分组密码总结-DES,AES,SM4

简介

分组密码属于对称密码的一种,其特点是加解密都是对明文/密文进行分组后逐组进行加解密。通俗讲就是将明文分块,然后分块加密,解密同理。

分组密码的基本原理:

  1. 代换:明文分组到密文分组的可逆变换
  2. 扩散:将明文的统计特性散布到密文中去,使得明文的每一位影响密文中多位的值
  3. 混淆:使密文和密钥之间的统计关系变得尽可能复杂,使攻击者无法得到密钥,通常使用复杂的代换算法实现

分组密码体制基本上都是基于乘积(由一系列代换和置换构成)和迭代来构造的。常见的分组密码结构有Feistel网络SP(Substitution Permutation)网络。DES算法和AES算法分别就是基于Feistel网络和SP网络实现的。

Feistel网络的加密过程为:将明文xx一分为二,即x=L0R0x=L_0R_0L0L_0是左边的mmbit,R0R_0是右边的mmbit,于是对于迭代次数rr,设1ir1\le i\le r,则:

{Li=Ri1Ri=Li1F(Ri1,Ki)F\left \{ \begin{array}{c} L_i=R_{i-1} \\ R_i=L_{i-1}\oplus F(R_{i-1},K_i) \end{array} \right.,F为圈函数

为了可以利用同一个算法进行加密和解密,Feistel分组密码加密过程的最后一轮没有左右对换。

SP网络主要是对明文进行两项操作:由子密钥控制的替换S、置换或可逆的线性变换P。前者主要起混淆作用,后者主要起扩散作用。

graph LR
	g0[Xi-1] --> g1[由子密钥控制的替换S]
	g1 --> g2[置换或可逆线性变换P]
	g2 --> g3[Xi]
	g4[Ki] --> g1

设计分组密码,有以下几个要求:

  1. 分组长度nn要足够大
  2. 密钥量要足够大(置换字集中的元素足够多),尽可能消除弱密钥
  3. 由密钥确定的置换算法要足够复杂,充分实现扩散和混淆
  4. 加解密运算简单,易于实现
  5. 数据扩展(一般没有)
  6. 差错传播尽可能小

DES

DES(Data Encryption Standard)是第一个众所周知的分组密码,其分组长度为64bit,密钥长度也为64bit。于1977年1月15日被公布,现已被AES取代。

DES采用Feistel网络进行实现,一共迭代16轮,64bit密钥中包含56bit密钥和8bit奇偶校验位。下图简要介绍了其工作原理:

初始置换和逆初始置换

初始置换和逆初始置换在密码方面作用不大,其主要作用是打乱明文ASCII码字划分的关系,打乱各位的次序。

初始置换
58 50 42 34 26 18 10 2
60 52 44 36 28 20 12 4
62 54 46 38 30 22 14 6
64 56 48 40 32 24 16 8
57 49 41 33 25 17 9 1
59 51 43 35 27 19 11 3
61 53 45 37 29 21 13 5
63 55 47 39 31 23 15 7
逆初始置换
408481656246432
397471555236331
386461454226230
375451353216129
364441252206028
353431151195927
342421050185826
33141 949175725

置换的方法是,将置换表中数字对应位置的值替换原来的值。经过初始置换,明文XX变为:

X=X1X2X64=X58X50X7X^{'}=X^{'}_1 X^{'}_2\cdots X^{'}_{64}=X_{58}X_{50}X_{7}

迭代变换和圈函数FFF

迭代变换的方式满足Feistel结构:将输入值分为两个32bit块,然后进行对应的变换,一轮变换可以用如下图表示:

迭代变换的关键在于圈函数FF,而圈函数的参数包含轮密钥KiK_i,所以这个过程的两个关键就是圈函数和轮密钥的生成。

轮密钥生成

轮密钥的生成过程如下:

