無(wú)線網(wǎng)絡(luò)機(jī)制中分組密碼標(biāo)準(zhǔn)安全性分析[權(quán)威資料]

無(wú)線網(wǎng)絡(luò)機(jī)制中分組密碼標(biāo)準(zhǔn)安全性分析 本文檔格式為 WORD,感謝你的閱讀。 摘要： 分組密碼算法憑借其在各種軟件和硬件平臺(tái)上的高效率特點(diǎn)，廣泛地應(yīng)用在無(wú)線通信系統(tǒng)的安全認(rèn)證及保密機(jī)制中。本文對(duì)幾種著名分組密碼標(biāo)準(zhǔn)（美國(guó)高級(jí)加密標(biāo)準(zhǔn) AES 算法、韓國(guó)分組加密標(biāo)準(zhǔn) SEED 算法、歐洲分組加密標(biāo)準(zhǔn) Camellia 算法和中國(guó)商用密碼標(biāo)準(zhǔn) SMS4 算法）的安全性進(jìn)行了分析，通過(guò)研究分組密碼算法中的非線性結(jié)構(gòu) S 盒的密碼學(xué)性質(zhì)，對(duì)比分組密碼算法抵抗插 入攻擊、差分密碼分析攻擊和線性密碼分析攻擊的能力，揭示各種算法的安全性。 Abstract： With the characteristics of high efficiency in a variety of software and hardware platforms， block ciphers are widely used in wireless communication systems security authentication and privacy. A detailed analysis of the cryptographic properties of several well-known block ciphers， such as AES， SEED， Camellia and SMS4， is made in this paper. S-box， which brings nonlinearity to block cipher， is well investigated and the attack capability resisting to insertion attacks， differential cryptanalysis and linear cryptanalysis is also provided. The security of AES， SEED， Camellia and SMS4 is revealed as compared with each other. 關(guān)鍵詞： 分組密碼； S 盒；布爾函數(shù)；差分密碼分析攻擊；線性密碼分析攻擊 Key words： block cipher； S-boxes； boolean function； differential cryptanalysis attack； linear cryptanalysis attack TP393 A 1006-4311（ 2013） 09-0196-04 0 引言 由于無(wú)線網(wǎng)絡(luò)能夠使用戶真正實(shí)現(xiàn)隨時(shí)、隨地、隨意地接入網(wǎng)絡(luò)，無(wú)線網(wǎng)絡(luò)的使用群體在不斷地?cái)U(kuò)大，用戶對(duì)無(wú)線網(wǎng)絡(luò)的要求也日益提高，例如，終端之間的安全認(rèn)證、信息的安全傳輸?shù)?。無(wú)線網(wǎng)絡(luò)雖然具有易于實(shí)施、組網(wǎng)靈活、快捷高效的特點(diǎn)，但其所采用的無(wú)線技術(shù)缺乏固定的物理保護(hù)，容 易遭受多種網(wǎng)絡(luò)安全攻擊，且難以檢測(cè)。因此，無(wú)線網(wǎng)絡(luò)迅速發(fā)展的同時(shí)，對(duì)網(wǎng)絡(luò)的安全性也提出了更高的要求。分組密碼算法以其在各種軟件和硬件平臺(tái)上的高效率這一顯著特點(diǎn)成為無(wú)線網(wǎng)絡(luò)安全認(rèn)證及保密機(jī)制的主要產(chǎn)品。 隨著美國(guó)數(shù)據(jù)加密標(biāo)準(zhǔn) DES（ Data Encryption Standard）被攻破， 1997 年初，美國(guó)已經(jīng)開始計(jì)劃建立高級(jí)加密標(biāo)準(zhǔn) AES（ Advanced Encryption Standard），并在世界范圍內(nèi)公開征集 AES 算法，經(jīng)過(guò)歷時(shí)三年的遴選和評(píng)估，比利時(shí)密碼學(xué)家 Joan Daemen 和 Vincent Rijmen 提交的Rijndael 算法 1成為美國(guó)的高級(jí)加密標(biāo)準(zhǔn)。