第3章对称密码技术

本章导读

本章主要介绍对称密码技术及其相关的内容，包括一些加密算法、密钥的产生和密钥的分配等。 对称密码是一种加密密钥和解密密钥相同的密码体制。 对称密码分为分组密码和流密码。分组密码每次操作(如加密和解密)是针对一个分组而言。流密码则每次加密(或者解密)一位或者一个字节。 对密码的攻击方法有基于密码算法性质的密码分析和穷举搜索攻击。 从发展阶段来看，对称密码主要分为两种： 20世纪70年代以前的对称密码(主要指计算机出现以前)和20世纪70年代以后的对称密码。 我们称20世纪70年代以前的对称密码为古典加密技术，主要使用代换或者置换技巧。20世纪70年代以后的对称密码则同时使用代换和置换技巧。 古典加密技术分为两类： 一类是单字母代换密码，它将明文的一个字符用相应的一个密文字符代替。另一类是多字母代换密码，它是对多于一个字母进行代换。单字母代换密码又分为单表代换密码和多表代换密码。 DES是及时个加密标准，它与古典加密技术不一样，DES同时使用了代换和置换两种技巧。用56位密钥加密64位明文。 AES是用来取代DES的高级加密标准，其结构与DES不同，它是用128、192或者256位密钥加密128位的分组。 SM4是我国官方公布的及时个商用密码算法，它是一种分组对称密码算法，用128位密钥加密128位的分组。 RC6是RSA公司提交给NIST的一个候选高级加密标准算法，其效率非常高。 RC4是被广泛使用的一种同步流密码。 在密码学中的很多场合下都要使用随机数，安全的随机数应该满足随机性和不可预测性。 密钥分配为通信的双方发送会话密钥。

密码技术是信息系统最重要的安全机制。密码技术主要分为对称密码技术(也称单钥或者传统密码技术)和非对称密码技术(也称双钥或者公钥密码技术)。在对称密码技术中，加密密钥和解密密钥相同，或者一个密钥可以从另一个密钥导出。而非对称密码技术则使用两个密钥，加密密钥和解密密钥不相同。对称密码技术主要使用两种技巧： 代换和置换。代换是将明文中的每个元素映射成另一个元素。置换是将明文中的元素重新排列。在20世纪70年代以前的加密技术都是对称加密技术，并且在这些加密技术中只使用了代换或者置换技巧。这个时期的加密技术也称为古典加密技术。在20世纪70年代以后出现的对称加密技术则同时使用了代换和置换两种技巧。这两个阶段的加密技术还有一个典型区别： 古典加密技术一般将加密算法保密，而现代的对称加密技术则公开加密算法，加密算法的安全性只取决于密钥，不依赖于算法。非对称密码技术则产生于20世纪70年代。

3.1基 本 概 念

密码学(Cryptology)是以研究秘密通信为目的，即对所要传送的信息采取一种秘密保护，以防止第三者对信息进行窃取的一门学科。密码学作为数学的一个分支，包括密码编码学(Cryptography)和密码分析学(Cryptanalysis)两部分。密码编码学是研究加密原理与方法，使消息保密的技术和科学，它的目的是掩盖消息内容。密码分析学则是研究破解密文的原理与方法。密码分析者(Cryptanalyst)是从事密码分析的专业人员。采用加密的方法伪装消息，使得未授权者不可理解被伪装的消息。被伪装的原始消息(Message)称为明文(Plaintext)。将明文转换为密文的过程称为加密(Encryption)，加了密的消息称为密文(Ciphertext)，

图3.1加密解密过程

而把密文转变为明文的过程称为解密(Decryption)。加密解密过程如图3.1所示。将明文转换为密文的算法称为密码(Cipher)。一个加密系统采用的基本工作方式叫做密码体制(Cryptosystem)。实际上在密码学中的“系统或体制(System)”、“方案(Scheme)”和“算法(Algorithm)”等术语本质上是一回事，在本书中我们也将使用这些术语。加密和解密算法通常是在一组密钥(Key)控制下进行的，分别称为加密密钥和解密密钥。如果加密密钥和解密密钥相同，则密码系统为对称密码系统。

