在介绍完Feistel结构之后，接下来进入到著名的DES算法。

  6.1 DES算法的意义

  在正式介绍DES之前，首先介绍几个重要的历史时间节点。

  ① 1973年，美国国家标准局(NBS)向社会公开征集加密算法，一直盯加密算法标准。

  ② 1974年，第二次征集。

  ③ 1975年，选中IBM的算法，公布征求意见。

  ④ 1977年1月15日正式颁布。

  ⑤ 1998年底以后停用。

  ⑥ 1999年颁布3DES为新标准。

  标准加密算法的目标：

  ① 用于保护*机构和商业部门的非机密的敏感数据。

  ② 用于加密保护静态存储和传输信道中的数据。

  ③ 安全使用10~15年。

  DES算法是单射的分组密码算法，是密码学发展的一个重要的阶段（现代密码学诞生的标志之一），对算法的标准化研究和分组密码的发展有重大意义。

  目前攻击DES的最有效的办法是密钥穷举攻击。

  6.2 DES算法概述

  密码的整体特点：

  ① 分组密码：明文、密文和密钥的分组长度都是64位。

  ② 面向二进制数据的密码算法：因而能够加解密任何形式的计算机数据。

  ③ 对合运算：加解密使用同一个算法，使工程量减半。

  ④ 综合运用了置换、代替、代数等基本密码技术。

  ⑤ 基本结构属于Feistel结构。

  首先，简单看一下DES算法的整体结构，其主要由初始置换IP、轮函数、逆初始置换IP^-1以及密钥扩展算法组成。这里直接放上书上的图。

  DES算法时迭代型分组密码算法，16轮的Feistel型密码基本参数：

  ·分组长度：64比特

  ·密钥长度：64比特

  ·有效密钥长度：56比特（8比特校验位）

  ·迭代圈数：16圈

  ·圈密钥长度：48比特

  DES加密标准的核心是采用Fesitel结构。明文分组长度是64比特，初始密钥长度也是64比特（实际上采用的是56比特，8比特校验位），循环轮数为16轮。

  6.3 Fesitel型密码

  Fesitel模型的优缺点：

  优点：设计容易，f函数不要求可逆。

  缺点：轮变换有一半的输入没有改变，左右块的处理不能并行实施。

  6.4 DES中的轮函数 f(A,J)

  A为32比特串，J为48比特串，输出为f(A,J)为32比特串。

  ① A根据一个固定扩展函数E扩展成一个长为48比特串E(A).

  ② 计算E(A)⊕J,并将所得结果分成8个长为6的比特串，记为B=B₁B₂B₃B₄B₅B₆B₇B₈.

  ③ 使用8个S盒S₁,S₂,...,S₈,每个S盒为6进4出。用4×16矩阵描述。

    对 B_j = b₁b₂b₃b₄b₅b₆ 计算 S_j(B_j)

    b₁b₆对应S_j的行

    b₂b₃b₄b₅对应S_j的列

    对应二进制表示 C_j=S_j(B_j)

  例：有 B₁ = 100110

    此时有 b₁b₆=10，b₂b₃b₄b₅=0011.则对应第2行第3列（序号从0开始）。

    查找S盒找到对应的数字——8.故S₁(B₁)=1000.

  ④ 将长为32比特的 C=C₁C₂...C₈通过固定置换P（P盒）：

    P(C) = f(A,J)

•   扩展变换 —— E盒扩展

  作用： 将输入的32比特扩展为48比特。

  扩展方式： 分别将第i-1块最右比特 和 第i+1块最左比特 添加到 第i块的左边 和 右边。形成输出的第i个6比特块。

•   S盒

  S盒代替是DES算法中唯一的非线性变换。在DES算法中起核心作用。

  S盒的设计标准对于实现DES算法的安全性，对于实现混乱和扩散原则，对于保障DES算法的密码强度，具有十分重要的作用。

  S盒只要稍微改变，其密码强度就会大大改变。

•   P盒

  P盒的设计特点：

  ① P盒的各输入块的4比特都分配到不同的输出块中。

  ② P盒的各输出块的4比特都来自不同的输入块。

  6.5 轮密钥产生

  轮密钥的产生主要包含三个部分：

  ① 置换选择1 （64比特 -> 56比特，去掉8比特奇偶校验位）

  ② 循环移位 （分左28比特，右28比特）

  ③ 置换选择2 （56比特 -> 48比特）

  最终得到 16 个 48比特 的 轮密钥。

  ① 置换选择1 

  作用：去掉密钥中8比特奇偶校验位；打乱重排，形成C₀（左28比特）、D₀（右28比特）。

  ② 循环移位

  作用：对C_i、D_i分别循环左移位。

  ③ 置换选择2

  作用：从C_i和D_i（56比特）中选择出一个48比特的子密钥K_i.

