第3章-分组密码体制(new).ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 设加密算法的初始密钥加、第1轮、第2轮、…、第Nr轮的子密钥依次为 k(0), k(1), k(2), …, k(Nr-1), k(Nr) 则解密算法的初始密钥加、第1轮、第2轮、…、第Nr轮的子密钥依次为 k(Nr), InvMixColumn (k(Nr-1)), InvMixColumn (k(Nr-2)), …, InvMixColumn (k(1)), k(0)。 证明：这是上述3个引理的直接推论。 综上所述，Rijndael密码的解密算法与加密算法的计算网络相同，只是将各计算部件换为对应的逆部件。 3-1 (1) 设M′是M的逐比特取补，证明在DES中，如果对明文分组和加密密钥都逐比特取补，那么得到的密文也是原密文的逐比特取补，即 如果Y=DESK(X) 那么Y′=DESK′(X′) 提示： 对任意两个长度相等的比特串A和B，证明(AB)′=A′B。 (2) 对DES进行穷搜索攻击时，需要在由256个密钥构成的密钥空间进行。能否根据(1)的结论减小进行穷搜索攻击时所用的密钥空间。 习题 3-2 证明DES的解密变换是加密变换的逆。 3-3 在DES的ECB模式中，如果在密文分组中有一个错误，解密后仅相应的明文分组受到影响。然而在CBC模式中，将有错误传播。例如在图3.11中C1中的一个错误明显地将影响P1和P2的结果。 (1) P2后的分组是否受到影响？ (2) 设加密前的明文分组P1中有1比特的错误，问这一错误将在多少个密文分组中传播？对接收者产生什么影响？ 3-4 在8比特CFB模式中，如果在密文字符中出现1比特的错误，问该错误能传播多远？ 3-5 在实现IDEA时，最困难的部分是模216+1乘法运算。以下关系给出了实现模乘法的一种有效方法，其中a和b是两个n比特的非0整数： 注意： (ab mod 2n)相应于ab的n个最低有效位，(ab div 2n)是ab右移n位。 (1) 证明存在惟一的非负整数q和r使得ab=q(2n+1)+r。 (2) 求q和r的上下界。 (3) 证明q+r2n+1。 (4) 求(ab div 2n)关于q的表达式。 (5) 求(ab mod 2n)关于q和r的表达式。 (6) 用(4)和(5)的结果求r的表达式，说明r的含义。 3-6 (1) 在IDEA的模乘运算中，为什么将模数取为216+1而不是216? (2) 在IDEA的模加运算中，为什么将模数取为216而不是216+1? * * * * * * * * * * * * * * * * * * * * * * * * * (2) 行移位（ShiftRow） 行移位是将状态阵列的各行进行循环移位，不同状态行的位移量不同。第0行不移动，第1行循环左移C1个字节，第2行循环左移C2个字节，第3行循环左移C3个字节。位移量C1、C2、C3的取值与Nb有关，由表3.10给出。（见66页表3.10） 按指定的位移量对状态的行进行的行移位运算记为ShiftRow (State)图3.20是行移位示意图。 图3.20 行移位示意图 ShiftRow的逆变换是对状态阵列的后3列分别以位移量Nb-C1、Nb-C2、Nb-C3进行循环移位，使得第i行第j列的字节移位到(j+Nb-Ci) mod Nb。 （3） 列混合（MixColumn） 在列混合变换中，将状态阵列的每个列视为GF(28)上的多项式，再与一个固定的多项式c(x)进行模x4+1乘法。当然要求c(x)是模x4+1可逆的多项式，否则列混合变换就是不可逆的，因而会使不同的输入分组对应的输出分组可能相同。Rijndael的设计者给出的c(x)为（系数用十六进制数表示）： c(x)=‘03’x3+‘01’x2+‘01’x+‘02’ c(x)是与x4+1互素的，因此是模x4+1可逆的。列混合运算也可写为矩阵乘法。设b(x)= c(x)a(x)，则 这个运算需要做GF(28)上的乘法，但由于所乘的因子是3个固定的元素02、03、01，所以这些乘法运算仍然是比较简单的。 对状态State的所有列所做的列混合运算记为 MixColumn（State） 图3.21是列混合运算示意图。 图3.21 列混合运算示意图 列混合运算