DES加密算法原理

   找了两篇讲解DES的博文，先转过来满满研究。

   http://blog.chinaunix.net/uid-29106641-id-4032988.html

   http://blog.sina.com.cn/s/blog_4c7ab7a601009884.html

       DES是Data Encryption Standard（数据加密标准）的缩写。它是由IBM公司研制的一种对称密码算法，美国国家标准局于1977年公布把它作为非机要部门使用的数据加密标准，三十年来，它一直活跃在国际保密通信的舞台上，扮演了十分重要的角色。

　　DES是一个分组加密算法，典型的DES以64位为分组对数据加密，加密和解密用的是同一个算法。它的密钥长度是56位（因为每个第8 位都用作奇偶校验），密钥可以是任意的56位的数，而且可以任意时候改变。其中有极少数被认为是易破解的弱密钥，但是很容易避开它们不用。所以保密性依赖于密钥。

DES加密的算法框架如下：
　　首先要生成一套加密密钥，从用户处取得一个64位长的密码口令，然后通过等分、移位、选取和迭代形成一套16个加密密钥，分别供每一轮运算中使用。

　　DES对64位(bit)的明文分组M进行操作，M经过一个初始置换IP，置换成m0。将m0明文分成左半部分和右半部分m0 = (L0，R0)，各32位长。然后进行16轮完全相同的运算（迭代），这些运算被称为函数f，在每一轮运算过程中数据与相应的密钥结合。

　　在每一轮中，密钥位移位，然后再从密钥的56位中选出48位。通过一个扩展置换将数据的右半部分扩展成48位，并通过一个异或操作替代成新的48位数据，再将其压缩置换成32位。这四步运算构成了函数f。然后，通过另一个异或运算，函数f的输出与左半部分结合，其结果成为新的右半部分，原来的右半部分成为新的左半部分。将该操作重复16次。

　　经过16轮迭代后，左，右半部分合在一起经过一个末置换（数据整理），这样就完成了加密过程。 
加密流程如图所示。


DES解密过程：
　　在了解了加密过程中所有的代替、置换、异或和循环迭代之后，读者也许会认为，解密算法应该是加密的逆运算，与加密算法完全不同。恰恰相反，经过密码学家精心设计选择的各种操作，DES获得了一个非常有用的性质：加密和解密使用相同的算法！

　　DES加密和解密唯一的不同是密钥的次序相反。如果各轮加密密钥分别是K1，K2，K3…K16，那么解密密钥就是K16，K15，K14…K1。这也就是DES被称为对称算法的理由吧。

　　至于对称密码为什么能对称? DES具体是如何操作的？本文附录中将做进一步介绍，有兴趣的读者不妨去读一读探个究竟。

4.DES算法的安全性和发展
　　DES的安全性首先取决于密钥的长度。密钥越长，破译者利用穷举法搜索密钥的难度就越大。目前，根据当今计算机的处理速度和能力，56位长度的密钥已经能够被破解，而128位的密钥则被认为是安全的，但随着时间的推移，这个数字也迟早会被突破。

　　另外，对DES算法进行某种变型和改进也是提高DES算法安全性的途径。

　　例如后来演变出的3-DES算法使用了3个独立密钥进行三重DES加密，这就比DES大大提高了安全性。如果56位DES用穷举搜索来破译需要2∧56次运算，而3-DES 则需要2∧112次。

　　又如，独立子密钥DES由于每轮都使用不同的子密钥，这意味着其密钥长度在56位的基础上扩大到768位。DES还有DESX、CRYPT、GDES、RDES等变型。这些变型和改进的目的都是为了加大破译难度以及提高密码运算的效率。
___________________________________________________
附录：DES的实际操作
A.密钥生成

第A-1步 取得密钥
　　从用户处取得一个64位(本文均指二进制位))长的密码口令key ，
　　去除64位密码中作为奇偶校验位的第8、16、24、32、40、48、56、64位，剩下的56位作为有效输入密钥。

