022-1-2225S-盒是盒是DES加密算法的唯一非线性部件加密算法的唯一非线性部件S盒（盒（2）2022-1-2226S-盒盒S盒（盒（3）2022-1-22278S 2110101 b 21001 00 01

8、 02 03 04 05 06 07 08 09 10 11 12 13 14 15012313 02 08 04 06 15 11 01 10 09 03 14 05 00 12 0701 15 13 08 10 03 07 04 12 05 06 11 00 14 09 0207 11 04 01 09 12 14 02 00 06 10 13 15 03 05 0802 01 14 07 04 10 08 13 15 12 09 00 03 05 06 11输入输入输出输出S-盒的查表操作盒的查表操作S盒（盒（4）2022-1-2228n DES中其它算法都是线性的，而中其它算法都是线性

9、的，而S-盒运算盒运算则是非线性的则是非线性的n 提供了密码算法所必须的混乱作用提供了密码算法所必须的混乱作用n S-盒不易于分析，它提供了更好的安全性盒不易于分析，它提供了更好的安全性n S-盒的设计未公开盒的设计未公开NoteS盒（盒（5）2022-1-2229P置换置换2022-1-2230直接直接P置换（置换（P-盒）盒）P置换置换2022-1-2231F函数函数2022-1-2232DES第第i轮迭代加密轮迭代加密2022-1-22332022-1-2234子密钥产生器子密钥产生器 密钥（64 bit ）置换选择1，PC1置换选择2，PC2 Ci(28 bit) Di(28 bit)

10、 循环左移 循环左移除去第8,16, ,64位(8个校验位)ki2022-1-22352022-1-2236置换选择置换选择1循环左移的次数循环左移的次数（舍弃了奇偶校验位，即第8，16，64位）2022-1-2237压缩置换压缩置换2舍弃了第9,18,22,25,35,38,43,54比特位2022-1-2238n加密过程加密过程: :qL0R0 IP ()qLiRi-1 i=1,.,16 (1)qRiLi-1f(Ri-1, ki) i=1,.,16 (2)q IP-1(R16L16) (1)(2)(1)(2)运算进行运算进行1616次后就得到密文组。次后就得到密文组。n解密过程解密过程:

11、:qR16L16 IP()qRi-1Li i=1,.,16 (3)qLi-1Rif(Li-1, ki) i=1,.,16 (4)qIP-1 (R0L0) (3)(4)(3)(4)运算进行运算进行1616次后就得到明文组。次后就得到明文组。DES加解密的数学表达加解密的数学表达2022-1-2239n安全性安全性 qDES的安全性完全依赖于所用的密钥。 从DES诞生起，对它的安全性就有激烈的争论，一直延续到现在n弱密钥和半弱密钥弱密钥和半弱密钥qDES算法在每次迭代时都有一个子密钥供加密用。如果给定初始密钥k，各轮的子密钥都相同，即有k1=k2= =k16，就称给定密钥k为弱密钥弱密钥(Weak

12、 key)2022-1-2240n若k为弱密钥，则有qDESk(DESk(x)=xqDESk-1(DESk-1(x)=xq即以k对x加密两次或解密两次都可恢复出明文。其加密运算和解密运算没有区别。n而对一般密钥只满足qDESk-1(DESk(x)=DESk(DESk-1 (x)=xq弱密钥下使DES在选择明文攻击下的搜索量减半。n如果随机地选择密钥，则在总数256个密钥中，弱密钥所占比例极小，而且稍加注意就不难避开。n因此，弱密钥的存在不会危及DES的安全性。2022-1-2241雪崩效应雪崩效应2022-1-2242n56位密钥的使用q256 = 7.2 x 1016q1997 ，几个月 q