繼 AES 之后，韓國(guó)信息安全協(xié)會(huì)于 1998 年確定了 128 比特分組加密算法 SEED算法 2，并服務(wù)于很多安全系統(tǒng)。 2000 年 1 月 1 日，歐洲啟動(dòng)了歐洲簽名、完整性和加密新方案計(jì)劃 NESSIE3，三年后確定了 Camellia 算法 4為其分組密碼標(biāo)準(zhǔn)算法之一。 2006年 1 月 6 日，中國(guó)國(guó)家密碼管理局發(fā)布第 7 號(hào)公告，將用于我國(guó)無(wú)線局域網(wǎng)產(chǎn)品的加密算法確定為 SMS4 算法 5，這是國(guó)內(nèi)官方公布的第一個(gè)商用密碼算法。隨著各種分組加密算法 在實(shí)際生活中的不斷應(yīng)用 6-9，算法的安全性值得我們深入探討與研究。 對(duì)于大多數(shù)分組密碼算法而言，安全性取決于一個(gè)重要組成部分，即， S 盒。這個(gè)非線性結(jié)構(gòu)任何不好的性質(zhì)都會(huì)影響到整個(gè)密碼算法的安全性。本文深入分析美國(guó)高級(jí)加密標(biāo)準(zhǔn) AES 算法、韓國(guó)分組加密標(biāo)準(zhǔn) SEED 算法、歐洲分組加密標(biāo)準(zhǔn) Camellia 算法和中國(guó)商用密碼新標(biāo)準(zhǔn) SMS4 算法 S 盒的密碼學(xué)性質(zhì)，研究其平衡性、非線性、代數(shù)表達(dá)式、 Walsh 譜等性質(zhì)，同時(shí)分析比較了各種加密標(biāo)準(zhǔn)在抵抗插入攻擊、差分密碼分析攻擊和線性密碼分析攻擊的能力。通過(guò)比較 ，在理論上揭示了各種分組密碼算法所具有的安全特性。 本文結(jié)構(gòu)如下：第 1 節(jié)對(duì)各種分組密碼算法進(jìn)行了簡(jiǎn)單的介紹；第 2 節(jié)給出了各種分組密碼算法 S 盒布爾函數(shù)密碼學(xué)性質(zhì)的比較；第 3 節(jié)分析對(duì)比了各種分組密碼算法抵抗各種攻擊的能力；最后第 4 節(jié)對(duì)全文進(jìn)行總結(jié)。 1 分組密碼算法簡(jiǎn)介 1.1 AES 算法 美國(guó)高級(jí)加密標(biāo)準(zhǔn) AES 算法分組長(zhǎng)度和密鑰長(zhǎng)度均可取 128 比特、 192 比特和 256 比特三種不同長(zhǎng)度，加密算法與密鑰擴(kuò)展算法都采用非線性的迭代結(jié)構(gòu)，不同的分組長(zhǎng)度與密鑰長(zhǎng)度的迭代次數(shù)是不同的，如表 1 所示。每一輪的迭代結(jié)構(gòu)包含四個(gè)基本操作：非線性的字節(jié)替換，行移位，列混合和輪密鑰加。 1.2 SEED 算法 韓國(guó)分組加密標(biāo)準(zhǔn) SEED 算法的分組明文長(zhǎng)度為 128 比特，密鑰長(zhǎng)度為 128 比特，生成 128 比特密文。加密算法與密鑰擴(kuò)展算法都采用 16輪非線性迭代結(jié)構(gòu)。解密過(guò)程與加密過(guò)程的結(jié)構(gòu)相似，只是輪密鑰的使用順序相反。 1.3 Camellia 算法 歐洲分組加密標(biāo)準(zhǔn) Camellia 算法的分組明文長(zhǎng)度為 128 比特，密鑰長(zhǎng)度可取 128 比特、 192 比特和 256 比特三種不同長(zhǎng)度，生成 128 比特密文。 加密算法與密鑰擴(kuò)展算法都采用 18輪（ 128 比特長(zhǎng)度的密鑰）或者 24輪（ 192 或 256 比特長(zhǎng)度的密碼）的 Feistel 結(jié)構(gòu)。解密過(guò)程與加密過(guò)程的結(jié)構(gòu)相似，只是輪密鑰的使用順序相反。 1.4 SMS4 算法 中國(guó)商用密碼新標(biāo)準(zhǔn) SMS4 算法的分組長(zhǎng)度為128 比特，密鑰長(zhǎng)度為 128 比特，生成 128 比特密文。加密算法與密鑰擴(kuò)展算法都采用 32輪非線性迭代結(jié)構(gòu)。解密過(guò)程與加密過(guò)程的結(jié)構(gòu)相似，只是輪密鑰的使用順序相反。 2 分組密碼算法安全性分析 S 盒是大多數(shù)分組密碼算法中唯一的非線性結(jié)構(gòu)，其密碼 特性直接決定了密碼算法的好壞。