28、流密码：从块密码设计中汲取灵感

流密码：从块密码设计中汲取灵感

1. 引言

近年来，广泛使用的流密码正逐渐被分组密码所取代。例如，GSM 标准中使用的 A5/1 流密码，其继任者 A5/3 是分组密码；无线网络标准中，最初的 IEEE 802.11 标准（“有线等效保密”或 WEP）基于流密码 RC4，而最新的 IEEE 802.11i 标准则采用了分组密码 AES。

流密码受欢迎程度下降有两个主要原因。一是分组密码的安全性似乎更容易理解，过去几十年里，密码学家对安全分组密码的内部结构有了较为清晰的认识，而流密码并非如此，过去提出的流密码基于不同原理，且很多都存在弱点。二是效率不再是选择流密码而非分组密码的决定性因素，不仅计算能力成本迅速下降，如今的分组密码也比以前的更高效。

不过，eSTREAM 流密码项目指出，在高吞吐量至关重要和/或资源非常受限的应用中，流密码仍可发挥重要作用。这给密码学界带来了两个挑战：一是恢复对流密码的信心，例如制定简单可靠的设计标准；二是提高流密码相对于分组密码的效率优势。

2. 安全与效率考量

在设计流密码的策略之前，需明确对流密码的期望，目标是设计既高效又安全的面向硬件的二进制加法流密码。

2.1 安全性

要构建的加法流密码以 k 位密钥 K 和 v 位初始向量（IV）为输入，生成最多 2d 位的密钥流 zt = SK(IV, t)（0 ≤ t < 2d），密钥流与明文进行逐位异或得到密文。该加法流密码的安全性取决于它与一次性密码本的相似程度，即对于不知道密钥的攻击者来说，应难以区分密码生成的密钥流与真正的随机序列。这引出了 K - 安全性的概念：
- 定义