第A-2步 等分密钥
表1：
输入密钥位序/ A位序对照表

注：表中每个单元格的数字是输入密钥位序，每个单元格的位置排序就是A位序，从左向右排，排完一行接着排下一行。

表2:
输入密钥位序/ B位序对照表

　　把在第A-1步中生成的56位输入密钥分成均等的A、B两部分，每部分为28位。不是简单地前后一分为二，而是参照表1和表2把输入密钥的位值填入相应的位置。 按照表1所示，A的第一位为输入的64位密钥的第57位，A的第2位为64位密钥的第49位，……，依此类推，A的最后一位第28位是64位密钥的第36位。这样，形成了A、B两部分：


第A-3步 密钥移位
表3：
每次迭代时密钥循环
左移的位数

　　DES算法的密钥是经过16次迭代（循环左移）得到一组密钥的，把在第A-1步中生成的A、B视为迭代的起始密钥，表3显示每一次迭代时密钥循环左移的位数。 比如在第1次迭代时密钥循环左移1位，第3次迭代时密钥循环左移2位。

　　第9次迭代时密钥循环左移1位，第14次迭代时密钥循环左移2位。

第一次迭代：
A(1) =(1) A
B(1) =(1) B
第i次迭代：
A(i) =(i) A(i-1)
B(i) =(i) B(i-1)
第A-4步 密钥的选取
在第A-3步中第i次迭代生成的两个28位长的密钥为



把合并，得：


表4：
56位密钥C的位序与加密密钥K的位序对照表

　　按照表4所示k的第一位为56位密钥的第14位，k的第2位为56位密钥的第17位，。。。，依此类推，k的最后一位第48位是56位密钥的第32位。 这样，就生成了一个48位使用密钥：

　　这个密钥在加密运算中将与进行第i次迭代加密的数据进行按位异或。

第A-5步 迭代
　　DES算法密钥生成需要进行16次迭代，在完成16次迭代前，循环执行第A-3步和第A-4步，最终形成16套加密密钥：key[0]，key[1]，key[2]，…。key[14]，key[15]。

B. 数据的加密操作

第B-1步 取得数据
　　把明文数据分成64位的数据块，不够64位的数据块以适当的方式补足。

第B-2步 初始换位置换
表5：初始置换表

注：表中每个单元格的位置排序是新数据的位序。下同。

　　按照表5所示把输入的64位数据的原第58位换到第一位，原第50位换到第二位，依此类推，。。。，原第7位换到第64位。最后的得到新的64位数据。

OldData newData 


第B-3步 数据扩展
表6： 数据扩展对照表（输入数据位序/生成新数据位序）

　　第一次迭代以第B-2步中生成的newRata作为输入数据，第i (i > 1)次迭代以第i-1次的64位输出数据为输入数据，把64位数据按位置等分成左右两部分： 

　　保持left不变，根据表6把right由32位扩展置换成48位。在数据扩展操作中，有些输入数据位（如第1、4、5、17、28、29、32……等数位）用了两次，因此数据得到了扩展。这样得到右半部分为：  把扩展后的48位right与第i次迭代生成的48位加密密钥进行按位异或操作形成一个新的48位的right。

第B-4步 数据压缩
表7.1：数据压缩置换表（蓝色栏内是置换前的十进制数字，白色栏内是置换后的16进制数字）

表7.2

表7.3 至表7.8与上表形式完全相同，仅数值不同，为节省篇幅从略不表。 

　　在B-3步中形成了48位的right值,

　　需要把48位的right值转换成32位的right值。置换的方法如下：
第一步，先把right视为由8个6位二进制块组成， 即

a，b…. h都是6位二进制数，转换成10进制整数的值应当都不大于64。

　　第二步，a，b…h转换成10进制整数后，在对应的表中根据转换后整数值取得对应位置的替代值。这些替代值都是一个16进制的个位数，因此，每个替代值只占有二进制数4位。