首先将64bit密钥进行选择置换PC1PC1去掉8位奇偶校验位并打乱排列顺序,分为左右各28bit的两部分后进行迭代循环左移,每一轮移位的结果再经过选择置换PC2PC2后就输出为该轮的轮密钥。

选择置换PC1PC1PC2PC2如下:

选择置换PC_1
5749413325179
1585042342618
1025951433527
1911360524436
63554739312315
7625446383022
1466153453729
211352820124
选择置换PC_2
1417112415
3281562110
2319124268
1672720132
415231374755
304051453348
444939563453
464250362932
循环移位的位数取决于迭代的轮数。在第1、2、9、16轮时循环左移1位,其余情况循环左移2位。

圈函数F

圈函数包括4个过程:

  1. 位扩展,将输入的32bit扩展为48bit,扩展规则如下:

  2. 与轮密钥异或

  3. 分为8组,每组6bit,经过8个不同的S盒

    S盒是DES中唯一一个非线性部件,输入6bit,输出为4bit,其规则是:输入数据的头尾2bit组合起来作为行选择,中间的4bit组合起来作为列选择,从而可以选到一个4bit的数,并将其输出。

    举例:S盒1输入011001,头尾2bit组合为01,故选中第二行,中间4bit为1100,故选中第13行,对应数字为9,故输出为1001

    完整的S盒如下:

S盒1
1441312151183106125907
0157414213110612119538
4114813621115129731050
1512824917511314100613
S盒2
1518146113497213120510
3134715281412011069115
0147111041315812693215
1381013154211671205149
S盒3
1009146315511312711428
1370934610285141211151
1364981530111212510147
1101306987415143115212
S盒4
7131430691012851112415
13811561503472121101419
1069012117131513145284
3150610113894511127214
S盒5
2124171011658315130149
1411212471315015133986
4211110137815912563014
1181271142136150910453
S盒6
1211015926801334147511
1015427129561131401138
9141552812370410113116
4321295151011141760813
S盒7
4112141508133129751061
1301174911014351221586
1411131237141015680592
6111381410795015142312
S盒8
1328461511110931450127
1151381037412561101492
7114191214206101315358
2114741081315129035611
  1. 进行置换运算P

    置换运算P
    1672021
    29122817
    1152326
    5183110
    282414
    322739
    1913306
    2211425

DES的解密和安全性

DES的解密过程和加密过程完全相同,唯一的区别是解密使用轮密钥的顺序和加密时相反,即轮密钥使用顺序为K16,K15K1K_{16},K_{15}\cdots K_1

DES的安全性完全依赖于所使用的密钥。首先对于现今的计算能力来说,DES的密钥过短,不能抵抗穷举攻击;且DES存在弱密钥,当密钥经过PC1置换后得到的56bit密钥C0D0C_0D_0满足:C0,D0C_0,D_0分别是{00,11,01,10}\{00,11,01,10\}中任意一项的14次重复,那么就有可能存在二次加密导致密文复原的情况。在这之中,C0,D0C_0,D_0分别全为1或全为0的情况共有4种,称为弱密钥;其余称为半弱密钥。

弱密钥的引起的危险很简单,就是每一轮的轮密钥都相同,使用相同密钥加密必定复原密文;半弱密钥则需要成对使用,即找到两个半弱密钥,使得其生成的轮密钥顺序刚好相反,这样同样可以实现复原密文。

弱密钥:0x01010101010101010xFEFEFEFEFEFEFEFE0xE0E0E0E0F1F1F1F10x1F1F1F1F0E0E0E0E(若不考虑校验位,则0x00000000000000000xFFFFFFFFFFFFFFFF0xE1E1E1E1F0F0F0F00x1E1E1E1E0F0F0F0F也属于弱密钥)

半弱密钥对:

  • 0x011F011F010E010E0x1F011F010E010E01
  • 0x01E001E001F101F10xE001E001F101F101
  • 0x01FE01FE01FE01FE0xFE01FE01FE01FE01
  • 0x1FE01FE00EF10EF10xE01FE01FF10EF10E
  • 0x1FFE1FFE0EFE0EFE0xFE1FFE1FFE0EFE0E
  • 0xE0FEE0FEF1FEF1FE0xFEE0FEE0FEF1FEF1