  说明：从C_i中取24比特，D_i中取24比特。

  6.6 加密过程

  加密过程可以简单分为三个部分：①初始置换IP ②16轮Feistel结构 ③逆初始置换IP^-1

  ① 初始置换 IP

  作用：把64位明文打乱重排。

  注意：IP中的置换是有规律的，则对保密是不利的。

  ② 逆初始置换 IP^-1

  作用：把64位中间密文打乱重排，形成最终64位密文。

  相逆性：IP 与 IP^-1 互逆

  如：在IP中把输入的第1位置换到第40位，而在IP^-1中把输入的第40位置换到第1位。

  但保密作用不大。由于没有密钥参与，在IP与IP^-1公开的条件下，其保密意义不大。

  ③ 16轮Feistel结构

  （a）扩展置换E

  作用：把32位输入扩充为48位中间数据，通过重复使用数据，实现数据扩充。

  （b）代替函数组S（S盒）

  S盒的一般性质：

  S盒是DES中唯一的非线性变换，是DES安全的关键。

  在保密性方面，起混淆作用。

  共有8个S盒，并行作用。

  每个S盒有6个输入，4个输出，是非线性压缩变换。

  改变S和任一输入比特，其输出至少2比特发生改变。

  其他准则：

  非线性准则：S盒必须有足够的非线性度，否则不能抵抗线性攻击。

  差分均匀性准则：S盒的差分性应均匀，否则不能抵抗差分攻击。

  代数次数及项数分布准则：S盒必须有足够的代数次数和项数，否则不能抵抗插值攻击和高阶差分攻击。

  S盒的密码学特性保证了DES的安全。

  （c）置换运算P

  把数据打乱重排。

  在保密性方面，其扩散作用。因为S盒是6位输入，4位输出，其非线性作用是局部的，因此需要把S盒的混淆作用扩散开来。

  S盒和P盒相互配合，共同确保DES安全。

 6.7 解密过程

  DES的加密算法是对合运算，因此解密和加密可以共用同一个算法。

  不同点：子密钥的使用顺序不同

  第一次解密迭代使用子密钥K₁₆，第二次解密迭代使用子密钥K₁₅，...，第十六次解密迭代使用子密钥K₁。

  数学描述：

R_i-1=L_i         i=16,15,...,1.

L_i-1=R_i-1⊕f(L_i,K_i)  i=16,15,...,1.

  6.8 DES的对合性和可逆性

  ① 可逆性证明

  （1）定义：变换T是把64位数据的左右两半交换位置。

T(L,R)=(R,L)

  因为TT(L,R)=T(R,L)=(L,R)=I，其中I为恒等变换。

  又显然TT^-1=I，于是TT^-1=TT，所以有

T=T^-1

  所以T变换是对合运算。

  （2）记DES第i轮中的主要运算为F_i，即

  F_i(L_i-1,R_i-1)=(L_i-1⊕f(R_i-1,K_i),R_i-1)

  F_i²(L_i-1,R_i-1)=F_i(L_i-1⊕f(R_i-1,K_i),R_i-1)=(L_i-1⊕f(R_i-1,K_i)⊕f(R_i-1,K_i),R_i-1)=(L_i-1,R_i-1)=I

  所以，F_i=F_i^-1.

  所以，F_i变换是对合运算。

  （3）结合（1）（2），便构成了DES的轮运算：

H_i=F_iT

  因为(F_iT)(TF_i)=(F_i(TT)F_i)=F_iF_i=I,所以(F_iT)^-1=(TF_i),(TF_i)^-1=(F_iT)

  （4）初始置换IP和逆初始置换IP^-1是互逆的。

  （5）加解密表示
    ① DES(M) = (M)IP(F₁T)(F₂T)...(F₁₅T)(F₁₆)IP^-1 = C

    ② DES^-1(C) = (C)IP(F₁₆T)(F₁₅T)...(F₂T)(F₁)IP^-1 = M

  故有DES^-1DES(M) = (M)IP(F₁T)(F₂T)...(F₁₅T)(F₁₆)IP^-1IP(F₁₆T)(F₁₅T)...(F₂T)(F₁)IP^-1 

             = (M)IP(F₁T)(F₂T)...(F₁₅T)(F₁₆)(F₁₆T)(F₁₅T)...(F₂T)(F₁)IP^-1 

             = (M)IP(F₁T)(F₂T)...(F₁₄T)(F₁₅)(F₁₅T)(F₁₄T)...(F₂T)(F₁)IP^-1 

             = (M)IP(F₁T)(F₂T)...(F₁₃T)(F₁₄)(F₁₄T)(F₁₃T)...(F₂T)(F₁)IP^-1 

             = ......

