分组密码——AES

高级数据加密标准（AES）

诞生

1994年，美国颁布了密钥托管加密标准EES，计划用EES取代DES。EES的密码算法被设计成允许法律监听的保密通信方式，即如果法律部门不监听，则加密对于其他人来说是计算上不可破译的，但是经法律部门的允许可以解密进行监听。
1995年，美国贝尔实验室的年轻博士M.Blaze攻击EES的法律监督字段，伪造ID成功。
1997年开始公开征集新的数据加密标准算法AES。
2000年10月2日美国政府正式宣布选中比利时密码学家Joan Daemen和Vincent Rijimen提出的一种密码算法RIJNDAEL作为美国国家标准。
RIJNDAEL（下文称AES）算法之所以能被选为AES是因为其安全、性能好、效率高、实用、灵活。

AES的设计要求

安全性：可抵抗现有的所有攻击
实用性：应用于各种应用环境，加密解密速度快
扩散性：可扩展性

数学基础

RIJNDAEL算法中的许多运算是按字节和4字节的字来定义的。把看成是在有限域GF(2⁸)上的一个元素，把一个4字节的字看成是系数取自GF(2⁸)，并且次数小于4次的多项式。
有限域GF(2⁸)上的元素有几种表示方法，出于效率的考虑，AES算法采用多项式表示法。

例如，设字节B=10011011，则对应的多项式为：x⁷+x⁴+x³+x+1 。

• 定义 3-8 GF(2⁸)上的多项式a(x)=a₃x³+a₂x²+a₁x¹+a₀和b(x)=b₃x³+b₂x²+b₁x¹+b₀相乘模x⁴+1的积（表示为c(x)=a(x)*b(x)）为c(x)=c₃x³+c₂x²+c₁x¹+c₀，其系数由下面四个式子得到：
  

AES加密算法

AES算法是一个数据块长度和密钥长度都可变的分组加密算法，其数据块长度和密钥长度都可独立地选定为大于等于128位且小于等于256位的32位的任意倍数。美国颁布AES时规定数据块长度为128位，密钥的长度可分别选择为128位，192位或256位。

AES算法结构如下图所示

AES算法采用分组密码的一种通用结构——对轮函数实施迭代的结构。但是采用代替/置换网络结构(SP结构)，没有DES的Feistel结构。

轮函数由一下三层组成：

1.非线性层：进行非线性S盒变换ByteSub，由16个S盒并置而成，起混淆作用。
2.线性混合层：行移位和列混合，以确保多轮之上的高度扩散。
3.密钥加密层：进行轮密钥加密

1. 状态

加解密要经过多次数据变换操作，每一次操作产生一个中间结果，称其为状态。
把状态表示为二维字节数组，四行Nb列，Nb等于数据块长度除以32。

2. 轮函数

AES加密轮函数采用SP结构，由S盒变换ByteSub、行移位变换ShiftRow、列混合变换MixColumn、轮密钥加密AddRoundKey组成。用伪C语言表示如下：

Round(State,RoundKey)
{
	ByteSub(State);
	ShiftRo(State);
	MixColumn(State);
	AddRoundKey(State,RoundKey);
}

加密算法最后一轮的轮函数与上面的标准轮函数有所不同，去掉了行混合变换。

FinalRound(State,RoundKey)
{
	ByteSub(State);
	ShiftRo(State);
	AddRoundKey(State,RoundKey);
}

（1）S盒变换ByteSub

ByteSub变换是按字节进行的，作用在状态中每个字节上的一种非线性字节变换。这个变换按两步进行：
1）把字节的值用它的乘法逆(定义3-4)来代替，其中“00”的逆就是它自己
2）经1）处理后的字节再进行如下的仿射变换：

值得注意的是：

1.把字节的值用乘法逆的值来代替，是一种非线性变换。
2.S盒变换为加密算法提供非线性，是决定密码安全性的关键。
3.8进8出。
4.S盒变换是可逆的，但不是自逆的。

