第3讲分组密码

1、密码学密码学武汉科技大学武汉科技大学 计算机学院计算机学院 信息安全专业信息安全专业Cryptography主讲老师：朱子奇主讲老师：朱子奇武汉科技大学武汉科技大学 计算机学院计算机学院第第三三讲讲分组密码分组密码目目 录录武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念1数据加密标准数据加密标准2高级数据加密标准高级数据加密标准3分组密码的工作模式分组密码的工作模式4分组密码的基本概念分组密码的基本概念分组密码的模型框图分组密码的模型框图武汉科技大学武汉科技大学 计算机学院计算机学院加密算法加密算法解密算法解密算法分组密码的基本概念分组密码的基本概念v武汉科

2、技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念为了保证分组密码算法的为了保证分组密码算法的安全性安全性，对密码算法有如下要求：，对密码算法有如下要求：v分组长度分组长度n要足够大：要足够大： 防止防止明文穷举攻击法奏效。明文穷举攻击法奏效。v密钥量要足够大：密钥量要足够大： 尽可能尽可能消除弱密钥并使所有密钥同等地好，以防止密钥消除弱密钥并使所有密钥同等地好，以防止密钥穷举攻击奏效穷举攻击奏效。v由密钥确定置换的算法要足够复杂：由密钥确定置换的算法要足够复杂： 充分实现明文与密钥的扩散和混淆，没有简单的关系可充分实现明文与密钥的扩散和混淆，没有简单的关系可循循，要

3、能抗击各种已知的攻击。要能抗击各种已知的攻击。 武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念为了保证分组密码算法的为了保证分组密码算法的应用性应用性，对密码算法有如下要求：，对密码算法有如下要求：v 加密和解密运算简单：加密和解密运算简单： 易于软件和硬件高速实现易于软件和硬件高速实现。v 数据扩展：数据扩展： 一般无数据扩展，一般无数据扩展，在特定应用条件时可支持引入在特定应用条件时可支持引入数据扩数据扩展展。v 差错传播尽可能地小。差错传播尽可能地小。 武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念v分组密码的设计基

4、本原则分组密码的设计基本原则扩散（扩散（Diffusion）与混乱（）与混乱（Confusion）原则）原则武汉科技大学武汉科技大学 计算机学院计算机学院Claude Shannon扩散：扩散：重新排列消息中的每一个重新排列消息中的每一个比特，以使明文比特，以使明文中任何冗余度能扩散到整个密文，将每一比特明中任何冗余度能扩散到整个密文，将每一比特明文的影响尽可能作用到较多的输出密文位中，或文的影响尽可能作用到较多的输出密文位中，或密文的每一比特都要取决于部分或者全部明文位。密文的每一比特都要取决于部分或者全部明文位。混乱：混乱：使密文和密钥之间的统计特征关系尽可能使密文和密钥之间的统计特征关系

5、尽可能地复杂化，其目的在于隐藏密文和密钥之间的关地复杂化，其目的在于隐藏密文和密钥之间的关系，以利于组织攻击者利用密文来找出密钥系，以利于组织攻击者利用密文来找出密钥分组密码的基本概念分组密码的基本概念v 如何设计密码算法满足扩散和混乱的要求如何设计密码算法满足扩散和混乱的要求武汉科技大学武汉科技大学 计算机学院计算机学院换位换位操作操作（Permutation）扩散扩散（ Diffusion ）替换操作替换操作（Substitution）混乱混乱（ Diffusion ）00011110011100100001111011011100分组密码的基本概念分组密码的基本概念v 如何设计密码算法满

6、足扩散和混乱的要求如何设计密码算法满足扩散和混乱的要求 换位换位操作操作-P盒：在现代分组密码中，有盒：在现代分组密码中，有3中类型的中类型的P盒，普通型（输入输出位数相同），压缩型（输出位盒，普通型（输入输出位数相同），压缩型（输出位数小于输入位数），扩展性（输出位数大于输入位数）数小于输入位数），扩展性（输出位数大于输入位数） 替换操作替换操作-S盒：可以被认为是一个微型的代换密码，盒：可以被认为是一个微型的代换密码，S盒的输入和输出位数不一定相同，盒的输入和输出位数不一定相同，S盒有可逆和不可盒有可逆和不可逆之分，可逆的逆之分，可逆的S盒输入位数和输出位数相同盒输入位数和输出位数相同武汉