除此之外,DES还拥有取反特性,这种特性可以使得其在选择明文攻击(Chosen-Plaintext Attack, CPA)下的工作量减半:

C=DESK(M), Cˉ=DESKˉ(Mˉ),  MCK若C=DESK(M),\space则\bar{C}=DES\bar{K}(\bar{M}),\space\space M为明文,C为密文,K为密钥

由于DES的密钥长度不能满足需求,于是有一种多重DES加密的方案增加了密钥长度,被广泛采用的一种是3重DES,其加解密过程如下:

y=DESk3(DESk21(DESk1(x))) (),  x=DESk11(DESk2(DESk31(y))) ()y=DES_{k_3}(DES_{k_2}^{-1}(DES_{k_1}(x)))\space(加密),\space\space x=DES_{k_1}^{-1}(DES_{k_2}(DES_{k_3}^{-1}(y)))\space(解密)

三重DES的优点在于更换算法的成本小,密钥长度也足够克服穷举攻击(三个密钥互不相同时为168bit,有两个密钥相同时为112bit),但其缺点在于效率更低。

参考资料:DES - WikipediaWeak key - Wikipedia

AES

AES(Advanced Encryption Standard)是一种基于SP网络结构的分组密码算法。2001年11月26日,NIST(National Institute of Standards and Technology)正式公布AES,并于2002年5月26日正式生效。

AES的很多运算都是以字节为单位的,所以将一个字节看作是有限域GF(28)GF(2^8)中的一个元素;还有一些运算是以4个字节的字来定义的,所以使用次数小于4、系数在的多项式GF(28)GF(2^8)中的多项式来表示。有限域的运算包含加法、乘法和x乘,其中加法就是逐比特异或,乘法是模乘,即乘法结果需要模去一个8次不可约多项式。

x乘即x×a(x)x\times a(x),把x乘和乘法分开的原因是可以简化运算:若多项式最高位为0,那么x乘结果就为该多项式字节内左移一位的结果;若最高位为1,那么x乘结果为该多项式字节内左移一位后再和1b(00011011)'1b'(00011011)进行逐比特异或的结果。由于做的是异或运算,所以一些乘法运算也可以通过多次x乘来实现,举例如下:

57×02=xtime(57)=AE    57×04=xtime(AE)=4757×08=xtime(47)=8E    57×10=xtime(8E)=0757×13=57×(010210)=57AE07=FE57\times 02=xtime(57)=AE\space\space\space\space 57\times 04=xtime(AE)=47 \\ 57\times 08=xtime(47)=8E\space\space\space\space 57\times 10=xtime(8E)=07\\所以57\times 13=57\times(01\oplus 02\oplus 10)=57\oplus AE\oplus 07=FE

AES的分组长度固定为128bit,而密钥可变,对应的加解密轮数也可变:

AES算法 密钥长度 分组长度 加解密轮数
AES-128 128bit 128bit 10
AES-192 192bit 128bit 12
AES-256 256bit 128bit 14

输入的明文128bit被分为16字节,就可以组成一个4×4的字节矩阵,每一轮都是对这个矩阵进行操作,最终输出的矩阵内容即为密文。

下面以128bit密钥的加解密过程为例。

加密的过程如上图所示。首先是轮密钥加,然后进行10轮的迭代,迭代进行字节替换、行移位、列混合和轮密钥加。到了第10轮时,没有列混合的操作。

解密过程则和加密相似,但是字节替换、行移位和列混合都是加密过程的逆过程,且轮密钥的使用顺序与加密相反。

AES的最后一轮迭代没有列混合这个步骤。

字节代换

字节代换是一个关于字节的非线性可逆变换,独立的对每个字节进行变换。有两种表示方法:

