差分密码分析年.pptVIP

密码学补充：差分密码分析 2轮DES的差分分析 * 所以, 在第２轮后，所有Ｓ盒都得到差分输入０，产生的差分输出也是０； f(R,K)的输出在２轮后是０，差分输出则是 (00 00 00 00 , 60 00 00 00) 2轮DES的差分分析-1 * 假定：去掉初始置换IP和最终置换FP。2轮的差分分析共有７个步骤。 Step 1: 产生明文对(P, P?)，使得 办法是，随机产生一个P ，将其与下述值进行异或得到P? 2轮DES的差分分析-2 * Step 2: 对于产生的明文对(P, P?) ，计算加密后产生密文对(T, T?)（选择明文攻击） Step 3: 计算T’=T⊕T?，检查结果是否等于 如果不相等，就说明特征不符，这个明文对就不能用。重返第一步，产生新的明文对； 如果相等，则特征相符，进入第四步 2轮DES的差分分析-3 * Step 4: 因为S2, . . . , S8的差分输入都为０，所以没有信息可以从S2K, . . . , S8K得到。 在S1的差分分布表中，0C → E有14/64的概率，即只有64分之14可以得到 产生 2轮DES的差分分析-4 * 这14 个可能值可以通过把每个可能的S1K 与相应的S1E 和S1?E 的６比特相异或来确定，计算S1的差分输出S1’O，检查其是否等于E 把S1K 的这14个值放进表中 2轮DES的差分分析-5 * Step 5: 计算这些表的交集 因为正确的密钥必定同时出现在每张表中 如果有不止一个S1K值，就说明还需要更多的明文和密文差分对才能唯一确定密钥S1K，转到第一步，计算更多的数据 需要的明文密文差分对的数量，大致等于使用的特征概率的倒数，本例中需要64/14 ≈ 5对 如果只得到一个S1K ，就是正确的，转到第六步。 2轮DES的差分分析-6 * Step 6: 这个阶段，要恢复构成S1K的6个比特。 采用类似的特征，恢复第一轮中与S2-S8的输入相异或的6比特密钥 Step 7: 这个阶段已经有了构成S1K密钥的48比特，等同于S1K -S8K。 其余的８比特密钥，采用穷举方法在64个可能的值中搜寻 密码分析的概率 * 去掉第三步，假定在每一对密文中都出现一个特征 该特征出现的概率是14/64 ·1 = 14/64 所以，出错的概率是50/64 对 正确的S1K 值不一定出现在每个表中，需要寻找的是最常出现的S1K 值 正确值以14/64 出现在各表中，剩余的63个值以大致等概的方式出现 已知明文攻击-1 * 前面一直假定,采用选择明文攻击，就是说，攻击者可以得到任意选择明文的密文 而已知明文攻击则是，攻击者可以从大量的明密对的集合中进行选择性分析 假设，选择明文攻击需要m对明密对应。已知 对随机明密对，这是从 对可能的明密文中选择出来的 已知明文攻击-2 * 每一对都有一个异或值，因为分组大小是64，总共就有264种可能的明文异或值所以，有 对产生每个明文异或值 特别是，有很大的概率，大致有m对，每一对都有几个明文异或值需要进行差分分析 结论 * 改进后 * 总结-1 * DES降至6轮后，用PC机采用选择明文攻击，可以在0.3秒内进行破解，使用的密文量有240；采用已知明文攻击需要236密文 DES降至8轮后，用PC机采用选择明文攻击，可以在2分钟内进行破解，使用的密文量有214；采用已知明文攻击需要238密文 整个DES的破解：有237次从247的量中进行选择明文攻击，分析236密文 上述结果，在密钥频繁变化，以及收集的数据是从不同的密钥得到的清况下仍然成立 总结-2 * 这一努力，与密钥量大小无关，破解56比特密钥的DES需要的努力，与破解16个不同的48比特密钥的DES所需要的几乎相同 差分密码分析证明了轮数，以及S盒的构造方法的重要性 DES变化后比原DES更容易分析，例如Schaumuller-Bich提出的GDES (Generalized DES) 方案很容易分析，只需要6个密文，在不到0.2秒的时间就可以破解 总结-３ * DES的某些变化还可能造成灾难性后果 * * * 差分密码分析 电子科技大学 范明钰 提要 * 简介 技术要点 DES框图 差分分析原理 S盒的非均匀性，S1的差分分布 2轮、4轮、8轮差分分析 已知明文攻击 总结 简介-１ * 差分密码分析是一种破解某些类型的密码系统的方法 显然，设计DES的IBM研究人员知道有关差分密码分析的情况。 当密码分析人员可以进行选择明文分析时，差分密码分析十分有效。 已知明文的差分密码分析也是可行的，但是要求已知明密文的量很大 简介-2 * 这一方法搜索明密文对，根据它们的差分的恒定性，研究密码系统的差分现象 DES中两个元素P1和P2的差分定义为P1⊕P2 (