密码编码学与网络安全（第五版） 向金海 03-分组密码与des教学幻灯片.pptVIP

* * P置换 * * 直接P置换（P-盒） P置换 * * F函数 * * DES第i轮迭代加密 * * * * 子密钥产生器 密钥（64 bit ） 置换选择1，PC1 置换选择2，PC2 Ci(28 bit) Di(28 bit) 循环左移 循环左移 除去第8,16, ?,64位(8个校验位) ki * * * * 置换选择1 循环左移的次数 （舍弃了奇偶校验位，即第8，16，…，64位） * * 压缩置换2 舍弃了第9,18,22,25,35,38,43,54比特位 * * 加密过程: L0R0 ?IP (64 bit明文) Li?Ri-1 i=1,...,16 (1) Ri?Li-1?f(Ri-1, ki) i=1,...,16 (2) 64 bit密文 ? IP-1(R16L16) (1)(2)运算进行16次后就得到密文组。 解密过程: R16L16 ?IP(64 bit密文) Ri-1?Li i=1,...,16 (3) Li-1?Ri?f(Li-1, ki) i=1,...,16 (4) 64 bit明文?IP-1 (R0L0) (3)(4)运算进行16次后就得到明文组。 DES加解密的数学表达 * * 安全性 DES的安全性完全依赖于所用的密钥。 从DES诞生起，对它的安全性就有激烈的争论，一直延续到现在 弱密钥和半弱密钥 DES算法在每次迭代时都有一个子密钥供加密用。如果给定初始密钥k，各轮的子密钥都相同，即有k1=k2= … =k16，就称给定密钥k为弱密钥(Weak key) §3.3 DES的强度 * * 若k为弱密钥，则有 DESk(DESk(x))=x DESk-1(DESk-1(x))=x 即以k对x加密两次或解密两次都可恢复出明文。其加密运算和解密运算没有区别。 而对一般密钥只满足 DESk-1(DESk(x))=DESk(DESk-1 (x))=x 弱密钥下使DES在选择明文攻击下的搜索量减半。 如果随机地选择密钥，则在总数256个密钥中，弱密钥所占比例极小，而且稍加注意就不难避开。 因此，弱密钥的存在不会危及DES的安全性。 DES的强度（1） * * 雪崩效应 DES的强度（2） * * 56位密钥的使用 256 = 7.2 x 1016 1997 ，几个月 1998，几天 1999，22个小时! DES算法的性质：S盒构造方法未公开！ 计时攻击 DES的强度（3） * * 差分密码分析 通过分析明文对的差值对密文对的差值的影响来恢复某些密文比特 线性密码分析 通过寻找DES变换的线性近似来攻击 DES的强度（4） * * §3.4 分组密码的工作模式 FIPS 81中定义了4种模式，到800-38A中将其扩展为5个。 可用于所有分组密码。 DES的工作模式 若明文最后一段不足分组长度，则补0或1，或随机串。 * * 模式 描述 典型应用 电码本（ECB） 单个数据的安全传输 密码分组链接（CBC） 普通目的的面向分组的传输；认证 密码反馈（CFB） 普通目的的面向分组的传输；认证 输出反馈（OFB） 噪声信道上的数据流的传输 计数器（CTR） 普通目的的面向分组的传输；用于高速需求 DES的工作模式 * * 电码本模式ECB 工作模式 加密：Cj=Ek(Pj),(j=1,2,…,n) 解密：Pj=Dk(Cj) 应用 特点 错误传播 不传播，即某个Ct的传输错误只影响到Pt的恢复，不影响后续的（j＞t）。 * * Electronic Codebook Book (ECB) * * 摘自：NIST Special Publication 800-38A 2001 Edition * * 密码分组链接模式 工作模式 加密 解密 应用 加密长度大于64位的明文P 认证 特点 错误传播 西安电子科技大学计算机学院 西安电子科技大学计算机学院 西安电子科技大学计算机学院西安电子科技大学计算机学院 西安电子科技大学计算机学院 Chapter 3 分组密码与数据加密标准 * * §3.1 分组密码原理 流密码 每次加密数据流的一位或一个字节 分组密码 将一个明文组作为整体加密且通常得到的是与之等长的密文组 * * 流密码模型 加密算法 密文 明文 密钥K b 位 b 位 * * 分组密码的一般设计原理： 分组密码是将明文消息编码表示后的数字（简称明文数字）序列，划分成长度为n的组（可看成长度为n的矢量），每组分别