本節(jié)對(duì)美國(guó)高級(jí)加密標(biāo)準(zhǔn) AES 算法、韓國(guó)分組加密標(biāo)準(zhǔn) SEED 算法、歐洲分組加密標(biāo)準(zhǔn) Camellia 算法和中國(guó)商用密碼標(biāo)準(zhǔn) SMS4 算法的 S 盒密碼學(xué)性質(zhì)進(jìn)行了深入分析，研究其平衡性、非線性、代數(shù)表達(dá)式、 Walsh 譜等性質(zhì)，通過(guò)比較，揭示各種分組密碼算法的優(yōu)缺點(diǎn)。 2.1 S 盒布爾函數(shù)表達(dá)式 S 盒的布爾函數(shù)表達(dá)式給出了 S 盒的輸入比特與輸出比特之間的代數(shù)邏輯關(guān)系，這種表達(dá)式的次數(shù)和所含項(xiàng)數(shù)表明了 S 盒的代數(shù)復(fù)雜度。通常， S 盒的設(shè)計(jì)準(zhǔn)則 10要求布爾函數(shù)表達(dá)式的次數(shù)盡可能高，項(xiàng)數(shù)盡可能多。 以我國(guó)無(wú)線局域網(wǎng)產(chǎn)品 SMS4 算法為例，我們求得 SMS4算法 S 盒第一個(gè)布爾函數(shù)為f0=x2+x1x2+x1x3+x2x3x4x5x6x7x8 ，全部的非零下表值列于表 2 中，其它布爾函數(shù)可類似計(jì)算。 由表 2 可知 f0中的項(xiàng)數(shù)為 134，最高次數(shù)為最大可能值 7。其它輸出比特的布爾函數(shù) f1， ， f7的項(xiàng)數(shù)分別為130， 128， 123， 126， 124， 139， 124，代數(shù)次數(shù)均為 7。不難發(fā)現(xiàn) SMS4 算法 S 盒每個(gè)布爾函數(shù)多項(xiàng)式表達(dá)式的次數(shù)均為最大可能值 7，項(xiàng)數(shù)均不少于 123 項(xiàng)，這在某種意義 上保證了SMS4 算法 S 盒的代數(shù)復(fù)雜度和安全強(qiáng)度。 通過(guò)計(jì)算，我們得到四種標(biāo)準(zhǔn)中的 8 個(gè) S 盒（其中，AES 算法含有 1 個(gè)、 SEED 算法含有 2 個(gè)、 Camellia 算法含有4 個(gè)、 SMS4 算法含有 1 個(gè)）的布爾函數(shù)表達(dá)式的次數(shù)和項(xiàng)數(shù)，如表 3 所示。 通過(guò)比較，四種算法的 S 盒布爾函數(shù)表達(dá)式的次數(shù)都達(dá)到了最大上限 7。對(duì)于它們的 S 盒布爾函數(shù)表達(dá)式的最小項(xiàng)數(shù)而言， Camellia 算法的為 126， SMS4 算法的為 123，比SEED 算法的 111 和 AES 算法的 110 多，并且 SEED 算法的略大于 AES 算法的。從這個(gè)方面 而言， SEED 算法、 Camellia 算法和 SMS4 算法 S 盒布爾函數(shù)表達(dá)式復(fù)雜度略優(yōu)于 AES 算法。 2.2 S 盒布爾函數(shù)代數(shù)性質(zhì) 一個(gè)好的 S 盒應(yīng)該具有好的代數(shù)性質(zhì)，良好的性質(zhì)能保證算法能夠抵抗各種密碼分析的攻擊。對(duì)于大多數(shù)算法而言， S 盒是唯一的非線性結(jié)構(gòu)，并在整個(gè)算法中多次使用，因此 S 盒任何不好的性質(zhì)都將影響到整個(gè)算法的安全性。本節(jié)討論 SMS4 算法 S 盒的平衡性和非線性度等性質(zhì)。 定義 110 對(duì) n 元布爾函數(shù) f： GF（ 2） nGF （ 2），若其真值表中 “1” 的個(gè)數(shù)等于 “0” 的個(gè)數(shù)，即均為 2n-1，則稱 f 滿足平衡性。 定義 210 設(shè) f（ x）是一個(gè) n 元布爾函數(shù)，記 Lnx為所有 n 元線性函數(shù)（包括仿射函數(shù)）之集。 f（ x）的非線性度定義 f（ x）與所有線性函數(shù)之最短距離 N=d （ f，l）， 若 f（ x）的非線性度滿足 N=2 -2 ，則稱 f（ x）為 Bent 函數(shù)，也稱完全非線性函數(shù)。 布爾函數(shù) f（ x）的非線性度 Nf是用來(lái)衡量抵抗 “ 線性攻擊 ” 能力的一個(gè)非線性準(zhǔn)則， Nf 越大，則在某種意義上布爾函數(shù) f（ x）抵抗 “ 線性攻擊 ” 的能力越強(qiáng)；反之， Nf越小，則布爾函數(shù) f（ x）抵抗 “ 線性攻擊 ” 的能力越弱。 