             = (M)IP(F₁T)(F₂)(F₂T)(F₁)IP^-1 

             = (M)IP(F₁)(F₁)IP^-1 

             = (M)IP IP^-1 

             =  M

  所以DES是可逆的。

  ② 对合性证明

  DES  = IP(F₁T)(F₂T)...(F₁₅T)(F₁₆)IP^-1 

  DES^-1 = IP(F₁₆T)(F₁₅T)...(F₂T)(F₁)IP^-1

  DES和DES^-1除了子密钥的使用顺序相反之外是相同的。

  不考虑子密钥的使用顺序，则有：

  DES  = IP(FT)(FT)...(FT)(F)IP^-1 

  DES^-1 = IP(FT)(FT)...(FT)(F)IP^-1

  显然 DES = DES^-1

  所以DES的运算是对合运算。

  6.9 DES的破译

  1990年，以色列密码学家Eli Biham和Adi Shamir提出了差分密码分析法。可对DES进行选择明文攻击。

  线性密码分析（1993）比差分密码攻击更有效。

• 强力攻击：平均2⁵⁵次尝试（56位有效密钥位，2⁵⁶平均÷2=2⁵⁵）
• 差分密码分析法：使用2⁴⁷对明密文的选择明文攻击
• 线性密码分析法：使用2⁴⁷对明密文的已知明文攻击

  6.10 DES的安全性

  ① 攻击：穷举攻击（目前最有效的方法）、差分攻击、线性攻击。

  ② 安全弱点：

• 密钥太短 
• 存在弱密钥
• 存在互补对称性（设C=DES(M,K),则有~C=DES(~M,~K)）

  - DES的弱密钥：

  通过密钥扩展算法产生的16个子密钥出现重复：k₁=k₂=k₃=...=k₁₅=k₁₆.

  由密钥扩展算法，易知C、D两个寄存器如果取值“全0”或“全1”，则通过循环移位和置换选择2得到的子密钥总是重复的。

  6.11 三重DES

  在讲三重DES之前首先考虑一下双重DES。

  用DES加密两次，每次使用不同的密钥。

  但双重DES并不安全，双重DES存在中间相遇攻击。使它的强度跟一个56位DES的强度差不多。

  若已知明文密文对(M,C)，攻击方法如下：

  ① 先用2⁵⁶个可能的K₁加密M,得到2⁵⁶个可能的值，将这些值从小到大存入一个表中。

  ② 再对2⁵⁶个可能的K₂解密C，每次做完解密，将所得到的值与表中的值比较，如果产生匹配，则它们对应的密钥可能是K₁和K₂。

  ③ 用一个新的明文密文对检测两个密钥，如果产生正确的密文，则它们是正确的密钥。

  为了防止中间相遇攻击，采用三次加密方案。

  （1）下面是使用两个密钥的三重DES（加密-解密-加密 E-D-E）方案

  注意：加密与解密在安全性上来说是等价的。这种加密方案穷举攻击代价是2¹¹².

  （2）三把密钥的三重DES的（有效）密钥长度是168位，采用加密-解密-加密（E-D-E）方案

  3DES的优点和缺点：

  优点：

  ① 密钥长度是168位，足以抵抗穷举攻击；

  ② 3DES的底层加密算法与DES加密算法相同，该加密算法比任何其它加密算法收到分析的时间要长得多，也没有发现有比穷举攻击更有效的密码分析攻击方法。

  缺点：

  加解密速度慢，分组长度只有64位。

  优势：

  3密钥的3DES：密钥长度是168位。

  2密钥的3DES：密钥长度是112位。

  安全：密钥足够长，经过最充分的分析和实践检验。

  兼容性好。

  弱势：

  速度慢。

  6.12 DES的历史回顾

  DES的贡献：

• DES很好地体现了香农的密码设计理论；
• DES体现了密码公开设计原则，开创了公开密码算法的先例；
• DES代表当时商业密码的最高水平，是商用密码的典范；
• DES对确保国际信息安全和提高国际密码设计水平都发挥了重要作用。

  DES给我们的启示：

• 商用密码应当坚持公开设计原则；
• 商业密码标准应当公布算法。

参考文献：

 [1]张焕国，唐明. 密码学引论（第三版）[M].武汉： 武汉大学出版社, 2015.

分组密码（三）DES 算法— 密码学复习（六）