CN101938352B - 一种分组密码软件加密方法 - Google Patents

Abstract

本发明公开了一种新的分组密码加密方法，该加密方法针对软件加密设计，充分利用了软件加密时内存空余量充足的特点，将传统分组密码算法中的字节替换步骤S盒的尺寸由8-8增大至12-8。本方法通过增加S盒尺寸，使加密流程的安全性，尤其是对代数攻击的抵抗能力得到极大提高，并且在软件加密中具备高速性能。该加密技术可用于通信加密、文件加密和安全协议中。

Description

一种分组密码软件加密方法

技术领域

本发明涉及信息加密技术领域，具体涉及一种分组密码的加密方法。主要应用于数字通信过程中的各种通信软件。

背景技术

分组密码加密方法是保障通信系统安全的一种重要手段，该方法构造拟随机数生成器、流密码、消息认证码和杂凑函数等，还可进而成为消息认证技术、数据完整性机构、实体认证协议以及单钥数字签名体制的核心组成步骤。

分组密码的优点是：明文信息良好的扩展行，对插入的敏感性，不需要密钥同步，较强的实用性，适合作为加密标准。比较成功的算法是美国NIST在1976年公布的DES密码算法。进入90年代，因为DES在商业系统中的广泛采用，并且有研究人员怀疑NSA在DES中加入了陷门，人们对DES类密码的研究更加深入。各种研究机构在上世纪80-90年代对其进行了大量的分析和破译工作，特别是差分密码分析(differential cryptanalysis)和线性密码分析(linear cryptanalysis)的提出，迫使人们不得不研究新的密码结构。

2001年NIST正式公布高级加密标准AES，并于2002年5月正式生效。Rijndael算法在设计简洁的同时达到了极高的安全性，从而被NIST选择成为AES标准。2003年2月欧洲最新一代的安全标准NESSIE出台。Camellia算法以其在各种软件和硬件平台上的高效率这一显著特点成为NESSIE标准中两个128bits分组密码算法之一(另一个为AES算法)。

当前主流分组密码加密方法主要包含了两大步骤：线性步骤(扩散层)和非线性步骤(混淆层)。线性步骤的作用是将明文的微小变化扩散至整个分组，一般由MDS矩阵或位移等操作实现；非线性步骤的作用则是消除输入数据与输出数据的相关性，一般由字节替换步骤(S盒)实现。

分组密码加密方法中的字节替换步骤(S盒)本质上均可看作映射：

S：GF(2ⁿ)→GF(2^m)

其中，x∈GF(2ⁿ)，f_i：GF(2ⁿ)→GF(2)是布尔函数。通常简称这样的S盒为n-m的S盒。

S盒是大多数分组密码中唯一的非线性部件，为算法提供了非线性性和安全性，S盒的密码性质直接影响了密码算法的好坏。目前，S盒是分组密码研究领域的一个热点。对分组密码的主流攻击方法都建立在对算法S盒分析的基础之上。因此，在设计和分析分组密码时，必须要考虑到S盒对于各种攻击的抗性，其任何不好的性质都将影响到整个密码算法的安全性。AES和Camellia都采用了以有限域上求逆操作为核心的S盒，这种S盒对于抵抗线性和差分分析都有着良好的性质。然而，由于求逆操作的代数性质过于简单，这种S盒对代数攻击的抵抗能力并不令人满意。随着求解多变量二次方程组的数学方法取得进展时，代数攻击成功的概率将大大增加。

发明内容

针对上述问题，本发明提出了一种专门针对软件加密而设计的分组密码加密方法，该方法通过增大S盒尺寸，使加密流程的安全性(尤其是对代数攻击的抵抗能力)得到极大提高，并且在软件加密中具备高速性能。

本发明的技术方案如下(流程图参图1)：

1.密钥编排步骤：

密钥编排步骤把256bits的种子密钥扩展为8个256bits的轮密钥及1个白化子密钥(白化子密钥的长度为256bits)，分别作用于8个非线性步骤和最后的1次白化子密钥异或步骤。