通過(guò)計(jì)算可知，四種標(biāo)準(zhǔn)中的 8 個(gè) S 盒的所有布爾函數(shù)均是平衡函數(shù)，非線性度均為 112，與完全非線性函數(shù)有6.67%的距離。 2.3 S 盒布爾函數(shù) Walsh 循環(huán)譜 Walsh 循環(huán)譜衡量的是布爾函數(shù)表達(dá)式與線性函數(shù) w x 的相符合程度。布爾函數(shù)的 Walsh 循環(huán)譜的數(shù)值越大，說(shuō)明布爾函數(shù)的 Walsh 循環(huán)譜與線性函數(shù)越接近，對(duì)應(yīng)的 S 盒就越容易被攻擊，算法性能就越壞。 以我國(guó)無(wú)線局域網(wǎng)產(chǎn)品 SMS4 算法為例，我們計(jì)算得到的 SMS4 算法 S 盒布爾函數(shù) f0的 256 倍的 Walsh 循環(huán)譜如表 4所示，相應(yīng)的譜圖如圖 1 所示。顯然，其各點(diǎn)譜值的絕對(duì)值大多在 4 到 30的范圍之內(nèi)，最大不超過(guò) 32，處于較小的狀態(tài)，再次說(shuō)明其與線性函數(shù)相似程度之小。 通過(guò)計(jì)算可知，我們得到四種標(biāo)準(zhǔn)中的 8 個(gè) S 盒的布爾函數(shù) Walsh 循環(huán)譜的性質(zhì)，如表 5 所示。 通過(guò)比較，四種標(biāo)準(zhǔn)中的 S 盒布爾函數(shù) Walsh 循環(huán)譜絕對(duì)值的 256 倍最大值均為 32，說(shuō)明其與線性函數(shù)相似程度之小。由于零譜值過(guò)大將導(dǎo)致非線性度的下降 11，反之非線性度上升，通過(guò)計(jì)算可知各種算法的零譜值個(gè)數(shù)均較小，僅為 17，再次說(shuō)明其與線性函數(shù) 相似程度之小。 3 分組密碼算法抵抗攻擊能力的分析 研究 AES算法、 SEED 算法、 Camellia 算法和 SMS4 算法抵抗插入攻擊、差分密碼分析攻擊和線性密碼分析攻擊的能力。 3.1 抵抗插入攻擊 插入攻擊 11， 12的攻擊者利用密碼的一些輸入 /輸出對(duì)來(lái)構(gòu)造多項(xiàng)式，用于逼近密碼算法的加解密過(guò)程，此攻擊方法對(duì)變換代數(shù)次數(shù)和復(fù)雜度低的密碼尤為奏效。因此，在密碼設(shè)計(jì)中，為了防止插入攻擊，通常要求變換的代數(shù)式具有足夠高的次數(shù)和項(xiàng)數(shù)。 以我國(guó)無(wú)線局域網(wǎng)產(chǎn)品 SMS4 算法為例，當(dāng)構(gòu) 造的有限域?yàn)橐圆豢杉s多項(xiàng)式 m（ x） =x8+x4+x3+x1+1 為生成多項(xiàng)式，以元素 =x+1 為生成元時(shí)（與 AES 的 S 盒保持一致），求得SMS4 算法 S 盒的代數(shù)表達(dá)式為 f（ x） =D6+53x+1Ex2+D9x253+02x254 ， 其中，各次項(xiàng)系數(shù)列于表 6。 因此，我們可以得到四種標(biāo)準(zhǔn)中 8 個(gè) S 盒的代數(shù)表達(dá)式，如表 7 所示。 由表 7 可知，雖然 AES 算法、 SEED 算法、 Camellia 算法和 SMS4 算法 S 盒的代數(shù)表達(dá)式的次數(shù)均為 254，但 SMS4 算法、 SEED 算法和 Camellia 算法的項(xiàng)數(shù)多至 255，而 AES 算法的僅為 9?？梢姡?SEED 算法、 Camellia 算法和 SMS4 算法 S 盒的代數(shù)表達(dá)式要比 AES 的更為復(fù)雜，在一定程度上更好地保證算法的安全性。 3.2 抵抗差分密碼分析 差分密碼分析 13是通過(guò)分析特定明文差對(duì)相應(yīng)密文差的影響來(lái)獲得可能性最大的密鑰的一種攻擊方式。它是目前對(duì)分組密碼最為有效的攻擊方法之一。具有較小的差分均勻度是 S 盒抗擊差分攻擊的必要條件。 通過(guò)計(jì)算 AES 算法、 SEED 算法、 Camellia 算法、 SMS4算法中 S 盒的 256256 的差分 矩陣，我們發(fā)現(xiàn)四種算法中的8 個(gè) S 盒的差分均勻度均為 4，且最大值在每一行每一列（首行首列除外）中出現(xiàn)且僅出現(xiàn)一次。因此，我們認(rèn)為 AES 算法、 SEED 算法、 Camellia 算法和 SMS4 算法抵抗差分密碼分析的能力是相當(dāng)?shù)摹?3.3 抵抗線性密碼分析 線性密碼分析 14是通過(guò)尋找并利用明文 P，密文 C 和密鑰 K 的若干位之間的一個(gè)線性表達(dá)式（ P ）？