　　转换时各查各表：
　　a对应表7.1；b对应表7.2；c对应表7.3；d对应表7.4；e对应表7.5；f对应表7.6；g对应表7.7；h对应表7.8。
　　比如：
　　a = 32 ，则到表7.1中找到32的位置，把对应的替代值16进制的8赋给a ；
　　b = 53 ，则到表7.2中找到的位置，把对应的替代值16进制的c赋给b ；
　　g = 16， 则到表7.7中找到16的位置，把对应的替代值16进制的a赋给g ；
　　这样，每6位用一个4位替换，就完成了从48位向32位数据的压缩置换。

 

　　有些资料中介绍6位转4位的实现方法与本文所采用的不同，但殊途同归，最终的目的是相同的。

第B-5步 数据换位置换
表8


把第B-4步形成的32位right
 
根据表8进行转换：
　　数据的原第16位换到第一位，原第7位换到第二位，……，依此类推，最后得到新的32位数据。


第B-6步 交换数据
　　把right 和left按位异或后的值赋给right，然后将本轮输入的原始right值赋给left。

第B-7步 迭代
　　RES算法需要进行16次迭代，在完成16次迭代前，把第i-1次得到的的left和right的值作为第i次的输入数据，重复第B-3步到第B-6步的步骤。但是有一点要记住：在步骤第B-3中第i次迭代要选择第i次迭代生成的密钥与数据进行按位异或。

第B-8步 数据整理
表9

　　为保证加密和解密的对称性，RES算法的前15次迭代每完成一次迭代都要交换left和right的值，第16次迭代不交换两者的数值。

　　到此，把32位的left和right合并成64位的Data：

　　根据表9重新调整Data的位值，数据的原第40位换到第一位，原第8位换到第二位，。。。，依此类推，最后得到新的64位。 

　　好了，经过了这么多次的数学运算，我们最终得到的Data即为密文。

C 数据的解密操作
　　数据解密的算法与加密算法相同，区别在于第B-3步中和数据进行按位异或的密钥的使用顺序不同，在加密中是按照第i次迭代就采用第i次迭代生成的密钥进行异或，而解密时第i次迭代就采用第17-i次迭代生成的密钥和数据进行异或。

      

第二篇

     DES的描述     
     为了建立适用于计算机系统的商用密码，美国商业部的国家标准局NBS于1973年5月和1974年8月两次发布通告，向社会征求密码算法。在征得的算法中，由IBM公司提出的算法lucifer中选。1975年3月，NBS向社会公布了此算法，以求得公众的评论。于1976年11月被美国政府采用，DES随后被美国国家标准局和美国国家标准协会(American National Standard Institute，ANSI) 承认。1977年1月以数据加密标准DES（Data Encryption Standard）的名称正式向社会公布。
     随着攻击技术的发展，DES本身又有发展，如衍生出可抗差分分析攻击的变形DES以及密钥长度为128比特的三重DES等。
    2000年1月19日，由电子边疆基金会组织研制的25万美元的DES解密机以22.5小时的战绩，成功地破解了DES加密算法。DES已逐渐完成了它的历史使命。
    DES是一个分组加密算法，它以64位为分组对数据加密。64位一组的明文从算法的一端输入，64位的密文从另一段输出。它是一个对称算法：加密和解密用的是同一个算法。
   密钥通常表示为64位的数，但每个第8位都用作奇偶校验，可以忽略，所以密钥长度为56位。密钥可以是任意的56位的数，且可在任意的时候改变。
   DES算法只不过是加密的两个基本技术——混乱和扩散的组合，即先代替后置换，它基于密钥作用于明文，这是一轮(round)，DES在明文分组上实施16轮相同的组合技术。如下图所示：
  