  1. 矩阵表示

    矩阵表示可以这么理解:将一个字节变换成有限域GF(28)GF(2^8)中的乘法逆元(规定0000映射到0000),再对其进行一个GF(2)GF(2)上的可逆仿射变换得到。具体运算表示如下:

    (y0y1y2y3y4y5y6y7)=(1000111111000111111000111111000111111000011111000011111000011111)(x0x1x2x3x4x5x6x7)+(11000110)\begin{pmatrix} y_0\\y_1\\y_2\\y_3\\y_4\\y_5\\y_6\\y_7 \end{pmatrix}=\begin{pmatrix} 1&0&0&0&1&1&1&1\\1&1&0&0&0&1&1&1\\1&1&1&0&0&0&1&1\\1&1&1&1&0&0&0&1\\1&1&1&1&1&0&0&0\\0&1&1&1&1&1&0&0\\0&0&1&1&1&1&1&0\\0&0&0&1&1&1&1&1 \end{pmatrix}\begin{pmatrix} x_0\\x_1\\x_2\\x_3\\x_4\\x_5\\x_6\\x_7 \end{pmatrix}+\begin{pmatrix} 1\\1\\0\\0\\0\\1\\1\\0 \end{pmatrix}

    逆过程同样也可以使用矩阵表示,用于解密:

    (y0y1y2y3y4y5y6y7)=(0010010110010010010010011010010001010010001010011001010001001010)(x0x1x2x3x4x5x6x7)(11000110)\begin{pmatrix} y_0\\y_1\\y_2\\y_3\\y_4\\y_5\\y_6\\y_7 \end{pmatrix}=\begin{pmatrix} 0&0&1&0&0&1&0&1\\1&0&0&1&0&0&1&0\\0&1&0&0&1&0&0&1\\1&0&1&0&0&1&0&0\\0&1&0&1&0&0&1&0\\0&0&1&0&1&0&0&1\\1&0&0&1&0&1&0&0\\0&1&0&0&1&0&1&0 \end{pmatrix}\begin{pmatrix} x_0\\x_1\\x_2\\x_3\\x_4\\x_5\\x_6\\x_7 \end{pmatrix}\oplus\begin{pmatrix} 1\\1\\0\\0\\0\\1\\1\\0 \end{pmatrix}

    输入的字节格式为从低位到高位,所以读取结果时要从下往上读。

  2. S盒代换

    S盒就是把上面的矩阵运算结果排成了一个表,便于查找和映射。输入的字节高4位作为行值,低4位作为列值,就可以得到对应的代换结果。

    S盒
    行/列0123456789ABCDEF
    0637c777bf26b6fc53001672bfed7ab76
    1ca82c97dfa5947f0add4a2af9ca472c0
    2b7fd9326363ff7cc34a5e5f171d83115
    304c723c31896059a071280e2eb27b275
    409832c1a1b6e5aa0523bd6b329e32f84
    553d100ed20fcb15b6acbbe394a4c58cf
    6d0efaafb434d338545f9027f503c9fa8
    751a3408f929d38f5bcb6da2110fff3d2
    8cd0c13ec5f974417c4a77e3d645d1973
    960814fdc222a908846eeb814de5e0bdb
    Ae0323a0a4906245cc2d3ac629195e479
    Be7c8376d8dd54ea96c56f4ea657aae08
    Cba78252e1ca6b4c6e8dd741f4bbd8b8a
    D703eb5664803f60e613557b986c11d9e
    Ee1f8981169d98e949b1e87e9ce5528df
    F8ca1890dbfe6426841992d0fb054bb16
    逆S盒
    行/列0123456789ABCDEF
    052096ad53036a538bf40a39e81f3d7fb
    17ce339829b2fff87348e4344c4dee9cb
    2547b9432a6c2233dee4c950b42fac34e
    3082ea16628d924b2765ba2496d8bd125
    472f8f66486689816d4a45ccc5d65b692
    56c704850fdedb9da5e154657a78d9d84
    690d8ab008cbcd30af7e45805b8b34506
    7d02c1e8fca3f0f02c1afbd0301138a6b
    83a9111414f67dcea97f2cfcef0b4e673
    996ac7422e7ad3585e2f937e81c75df6e
    A47f11a711d29c5896fb7620eaa18be1b
    Bfc563e4bc6d279209adbc0fe78cd5af4
    C1fdda8338807c731b11210592780ec5f
    D60517fa919b54a0d2de57a9f93c99cef
    Ea0e03b4dae2af5b0c8ebbb3c83539961
    F172b047eba77d626e169146355210c7d

