现代密码学笔记-Chapter3

一、分组密码概述

扩散和混淆

• 扩散
  • 明文的统计特性散布到密文中去
• 混淆
  • 密文与密钥之间的统计关系变得尽可能复杂

二、DES

Feistel结构（迭代与密钥相关的非线性变换）

• 加解密一致（相同硬件结构，改变（逆序）密钥输入）
• 扩散性较差（两轮才改变输入的一比特信息）

$L_i=R_{i-1}$
$R_i=L_{i-1}\oplus F(R_{i-1},K_i)$
$F:{\mathbb{Z}}^n\times {\mathbb{Z}}^m\to {\mathbb{Z}}^n$

1. 64比特输入$\to$ 初始置换IP$\to$ 16轮结构（左右32比特）$\to$ 左右交换$\to$ 逆初始置换$\to$ 64比特输出
2. 64比特密钥$\to$ 除去校验位$\to$ 56比特（左右28比特）$\to$ （下一轮密钥输入，置换选择2$\to$ $K_i$（48比特）)
3. F函数：($R_{i-1}\to$ 扩展变换E)$\oplus K_i$$\to$ S盒$\to$ 置换P，即$P(S[E(R_{i-1})\oplus K_i])$

• 扩展变换E：32比特$\to$ 48比特

\qquad ————————————————
\qquad $\begin{array}{rccccl}\text{32}||& 1& 2& 3& 4& ||\text{5}\\ \text{4}||& 5& 6& 7& 8& ||\text{9}\\ ⋮||& ⋮& ⋮& ⋮& ⋮& ||⋮\\ \text{28}||& 29& 30& 31& 32& ||\text{1}\end{array}$
\qquad ————————————————

• S盒
  • 1、6比特选择4种代换中的某行
  • 2、3、4、5比特选择该代换中16列的某列
  • 110101$\to$行号$(11{)}_2$=3，列号$(1010{)}_2$=10，即第4行第11列（从0开始）

形式

• 平衡（平分输入）
• 非平衡（改变F函数的输出长度）

三、二重DES

1. 112比特攻击难度（密钥长度56比特）

$C=E_{k_2}[E_{k_1}(P)]$
$P=D_{k_1}[D_{k_2}(C)]$

无法找到另一密钥$k_3$使得$E_{k_2}[E_{k_1}(P)]=E_{k_3}(P)$

2.中间相遇攻击

$X=E_{k_1}(P)=D_{k_2}(C)$
对已知明密文对$(P,C)$，执行如下攻击行为：

• 用$2^{56}$种潜在的密钥$K_1$对明文$P$加密得到$C^{(k)}$，将临时密文按序存入到表$T$中（$2^{56}$行记录 { K 1 ( k ) , C ( k ) } \{K^{(k)}_1,C^{(k)}\} {K1(k)​,C(k)}）；
• 用$2^{56}$种潜在的密钥$K_2$对密文$P$解密得到$M^{(k)}$，在表$T$种查找匹配项；
• 若匹配，记录对应的密钥$K_1$和$K_2$，用新的明密文对检验

\qquad 对于已知明文，二重DES产生$2^{64}$种潜在的密文，但潜在的密钥有$2^{112}$种。因而，如果已知一个明文，有$2^{112}/2^{64}=2^{48}$种密钥可产生已知的密文，即存在多对一的映射，$2^{48}$种密钥加密已知明文通过不同的映射产生此对应的密文。
\qquad 若再得一组明密文对检验，$2^{48}$种密钥对$2^{64}$种映射。即没有映射到当前密文的概率是$2^{48}/2^{64}=2^{-12}$，也就是虚警（误报率）。
\qquad 因而，获得两份明密文对，中途相遇攻击的成功概率（找到密钥的概率）为$1-2^{-16}$。
P.S.书上讲的误报率，直接理解有点迷惑。针对误报率，它的解释就是正例样本中负例的比例。个人理解为潜在的$2^{48}$种密钥的错误率，即找错了密钥，加密第二份明文不会映射到当前密文，而是映射为其他的密文，这个概率是$2^{-12}$。立即推，正确的概率为互补概率$1-2^{-16}$。

3. 三重DES

• 两个密钥 $C=E_{k_2}[D_{k_2}[E_{k_1}(P)]]$
• 三个密钥 $C=E_{k_3}[D_{k_2}[E_{k_1}(P)]]$

四、运行模式

1.电码本ECB

• 每个分组同一密钥加密
• 传送短数据
• $C_i=E_k[P_i],P_i=D_k[C_i]$

2. 密码分组链接CBC

• 当前明文组与前一密文组异或
• 认证，传送数据分组（64比特）
• $C_i=E_k[IV\oplus P_i],P_i=IV\oplus D_k[C_i]$

3.密码反馈CFB

• 只处理临时密文组$j$比特最高有效位，与当前明文组异或（输出的密文与IV$j$比特最低有效位相同）
• 认证，传送数据流
• $C_i=P_i\oplus S_j(E(IV))，P_i=C_i\oplus S_j(E(IV))$

