第五讲 数据加密标准(DES).ppt

1、第五届DES算法(DES )于1974年，IBM向国家标准局(NBS )提交了名为LUCIFER的加密法算法。 NBS将其交给国家安全局(NSA )进行测试，随后就得到了名为数据加密标准DES的算法。 1977年，NBS正式用于无限制级别的政府通讯。 在此期间，NBS和NSA可能有某种误解。 NSA原本打算将DES仅用于硬件运行，但NBS公布了许多技术细节，使人们能够在此基础上写出DES加密法软件。 如果国家安全局预想到此后的情况会发展，他们可能不同意公布DES。 从1975年开始围绕DES的争论就没有停止。 许多学者担心美国国家安全局的隐形手参与算法。 例如： (1) NSA可以修改算法，安

2、装多说唱乐男同性恋。 (2) NSA将原来的128个二进制位密钥缩短为56个二进制位。 (3)算法内部的动作反应历程永远不能明确解释。 例如，差分分析。 很多的NSA设置订正算法的原理在90年代被弄清楚了，不过，70年代这些个确实另外的人迷惑了。 由于DES已经使用了30多年，所以在2000年，国家标准技术研究所(NIST )决定使用新的系统代替DES。 但DES仍值得研究，表现了曾经非常普遍的对称加密法算法。 DES是报文分组密码，每个报文分组是64二进制位的数据。 64二进制位明文通过加密法最终成为64二进制位密文。 DES的核心是被称为Feistel系统的零配件。 在本种子文件中，简化D

3、ES型算法差分分析DES DES是群解读DES密码安全修正发现查询密码(MDC )、1简化DES型算法、Feistel系统、Feistel系统(续)、非Feistel系统(续)的一轮Feistel系统(续)扩展函数， s盒，一轮Feistel系统(续)，2差分分析，构想：通过适当选择明文比较它们的差异，导出要使用的密钥。 可通过再次对从密钥导出的部分随机属性进行异或来从以上操作知道将密钥和E(Ri-1 )进行异或的结果。对2.1三轮的差分分析、对2.1三轮的差分分析(续)、对2.1三轮的差分分析(续)、对2.1三轮的差分分析(续)、对2.2四轮的差分分析以三轮为基础，但要扩展为四轮，则需要系统

4、的知识，在此关注s盒的弱点。 关于对2.2四轮的差分分析(续)、对2.2四轮的差分分析(续)、对2.2四轮的差分分析(续)、2.3差分分析，(1)前面的例子表示差分攻击至少具有与强力攻击相同的速度。 然而，在更优秀的系统(例如，DES )，在一定数量的回合内，差分攻击效率显着地快于搜索所有密钥空间的强大攻击。 (2) Mitsuru Matsui发明了另一种被称为线性攻击的分析方法。 这种攻击用线性估计描述报文分组密码的动作。 线性分析可视为效率改善的新差分分析(理论上需要约243个明暗信号对)。 但是，没有证据表明能够有效地实际攻击DES。 3 DES、DES的密钥通常写为64二进制位，但每

5、8二进制位有奇数奇偶校验二进制位，可以忽略，因此实际上只有56二进制位。 由于算法只使用64二进制位以下的标准算术运算和逻辑运算，所以70年代只使用硬件就可以容易地实现算法。 算法的重复特性最适合专用芯片执行。 最初在软件上运行的DES很笨拙，但现在的软件运行效果也非常好。3.1 DES算法描述、3.1 DES算法描述(续)、3.2初始修正运算、3.3函数f(Ri-1，Ki )、3.3函数f(Ri-1，Ki ) (续)、3.3特别是s盒作为常数给出，但这些个的常数为什么以这样的形式出现却没有明确说明尽管IBM宣称这些个是17年的大量加密结果，但他担心NSA的干预可能将安装令牌说唱乐以促进对算法

6、的解密。在3.5 DES的安全(续) 90年代初期，IBM终于公开了s盒设计的基本原理。 (1)各s盒为6二进制位输入和4二进制位输出。 这是1974年芯片处理数据的最大能力。 (2) S-盒的输出不应该是与输入接近线性的函数关系。 (3) s-box的每一行都必须包含015的16个数字。 (4)如果每个输入框有两个不同的数据二进制位，则输出必须至少有两个二进制位不同。 3.5 DES的安全(续) (5)2个s-box输入的前2位不同，但如果最后的2位相同，则输出不相等。 (6)给出的每个异或XOR值存在32种可能的输入对。 每一个这些个的输入对可以得到相对应的异或XOR输出。 所有的这些个输

7、出都不能有8个完全相同的值。 这个原则显然是用来阻止差分分析的。 (7)该原则与(6)类似，但在此考虑s盒为3个的情况。 (详细地说，参照“D. Coppersmith，thedataencryptionstandardanditsstrengthagainstattacks”)，4 DES不是一个组，而是选择两个秘密K1和K2加密法明文p来得到eed的该如果攻击者有一盏茶的存储空间，则为此目的的保密工作有限。 此外，如果两个加密法等于一个加密法，则口令保密工作将比您想象的要弱。 例如，如果DES成立，则穷举搜索器256的密钥空间被搜索器约228的密钥空间所替换。 解读5DES，发现5.1 d