      2、算法概要
      DES对64位明文分组进行操作。通过一个初始置换，将明文分组分成左半部分和右半部分，各32位长。然后进行16轮完全相同的运算，这些运算被称为函数 f，在运算过程中数据与密钥结合。经过16轮后，左、右半部分合在一起经过一个末置换（初始置换的逆置换），算法就完成了。
   在每一轮中，密钥位移位，然后再从密钥的56位中选出48位。通过一个扩展置换将数据的右半部分扩展成48位，并通过一个异或操作与48位密钥结合，通过 8个S盒将这48位替代成新的32位数据，再将其置换一次。这四步运算构成了函数f。然后，通过另一个异或运算，函数f的输出与左半部分结合，其结果即成 为新的左半部分。将该操作重复16次，便实现了DES的16轮运算。一轮DES如下图所示：


    假设Bi是第i次迭代的结果，Li和Ri是Bi的左半部分和右半部分，Ki是第i轮的48位密钥，且f是实现代替、置换及密钥异或等运算的函数，那么每一轮就是：
     Li=Ri-1
     Ri=Li-1⊕f(Ri-1,Ki)
        3、初始置换
        初始置换在第一轮运算之前进行，对输入分组实施如下表所示的变换。初始置换把明文的第58位换到第1位的位置，把第50位换到第2位的位置，把第42位换到第3位的位置，依此类推。
58, 50, 42, 34, 26, 18, 10, 2,  60, 52, 44, 36, 28, 20, 12, 4
62, 54, 46, 38, 30, 22, 14, 6,  64, 56, 48, 40, 32, 24, 16, 8
57, 49, 41, 33, 25, 17, 9,  1,  59, 51, 43, 35, 27, 19, 11, 3
61, 53, 45, 37, 29, 21, 13, 5,  63, 55, 47, 39, 31, 23, 15, 7
初始置换和对应的末置换并不影响DES的安全性，它们的主要目的是为了更容易地将明文和密文数据以字节大小放入DES芯片中。
4、密钥置换
由于不考虑每个字节的第8位，DES的密钥由64位减至56位，每个字节第8位作为奇偶校验以确保密钥不发生错误。如下表所示：
57, 49, 41, 33, 25, 17, 9, 1, 58, 50, 42, 34, 26, 18
10, 2, 59, 51, 43, 35, 27, 19, 11, 3, 60, 52, 44, 36
 