（2）行移位变换ShiftRow

对状态的行进行循环移位变换。第0行不移位，第1行循环左移C1字节，第二行循环左移C2字节，第三行循环左移C3字节。
移位值C1,C2,C3与Nb有关，具体见下表：

Nb	C1	C2	C3
4	1	2	3
6	1	2	3
8	1	3	4

（3）列混合变换MixColumn

对状态的列进行混合变换。把每一列看成是GF(2⁸)上的多项式，并与一个固定的多项式c(x)相乘后模多项式x⁴+1，其中c(x)为：
c(x) = '03’x³ + '01’x² + '01‘x + ‘02’ 。

（4）轮密钥加密AddRoundKey

利用轮密钥对状态进行模2相加的变换。轮密钥根据轮密钥产生算法通过主密钥扩展和选择得到。

轮密钥产生算法

轮密钥产生算法分为两步进行：密钥扩展和轮密钥选择
原则如下：

1. 轮密钥的比特总数为数据块长度与轮数加1的积。例如，对于128位的分组长度和10轮迭代，轮密钥总长度为128x(10+1)=1408位。
2. 首先将用户的密钥扩展为一个扩展密钥。
3. 再从扩展密钥中选出轮密钥：第一个轮密钥有扩展密钥中的前Nb个字组成，第二个由接下来的Nb个字组成，以此类推。

轮密钥选择

加密算法

组成：

1. 一个初始轮密钥加
2. Nr-1轮的标准轮函数
3. 最后一轮的非标准轮函数

用伪代码表示：

Rijindael(State,CipherKey)
{
	KeyExpansion(CipherKey,RoundKey)
	AddRoundKey(State,ExpandedKey)
	For(I=1;I<Nr;I++)
	{
		Round(State,ExpandedKey+Nb*I)
		{
			ByteSub(State);
			ShiftRo(State);
			MixColumn(State);
			AddRoundKey(State,ExpandedKey+Nb*I);
		}
	}
	FinalRound(State,ExpandedKey+Nb*Nr)
	{
		ByteSub(State);
		ShiftRo(State);
		AddRoundKey(State,ExpandedKey+Nb*Nr);
	}
}

解密算法

AES算法不是对合运算，解密和加密算法不同。根据解密算法是加密算法的逆，直接把加密算法倒序执行就得到解密算法，但是不便于工程实现。
由于AES算法设计巧妙，我们可以稍微改变密钥扩展策略，便可以得到等价的解密算法，等价的解密算法与加密算法结构相同，从而方便了工程实现。
等价解密算法中的变换为加密算法中相应变换的逆变换。

伪代码如下

Inv_Rijindael(State,CipherKey)
{
	Inv_KeyExpansion(CipherKey,Inv_ExpandedKey)
	AddRoundKey(State,Inv_ExpandedKey+Nb*Nr)
	For(I=Nr-1;I>0;I--)
	{
		Inv_Round(State,Inv_ExpandedKey+Nb*I)
		{
			Inv_ByteSub(State);
			Inv_ShiftRo(State);
			Inv_MixColumn(State);
			AddRoundKey(State,Inv_ExpandedKey+Nb*I);
		}
	}
	Inv_FinalRound(State,Inv_ExpandedKey)
	{
		Inv_ByteSub(State);
		Inv_ShiftRo(State);
		AddRoundKey(State,Inv_ExpandedKey);
	}
}

AES的安全性

AES算法的安全设计策略是宽轨迹策略。宽轨迹策略是针对差分攻击和线性攻击提出来的，它的最大优点是可以给出算法的最佳差分特征的概率以及最佳线性逼近的偏差界，由此可以分析算法抗差分攻击和线性攻击的能力。
（1）抗攻击能力
抗差分攻击和线性攻击能力较好。缺点是列混合扩散度不够，密钥扩展的非线性不够，缺少抗侧信道攻击的设计。
（2）弱密钥
不存在像DES中出现的那种弱密钥和半弱密钥，对密钥的选择没有任何限制。
（3）适应性
AES数据块的长度和密钥长度都可变，能够适应不同的安全应用环境。