现代密码学第2部分(3).pptVIP

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 由表达式ck=(ak+bk)ck-1+ak可得 因此，如果知道{ck}中相邻位的值ck-1和ck，就可以推断出ak和bk中的一个。而一旦知道足够多的这类信息，就可通过密码分析的方法得到序列{ak}和{bk}。为了克服上述缺点，Pless提出了由多个J-K触发器序列驱动的多路复合序列方案，称为Pless生成器。 Pless生成器由8个LFSR、4个J-K触发器和1个循环计数器构成，由循环计数器进行选通控制，如图2.16所示。假定在时刻t输出第t(mod 4)个单元，则输出序列为 a0b1c2d3a4b5d6 2.6.3 Pless生成器 图2.16 Pless生成器 钟控序列最基本的模型是用一个LFSR控制另外一个LFSR的移位时钟脉冲，如图2.17所示。 图2.17 最简单的钟控序列生成器 2.6.4 钟控序列生成器 假设LFSR1和LFSR2分别输出序列{ak}和{bk}，其周期分别为p1和p2。当LFSR1输出1时，移位时钟脉冲通过与门使LFSR2进行一次移位，从而生成下一位。当LFSR1输出0时，移位时钟脉冲无法通过与门影响LFSR2。因此LFSR2重复输出前一位。假设钟控序列{ck}的周期为p，可得如下关系： 其中 又设{ak}和{bk}的极小特征多项式分别为GF(2)上的m和n次本原多项式f1(x)和f2(x)，且m|n。因此，p1=2m-1, p2=2n-1。又知w1=2m-1， 因此 gcd(w1, p2)=1，所以p=p1p2=(2m-1)(2n-1)。 此外，也可推导出{ck}的线性复杂度为n(2m-1)，极 小特征多项式为 例2.8 设LFSR1为3级m序列生成器，其特征多项式为f1(x)=1+x+x3。设初态为a0=a1=a2=1，于是输出序列为{ak}=1,1,1,0,1,0,0,…。 又设LFSR2为3级m序列生成器，且记其状态向量为σk，则在图2.17的构造下σk的变化情况如下： ak+3=ak+ak+2 {ck}的周期为(23-1)2=49，在它的一个周期内，每个σk恰好出现7次。 设f2(x)=1+x2+x3为LFSR2的特征多项式，且初态为b0=b1=b2=1，则{bk}=1,1,1,0,0,1,0，…。 由σk的变化情况得 {ck}=1,1,1,0,0,0,0,0, 1,0,1,1,1,1,1, 1,0,0,0,1,1,1, 0,1,1,1,1,1,1, 0,0,1,1,0,0,0, 1,1,1,1,0,0,0, 0,1,0,0,1,1,… bk+3=bk+bk+1 序号 状态 输出 0 1 1 1 1 1 0 1 1 1 2 0 0 1 1 3 1 0 0 0 3 1 0 0 0 4 0 1 0 0 4 0 1 0 0 4 0 1 0 0 {ck}=1,1,1,0,0,0,0,0, bk+3bk+1bk ck {bk}=1,1,1,0,0,1,0，…。 {ck}的极小特征多项式为1+x14 + x21，其线性复杂度为3·（23-1）=21，图2.18是其线性等价生成器。 图2.18 一个钟控序列的线性等价生成器 设计一个性能良好的序列密码是一项十分困难的任务。最基本的设计原则是“密钥流生成器的不可预测性”，它可分解为下述基本原则： ① 长周期。 ② 高线性复杂度。 ③ 统计性能良好。 ④ 足够的“混乱”。 ⑤ 足够的“扩散”。 ⑥ 抵抗不同形式的攻击。 许多流加密算法都是基于Linear feedback shift register（LFSRs,线性反馈移位寄存器）, 虽然在硬件上有效率但是在软件实现上却可能比较慢。RC4的设计避免了LFSRs的使用，对于软件实现是相当理想的，它只需字节操作，使用了256字节的状态数组（从S[0]到S[255]）, k字节的key内存（从key[0]到key[k-1]），整数i,j和k。 进行256的取模操作可以用255的字节AND来进行（在有些平台上，只需简单地进行字节相加，忽略掉溢出即可）。RC4是目前应用最广的商密级序列密码。 2.7 RC4序列密码 RC4是Ron Rivest为RSA公司在1987年设计的一种流