现代密码学 第6讲AES.pptVIP

3.6 AES算法——Rijndael 1997年4月15日，美国ANSI发起征集AES（advanced encryption standard）的活动，并为此成立了AES工作小组。 1997年9月12日，美国联邦登记处公布了正式征集AES候选算法的通告。对AES的基本要求是： 比三重DES快、至少与三重DES一样安全、数据分组长度为128比特、密钥长度为128/192/256比特。 1998年8月12日，在首届AES候选会议（first AES candidate conference）上公布了AES的15个候选算法，任由全世界各机构和个人攻击和评论。 1999年3月，在第2届AES候选会议（second AES candidate conference）上经过对全球各密码机构和个人对候选算法分析结果的讨论，从15个候选算法中选出了5个。分别是RC6、Rijndael、SERPENT、Twofish和MARS。 2000年4月13日至14日，召开了第3届AES候选会议（third AES candidate conference），继续对最后5个候选算法进行讨论。 2000年10月2日，NIST宣布Rijndael作为新的AES。经过3年多的讨论，Rijndael终于脱颖而出。 Rijndael由比利时的Joan Daemen和Vincent Rijmen设计算法的原型是Square算法，它的设计策略是宽轨迹策略（wide trail strategy）。算法有很好的抵抗差分密码分析及线性密码分析的能力。 3.6.1 Rijndael的数学基础和设计思想 1. 有限域GF(28) 多项式加法系数表示法 GF(28) 中任一多项式(bi {0,1} ) b7x7+b6x6+b5x5+b4x4+b3x3+b2x2+b1x+b0 →b7b6b5b4b3b2b1b0(一个字节) 多项式乘法 b(x)= b7x7+b6x6+b5x5+b4x4+b3x3+b2x2+b1x+b0 →b7b6b5b4b3b2b1b0 x·b(x)= b7x8+b6x7+b5x6+b4x5+b3x4+b2x3+b1x2+b0 x ( mod m(x)) m(x)= x8+x4+x3+x+1 b7=0 b6x7+b5x6+b4x5+b3x4+b2x3+b1x2+b0 x →b6b5b4b3b2b1b00 b(x)在字节内左移一位（最后一位补0） b7=1， b(x)在字节内左移一位（最后一位补0）与‘1B’逐比特异或 x的幂乘运算可以重复应用xtime来实现 例如，‘57’·‘13’可按如下方式实现： ‘57’·‘02’=xtime(57)=‘AE’‘57’·‘04’=xtime(AE)=‘47’‘57’·‘08’=xtime(47)=‘8E’； ‘57’·‘10’=xtime(8E)=‘07’； ‘57’·‘13’=‘57’·(‘01’‘02’‘10’) =‘57’‘AE’‘07’=‘FE’。 2. 系数在GF(28)上的多项式 模取M(x)=x4+1，系数在GF(28)上的任意多项式可表示为a3x3+a2x2+a1x+a0，ai GF(28)系数对应4个字节构成的向量。 加法定义如下 对应系数相加； 4字节向量的逐比特异或。 设a(x)= a3x3+a2x2+a1x+a0， b(x)= b3x3+b2x2+b1x+b0， c(x)= a(x) b(x)=c3x3+c2x2+c1x+c0。由于xj mod (x4+1)= x j mod 4，所以 c0=a0b0a3b1a2b2a1b3； c1= a1b0a0b1a3b2a2b3； c2= a2b0a1b1a0b2a3b3； c3= a3b0a2b1a1b2a0b3。 x（或x的幂）模乘多项式 c(x)=xb(x)modx4+1 除a1=‘01’外，其他所有ai= ‘00’ 定理系数在GF(28)上的多项式a3x3+a2x2+a1x+a0是模x4+1可逆的，当且仅当矩阵 在GF(28)上可逆。 证明：a3x3+a2x2+a1x+a0是模x4+1可逆的， 当且仅当存在多项式h3x3+h2x2+h1x+h0 (a3x3+a2x2+a1x+a0)(h3x3+h2x2+h1x+h0)=1 mod(x4+1) (a3x3+a2x2+a1x+a0)(h2x3+h1x2+h0x+h3)=x mod (x4+1) (a3x3+a2x2+a1x+a0)(h1x3+h0x2+h3x+h2)=x2 mod (x4+1) (a3x3+a2x2+a1x