7、科技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念v通过交替使用通过交替使用S盒和盒和P盒，可以构成分组密码的盒，可以构成分组密码的一种基本结构一种基本结构-SP网络网络武汉科技大学武汉科技大学 计算机学院计算机学院PSSSSPSSSS雪崩效应：输入（明文或雪崩效应：输入（明文或者密钥）的微小变化会导者密钥）的微小变化会导致输出发生巨大变化的现致输出发生巨大变化的现象！（输入中任意一位的象！（输入中任意一位的变化，导致任意输出位变变化，导致任意输出位变化的概率是化的概率是1/2）分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科

8、技大学 计算机学院计算机学院明文（明文（2L位）位）F密密文（文（2L位）位）分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科技大学 计算机学院计算机学院明文（明文（2L位）位）F密密文（文（2L位）位）将长度为2L的明文等分为长度为L的左右两个部分分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科技大学 计算机学院计算机学院明文（明文（2L位）位）F密密文（文（2L位）位）分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科技大学 计算机学院计算机学院明文（明文（2L位）位）F密

9、密文（文（2L位）位）分组密码的基本概念分组密码的基本概念v武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科技大学 计算机学院计算机学院明文（明文（2L位）位）F密密文（文（2L位）位）分组密码的基本概念分组密码的基本概念vFeistel密码结构密码结构 武汉科技大学武汉科技大学 计算机学院计算机学院明文（明文（2L位）位）F密密文（文（2L位）位）分组密码的基本概念分组密码的基本概念vFeistel型密码的安全性：型密码的安全性： 明文和密文的分组大小：明文和密文的分组大小：分组越大，安全性越高，加密速度越

10、慢，一般取64位； 子密钥的长度：子密钥的长度：子密钥长度越长，安全性越高，加密速度越慢，一般长度要求大于128位； 循环次数：循环次数：循环次数越高，安全性越高，加密速度越慢； 子密钥产生算法：子密钥产生算法：在初始密钥给定的情况下，产生子密钥的算法越复杂，加密安全性越高 轮轮函数：函数：一般认为，轮函数越复杂，安全性越高武汉科技大学武汉科技大学 计算机学院计算机学院数据加密标准（数据加密标准（DES）v 数据加密标准（数据加密标准（Data Encryption Standard ）诞生背景：诞生背景：美国国家标准局1973年开始研究除国防部外的其它部门的计算机系统的数据加密标准，加密算法

11、要达到的目的（通常称为DES密码算法要求）主要为以下四点：提供高质量的数据保护，防止数据未经授权的泄露和未被察觉的修改；具有相当高的复杂性，使得破译的开销超过可能获得的利益，同时又要便于理解和掌握；DES密码体制的安全性应该不依赖于算法的保密，其安全性仅以加密密钥的保密为基础；实现经济，运行有效，并且适用于多种完全不同的应用。1977年1月，美国政府颁布：采纳IBM公司设计的方案作为非机密数据的正式数据加密标准DES（DataEncryptionStandard）。武汉科技大学武汉科技大学 计算机学院计算机学院数据加密标准（数据加密标准（DES）v DES的算法框图的算法框图武汉科技大学武汉科

12、技大学 计算机学院计算机学院64 bit明文数据明文数据64 bit密文数据密文数据Feistel加密结构加密结构（16轮迭代轮迭代）输入输入输出输出标准数据加密算法标准数据加密算法数据加密标准（数据加密标准（DES）v DES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院64 bit明文数据明文数据64 bit密文数据密文数据Feistel加密结构加密结构（16轮迭代轮迭代）输入输入输出输出DES是一种分组密码，以64位为分组长度对数据进行加密。数据加密标准（数据加密标准（DES）v DES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院64 bit明文

13、数据明文数据64 bit密文数据密文数据Feistel加密结构加密结构（16轮迭代轮迭代）输入输入输出输出对于每一段64位明文，首先进行初始置换（InitialPermutation，IP）。IP在密码意义上作用不大，它们的作用在于打乱原来输入的ASCII码字划分的关系，并将原来明文的校验位x8, x16, x64变成为IP输出的一个字节。数据加密标准（数据加密标准（DES）v DES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院64 bit明文数据明文数据64 bit密文数据密文数据Feistel加密结构加密结构（16轮迭代轮迭代）输入输入输出输出第第i轮迭代结构轮迭代结