13、1998，几天 q1999，22个小时!nDES算法的性质：S盒构造方法未公开！n计时攻击2022-1-2243n差分密码分析q通过分析明文对的差值对密文对的差值的影响来恢复某些密文比特n线性密码分析q通过寻找DES变换的线性近似来攻击 2022-1-22443.4 分组密码的工作模式分组密码的工作模式nFIPS 81中定义了中定义了4种模式，到种模式，到800-38A中将其中将其扩展为扩展为5个。个。n可用于所有分组密码。可用于所有分组密码。nDES的工作模式的工作模式若明文最后一段不足分组长度，则补若明文最后一段不足分组长度，则补0或或1，或随机串。，或随机串。 2022-1-2245模式

14、描述典型应用电码本（电码本（ECBECB）单个数据的安全传输密码分组链接（密码分组链接（CBCCBC）普通目的的面向分组的传输；认证密码反馈（密码反馈（CFBCFB）普通目的的面向分组的传输；认证输出反馈（输出反馈（OFBOFB）噪声信道上的数据流的传输计数器（计数器（CTRCTR）普通目的的面向分组的传输；用于高速需求DESDES的工作模式的工作模式2022-1-2246电码本模式电码本模式ECBn工作模式工作模式 q加密：Cj=Ek(Pj),(j=1,2,n)q解密：Pj=Dk(Cj)n应用应用n特点特点n错误传播错误传播 q不传播，即某个不传播，即某个Ct的传输错误只影响到的传输错误只影

15、响到Pt的恢复，不影响的恢复，不影响后续的（后续的（jt）。）。2022-1-2247Electronic Codebook Book (ECB)2022-1-2248摘自：NIST Special Publication 800-38A 2001 Edition2022-1-2249密码分组链接模式n工作模式工作模式 q加密q解密n应用应用q加密长度大于加密长度大于64位的明文位的明文Pq认证认证n特点特点n错误传播错误传播 2022-1-2250Cipher Block Chaining (CBC)2022-1-2251摘自：NIST Special Publication 800-38A

16、 2001 Edition2022-1-2252n工作模式工作模式q加密q解密n应用应用q保密：加密长度大于保密：加密长度大于64位的明文位的明文P；分组随意；可作为；分组随意；可作为流密码使用。流密码使用。q认证：认证：n特点特点q分组任意分组任意q安全性优于安全性优于ECB模式模式q加、解密都使用加密运算（不用解密运算）加、解密都使用加密运算（不用解密运算）n错误传播错误传播q有误码传播，设 ，则错误的Ct会影响到Pt,Pt+r。 密码反馈模式sr642022-1-2253Cipher FeedBack (CFB)2022-1-2254摘自：NIST Special Publication

17、 800-38A 2001 Edition2022-1-2255输出反馈模式n工作模式工作模式 q加密加密q解密解密n应用应用n特点特点q缺点：抗消息流篡改攻击的能力不如缺点：抗消息流篡改攻击的能力不如CFB。 n错误传播错误传播 q不传播不传播 2022-1-2256Output FeedBack (OFB)2022-1-2257摘自：NIST Special Publication 800-38A 2001 Edition2022-1-2258n工作模式工作模式 q加密：加密： 给定计数器初值给定计数器初值IV，则，则 j=1,2,N q解密解密n特点特点q优点优点n硬件效率：可并行处理；

18、硬件效率：可并行处理；n软件效率：并行化；软件效率：并行化；n预处理；预处理；n随机访问：比链接模式好；随机访问：比链接模式好；n可证明的安全性：至少与其它模式一样安全；可证明的安全性：至少与其它模式一样安全；n简单性：只用到加密算法。简单性：只用到加密算法。n错误传播错误传播 q不传播不传播计数器模式1PjjIVECKj1jIVEPCKjj2022-1-2259Counter (CTR)2022-1-2260摘自：NIST Special Publication 800-38A 2001 Edition2022-1-2261小结q分组密码与流密码 block vs stream ciphersqFeistel 密码设计与结构 design & structuren轮数，函数F，密钥扩展qDESn算法细节n密码强度n工作模式2022-1-2262第三章作业第三章作业n思考题：思考题：3.5，3.7，3.8