【密码学原理与实践】【Chapter 1】【导论】

Chapter 1 导论

Part 0 任务

• 对下面提到的古典加密方案进行KPA攻击

Part 1 古典密码学和现代密码学

• 现代密码学：通过研究数学知识保护信息系统的安全

Part 2 私钥加密设定

• 通信双方事先共享了密钥
• 构造的加密方案(cipher)提供双方的安全通信
• 磁盘加密：同一个人在不同时间点通信

2.1 加密词法

• 密钥(k)和密钥空间($\mathcal{K}$)：$k\in \mathcal{K}$
• 明文(m)和明文空间($\mathcal{M}$)：$m\in \mathcal{M}$
• 密文(c)和密文空间($\mathcal{C}$)：$c\in \mathcal{C}$
• 密钥生成算法(Gen)：$k\leftarrow Gen$
• 加密算法(Enc)：$c:=En{c}_k(m)$
• 解密算法(Dec)：$m:=De{c}_k(c)$
• 加密方案($\Pi$)：$\Pi =(Gen,Enc,Dec)$
• 基本正确性要求：$De{c}_k(En{c}_k(m))=m$

2.2 Kerckhoffs 原则

• 加密方法不需要保密，即便落入敌手也不会造成麻烦

2.3 攻击场景 Atack Scenarios

• 唯密文(COA, Ciphertext-only)：敌手仅观察密文
• 已知明文(KPA, Known-plaintext)：敌手获得同一密钥下的若干明文/密文对
• 选择明文(CPA, Chosen-plaintext)：敌手可以得到他选择的明文对应的密文
• 选择密文(CCA, Chosen-ciphertext)：敌手可以得到他选择的密文对应的明文

Part 3 历史加密方案和针对它们的密码学分析(Cryptanalysis)

3.1 凯撒密码

• k = 3 的移位密码

  $Enc(m)=m+3\mathrm{m}\mathrm{o}\mathrm{d}26$

  $Dec(c)=c-3\mathrm{m}\mathrm{o}\mathrm{d}26$

• 移位密码

  $Enc(m)=m+k\mathrm{m}\mathrm{o}\mathrm{d}26$

  $Dec(c)=c-k\mathrm{m}\mathrm{o}\mathrm{d}26$

3.2 充分密钥空间原则

• 任何加密方案的密钥空间要能经得起穷举搜索(当明文空间大于密钥空间时)
• 比如说，对于移位密码，密钥空间为26；当明文空间也为26时，即加密单个英文字符，其也是完美保密的；显然这对于加密任意长的英文文本来说不成立(这时明文空间要远大于密钥空间)

3.3 重合指数法攻击移位密码

• 重合指数($I$)：给定一段英文文本，从中随机挑选(挑选后放回)两个字母相同的概率

• $p_i$：该英文文本中第$i$个字母出现的概率

  $I\stackrel{\text{def}}{=}{\sum }_{i=0}^{25}{p}_i^2$

• 寻找密钥k (第$i$个字母被映射为第$i+j$个，那么$p_i=q_{i+j}$)

  $I_j\stackrel{\text{def}}{=}{\sum }_{i=0}^{25}{p}_i\cdot q_{i+j}$

  $I_j\approx 0.065\iff j=k$

3.4 单表替换加密 Mono-Alphabetic Substitution

• 将每个字符以任意方式映射到一个不同字符
• 密钥空间非常大($26!\approx 2^{88}$)，因为是以任意映射

3.5 统计模式攻击单表替换

• 统计密文中字母出现的频率
• 与英文文本中字母频率比较
• 推测出替换方式
• 通常结合英文单词推测

3.6 多表替换加密 Vigenere (poly-alphabetic shift) Cipher

• 思想：把相同明文字符的不同实例映射为不同的密文字符，以平滑概率分布
• Enc：$c_i=m_i+k_{[i\mathrm{m}\mathrm{o}\mathrm{d}t]}$，$t$ 是 $k$ 的长度，也就是周期
• 即，不同位置的字符使用不同的偏移量(但间隔一定的字符仍使用相同的偏移量，后面的攻击也针对这个弱点)
• 在知道 $t$ 后，密钥空间为 $26^t$

3.7 Kasiski 方法攻击多表替换

• 思想：在一段足够长的文本中，会有相同的明文段被相同的密钥段加密，称为重复模式，如：

• 而重复模式之间的距离为 $t$ 的倍数(如果密钥本身不存在重复片段)，那么所有重复模式之间距离的最大公约数就是 $t$ (当明文是随机的)

3.8 重合指数法攻击单表替换

• 思想：明文中的第$i,i+t,i+2t,\cdots$个字符是经过相同的偏移$k_i$加密的，那么抽出这个序列，其可以看作为使用移位密码加密的一段密文，其重合指数应该为英文文本的重合指数$I$，同时其偏移量$k_i$可以使用前面攻击移位密码的方式得到
• 方式：枚举周期，取出子序列，计算重合指数$I_{\tau }$，和$I$比较

3.9 任意敌手原则

• 具有相同硬件能力的敌手，无论它们具有怎样的软件能力，加密方案都应确保安全

3.0 总结

• 充分密钥空间原则
• 设计安全的加密方案是一项困难的任务
• 复杂性不意味着安全
• 任意敌手原则

Part 4 现代密码学的基本原则

• 形式化定义安全和攻击模型
• 加密方案安全性依赖的假设应该被精确的陈述，并且假设应该尽可能的小(少、弱)
• 加密方案应该伴有一个基于以上安全定义和假设的安全性的严格证明

4.1 规约法证明

• 给定假设$X$为真，证明基于给定安全定义的构造$Y$是安全的
• 将解决$X$中的问题规约到破解$Y$上
• 如果$Y$被攻破，那么可以基于此构造出$X$问题中的解
• 所以，破解$Y$比解决$X$中的问题难(或者不比其简单)
• 因为假设了$X$中的问题无法解决，所以破解$Y$也不可能