    下图展示了S盒代换的过程:

行移位

行移位是将输入的矩阵各行进行循环移位,第1行不移动,第2行循环左移1字节,第3行循环左移2字节,第4行循环左移3字节,如下图所示:

解密时则相反,将循环左移改为循环右移即可。

列混合

列混合变换是一个替代操作,是AES中最具技巧性的部分,通过矩阵相乘实现,起混淆的效果。本质上就是两个系数在GF(28)GF(2^8)域上的两个小于4次的多项式相乘。

设有多项式a(x)=a3x3+a2x2+a1x+a0a(x)=a_3x^3+a_2x^2+a_1x+a_0b(x)=b3x3+b2x2+b1x+b0b(x)=b_3x^3+b_2x^2+b_1x+b_0,多项式的模乘运算记为\otimes,设a(x)b(x)=c(x)=c3x3+c2x2+c1x+c0a(x)\otimes b(x)=c(x)=c_3x^3+c_2x^2+c_1x+c_0,则显然有:

{c0=a0×b0a3×b1a2×b2a1×b3c1=a1×b0a0×b1a3×b2a2×b3c2=a2×b0a1×b1a0×b2a3×b3c3=a3×b0a2×b1a1×b2a0×b3  (c0c1c2c3)=(a0a3a2a1a1a0a3a2a2a1a0a3a3a2a1a0)(b0b1b2b3)\left \{ \begin{array}{c} c_0=a_0\times b_0\oplus a_3\times b_1\oplus a_2\times b_2\oplus a_1\times b_3\\c_1=a_1\times b_0\oplus a_0\times b_1\oplus a_3\times b_2\oplus a_2\times b_3\\c_2=a_2\times b_0\oplus a_1\times b_1\oplus a_0\times b_2\oplus a_3\times b_3\\c_3=a_3\times b_0\oplus a_2\times b_1\oplus a_1\times b_2\oplus a_0\times b_3\end{array} \right. \space\Longrightarrow\space \begin{pmatrix} c_0\\c_1\\c_2\\c_3 \end{pmatrix}=\begin{pmatrix} a_0&a_3&a_2&a_1\\a_1&a_0&a_3&a_2\\a_2&a_1&a_0&a_3\\a_3&a_2&a_1&a_0 \end{pmatrix}\begin{pmatrix} b_0\\b_1\\b_2\\b_3 \end{pmatrix}

可以看见,得到了一个循环矩阵,多项式乘法也就转换成矩阵的乘法。AES选择了一个可逆的固定多项式d(x)=03x3+01x2+01x+02d(x)='03'x^3+'01'x^2+'01'x+'02',其逆元为d(x)1=0Bx3+0Dx2+09x+0Ed(x)^{-1}='0B'x^3+'0D'x^2+'09'x+'0E',将其作为上面的a(x)a(x),将输入的4×4矩阵与其相乘,得到的结果即为列混合的输出。解密使用其逆元进行相乘即可。矩阵表示如下:

