密码算法设计与分析 - 课程笔记

基本概念

安全威胁

安全威胁
- 被动攻击
  - 消息内容获取
  - 业务流分析
- 主动攻击
  - 中断（可用性）
  - 篡改（完整性）
  - 伪造（真实性）
- 人为威胁

被动攻击

被动攻击即窃听，是对系统的保密性进行攻击，如搭线窃听、非法拷贝等，以获取他人的信息。

被动攻击分类：

消息内容获取：直接对消息内容进行窃听，这样的通信系统通常没有对信息进行加密。
业务流分析：攻击者对截取的消息进行分析，虽然不能获得消息的具体内容，但可以确定消息的格式等信息。

被动攻击不对消息做任何修改，是难以检测的，因此抗击这种攻击的重点在于预防而非检测。

预防的方式：使用VPN(虚拟专用网络)、采用加密技术保护网络、使用加密保护的分布式网络等

主动攻击

主动攻击包括对数据流的篡改，或产生某些假的数据流等。

主动攻击分类：

中断（可用性）：使某些服务被暂停甚至主机死机，如DOS攻击
篡改（完整性）：对系统中传送的消息进行篡改，并使得消息进行正常的传输，不被发现。
伪造（真实性）：伪造虚假的消息。

信息安全模型

安全业务

安全业务包括：保密业务、认证业务、完整性业务、不可否认业务、访问控制

保密业务
- 保护数据以防被动攻击。
- 保护方式可根据保护范围的大小分为若干级，其中最高级保护可在一定时间范围内保护两个用户之间传输的所有数据，低级保护包括对单个消息的保护或对一个消息中某个特定域的保护。
认证业务
- 用于保证通信的真实性。
- 在单向通信的情况下，认证业务的功能是使接收者相信消息确实是由它自己所声称的那个信源发出的。在双向通信的情况下，如计算机终端和主机的连接，在连接开始时，认证服务则使通信双方都相信对方是真实的（即的确是它所声称的实体）。
完整性业务
- 完整性业务应用于消息流、单个消息或一个消息的某一选定域。
- 用于消息流的完整性业务目的在于保证所接收的消息未经复制、插入、篡改、重排或重放，因而是和所发出的消息完全一样的。
不可否认业务
- 用于防止通信双方中的某一方对所传输消息的否认。
- 因此，一个消息发出后，接收者能够证明这一消息的确是由通信的另一方发出的。类似地，当一个消息被接收后，发出者能够证明这一消息的确已被通信的另一方接收了。
访问控制
- 访问控制的目标是防止对网络资源的非授权访问。
- 控制的实现方式是认证，即检查访问某一资源的用户是否具有访问权。

信息安全基本模型

安全的网络通信必须考虑以下4个方面：

加密算法
用于加密算法的秘密信息
秘密信息的分布和共享
使用加密算法和秘密信息以获得安全服务所需的协议

秘密信息的分布和共享：密钥分配和密钥管理技术等。

协议：让客户端及服务器确认彼此的身份的一类网络协议，握手协议等。

可信的第三方也被称作：密钥分配中心（KDC）

密码学基本概念

保密通信系统

由以下几部分组成：明文空间、密文空间、密钥空间、加密算法和解密算法。

密码系统主要包括以下几个基本要素：m, c, k1, k2, Ek1, Dk2

明文：发送方即将要发送的消息，m。
密文：明文经过密码变换后的消息，c。
密钥：能使密码算法按照指定的方式运行的一种特定的值，k（或公私钥k1, k2）
加密算法：对明文进行加密时所采用的一组规则，E。
解密算法：对密文进行解密时所采用的一组规则，D。
加密：由明文变换为密文的过程，c=Ek1(m)。
解密：由密文恢复出原明文的过程，m=Ek2(m)。

保密通信系统应满足的要求

保密通信系统在现有的计算能力下不可破译
系统的保密性不依赖于对算法的保密性，而依赖于密钥的保密性(Kerckhoff准则)
加密和解密算法适用于密钥空间的所有元素
系统便于实现和使用

密码体制分类

单钥密码（对称密码算法）

单钥密码算法所用的加密密钥和解密密钥相同，或实质上等同，即从一个易于得出另一个。

特征：单钥体制的加密密钥和解密密钥相同。

优势：加解密速度快，并且单钥加解密算法可通过资源受限的芯片来实现。

单钥密码对明文消息的加密有两种方式：

流密码：对明文消息按字符(如二元数字)逐位地进行加密，如Trivium、Grain算法等
分组密码：将明文消息分组(含有多个字符)，逐组地进行加密，如DES，AES和SM4等

双钥密码（非对称密码算法）

加密密钥和解密密钥不相同，即从一个难于推出另一个。

特征：采用双钥体制的每个用户都有一对选定的密钥：一个是可以公开的，可以像电话号码一样进行注册公布，称为公钥；另一个则是秘密的，称为私钥。

将加密和解密能力分开。可以实现多个用户加密的消息只能由一个用户解读，可用于公共网络中实现保密通信；由一个用户加密的消息而使多个用户可以解读，可用于实现对用户的认证。

加密：公钥加密，私钥解密

认证：私钥加密，公钥解密

密码攻击分类

攻击类型	攻击者掌握的内容
唯密文攻击	加密算法，截获的部分密文
已知明文攻击	加密算法，一个或多个明文密文对
选择明文攻击	加密算法，自己选择的明文消息，及加密得到的相应密文
选择密文攻击	加密算法，自己选择的密文消息，及相应的被解密的明文

