第11次课分组密码AES-Rijndael.ppt

Fig 7. Rijndael加密及解密的标准结构 Block , Key Length = 128 bits Plaintext(128 bits) ByteSubstitution MixColumn ＋ Ciphertext(128 bits) K0 Ki i=10 ShiftRow for i=1 to 10 Ciphertext(128 bits) K10 InvMixCoumn InvShiftRow InvByteSubstitution ＋ ＋ Ki ＋ Plaintext(128 bits) i = 9 for i=9 to 0 加密 解密 用伪代码表示的Rijndael加密算法 Rijndael ( State, CipherKey ) { KeyExpansion ( CipherKey, ExpandedKey ); AddRoundKey ( State, ExpandedKey ); For ( i=1; iRnd; i++ ) Round ( State, ExpandedKey + Nb*i ); FinalRound ( State, ExpandedKey + Nb*Rnd ); } 提前进行密钥扩展后的Rijndael加密算法描述 Rijndael ( State, ExpandedKey ) { AddRoundKey ( State, ExpandedKey ); For ( i=1; iRnd; i++ ) Round ( State, ExpandedKey + Nb*i ); FinalRound ( State, ExpandedKey + Nb*Rnd ); } AES 的密钥调度 密钥调度包括两个部分：密钥扩展和轮密钥选取。 轮密钥bit的总数＝分组长度×（轮数Round＋1） 例如当分组长度为128bits和轮数Round为10时，轮密钥长度为128×(10＋1)＝1408bits。 将种子密钥扩展成一个扩展密钥。 轮密钥从扩展密钥中取：第一个轮密钥由扩展密钥的第一个Nb个字(4/6/8字节)，第二个圈密钥由接下来的Nb个字(4字节)组成，以此类推。 密钥扩展(eg.128bit) K0,0 K0,1 K0,2 K0,3 K1,0 K1,1 K1,2 K1,3 K2,0 K2,1 K2,2 K2,3 K3,0 K3,1 K3,2 K3,3 K0 K1 K2 K3 K0 K1 K2 K3 K4 K5 K6 K7 + + + 先看K5、K6、K7的生成。 K0 K1 K2 K3 K4 K5 K6 K7 Byte Substitution ShiftRow + Rcon + 看K4的生成。 GF(28)中的循环常量 Wi-4 Wi-3 Wi-2 Wi-1 Wi Byte Substituion Byte Rotate + Rcons + Key expansion 4 = i 4 ( Rnd + 1 ) i mod 4 = 0 i mod 4 != 0 + r(1)=1 r(i)=xi-1 i1 a,b,c,d?b,c,d,a?e,f,g,h?e XOR r(i),f,g,h 轮密钥选取 K0 K1 K2 K3 K4 K5 K6 K7 K8 K9 K10 K11 K12 轮密钥0 (128bit) 轮密钥1 轮密钥2 AES的解密算法 解密算法与加密算法不同 每个阶段均可逆，因此易证解密函授的确可以恢复明文 AES 算法的设计原理 GF(28)中乘法使用的多项式是8次不可约多项式列表中的第一个多项式。 ByteSubstitution（称为S盒）在设计时考虑到抵抗差分密码分析、线性密码分析的要求，应满足以下条件：1. 可逆性； 2. 输入比特的线性组合与输出比特的组合之间的最大非平凡相关性的极小化； 3. 异或差分表中最大非平凡值的极小化； 4. GF(28)中代数表示的复杂性； 5. 描述的简单性。 满足前3条准则的S盒的构造方法已被给出，AES的作者从众多候选构造中选择将x映射到它的逆的S盒。该映射过于简单，为了抵抗插入攻击，加入仿射变换： b(x)=(x7 + x6 + x2 + x) + a(x)(x7 + x6 + x5 + x4 + 1) mod x8 + 1 模数多项式x8 + 1选择为可能是最简单的模数多项式。 可以找到其它的S盒满足