3.2对称密码模型

对称密码也称传统密码，它的特点是发送方和接收方共享一个密钥。对称密码分为两类： 分组密码(Block Ciphers)和流密码(Stream Ciphers)。分组密码也称为块密码，它是将信息分成一块(组)，每次操作(如加密和解密)是针对一组而言。流密码也称序列密码，它每次加密(或者解密)一位或者一个字节。

一个对称密码系统(也称密码体制)由5个部分组成。用数学符号描述为S={M，C，K，E，D}，如图3.2所示。

图3.2对称密码系统模型

(1) 明文空间M，表示全体明文的集合。(2) 密文空间C，表示全体密文的集合。(3) 密钥空间K，表示全体密钥的集合，包括加密密钥和解密密钥。(4) 加密算法E，表示由明文到密文的变换。(5) 解密算法D，表示由密文到明文的变换。

在发送方，对于明文空间的每个明文，加密算法在密钥的作用下生成对应的密文。接收方将接收的密文，用解密算法在解密密钥的控制下变换成明文。我们可以看到加密算法有两个输入，一个是明文； 另一个是密钥。加密算法的输出是密文。解密算法本质上是加密算法的逆运行，解密算法的输入是密文和密钥，输出是明文。

对明文M用密钥K，使用加密算法E进行加密，常常表示为Ek(M)，同样用密钥K使用解密算法D对密文C进行解密，表示为Dk(C)。在对称加密体制中，解密密钥相同，有：

C=Ek(M)

M=Dk(C)=Dk(Ek(M))

从对称密码模型可以看到，发送方和接收方主要进行加密和解密运算，我们希望这个运算越容易越好，对于攻击者而言，我们希望他们破译密文的计算越难越好。因此一个好的密码体制至少要满足下面几个条件。

(1) 已知明文M和加密密钥K时，易于计算C=Ek(M)。(2) 加密算法必须足够强大，使破译者不能仅根据密文破译消息，即在不知道解密密钥K时，由密文C计算出明文M是不可行的。(3) 由于对称密码系统双方使用相同的密钥，因此还必须保障能够安全地产生密钥，并且能够以安全的形式将密钥分发给双方。(4) 对称密码系统的安全只依赖于密钥的保密，不依赖于加密和解密算法的保密。

3.3密 码 攻 击

分析一个密码系统是否安全，一般是在假定攻击者知道所使用的密码系统情况下进行分析的。一般情况下，密码分析者可以得到密文，知道明文的统计特性、加密体制、密钥空间及其统计特性，但不知道加密截获的密文所用的特定密钥。这个假设称为Kerckhoff假设。分析一个密码系统的安全性一般是建立在这个假设的基础上。当然，如果攻击者不知道所使用的密码体制，那么破译是更难的。但是，不应当把密码系统的安全性建立在攻击者不知道所使用的密码体制这个前提之下。因此，在设计一个密码系统时，其目的应当是在Kerckhoff假设下达到一定的安全程度。攻击对称密码体制有两种方法： 密码分析和穷举攻击(Brute Force Search)。密码分析是依赖加密算法的性质和明文的一般特征等，试图破译密文得到明文或试图获得密钥的过程。穷举攻击则是试遍所有可能的密钥对所获密文进行解密，直至得到正确的明文； 或者用一个确定的密钥对所有可能的明文进行加密，直到得到与所获得的密文一致。

3.3.1穷举攻击 穷举攻击是最基本的，也是比较有效的一种攻击方法。从理论上讲，可以尝试所有的密钥。因此只要有足够的资源，任何密码体制都可以用穷举攻击将其攻破。幸运的是，攻击者不可能有无穷的可用的资源。穷举攻击的代价与密钥大小成正比。穷举攻击所花费的时间等于尝试次数乘以一次解密(加密)所需的时间。显然可以通过增大密钥位数或加大解密(加密)算法的复杂性来对抗穷举攻击。当密钥位数增大时，尝试的次数必然增大。当解密(加密)算法的复杂性增大时，完成一次解密(加密)所需的时间增大。从而使穷举攻击在实际上不能实现。表3.1是穷尽密钥空间所需的时间。从表3.1中我们可以发现，当密钥长度达到128位以上时，以目前的资源来说，穷举攻击将不会成功。