密码学02－流密码.pptVIP

本科生必修课：现代密码学;流密码概况 2.1 流密码的基本概念 布尔函数简介 2.2 线性反馈移位寄存器 2.3 线性移位寄存器的一元多项式表示 2.4 m序列的伪随机性 2.5 m序列密码的破译 2.6 非线性序列;流密码概况;流密码具有有效的数学分析工具 代数(如布尔代数)、有限域理论和谱分析理论等等 流密码在现代密码学阶段的主要成果来自于密码分析 很多密码学家因流密码研究而成名 肖国镇，Massey，Berlikamp等。 在IEEE Transaction on Information Theory上能够发表的密码成果多数都是来自于流密码的相关研究 流密码基于硬件实现优势更明显，目前也有些算法是针对软件设计的 如Ecrypt计划中的算法，RC4等 参考资料：《伪随机序列及其应用》，《流密码学及其应用》，肖国镇著;2.1 流密码的基本概念; 流密码 分组密码 内部记忆元件由一组移位寄存器构成;流密码与分组密码的区别：在于有无记忆性 流密码的滚动密钥由函数f、密钥k和指定的初态σ0完全确定 此后由于输入加密器的明文可能影响加密器中的内部记忆元件的存储状态，因而σi (i0)可能依赖于k，σ0，x0，x1，…，xi－1，前 i 个明文和密钥及初态 分组密码中，一组一组的加密，一般等长 在分组内明文和密钥充分混淆，分组间一般互不影响，与分组连接模式有关;2.1.1同步流密码;目前大多数研究成果都是关于同步流密码的 由于zi＝f(k,σi)与明文无关，此刻的密文字符yi=Ezi(xi)也不依赖于此前的明文字符，这样可将同步流密码的加密器分成密钥流产生器和加密变换器两个部分。 设解密变换为xi=Dzi(yi)。同步流密码体制模型如下图;加密变换Ezi可有多种选择，保证变换可逆性即可 比如明文流和密钥流对应位异或 实际数字保密通信系统一般都是二元的{0,1},在有限域GF(2)上讨论二元加法流密码是目前最常用的流密码体制 加密变换可表示为yi＝zi?xi，加法流密码体制模型;一次一密密码(One Time Padding 一次一密乱码本)是加法流密码的原型 其中密钥的长度至少和明文的长度一样长，是无条件安全的，但实用性较差，因而不能广泛应用。 如果加法流密码中，zi＝ki，即直接将密钥k(k至少和明文一样长)用作滚动的密钥流，则加法流密码就是一次一密密码。 流密码体制中如果密钥有限，则安全性一般低于一次一密 从信息论意义上讲，对k比特长的串进行任何固定变换，其信息量至多为k比特，即密钥流再长，其安全性最大也就是密钥长度，而一次一密的密钥长度至少和明文一样。 同步流密码算法的设计主要是密钥流产生器的设计 密钥产生器目标是：使得密钥k经其扩展成的密钥流序列z具有如下性质： 极大的周期，良好的统计特性，抗差分分析，抗线性分析等;2.1.2 有限状态自动机;【例2－1】 S={s1,s2,s3}， A1={A1(1),A2(1),A3(1)}，A2={A1(2),A2(2),A3(2)},转移函数由表2－1给出;有限状态自动机可用有向图表示，称为转移图 转移图的顶点对应于自动机的状态;在例2－1中，若 输入序列为A1(1)A2(1)A1(1)A3(1)A3(1)A1(1) 初始状态为s1， 则得到状态序列为： 输出字符序列为：;2.1.3 密钥流产生器;由于具有非线性的φ的有限状态自动机理论很不完善，相应的密钥流产生器的分析工作受到极大的限制。 相反地，当采用线性的φ和非线性的ψ时，将能够进行深入的分析并可以得到好的生成器。 为方便讨论，可将这类生成器分成驱动部分和非线性组合部分 驱动部分控制生成器的状态转移，并为非线性组合部分提供统计性能好的序列； 非线性组合部分要利用这些序列组合出满足要求的密钥流序列。;目前最为流行和实用的密钥流产生器如图所示，其驱动部分是一个或多个线性反馈移位寄存器。 前者称为滤波生成器，或前馈生成器 后者称为非线性组合生成器 还有钟控生成器，缩减生成器，停走生成器等 在非线性生成器中介绍;密钥流序列z应满足的几个条件： 一般来说，KG(密钥产生器)的输入(种子密钥k)是较短的，其输出为周期序列 对于二元序列，如果种子密钥k为n比特，则其周期最大为2n 因为一旦密钥产生器的某一时刻的存储状态与前面的某一时刻的状态相同，则在其它参数不变的情况下，输出开始重复 这个重复周期太小则不安全 希望一个周期的长度很长，这样在加密有限的明文时只需要一个周期内的某个片断，就像真随机的一样;基于以上考虑，密钥产生器目标是：使得密钥k经其扩展成的密钥流序列z具有如下性质： 种子密钥的长度（一般来说就是流密码的密钥长度）足够长 比如128比特，这样密钥空间将有21