[02030101010203010101020303010102][s00s01s02s03s10s11s12s13s20s21s22s23s30s31s32s33]=[s00s01s02s03s10s11s12s13s20s21s22s23s30s31s32s33]\begin{bmatrix} 02&03&01&01\\01&02&03&01\\01&01&02&03\\03&01&01&02 \end{bmatrix}\begin{bmatrix} s_{00}&s_{01}&s_{02}&s_{03}\\s_{10}&s_{11}&s_{12}&s_{13}\\s_{20}&s_{21}&s_{22}&s_{23}\\s_{30}&s_{31}&s_{32}&s_{33} \end{bmatrix}=\begin{bmatrix} s^{'}_{00}&s^{'}_{01}&s^{'}_{02}&s^{'}_{03}\\s^{'}_{10}&s^{'}_{11}&s^{'}_{12}&s^{'}_{13}\\s^{'}_{20}&s^{'}_{2 1}&s^{'}_{22}&s^{'}_{23}\\s^{'}_{30}&s^{'}_{31}&s^{'}_{32}&s^{'}_{33} \end{bmatrix}

其中,03×sxy03\times s_{xy}可以表示为(0102)×sxy(01\oplus 02)\times s_{xy},即整个运算可以转换为x乘运算。

整个过程如下图所示:

轮密钥加

轮密钥加是最简单的一步,只需将输入矩阵和轮密钥异或即可。

密钥扩展

密钥扩展是按字进行的。输入的16字节密钥同样组成一个矩阵,每一列就是一个字,依次被命名为w[0],w[1],w[2],w[3]w[0],w[1],w[2],w[3],并基于此生成一个44字的一维线性数组,其中前4个字即为输入的密钥,用于初始密钥加;其余为轮密钥,对应为w[4:7],w[8:11],w[36,39],w[40,43]w[4:7], w[8:11],\cdots w[36,39],w[40,43]

密钥的扩展规则是:对于ww数组中下标不为4的倍数的元素,只进行简单的异或:w[i]=w[i1]w[i4]w[i]=w[i-1]\oplus w[i-4];而对于下标为4的倍数的元素,则要经过一个复杂过程。

对于下标为4的倍数的元素,首先将w[i1]w[i-1]取出,循环左移一个字节;然后基于上面的S盒进行字节代换;再将得到的结果与轮常量Rcon[i]Rcon[i]异或;最后和w[i4]w[i-4]异或。轮常量Rcon[i]Rcon[i]是一个字,这个字的后面3个字节总为0,具体数值如下:

ii 1 2 3 4 5 6 7 8 9 10
Rcon[i]Rcon[i] 0100000001000000 0200000002000000 0400000004000000 0800000008000000 1000000010000000 2000000020000000 4000000040000000 8000000080000000 1b0000001b000000 3600000036000000

用一个图来展示扩展过程:

参考资料:AES - WikipediaGif来源:Enrique Zabala

SM4

SM4是由我国自主研究设计的商用分组密码算法,与2006年由国家商用密码管理局公开发布,2012年3月被列入国家密码行业标准(GM/T0002-2012),2016年8月被列入国家标准(GB/T32907-2016)。

SM4同样是一种迭代的分组密码算法,采用的是非平衡的Feistel结构,分组长度和密钥长度都为128bit,采用32轮的非线性迭代。

下图展示了SM4的加密过程,将输入的明文分为4个字(X0,X1,X2,X3)(X_0,X_1,X_2,X_3),则每经过一轮迭代,可以生成其后面的一个字,下一次输入即使用最后4个字.例如第一轮可以产生X4X_4,则下一轮的输入即为(X1,X2,X3,X4)(X_1,X_2,X_3,X_4),直到最后一轮输出(X32,X33,X34,X35)(X_{32},X_{33},X_{34},X_{35}),再进行一次反序变换得到(X35,X34,X33,X32)(X_{35},X_{34},X_{33},X_{32}),即输出为密文。加密变换可以表示如下:

Xi+4=F(Xi,Xi+1,Xi+2,Xi+3,rki)=XiT(Xi+1Xi+2Xi+3rki),i=0,1,,31X_{i+4}=F(X_i,X_{i+1},X_{i+2},X_{i+3}, rk_i)=X_i\oplus T(X_{i+1}\oplus X_{i+2}\oplus X_{i+3}\oplus rk_i), i=0,1,\cdots,31