 
63, 55, 47, 39, 31, 23, 15, 7, 62, 54, 46, 38, 30, 22
14, 6, 61, 53, 45, 37, 29, 21, 13, 5, 28, 20, 12, 4
在DES的每一轮中，从56位密钥产生出不同的48位子密钥(subkey)，这些子密钥是这样确定的：
首先，56位密钥被分成两部分，每部分28位。
然后，根据轮数，这两部分分别循环左移1位或2位。每轮移动的位数如下表：
轮      1  2  3  4  5  6  7  8  9  10  11  12  13  14  15  16
位数   1  1  2  2  2  2  2  2  1   2   2    2    2    2    2    1
移动后，就从56位中选出48位。这个运算既置换了每位的顺序，也选择了子密钥，被称为压缩置换(compression permutation)。下表即定义了压缩置换：
14, 17, 11, 24, 1, 5, 3, 28, 15, 6, 21, 10
23, 19, 12, 4, 26, 8, 16, 7, 27, 20, 13, 2
41, 52, 31, 37, 47, 55, 30, 40, 51, 45, 33, 48
44, 49, 39, 56, 34, 53, 46, 42, 50, 36, 29, 32
可以看出，第33位的那一位在输出时移到了第35位，而处于第18位的那一位被忽略了。
5、扩展置换
这个运算将数据的右半部分从32位扩展到48位。这个操作两方面的目的：它产生了与密钥同长度的数据以进行异或运算；它提供了更长的结果，使得在替代运算中能进行压缩。如下图所示：
对每个4位输入分组，第1位和第4位分别表示输出分组中的两位，而第2位和第3位分别表示输出分组中的一位，下表给出了哪一输出位对应哪一输入位：
32,  1,  2,  3,  4,  5,  4,  5,  6,  7,  8,  9
8, 9, 10, 11, 12, 13, 12, 13, 14, 15, 16, 17
16, 17, 18, 19, 20, 21, 20, 21, 22, 23, 24, 25
24, 25, 26, 27, 28, 29, 28, 29, 30, 31, 32, 1
处于输入分组中第3位的位置移到了输出分组中的第4位，而输入分组的第21位则移到了输出分组的第30位和第32位。尽管输出分组大于输入分组，但每一个输入分组产生唯一的输出分组。
6、S盒代替
压 缩后的密钥与扩展分组异或以后，将48位的结果送入，进行代替运算。替代由8个S盒完成，每一个S盒都由6位输入，4位输出，且这8个S盒是不同的。48 位的输入被分为8个6位的分组，每一个分组对应一个S盒代替操作：分组1由S盒1操作，分组2由S盒2操作，等等。如下图所示：
每一个S盒是一个4行、16列的表。盒中的每一项都是一个4位的数。S盒的6个位输入确定了其对应的输出在哪一行哪一列。下表列出所有8个S盒：
 S盒1:
14, 4, 13, 1, 2, 15, 11, 8, 3, 10, 6, 12, 5, 9, 0, 7
0, 15, 7, 4, 14, 2, 13, 1, 10, 6, 12, 11, 9, 5, 3, 8
4, 1, 14, 8, 13, 6, 2, 11, 15, 12, 9, 7, 3, 10, 5, 0
15, 12, 8, 2, 4, 9, 1, 7, 5, 11, 3, 14, 10, 0, 6, 13
S盒2:
15, 1, 8, 14, 6, 11, 3, 4, 9, 7, 2, 13, 12, 0, 5, 10
3, 13, 4, 7, 15, 2, 8, 14, 12, 0, 1, 10, 6, 9, 11, 5
0, 14, 7, 11, 10, 4, 13, 1, 5, 8, 12, 6, 9, 3, 2, 15
13, 8, 10, 1, 3, 15, 4, 2, 11, 6, 7, 12, 0, 5, 14, 9
S盒3:
10, 0, 9, 14, 6, 3, 15, 5, 1, 13, 12, 7, 11, 4, 2, 8
13, 7, 0, 9, 3, 4, 6, 10, 2, 8, 5, 14, 12, 11, 15, 1
13, 6, 4, 9, 8, 15, 3, 0, 11, 1, 2, 12, 5, 10, 14, 7
1, 10, 13, 0, 6, 9, 8, 7, 4, 15, 14, 3, 11, 5, 2, 12
S盒4:
7, 13, 14, 3, 0, 6, 9, 10, 1, 2, 8, 5 ,11, 12, 4, 15
13, 8, 11, 5, 6, 15, 0, 3, 4, 7, 2, 12, 1, 10, 14, 9
10, 6, 9, 0, 12, 11, 7, 13, 15, 1, 3, 14, 5, 2, 8, 4