14、构F数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换32bit56bit28bit28bit48bit48bit48bit32bit32bit56bit数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换

15、扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换数据加密标准（数据加密标准（DES）v扩展置换扩展置换武汉科技大学武汉科技大学 计算机学院计算机学院3212345456789891011121312131415161716171819202120212223242524252627282928293031321扩展置换输入输入输出输出数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换数据加密标准（数据加密标准（DES）v压缩置换压缩置换武

16、汉科技大学武汉科技大学 计算机学院计算机学院1417112415328156211023191242681672720132415231374755304051453348444939563453464250362932输入输入输出输出从从56位密钥序列中选出位密钥序列中选出48位作位作为当前加密的轮密钥。为当前加密的轮密钥。压缩置换412打乱密钥顺序打乱密钥顺序数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换数据加密标准（数据加密标准（DES）vS盒替换

17、盒替换武汉科技大学武汉科技大学 计算机学院计算机学院48比特输入32比特输出S盒1S盒2S盒3S盒4S盒5S盒6S盒7S盒81518146113497213120510313471528141201106911501441110413158126932151381013154211671205149S盒盒2数据加密标准（数据加密标准（DES）vS盒操作举例盒操作举例设输入为101000101000 第一个和最后一个比特是10，代表整数2；101000 中间四个比特是0100，代表整数4；武汉科技大学武汉科技大学 计算机学院计算机学院1518146113497213120510313471528

18、141201106911501441110413158126932151381013154211671205149012301234567891011 121314 151010001010数据加密标准（数据加密标准（DES）vDES的算法框图的算法框图武汉科技大学武汉科技大学 计算机学院计算机学院F扩展置换扩展置换S盒替换盒替换P盒替换盒替换移位移位移位移位压缩置换压缩置换数据加密标准（数据加密标准（DES）vP盒替换盒替换武汉科技大学武汉科技大学 计算机学院计算机学院167202129122817115232651831102824153227391913306221142532bit输入

19、输入32bit输出输出高级数据加密标准高级数据加密标准高级高级数据加密标准（数据加密标准（Advanced Encryption Standard，AES）1997年年1月，美国月，美国NIST向全世界密码学界发出征集向全世界密码学界发出征集21世纪高级加密世纪高级加密标准算法的公告，并成立了标准算法的公告，并成立了AES标准工作研究室，标准工作研究室，1997年年4月月15日的日的例会制定了对例会制定了对AES的评估标准。的评估标准。2000年年10月月2日，日，NIST宣布宣布Rijndael作为新的作为新的AESAES的的要求：要求：公开的；单钥体制分组密码公开的；单钥体制分组密码；密钥

20、；密钥长度可变，可按需要增大；适于长度可变，可按需要增大；适于用软件和硬件实现；可以自由地使用，或按符合美国国家标准用软件和硬件实现；可以自由地使用，或按符合美国国家标准（ANST）策略的条件使用；策略的条件使用；武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准Rijndael算法描述算法描述 抵抗所有已知的攻击；抵抗所有已知的攻击； 在多个平台上速度快，编码紧凑；在多个平台上速度快，编码紧凑； 设计设计简单；简单； Rijndael没有采用没有采用Feistel结构，轮函数由结构，轮函数由3个不同的可个不同的可逆均匀变换构成的，称为逆均匀变换构成的，称为3个个层

21、；层； 均匀变换是指状态的每个均匀变换是指状态的每个bit都用类似的方法都用类似的方法处理。处理。武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环高级数据加密标准高级数据加密标准v

22、Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环给定一个明文给定一个明文X，将将State初始化为初始化为X高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明

23、文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环将轮密钥与将轮密钥与State异或异或高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColu

24、mns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环对对每一每一轮操作：轮操作：（1）用）用S盒进行一盒进行一次字节替换；次字节替换；（2）对）对State做一做一次行移位次行移位（3）对）对State做一做一次列混淆次列混淆（4）再进行一次轮）再进行一次轮密钥加密钥加高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（Shift