如图所示,输入的轮密钥表示为(rk0,rk1,rk2,,,rk30,rk31)(rk_0,rk_1,rk_2,\cdots,,rk_{30},rk_{31}),同样是以字为单位。除此之外还有两个以字为单位的参数:系统参数FK=(FK0,FK1,FK2,FK3)FK=(FK_0,FK_1,FK_2,FK_3)和固定参数CK=(CK0,CK1,CK2,,CK31)CK=(CK_0,CK_1,CK_2,\cdots,CK_{31}),这两个参数在密钥扩展中会被用到。

SM4的加解密过程是一样的,解密用的轮密钥是加密轮密钥的逆序。

轮函数F

F(Xi,Xi+1,Xi+2,Xi+3,rki)=XiT(Xi+1Xi+2Xi+3rki),i=0,1,,31F(X_i,X_{i+1},X_{i+2},X_{i+3}, rk_i)=X_i\oplus T(X_{i+1}\oplus X_{i+2}\oplus X_{i+3}\oplus rk_i), i=0,1,\cdots,31

前面提到SM4采用了非平衡的Feistel结构,其轮函数结构如下图所示:

这种非平衡的结构体现在Feistel结构中的函数FF中,在这里FF输入(不包括轮密钥)有3个字,输出为1个字。这样使得每一轮迭代中,输入的3个字和密钥可以扩散到输出的这个字里面,即输出依赖于输入的3个字和密钥。而且,非平衡的Feistel结构由于输入可以是多个分组,也改善了平衡Feistel结构里面分组长度的限制。

接下来是合成置换TTTT是一个合成置换,包括一个非线性变换τ\tau和线性变换LL

非线性变换τ

非线性变换τ\tau由4个并行的S盒构成,即将输入的一个字分为4个字节,并行的输入一个S盒中,再将输出重新拼接为一个字。对于S盒,输入字节的高位作为行选择,低位作为列选择。

S盒
行/列0123456789ABCDEF
0d690e9fecce13db716b614c228fb2c05
12b679a762abe04c3aa44132649860699
29c4250f491ef987a33540b43edcfac62
3e4b31ca9c908e89580df94fa758f3fa6
44707a7fcf37317ba83593c19e6854fa8
5686b81b27164da8bf8eb0f4b70569d35
61e240e5e6358d1a225227c3b01217887
7d40046579fd327524c3602e7a0c4c89e
8eabf8ad240c738b5a3f7f2cef96115a1
9e0ae5da49b341a55ad933230f58cb1e3
A1df6e22e8266ca60c02923ab0d534e6f
Bd5db3745defd8e2f03ff6a726d6c5b51
C8d1baf92bbddbc7f11d95c411f105ad8
D0ac13188a5cd7bbd2d74d012b8e5b4b0
E8969974a0c96777e65b9f109c56ec684
F18f07dec3adc4d2079ee5f3ed7cb3948

线性变换L

线性变换LL就是一个循环移位和异或的过程。设<<<<<<表示32bit循环左移,则LL可以表示为下式:

L(B)=B(B<<<2)(B<<<10)(B<<<18)(B<<<24)L(B)=B\oplus(B<<<2)\oplus(B<<<10)\oplus(B<<<18)\oplus(B<<<24)

密钥扩展

SM4中密钥扩展的算法和轮函数有着很大的相似性。

首先将输入的密钥MK=(MK0,MK1,MK2,MK3)MK=(MK_0,MK_1,MK_2,MK_3)与系统参数FKFK进行异或得到中间值(K0,K1,K2,K3)(K_0,K_1,K_2,K_3)

(K0,K1,K2,K3)=(MK0FK0,MK1FK1,MK2FK2,MK3FK3)(K_0,K_1,K_2,K_3)=(MK_0\oplus FK_0,MK_1\oplus FK_1,MK_2\oplus FK_2,MK_3\oplus FK_3)