2.轮变换步骤：

2.1)非线性步骤：采用2轮的Feistel结构，配合12-8的S盒，组成了本加密方法的非线性步骤；

2.2)线性步骤：在线性步骤中，采用了一个GF(2⁸)上的32×32MDS矩阵P，与输入的数据向量进行乘法操作；

2.3)若步骤2.1)与步骤2.2)执行次数未达到7次，转到步骤2.1，否则继续。

3.末轮变换步骤：

3.1)非线性步骤：与步骤2.1)相同；

3.2)白化步骤：将步骤3.1)的输出数据与白化子密钥异或，得到密文。

本发明中所提出的加密方法，针对软件加密过程中内存容量远远大于硬件环境的特点而设计。本方法通过增加S盒尺寸，使加密流程的安全性(尤其是对代数攻击的抵抗能力)得到极大提高，并且在软件加密中具备高速性能。该加密技术可用于通信加密(即传输过程中的动态数据加密)、文件加密(即存储数据的静态加密)和安全协议中。

附图说明

图1是f函数结构示意图；

图2是非线性步骤结构示意图；

图3是加密流程整体结构示意图。

具体实施方式

本发明所述的一种高效安全的软件加密方法，具体实施步骤如下：

1.密钥编排步骤：本步骤的输入数据为8个长为32bits的种子密钥，记为k[-8]，k[-7]，…，k[-1]；输出数据为72个长为32bits的子密钥，记为k[0]，k[1]，…，k[71]，总长2304bits。其中，前2048bits为非线性步骤的子密钥，最后256bits为白化子密钥。

1.1)将计数器i赋值为0。

1.2)将imod4的结果存入变量j。

1.3)求f(k[i-8])，f(k[i-7])，f(k[i-3])，f(k[i-2])的值，其中f是由一个扩展步骤E和4个并联的S盒组成，其结构如图1所示。f的输入数据为32bits的比特串A＝a₁||a₂||a₃||...||a₃₂，这里“||”表示比特连接。首先，扩展变换E将A扩展为长为48bits的比特串E(A)：

E(A)＝a₂||a₃||a₄||a₅||a₃₂||a₁||a₆||…||a₁||a₂₈||a₂₉

E的比特选择方法见表1。然后将E输出的48bits数据作为4个并联的12-8的S盒的输入，得到32bits的输出数据f(A)。S盒的数据参见表3，表3的第n个数据表示S盒输入数据为n时，所对应的输出数据。

1.4)对f(k[i-8])，f(k[i-7])，f(k[i-3])，f(k[i-2])，Φ_j，j这6个数据进行异或操作，其中，Φ_j(j＝0，1，2，3)是如下常数：

Φ₀＝3C2D240E

Φ₁＝E4BB73F6

Φ₂＝B40B34CD

Φ₃＝6C9D6334；

1.5)将步骤1.4)得到的异或结果循环左移j位，即得到子密钥k[i]。

1.6)计数器i加1，当i＜72时，转步骤1.2)，否则继续。

2.轮变换步骤：本步骤的输入数据为待加密的256bits原文数据。

2.1)非线性步骤

根据图2所示的结构，设输入数据为：L₀||R₀||L₁||R₁||L₂||R₂||L₃||R₃，其中L_i，R_i(i＝0，1，2，3)均为32bits长的数据，总长256bits。对L₀||R₀，计算： $L_0^{\′}=R_0\⊕f\left(L_0{\⊕K}_0\right),$ R′₀＝L₀

这里表示异或操作。在第2轮中进一步计算：

$L_0^{\′\′}=L_0^{\′}=R_0\⊕f\left(L_0{\⊕K}_0\right),$ $R_0^{\′\′}=R_0^{\′}\⊕f\left(L_0^{\′}{\⊕K}_1\right)$

其中，K₀，K₁是子密钥。

对L₁||R₁，L₂||R₂，L₃||R₃也分别进行上述操作，对应的子密钥按照使用的先后顺序从2304bits子密钥中选取。这样就得到了非线性步骤的256bits输出数据：

L₀″||R₀″||L₁″||R₁″||L₂″||R₂″||L₃″||R₃″

2.2)线性步骤

将非线性步骤输出的256bits数据，作为32个8bits长的二进制串的并联。将这32个二进制串作为一个32×1的向量，与矩阵P相乘，得到一个新的32×1的向量，该向量的256bits数据即为线性步骤的输出数据。矩阵P的数据见表2。

