密码学实践-读书笔记四五

第四章 分组密码

一、分组密码简述：

1、分组密码是目前密码学领域研究较为深入和完善的部分。
2、密文块与明文块大小相同（例如本章后面会提到的DES与AES）。
3、分组密码是可逆的（即对于一个加密函数有对应的解密函数）。
4、分组密码主要用于信息的加密，对于较短的消息可以直接用分组密码进行加密，但对比其分组长度还长的消息，加密需要使用分组密码模式（在第五章会详细阐述）。
5、根据Kerckhoffs（柯克霍夫）原则，加密与解密的算法总是公开的。
6、可将分组密码加密看成是明密文对照表。因为可逆，使得一个密文值在该表中只出现一次。而该表也可看作置换—–所有可能值的重新排序。

二、攻击类型：

分组密码特有的攻击：
1、相关密钥攻击：攻击者可以访问几个加密函数，攻击者不知道每个加密函数的密钥，但是知道密钥之间的关系。
2、选择密钥攻击：攻击者先指定密钥的一部分，而后对密钥的其余部分完成相关密钥攻击。

三、理想的分组密码：

在定义安全性前，需要定义理想分组密码，一个理想的分组密码由每个密钥所对应的置换表组成，而且这些置换从所有可能的置换集合中完全随机选取。
（例如，一个128比特的分组密码就是一个2128个元素且每个元素均为128比特长的表）
然而现实：只要确定了置换的选择方法，那么这个理想的分组密码就不再是随机的。因此需要将其当作所有可能的分组密码上的均匀随机分布，与概率有关。

四、分组密码安全性的定义（非正式）：

1、 如果不存在攻击方法，则分组密码是安全的
2、 分组密码的攻击是一个区分分组密码与理想分组密码的非平凡的算法。（非平凡？）
将给定的分组密码X与一个具有同样分组大小和密钥长度的理想分组密码进行比较。将其中之一作为黑盒，某一个区分器算法就能区分它们。
区分器算法应该比在n比特上的穷举搜索更有效，也就是说计算量小于2n。而穷举搜索一半的密钥空间的计算量为2n-1，得到正确结论的可能性为75% = 0.5+0.5*0.5。（找到密钥则得到正确的结果，失败仍有50%的机会猜到结果），将区分器有部分密钥搜索进行比较，考虑计算量和区分能力之间的权衡。

五、置换的奇偶性：

奇偶攻击：对给定的密钥可以通过加密所有可能的明文获得这个置换，奇置换则是理想的分组密码，偶置换是一个真实的分组密码。

但是要确定置换的奇偶性，必须计算加密函数的一个明文密文对以外的其他所有明文密文对（最后一个可以由此导出），而实际上不允许计算如此多的明文密文对。文章倾向于将理想分组密码的定义进行适当的修改：
理想的分组密码实现为每一个密钥独立地选择一个随机偶置换。（经过偶数次交换元素得到的置换）
但是：这个定义是理想分组密码更难理解，只要不允许计算明文密文对。就不能区分奇偶置换。

最后说明：奇偶攻击的意义主要在于安全性的形式定义而不存在于实际系统，因此可以忘掉有关奇偶攻击的结果。