茌（ C ） =（ K ）進(jìn)行的一種攻擊方式。該表達(dá)式成立的概率與二分之一的偏差大小是線性密碼分析成功的一個(gè)重要的衡量指標(biāo)。各個(gè)算法 S 盒的輸入輸出比特之間的關(guān)系 可以衡量算法抵抗線性密碼分析的能力。 通過(guò)計(jì)算 AES 算法、 SEED 算法、 Camellia 算法、 SMS4算法中 S 盒的 256256 的線性分布矩陣，我們發(fā)現(xiàn)四種算法中的 8 個(gè) S 盒中的矩陣元素最大絕對(duì)值都是 16，且最大值在每一行每一列（首行首列除外）中出現(xiàn)且僅出現(xiàn)五次，這意味著 S 盒的線性逼近概率較低（二百五十六分之十六），即線性性較弱，符合分組密碼非線性性較強(qiáng)的要求。因此，我們認(rèn)為 AES 算法、 SEED 算法、 Camellia 算法和 SMS4 算法抵抗線性密碼分析的能力是相當(dāng)?shù)摹?4 結(jié)束語(yǔ) 本文通過(guò)對(duì)無(wú)線網(wǎng)絡(luò)中的幾種主要分組密碼標(biāo)準(zhǔn) S 盒密碼學(xué)性質(zhì)的分析，以及對(duì)各種標(biāo)準(zhǔn)在抵抗插入攻擊、差分密碼分析攻擊和線性密碼分析攻擊能力的對(duì)比，理論上揭示了 SEED 算法、 Camellia 算法和 SMS4 算法的密碼學(xué)安全性在一定程度上優(yōu)于 AES 算法，而 SEED 算法、 Camellia 算法和SMS4 算法密碼學(xué)安全性是相當(dāng)?shù)摹?參考文獻(xiàn)： 1Daemen J and Rijmen V. AES proposal： Rijndael Version 2EB/OL http： / .east. kuleuven.ac.be / rijmen/rijndael.1999. 2Network Working Group. Request for Comments： 4009. RFC 4269. 2005. 3European IST.NESSIE Project EB/OL. https：/.cosic.esat.kuleuven.be/nessie/.1999. 4Aoki K， Ichikawa T， Kanda M， et al， . Camellia： A 128-bit block cipher suitable for multiple platformsEB/OL. http：/info.isl.ntt.co.jp/camellia. 2000. 5國(guó)家密碼管理辦公室 .無(wú)線局域網(wǎng)產(chǎn)品使用的 SMS4密碼算法 EB/OL. http： /./Doc/6 /News_1106.htm. 2006. 6Li J， Gan L and Du F F. Research on encryption algorithm conforming to AES in WLAN C. Advanced Materials Research， 2012： 1517-1521. 7劉佳 . 基于密碼學(xué)的無(wú)線局域網(wǎng)認(rèn)證協(xié)議設(shè)計(jì)與實(shí)現(xiàn) J. 價(jià)值工程， 2012， 31（ 277）： 223-228. 8Lu Y， ONeill M P and McCanny J V. Differential power analysis resistance of Camellia and countermeasure strategy on FPGAsC. International Conference on Field-Programmable Technology， 2009： 183-189. 9Kitsos P and Skodras A N. An FPGA implementation and performance evaluation of the seed block cipherC. 17th International Conference on Digital Signal Processing （ DSP）， 2011： 1-5. 10溫巧燕，鈕心忻，楊義先 .現(xiàn)代密碼學(xué)中的布爾函數(shù) M.北京：科學(xué)出版社， 2000. 11Jakobsen T and Kundsen L R. The Interpolation Attack on Block Ciphe