下面是FKFK的具体值:

ii 0 1 2 3
FKiFK_i a3b1bac6 56aa3350 677d9197 b27022dc

随后就是一个和轮函数差不多的过程:rki=Ki+4=KiT(Ki+1Ki+2Ki+3CKi),i=0,1,,31rk_i=K_{i+4}=K_i\oplus T'(K_{i+1}\oplus K_{i+2}\oplus K_{i+3}\oplus CK_i), i=0,1,\cdots,31

唯一的区别在于将轮密钥换成了固定参数CKiCK_i,且非线性变换L(B)=B(B<<<13)(B<<<23)L'(B)=B\oplus(B<<<13)\oplus(B<<<23)

系统参数CKCK可以按照以下方法进行取值:

ckijck_{ij}CKiCK_i的第jj个字节,则有:ckij=(4i+j)×7(mod256)(i[0,31],j[0,3])ck_{ij}=(4i+j)\times7(mod256)(i\isin[0,31], j\isin[0,3])

下面是CKCK的全部值:

ii 0 1 2 3
CKiCK_i 00070e15 1c232a31 383f464d 545b6269
ii 4 5 6 7
CKiCK_i 70777e85 8c939aa1 a8afb6bd c4cbd2d9
ii 8 9 10 11
CKiCK_i e0e7eef5 fc030a11 181f262d 343b4249
ii 12 13 14 15
CKiCK_i 50575e65 6c737a81 888f969d a4abb2b9
ii 16 17 18 19
CKiCK_i c0c7ced5 dce3eaf1 f8ff060d 141b2229
ii 20 21 22 23
CKiCK_i 30373e45 4c535a61 686f767d 848b9299
ii 24 25 26 27
CKiCK_i a0a7aeb5 bcc3cad1 d8dfe6ed f4fb0209
ii 28 29 30 31
CKiCK_i 10171e25 2c333a41 484f565d 646b7279

分组密码的工作模式

ECB模式

ECB(Electronic Codebook)电码本模式指的是每个明文分组各自独立地进行加密和解密的加密模式,明文分组和密文分组呈一一对应关系。ECB处理短数据时非常理想,但是缺点也非常明显,扩散效果不好,而且在数据重复多的情况下很容易被密码分析者实现分组的代换和重排。

CBC模式

CBC(Cipher Block Chaining)密文分组链接模式将上一分组的密文输出作为下一分组的输入,先将明文与前一个密文分组进行异或运算,再进行加解密。这种模式需要指定一个初始向量IVIV

  1. 当CBC模式中的密文分组有一个分组损坏,只要密文分组的长度没有发生变化,解密时最多会有两个分组受到数据损坏的影响
  2. 当CBC的密文分组中有一些比特缺失了,导致密码分组的长度发生变化,此分组发生错位,在缺失比特位置之后的密文分组也就无法全部解密

CFB模式

CFB(Cipher Feedback)密文反馈模式直接将上一分组的密文输入加密,再将输出和明文进行异或。利用CFB可以将分组密码转换为一个自同步的流密码。CFB模式的错误传播有限,适合以比特或字节为单位的数据。

OFB模式

OFB(Output Feedback)输出反馈模式类似于CFB,直接将上一分组的加密算法输出加密,再和明文异或得到密文。OFB可以将分组密码转换为一个同步的流密码。OFB的优点在于传输过程的错误不会被传播,但是缺点在于更容易收到消息流的篡改攻击。

CTR模式

CTR(Counter)计数器模式通过将逐次累加的计数器进行加密来生成密钥流,每个分组对应一个逐次累加的计数器,且每次加密都会生成一个不同的值(Nonce)作为计数器的初始值,且在每次加密时都必须不同。和OFB类似,错误也不会被传播,关键在于Nonce和计数器Counter不能被破坏,否则将导致部分数据无法被恢复。

参考资料:Block cipher mode of operation - Wikipediahttps://blog.csdn.net/qq_41137136/article/details/86433998