3, 15, 0, 6, 10, 1, 13, 8, 9, 4, 5, 11, 12, 7, 2, 14
S盒5:
2, 12, 4, 1, 7, 10, 11, 6, 8, 5, 3, 15, 13, 0, 14, 9
14, 11, 2, 12, 4, 7, 13, 1, 5, 0, 15, 10, 3, 9, 8, 6
4, 2, 1, 11, 10, 13, 7, 8, 15, 9, 12, 5, 6, 3, 0, 14
11, 8, 12, 7, 1, 14, 2, 13, 6, 15, 0, 9, 10, 4, 5, 3
S盒6:
12, 1, 10, 15, 9, 2, 6, 8, 0, 13, 3, 4, 14, 7, 5, 11
10, 15, 4, 2, 7, 12, 9, 5, 6, 1, 13, 14, 0, 11, 3, 8
9, 14, 15, 5, 2, 8, 12, 3, 7, 0, 4, 10, 1, 13, 11, 6
4, 3, 2, 12, 9, 5, 15, 10, 11, 14, 1, 7, 6, 0, 8, 13
S盒7:
4, 11, 2, 14, 15, 0, 8, 13, 3, 12, 9, 7, 5, 10, 6, 1
13, 0, 11, 7, 4, 9, 1, 10, 14, 3, 5, 12, 2, 15, 8, 6
1, 4, 11, 13, 12, 3, 7, 14, 10, 15, 6, 8, 0, 5, 9, 2
6, 11, 13, 8, 1, 4, 10, 7, 9, 5, 0, 15, 14, 2, 3, 12
S盒8:
13, 2, 8, 4, 6, 15, 11, 1, 10, 9, 3, 14, 5, 0, 12, 7
1, 15, 13, 8, 10, 3, 7, 4, 12, 5, 6, 11, 0, 14, 9, 2
7, 11, 4, 1, 9, 12, 14, 2, 0, 6, 10, 13, 15, 3, 5, 8
2, 1, 14, 7, 4, 10, 8, 13, 15, 12, 9, 0, 3, 5, 6, 11
假定将S盒的6位的输入标记位b1、b2、b3、b4、b5、b6。则b1和b6组合构成了一个2位数，从0到3，它对应着表的一行。从b2到b5构成了一个4位数，从0到15，对应着表中的一列。
例如，假设第6个S盒的输入为110011，第1位和第6位组合形成了11，对应着第6个S盒的第三行，中间4位组合形成了1001，它对应着同一个S盒的第9列，S盒6在第三行第9列的数是14，则用值1110来代替110011。
这是DES算法的关键步骤，所有其他的运算都是线性的，易于分析，而S盒是非线性的，它比DES的其他任何一步提供了更好的安全性。
这个代替过程的结果是8个4位的分组，他们重新合在一起形成了一个32位的分组。
7、P盒置换
S盒代替运算的32位输出依照P盒进行置换。该置换把每输入位映射到输出位，任一位不能被映射两次，也不能被略去，下表给出了每位移至的位置：
16, 7, 20, 21, 29, 12, 28, 17, 1, 15, 23, 26, 5, 18, 31, 10
2, 8, 24, 14, 32, 27, 3, 9, 19, 13, 30, 6, 22, 11, 4,  25
第21位移到了第4位，同时第4位移到了第31位。
最后，将P盒置换的结果与最初的64位分组的左半部分异或，然后左、右半部分交换，接着开始另一轮。
8、末置换
末置换是初始置换的逆过程。DES在最后一轮后，左半部分和右半部分并未交换，而是将两部分并在一起形成一个分组作为末置换的输入，该置换如下表如示：
40, 8, 48, 16, 56, 24, 64, 32, 39, 7, 47, 15, 55, 23, 63, 31
38, 6, 46, 14, 54, 22, 62, 30, 37, 5, 45, 13, 53, 21, 61, 29
36, 4, 44, 12, 52, 20, 60, 28, 35, 3, 43, 11, 51, 19, 59, 27
34, 2, 42, 10, 50, 18, 58, 26, 33, 1, 41, 9, 49, 17, 57, 25
9、DES的解密
DES使得用相同的函数来加密或解密每个分组成为可能，二者唯一的不同就是密钥的次序相反。
10、DES的发展
为了增加密钥的长度，人们建议将一种分组密码进行级联，在不同的密钥作用下，连续多次对一组明文进行加密，通常把这种技术称为多重加密技术。对DES，建议使用3DES增强加密强度。3DES算法是扩展DES密钥长度的一种方法，可使加密密钥长度扩展到128比特（112比特有效）或192比特（168比特有效）。
3DES可以用两个密钥对明文进行三次加密，假设两个密钥是K1和K2：
1）用密钥K1进行DES加密。
2）用K2对步骤1的结果进行DES解密。
3）对2）的结果使用密钥K1进行DES加密。
3DES的缺点是加、解密速度比DES慢。