2.3)若步骤2.1与步骤2.2执行次数未达到7次，转到步骤2.1，否则继续。

3.末轮变换步骤：本步骤的输出数据为原文数据加密后得到的256bits密文数据。

3.1)非线性步骤：与步骤2.1)相同。

3.2)白化步骤：将步骤3.1)的输出数据与最后256bits子密钥异或，得到密文。

本发明的解密方法，由加密方法逆向进行即可。

需要注意的是，公布实施例的目的在于帮助进一步理解本发明，但是本领域的技术人员可以理解：在不脱离本发明及所附权利要求的精神和范围内，各种替换和修改都是可能的。因此，本发明不应局限于实施例所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

表1  E比特选择表

表2  P矩阵元素表

表3  S盒真值表

Claims (2)

1.一种分组密码加密方法，其特征在于，该方法包括如下步骤：

A.密钥编排步骤：

把256bits的种子密钥扩展为8个256bits的轮密钥及1个256bits的白化子密钥，分别作用于8个非线性步骤和最后的1次白化子密钥异或步骤；

所述步骤A的实现方法为：

1)将计数器i赋值为0；

2)将imod4的结果存入变量j；

3)求f(k[i-8])，f(k[i-7])，f(k[i-3])，f(k[i-2])的值，其中f是由一个扩展步骤E和4个并联的S盒组成，f的输入数据为32bits的比特串A＝a₁||a₂||a₃||…||a₃₂，这里“||”表示比特连接，

首先，扩展变换E将A扩展为长为48bits的比特串E(A)：

E(A)＝a₂||a₃||a₄||a₅||a₃₂||a₁||a₆||…||a₁||a₂₈||a₂₉；

然后将E输出的48bits数据作为4个并联的12-8的S盒的输入，得到32bits的输出数据f(A)；

4)对f(k[i-8])，f(k[i-7])，f(k[i-3])，f(k[i-2])，Φ_j，j进行异或操作，其中Φ_j是常数；

5)将步骤4)得到的异或结果循环左移j位，得到子密钥k[i]；

6)计数器i加1，当i＜72时，转步骤2)，否则继续；

B.轮变换步骤：

B1.非线性步骤：包括2轮的Feistel结构，配合12-8的S盒；

所述步骤B1的实现方法为：

设输入数据为：L₀||R₀||L₁||R₁||L₂||R₂||L₃||R₃，其中L_i，R_i(i＝0，1，2，3)均为32bits长的数据，对L₀||R₀，计算：

R₀′＝L₀，这里

表示异或操作，进一步计算：

${L_0}^{\′\′}={L_0}^{\′}=R_0\⊕f(L_0\⊕K_0),{R_0}^{\′\′}={R_0}^{\′}\⊕f({L_0}^{\′}\⊕K_1)$

其中，K₀，K₁为子密钥；

对L₁||R₁，L₂||R₂，L₃||R₃也分别进行上述操作，对应的子密钥按照使用的先后顺序从2304bits子密钥中选取，这样就得到了256bits输出数据：L₀″||R₀″||L₁″||R₁″||L₂″||R₂″||L₃″||R₃″；

B2线性步骤：采用一个GF(2⁸)上的32×32MDS矩阵P，与输入的数据向量进行乘法操作；

所述步骤B2的实现方法为：

将步骤B1中输出的256bits数据，作为32个8bits长的二进制串的并联，将这32个二进制串作为一个32×1的向量，与矩阵P相乘，得到一个新的32×1的向量，该向量的256bits数据即为本步骤的输出数据；

B3若步骤B1与步骤B2执行次数未达到7次，转到步骤B1，否则执行步骤C；

C.末轮变换步骤：

C1.非线性步骤：与步骤B1相同；

C2.白化步骤：将步骤C1的输出数据与白化子密钥异或，得到密文。

2.如权利要求1所述的加密方法，其特征在于，所述Φ_j是如下常数：

Φ₀＝3C2D240E

Φ₁＝E4BB73F6

Φ₂＝B40B34CD

Φ₃＝6C9D6334。

Images