28、对称密钥原语的实用构造

对称密钥原语的实用构造

1. DES的安全问题

DES（Data Encryption Standard）曾经是广泛使用的对称加密算法，但如今已被认为不够安全，主要原因有两个：
- 密钥长度过短 ：按照现代标准，DES的密钥长度过短。攻击者可以通过大约$2^{38}$次DES评估，从单个输入/输出对中以一定概率破解密钥，且这个计算过程不到一分钟。这表明DES的密钥长度远不能满足现代安全需求，不适合用于任何重要的应用场景。
- 块长度较短 ：许多基于块密码的加密结构的实际安全性依赖于密码的块长度。例如，在CTR（Counter）模式下，如果初始向量（IV）重复，明文信息可能会泄露给攻击者。由于DES的块长度仅为64位，在加密约$2^{24}$条消息后，安全性就很可能受到威胁。

不过，DES本身的设计并没有明显的结构缺陷，这是对其设计者的高度肯定。因此，将DES作为构建更长密钥块密码的基础是有意义的。

2. 3DES：增加块密码的密钥长度

为了克服DES密钥长度短的问题，可以尝试以DES为基础设计密钥长度更大的块密码，主要有以下两种方法：
- 内部修改 ：这种方法是在增加密钥长度的同时修改DES的内部结构。例如，保持轮函数不变，使用128位主密钥和不同的密钥调度；或者更改S盒并在每一轮使用更大的子密钥。然而，这种方法的缺点是，即使对DES进行微小的修改，也可能会破坏我们对它多年来抗攻击能力的信任。因为密码结构非常敏感，看似微不足道的改变可能会使整个结构变得不安全。
- “黑盒”构造