4.输出反馈OFB

• 类似CFB，不同点：临时密文的$j$比特直接下一轮IV的$j$比特最低有效位（不再异或），密文仍然需要异或
• 干扰信道，传送数据流，错误不传播

五、AES

Rijndael结构（迭代与密钥相关的非线性变换）

• 轮数更少，扩散更快
• S盒混淆，P置换扩散
• 抵抗差分密码攻击、线性密码攻击

字节代换（非线性）$\to$行移位$\to$列混合（多项式，矩阵乘法）$\to$轮密钥加（矩阵异或）

明文$\to$初始密钥加$\to$[[字节代换$\to$行移位$\to$列混合$\to$轮密钥加]]${}^{(ke{y}_1)}$$\to \cdots \to$[[字节代换$\to$行移位$\to$轮密钥加]]${}^{(ke{y}_r)}$$\to$密文
明文$\leftarrow$[[轮密钥加$\leftarrow$逆字节代换$\leftarrow$逆行移位]]${}^{(ke{y}_1)}$$\leftarrow \cdots \leftarrow$[[列混合$\leftarrow$轮密钥加$\leftarrow$逆字节代换$\to$逆行移位]]${}^{(ke{y}_r)}$$\leftarrow$密钥加$\leftarrow$密文

part 1

• 字节代换ByteSub对每个字节做相同变换（逆元+仿射）
• 行移位ShiftRow对整行字节进行循环移位
  • InvByteSub$\to$InvShiftRow$\equiv$InvShiftRow$\to$InvByteSub

part 2
列混合MixColumn将列视为$GF(2^8)$上的多项式，与$c(x)$进行模$x^4+1$乘法。

• $x^i$$\equiv x^i-x^{i-4}(x^4+1)\equiv x^i-(x^i+x^{i-4})$$\equiv x^{i-4}(\text{mod}{x}^4+1)$
• $c(x)=03x^3+01x^2+01x+02\to b(x)=c(x)\otimes a(x)$
• $c(x)\otimes d(x)\equiv 01$
• $d(x)=d_3{x}^3+d_2{x}^2+d_{1}x+d_0$存在当且仅当：
  $(03x^3+01x^2+01x+02)(d_3{x}^3+d_2{x}^2+d_{1}x+d_0)\equiv 1(\text{mod}{x}^4+1)$
  因此有：
  • $(03x^3+01x^2+01x+02)(d_2{x}^3+d_1{x}^2+d_{0}x+d_3)\equiv x(\text{mod}{x}^4+1)$
  • $(03x^3+01x^2+01x+02)(d_1{x}^3+d_0{x}^2+d_{3}x+d_2)\equiv x^2(\text{mod}{x}^4+1)$
  • $(03x^3+01x^2+01x+02)(d_0{x}^3+d_3{x}^2+d_{2}x+d_1)\equiv x^3(\text{mod}{x}^4+1)$
  • 改写成矩阵乘法：
    $\left[\begin{array}{llll}02& 03& 01& 01\\ 01& 02& 03& 01\\ 01& 01& 02& 03\\ 03& 01& 01& 02\end{array}\right]\cdot \left[\begin{array}{llll}{d}_0& d_3& d_2& d_1\\ d_1& d_0& d_3& d_2\\ d_2& d_1& d_0& d_3\\ d_3& d_2& d_1& d_0\end{array}\right]=\left[\begin{array}{llll}1& 0& 0& 0\\ 0& 1& 0& 0\\ 0& 0& 1& 0\\ 0& 0& 0& 1\end{array}\right]$
    得到$d(x)=0\text{B}{x}^3+0\text{D}{x}^2+09x+0\text{E}$
• 注意此处的加法是指逐比特异或操作，乘法是$GF(2^8)$上的多项式乘法运算：即加法逆元等于自己，乘法逆元模$m(x)=x^{\ast }+x^4+x^3+x+1$，并可以利用扩展的欧几里得算法求逆。
• 矩阵的逆元按照正常的逆元求解，但加法和乘法必须满足$GF(2^8)$上的性质。
• 用$M(x)=x^4+1$来求解AES的列混合中的逆元，但具体求解过程则将每个字节展开为$GF(2^8)$上的多项式进行运算

part 3
密钥加AddRoundKey将轮密钥与状态逐比特异或
当分组长度为128，即$N_b=N_k=4$，列宽为4，则迭代轮数$N_r=10$
矩阵4列的4个字依次命名为$W[0],W[1],W[2],W[3]$，它们构成一个以字为单位的数组$W$。因而，轮密钥一共$128\times (N_r+1)$比特=44列，即需要扩充40个新列。新列以如下的递归方式产生：

1. 如果$i$不是4的倍数，那么第$i$列由如下等式确定： $W[i]=W[i-4]\oplus W[i-1]$ .
2. 如果$i$是4的倍数，那么第$i$列由如下等式确定：
   $W[i]=W[i-4]\oplus T(W[i-1])$
   函数T由3部分组成：字循环(循环左移1个字节)、字节代换(S盒)和轮常量异或($Rcon[i/4]=(RC[i/4],00,00,00)=(x^{i/4-1},00,00,00)$)。

part2和part3逆运算交换顺序：
\quad AddRoundKey($\cdot$,Key)$\to$InvMinColumn
=(状态阵列$\oplus$轮密钥阵列)$\otimes d(x)$
=(状态阵列$\otimes d(x)$)$\oplus$(轮密钥阵列$\otimes d(x)$)
=InvMinColumn$\to$ AddRoundKey($\cdot$,InvMinColumn(Key))