密码学发展阶段

古典密码学：（例如凯撒密码、希尔密码、维吉尼亚密码、仿射密码等）
1. 古代密码：艺术，斯巴达棒、藏头诗、剃头发等
2. 近代密码：使用电动机械设备进行加解密，恩尼格玛机、洛伦兹密码机、紫色密码机等
第二阶段（1949-1975）（例如DES）
- 1949年Shannon发表的《保密系统的通信理论》（Communication Theory of Secrecy System），将信息论引入到密码学中，为密码学的发展奠定了理论基础。
第三阶段（1976-至今）（例如RSA、Diffie-Hellman密钥交换）
- 1976年Diffie和Hellman的“密码学的新方向”一文导致了密码学上的一场革命。他们首次提出：不仅加密算法可以公开，甚至加密使用的密钥也可以公开

古典密码

单表代换密码

例如 gcd(8,26)=2，8(m+13)+5 = 8m+5(mod 26)，此时 m 和 m+13将被加密成为相同的密文，得到的密文将无法进行解密。

多表代换密码

现代密码学概况

现代密码学研究相关内容

NIST轻量级对称密码标准化工作

分组密码

分组密码算法简介

加解密原理

设计常用方法

香农（Shannon）提出的混淆和扩散原则为密码算法的设计提供理论基础。

混淆：密码算法应使得密钥、明文以及密文之间的依赖关系相当复杂，以至于这种关系对密码分析者来说是无法利用的。混淆功能通常由密码S盒、与、模加、模乘等非线性操作实现。

扩散：密码算法应使得明文的统计特性消失在密文中，密钥和明文的一位影响密文的许多位。扩散功能通常由置换、矩阵相乘等线性操作来实现。

轮函数结构

分组密码算法的设计原则：先确定顶层结构，即使用的密码结构，分组长度，密钥长度，轮函数迭代的次数等，然后确定下层部件，即使用的密码部件、扩散部件等

箭头表示数据的流向。

Feistel结构

F函数是由密钥控制的置换，起到混淆的作用，交换起到了扩散的作用。

典型算法：DES

SPN结构

典型算法：AES

DES

发明
- 美国IBM公司
性质
- 一种用64位密钥来加密64位数据的方法
目标
- 提供高质量的数据保护
- 具有复杂性
- 在实现上可行、经济
现状
- 1977年被批准为美国联邦信息处理标准
- 1998年5月，美国EFF(Electronics Frontier Foundation)宣布设计了DES的专用解密机，用56小时破译了56比特密钥的DES。
- 1998年12月，美国决定不再使用DES算法。

整体结构

IP置换

IP逆置换

数据经过初始置换和逆初始置换，回到了原来的位置。其作用主要是将明文和密文按照字节放入密码芯片中

轮函数

拓展运算E盒

在下标为1的字符前插入上一个字符。即，下标为32的字符；
在下标为4的字符后插入下一个字符。即，下标为5的字符；
在下标为32的字符后插入下一个字符。即，下标为1的字符；
按照此规律扩展16bit。

压缩运算S盒

置换运算P

把指定的一位换成另外一位，无扩展和压缩，P置换的作用，使得每个S盒的输出影响下一轮6个不同的S盒

子密钥更新

PC-1的作用是得到有效的56比特密钥，PC-2置换是一个压缩置换，将C中的9,18,22,25位和D中的7,9,15,26位删去，其余位置换位置次序。

移位和置换的作用：每一轮使用不同的密钥位子集，但是16个子密钥中，每个密钥位大约被使用14次，增加了DES破译的难度。

双重DES

为了提高DES的安全性，并利用实现DES的现有软硬件，可将DES算法在多密钥下多重使用。

二重DES是多重使用DES时最简单的形式，二重DES所用密钥长度为112比特，强度极大地增加。

三重DES

使用两个密钥做三次加密，实现方式为“加密──解密──加密”，简记为EDE( Encrypt- Decrypt- Encrypt)；

三个密钥的三重DES密钥长度为168比特，三个密钥的三重DES已在因特网的许多应用（如PGP和S/ MIME）中被采用。

广义Feistel结构密码算法

AES

起源
- DES的衰落： 20世纪末，当差分密码分析及线性密码分析现以后，由美国人开创的DES (Data Encr yption Standard，即数据加密标准)逐渐由繁荣走向衰落。
- 算法的征集：1997年4月15日，为代替即将退役的DES算法，美国国家标准技术研究所（NIST)特成立AES小组征集AES
- 候选算法：1998年8月12日，正式公布CAST-256、E2等15个候选算法，接受外界攻击和评论。
- 确定算法：2000年10月2日，比利时密码专家JoanDaemen和Vincent Rijmen提出的Rijindael（读为rain doll）算法，被美国商务部最终推荐为高级加密AES算法。
设计标准
- 抵抗所有已知的攻击
- 设计简单，典型的SPN结构
- 在各种平台上易于实现，速度快

整体结构

状态矩阵

AES算法的分组长度固定为128比特，以字节为基本单位转换为4×4的状态矩阵。矩阵中字节的排列顺序为从上到下、从左至右依次排列。

假设明文分组P为"abcdefghijklmnop"，则对应状态矩阵如下

密钥矩阵

128位密钥也是用字节为单位的矩阵表示，矩阵的每一列被称为1个32位比特字。通过密钥编排函数该密钥矩阵被扩展成一个44个字组成的序列W[0],W[1], … ,W[43],该序列的前4个元素W[0],W[1],W[2],W[3]是原始密钥，用于加密运算中的初始密钥加（下面介绍）;后面40个字分为10组，每组4个字（128比特）分别用于10轮加密运算中的轮密钥加，如下图所示：