第10讲KG的简单设计.ppt

* * 密 码 学 第10讲 郑秀林 ZXL@Besti.edu.cn 2006年11月06日 本讲内容 KG的一般结构(复习) 非线性组合子系统F的设计： 　　　　两种典型的基本编码手段 序列密码算法A5(数字蜂窝移动电话加密算法) KG的一般结构 种子密钥k 驱动 子系统 f x1 x2 xm ... 非线性 组 合 子系统 F k f的作用： 1.控制内部变化 2.为F提供多个统计性能良好的序列 3.提供种子密钥的扩散性 F的作用： 1.提供序列的混乱性，输出密钥序列k 2.将多个序列进行“非线性”组合，阻 　止已知的密码攻击。 对F的基本保密要求 1 保持统计特性； 2 使k 的周期达到最大； 3 使k的线性复杂度极大化； 4 F不得泄漏f的结构与状态信息； 5 F应易于实现，且速率高； 6 应由种子密钥k控制F。 在上图中， f:一般由m-序列(或M-序列)生成器构成，提供若干周期大、统计特性好的序列(称为驱动序列)： x1,x2 ,… ,xm F: 就是把f产生的多个驱动序列综合在一起，进行非线性变换，目的是有效地破坏和掩盖多个驱动序列中存在的规律或关系，提高输出序列的线性复杂度。 KG的一般结构(续) KG的一般结构(续) 设计KG应遵循的基本准则： 长周期 高线性复杂度 理想分布 混乱（KG的输出是所有或大多数密钥比特的复杂函数） 扩散（子结构的输出必须扩散到尽可能大的范围中） 非线性准则（非线性度高、相关免疫、雪崩） F的设计：两种典型的基本编码手段 非线性组合生成器 一个非线性组合生成器的图示如下： n1-LFSR n2-LFSR nt-LFSR ? ) , , , ( 2 1 t x x x F L k F是一个t元非线性布尔函数，一般要求： ?具有较高的非线性次数；?是平衡的。 F的设计：非线性组合生成器 关于F的结果有： 若对一切i=1,2,?,t，ni-LFSR都是m-序列生成器,且i?j?(ni,nj)=1，则 ? p(k)=(2n1-1)(2n2-1)?(2nt-1)， ? ?(k)=F*(n1,n2,?,nt)，这里F*是把F在F2上的多项式表示作为整数环Z上的多项式来计算而得的函数。 非线性组合生成器的一个特殊情形是所谓的非线性滤波生成器，或也称为前馈网络，其结构示意图如下： n-LFSR ? k F的设计：非线性组合生成器 L L L N 1 1 0 1 + + i i i n n n x x x x x } { i n x F的设计：钟控序列生成器 2. 钟控序列生成器 一个钟控序列生成器的图示如下： 时刻i N-LFSR作速度因子控制器 D=be-1 ·2e-1 +?+ b1·2+ b0+c be-1 ? b1 b0 滑动 位 被钟控序列 此时刻输出指针位置 下一时刻输出指针位置 输出指针初始位 置n0?0随意选定 (缺省值为0） ni+1=ni+D F的设计：钟控序列生成器 　　一个特殊情形就是”停停走走”(Stop-and-Go)生成器， 它的图示如下： n-LFSR1 m-LFSR2 时钟脉冲 k 一个有关的结果是： 若n-LFSR1与m-LFSR2都是m-序列生成器,且n|m或2n-1为 素数,则 ? p(k)=(2n-1)(2m-1) 　 ? ?(k)至少为[m,n](2(m,n)-1) 序列密码算法A5 　算法A5是欧洲GSM数字蜂窝移动电话的加密标准。 GSM数字蜂窝 网络系统 基 地 站（BS） 移 动 站（MS） 交换系统（SS） 移动业务交换中心（MSC） 验证中心（AUC） 原籍位置寄存器（HLR） 访问位置寄存器（VLR） 移动设备识别寄存器（EIR） 基地站 A5算法（序列密码） 种子密钥k为64bit 每帧数据为228bit 帧号为22bit 序列密码算法A5 LFRS1(19级) 。 LFRS2(21级) 。 LFRS3(22级) 。 k 钟 控 停/走 停/走 停/走 算法A5的密钥序列产生器KG示意图 x1（第10级的输出） x2 （第11级的输出） x3 （第12级的输出） 钟控规则： g(x1,x2,x3)=x1x2+x2x3+x1x3 　g(x1,x2,x3)与xi相同，则LFSRi“走”，否则“停”。 3个LFSR的联接多项式分别为： 它们均为本原多项式。 序列密码算法A5 序列密码算法A5 算法A5的密钥变换 　　每次通话，由主叫方产生64bit随机数（称为会话密钥SK）明传给被叫方。对双方，每加密一帧数据之前都要进行一次密钥变换,在通话中,SK一直不变,只有帧号随帧数据流的变化而增加。密钥变换的作用是置算法A5的初始状态,这包括以下两步： （1）用64