第四章 分组密码5 现代密码学PPT课件.pptVIP

第四章 分组密码 一、分组密码概述 二、分组密码运行模式 三、DES 四、AES 五、分组密码的分析 四、AES 密钥编排 轮密钥的比特数等于分组长度乘以轮数加1 种子密钥被扩展为扩展密钥 轮密钥从扩展密钥中按顺序选取 分组密码的分析 差分密码分析(Differential cryptanalysis) DES经历了近20年全世界性的分析和攻击，提出了各种方法，但破译难度大都停留在255量级上。 1991年Biham和Shamir公开发表了差分密码分析法才使对DES一类分组密码的分析工作向前推进了一大步。目前这一方法是攻击迭代密码体制的最佳方法，它对多种分组密码和Hash 函数都相当有效，相继攻破了FEAL、LOKI、LUCIFER等密码。 此法对分组密码的研究设计也起到巨大推动作用。 差分密码分析(Differential cryptanalysis) 以这一方法攻击DES，尚需要用247个选择明文和247次加密运算。为什么DES在强有力的差值密码分析攻击下仍能站住脚? 根据Coppersmith[1992内部报告]透露，IBM的DES研究组早在1974年就已知道这类攻击方法，因此，在设计S盒、P-置换和迭代轮数上都做了充分考虑，从而使DES能经受住这一有效破译法的攻击。 差分密码分析(Differential cryptanalysis) 差分密码分析是一种攻击迭代分组密码的选择明文统计分析破译法。 它不是直接分析密文或密钥的统计相关性，而是分析明文差分和密文差分之间的统计相关性。 给定一个r轮迭代密码，对已知n长明文对X和X‘，定义其差分为 ?X=X?(X’)-1 其中，?表示n-bits组X的集合中定义的群运算，(X’)-1为X’在群中的逆元。 差分密码分析(Differential cryptanalysis) 在密钥k作用下，各轮迭代所产生的中间密文差分为 ?Y(i)=Y(i)?Y’(i)-1 0?i?r i=0时，Y(0)=X，Y’(0)=X’，?Y(0)=?X。 i=r时，?Y=?Y(r)，k(i)是第i轮加密的子密钥，Y(i)=f(Y(i－1), k(i))。 由于X?X’，因此，?Y(i)?e(单位元)。 每轮迭代所用子密钥k(i)与明文统计独立，且可认为服从均匀分布。 差分密码分析(Differential cryptanalysis) r 轮迭代分组密码的差分序列 差分密码分析(Differential cryptanalysis) Lai等引入Markov链描述多轮迭代分组密码的差分序列。并定义了 Markov密码。 Lai等证明，Markov密码的差分序列?X=?Y(0)，?Y(1), …, ?Y(r)是一齐次Markov链，且若?X在群的非零元素上均匀分布，则此Markov 链是平稳的。 不少迭代分组密码可归结为Markov密码。如DESLOK1、FEAL和REDOC [Lai. 1992]。 差分密码分析(Differential cryptanalysis) 一个Markov 型密码，可以用转移概率P(?Y(1)=?j??X=?i)的所有可能转移值构成的矩阵描述，称其为齐次Markov 链的转移概率矩阵，以?表示。 一个n-bits分组密码有1?i, j?M=2n－1。对所有r，有 ?r=[pij (r)]=[P(?Y(r)=?j??X=?i)] ?的每一行都是一概率分布，行元素之和为1。 差分密码分析(Differential cryptanalysis) 对于Markov型密码，当?X在非零元素上为均匀分布，则?Y为一平稳Markov链，此时对于每个j有 即各列元素之和亦为1，从而可知各列也构成一概率分布。 差分密码分析(Differential cryptanalysis) 差分密码分析揭示出，迭代密码中的一个轮迭代函数f，若已知三元组{?Y(i－1), Y(i), Y(i)?? Y(i)=f(Y(i－1), k(i)), Y’(i)=f(Y’(i－1), k(i))}，则不难决定该轮密钥k(i)。 因此轮函数f的密码强度不高。如果已知密文对，且有办法得到上一轮输入对的差分，则一般可决定出上一轮的子密钥(或其主要部分)。 在差分密码分析中，通常选择一对具有特定差分?的明文，它使最后一轮输入对的差值?Y(r－1)为特定值?的概率很高。 差分密码分析(Differential cryptanalysis) 差分密码分析的