8、es (1) 1977年，Diffie和Hellman估计用2千万美元制造机器约1天就能解读des。 (2) 1993年，Wiener利用交换技术建立了更有效的DES去老虎钳。 (直到1996年，已经形成了3种DES解读的基本方法。 一种方法是利用分布纠正算法。 一个是设定、修订专用的攻击小费。 折中的方法是使用可程序设计师逻辑男同性恋阵列。 5.1 DES已经是老龄(续) (4)分布修正方法解读DES非常流行，特别是在网际网络兴盛的情况下。 1997年，RSA数据保密工作公司开展了DES牛鼻子及其加密法信息解读大赛。 短短五个月，Rocke Verser就找到了25%的牛鼻子空间，然后找到了

9、牛鼻子。 其次，RSA资料保密工作公司开展了第二次竞赛。 结果，39天内85%的密钥空间发现了对应密钥。 5.1 DES已查明(续) (5) 1998年，电子领域基金(EFF )展开了DES解读这一修订计划。 校正图像的基本思想是，通常使用的校正功能不适合用于执行DES解密的塔斯克。 计划使用的结构是硬件决定排除大量不可能的密钥并返回可能的密钥。 软件用于处理所有可能的密钥，并根据密码系统使用的密钥确定有木有。 结果，预计使用1500个芯片在平均约4.5天中完成DES的解密。 5.1 DES已经成为老字号(续) (6)，通过预处理，据说NSA在3分钟到5分钟内DES的解读成功。 机器的支出只有

10、5万美元。 上述结果表明，在90年代后期的计算技术中，加密法系统使用56二进制位的密钥太短，无法提供强大的保密工作。增加5.2保密工作的DES变化、增加5.2保密工作的DES变化(续)、6密码保密工作、问题.密码一般与各实体相关联，是610个以上容易记忆的字符串。 密码由实体和系统共享。 实体提供一对id和密码，以获得在系统资源上网站数据库的权限，如修正帐户、打印机和软件应用程序。 确认正确输入了正确的id和密码。 如果正确，则按id为实体分配相应的网站数据库权限。 系统通过向实体表明自己掌握了口令的秘密来与身份识别联系。 6.1密码牛鼻子密码文件加密法密码文件，6.1密码牛鼻子(续) (3)

11、降低密码映射速度(4)密码加盐为了使密码推测攻击无效，在每个密码条目中加上t二进制位的随机序列称为盐，与盐密码散列值与盐一起写入密码文件，用于身份验证。(5)口令，6.2常见攻击(1)再现固定口令(2)全面搜索口令攻击的成功取决于成功发现口令需要验证的口令数量和每个验证测试所需的时间。 (3)密码推测或字典攻击上线了/离线密码推测攻击、6.3斯坦共和国UNIX密码系统、6.3斯坦共和国UNIX密码系统(续) (1)密码盐。 UNIX密码盐将12二进制位的随机字符串与用户选择的密码相关联。 12个二进制位的随机序列给出4096种不同的变化作为DES标准扩展函数e的一个变量。 即，盐的第一二进制位

12、与输入的第一二进制位和第二十五二进制位对应，第二二进制位与输入的第二二进制位和第二十六二进制位对应。 如果盐二进制位值为1，则交换输入的相应二进制位；如果盐二进制位值为0，则保持不变。 散列密码值和盐存储在系统密码文件的目录查询中。 密码的保密工作对个别用户来说并没有提高，但在整个字典攻击的密码文件中，对每个可能的密码添加了4096种不同的密码测试修正运算。 6.3 UNIX斯坦共和国密码系统(续) (2)防止使用现有的DES芯片攻击系统。 标准DES算法不再能够执行UNIX口令算法，因为DES的扩展修订需要盐。 如果攻击者想采用硬件加速攻击，则需要在自各儿上配置和修改DES芯片，而不是直接选

13、择一般的商用DES芯片。 这无疑会增加攻击成本。 其次，修正发现查询密码(MDC )、定义2修正发现查询密码(MDC )为混列函数h。 对于输入x和x，以及对应的输出y和y，(1)原始图像不可逆的：不能为几乎所有的散列输出计算散列输入。 换言之，无法辨识输入而给予任意输出y，并且不可能校正任意输入x满足h(x)=y。 (2)二次原始图像不可逆：对于任何给定的输入x，难以找到另一个输入xx并且满足h(x)=h(x )。 (3)抵抗冲突：找到两个不同的输入x和x，满足h(x)=h(x )，不能进行修正计算(注意：这里可以自由选择两个输入)。 攻击7.1MDC的营销对象攻击者攻击MDC的主要营销对象是，(给出散列值y，并且发现原始图像x满足y=h(x )。