25、Rows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环1234高级数据加密标准高级数据加密标准vRijndael算法中的基本变换算法中的基本变换 字节字节替换（替换（ByteSubs）字节替换是一个基于字节替换是一个基于S盒的非线性置换，置换方式是：把盒的非线性置换，置换方式是：把输入字节的高输入字节的高4位作为位作为S盒的盒的行值行值，低，低4位作为位作为S盒的盒的列值列值，然后取出然后取出S盒对应行和列的元素作为输出。盒对应行和列的元素作为输出。高级数据加密标准高级数据加密标准v武汉科

26、技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院01F0637C761CA82C0F8CA11616个字节个字节16个字节个字节高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院01F0637C761CA82C0F8CA11616个字节个字节16个字节个字节

27、高级数据加密标准高级数据加密标准武汉科技大学武汉科技大学 计算机学院计算机学院v高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环1234高级数据加密标准高级数据加密标准vRijndael算法中的基本变换算法中的基本变换 行行移位

28、（移位（ShiftRows）ShiftRows()完成基于行的循环移位操作。这个算法是可完成基于行的循环移位操作。这个算法是可逆的。逆的。武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准vRijndael算法中的基本变换算法中的基本变换 行行移位（移位（ShiftRows）ShiftRows()完成基于行的循环移位操作。这个算法是可完成基于行的循环移位操作。这个算法是可逆的。逆的。武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院

29、128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环1234高级数据加密标准高级数据加密标准v武汉科技大学武汉科技大学 计算机学院计算机学院高级数据加密标准高级数据加密标准vRijndael算法中的基本变换算法中的基本变换 列混淆（列混淆（MixColumns）例子：例子：武汉科技大学武汉科技大学 计算机学院计算机学院02030101010203010101020303

30、01010287f24d976e4c90ec46e74ac3a68cd8954740a34c37d4709f94e43a42eda5a6bc高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第（第（N-1）轮循环）轮循环1234v武汉科技大学武汉科技大学 计算

31、机学院计算机学院328831e0435a3137f6309807a88da2342b28ab097eaef7cf15d2154f16a6883c19a0a9e93df4c6f8e3e28d48be2b2a08高级数据加密标准高级数据加密标准v Rijndael算法框图（加密部分）算法框图（加密部分） 武汉科技大学武汉科技大学 计算机学院计算机学院128位明文位明文轮密钥加轮密钥加（AddRoundkey）字节替换字节替换（ByteSubs）行移位行移位（ShiftRows）列混淆列混淆（MixColumns）轮密钥加轮密钥加（AddRoundkey）密钥串Key0-3Key4i-(4i+3)第

32、（第（N-1）轮循环）轮循环密钥扩展密钥扩展高级数据加密标准高级数据加密标准v密钥扩展密钥扩展尽管尽管AES算法可以使用算法可以使用128位，位，192位和位和256位三种密钥位三种密钥大小，但是有密钥扩展算法生成的大小，但是有密钥扩展算法生成的AES的轮密钥统一都的轮密钥统一都是是128位，与位，与AES的明文和密文分组大小一致。的明文和密文分组大小一致。对于对于N轮加密的轮加密的AES算法，共需要算法，共需要N+1个轮密钥，每个个轮密钥，每个轮密钥由轮密钥由16个字节组成。个字节组成。轮轮密钥的具体计算算法将不具体介绍，请参考密钥的具体计算算法将不具体介绍，请参考P84，算，算法法3.6.

33、武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的工作模式分组密码的工作模式v1980年年12月，美国国家标准局发布了分组密码的月，美国国家标准局发布了分组密码的的四种工作模式标准（的四种工作模式标准（FIPS Publication 81），），这四种工作模式可以应用于任何分组密码。这四种工作模式可以应用于任何分组密码。 电码本模式（电码本模式（ECB模式模式） 密码分组链接模式（密码分组链接模式（CBC模式模式） 输出反馈模式（输出反馈模式（OFB模式）模式） 密码反馈模式（密码反馈模式（CFB模式模式）武汉科技大学武汉科技大学 计算机学院计算机学院分组密码的工作模式分组密码的工作模式v武汉科技大学武汉科技大学 计算机学院计算机学院变量的不确定性越大，熵也就越变量的不确定性越大，熵也就越大，反正则越