CN104052594A - 一种用于隐藏通信信道中加密的存在的高效带宽的方法和系统 - Google Patents

Abstract

本文提出了一种隐藏通信网络中数据加密的存在的系统、方法和网络接口。通过将一组密钥用为伪随机函数的输入来生成一组字符。每个字符与索引值对应。加密的数据被分成多个部分。每部分又被分成多个组。通过根据对应的索引值来将所述组映射成所述字符组中的字符的方式，对所述多个组中的每个组进行编码。映射后的字符通过通信网络来传输。

Description

一种用于隐藏通信信道中加密的存在的高效带宽的方法和系统

本申请是申请日为2009年12月3日、国际申请号为PCT/CA2009/001763、国家申请号为200980154699.4、发明名称为“一种用于隐藏通信信道中加密的存在的高效带宽的方法和系统”的发明专利申请的分案申请。

技术领域

本发明通常涉及一种用于加密数据的方法与系统，更具体地涉及一种用于隐藏通信信道中数据加密的存在，同时有效地分配带宽的方法与系统。

背景技术

当今，大规模的网络中的业务流(traffic flows)常常遭到考虑不当的基于政策的机制的“调整”。通常，这种基于政策的业务(traffic)调整对加密的业务流是不利的，甚至是对于那些因为没有加密而没有被“调整的”业务流(也是有害的)。

此外，在世界上的一些地区，加密的业务相对于未加密的业务而言，还会遭到更多带有侵入性监察技术的详细检查。事实上，对于，即使加密的业务是“无害的”，也会仅仅因为加密而引来过度的关注。

在现代的互联网的许多位置处，尤其是在靠近网络边界处，业务调整技术已经被设计用来自动检测加密的业务流，并根据本地政策区分对待这些业务流。这类区别对待实际上可包括丢弃该业务或者将该业务放到极低优先级的“服务质量”队列中。

除固定报头信息之外，加密的业务还具有难以从同等长度的强伪随机序列中区分出来的独特的统计学特性。但是，如果该提及的加密的业务的时间跨度足够长，非常均匀的比特(或八位组)分布就会出现，这通常会使得该业务可从非加密的业务中区分出来。正是利用这一特性，才让业务调整硬件得以识别出加密的业务流，并在这些流量上应用“政策”。与加密的业务流相比，未加密的业务流具有完全不同的比特(八位组)统计分布。

可对业务进行一些测试来确定该业务是否具有加密的业务的统计学特性。虽然通过这些测试不一定表明存在加密，但所有加密的业务都会通过这些测试。例如，被压缩过的业务流具有难以从那些随机或者加密的业务流中区分出来的长期统计学特性。

一组通用的随机性测试通常可以表明该业务是否被加密。如联邦信息处理标准(“FIPS”)140-2中描述的那组测试，通常只需要4K字节的业务流，就能可靠地将看起来随机的业务流从看起来非随机的业务流中区分出来。

类似地，经过更长时间跨度，试图用众多压缩函数中的任意一种对业务流的内容进行压缩，这样做可以用来将随机型的业务流从非随机的业务流中区分出来。例如，试图压缩纯随机的业务流也会产生非压缩的情况，或者甚至是尺寸膨胀，这取决于使用的压缩算法。非随机的业务流会趋向于中度到高强度的可压缩。

将信息隐藏术用于隐藏秘密业务已有一些历史了，用这种方式，只有发送者和预定的接收者才知道存在着隐藏的信息。因此，很自然地会想到使用信息隐藏技术来将加密的业务流的随机比特隐藏到一些看起来没有进行统计地加密的信息中。

建议的是，一些群体(some groups)将加密的信息隐藏在诸如因特网上数字图像文件之类无害的对象中，把这些用作低带宽通信技术。现存有多种工具可以通过将音频、视频和图像文件用作信息隐藏术隐藏的信息的“载体”，来有助于隐藏信息的产生。

然而，“传统”信息隐藏技术的带宽利用率(bandwidth efficiency)通常非常低，因为“载体”信息占用了与信息隐藏的对象进行通信的大部分带宽。在使用此技术时，载体信息与隐藏信息的比例只有100:1或更糟是很常见的。然而，信息隐藏技术的一个好处是，由此产生的数据流具有明显不均匀的八位组统计特性，这也就意味着这些数据流不大可能会被互联网上的自动检测机制识别为是加密的业务流。

还有一种可能是对加密的比特流进行编码，从而让它们看起来像，比如，普通的英文文本。用英文常用字词典来表示加密文本比特的组合的技术在历史上已用于隐藏隐含的加密信息的存在。例如，如果考虑四个比特的组，那么这些组就可用作是短词组英文(或者德文、西班牙文、法文等等)单词的“索引”。用这些单词来代替比特序列，并且当接收者遇到词典中的一个元素时就可简单地查找到相应的比特序列。这项技术在欺骗(fooling)自动随机性检测时相当有效，尤其当这种检测无法检测比特到英文的替换映射时或者当这种映射很大时相当有效。

随着隐藏加密的业务流的编码系统的发展，当需要重点考虑带宽使用效率的时候，问题就出现了。例如，上文描述的系统需要大量的费用来表示4比特的“真实”信息。一般而言，为了表示这4比特的真实信息，就需要传输40到50比特数据。

很多现存的编码技术，如电子邮件的ASCII转换等等，是用来将二进制数据转换成适合于强约束条件的信道的编码。这些编码相对来说具有较好的带宽利用率(bandwidth-efficient)，会产生30％的额外带宽占用。现在互联网上很多协议使用Base64编码的一些变种，Base64编码将24比特的输入数据转换成32比特的输出数据，该输出数据在输出字母表上具有强约束条件。然而，在目前的自动识别机制下，基于Base64的编码很容易识别，这就意味着编码结果很容易被解码，然后对解码所得的比特流结果执行随机性分析。

降低加密的业务流的可检测性的关键是降低加密的业务流的信息密度。加密的数据流看起来(appears to)是强伪随机序列，这就意味着它具有最大的信息密度，或者说最小的信息冗余。任何能降低每个被传输的比特所承载的信息量的技术也就能降低由此产生的业务流被检测为强伪随机序列的可能性，从而减少其被检测为加密的业务流的可能性。

如Base64这样的标准编码减少了每个被传输的比特所承载的信息。但由于Base64太容易被识别，所以它能够被解码，然后对由此产生的比特序列执行随机性分析。所以需要这样一种编码的系统和方法，它在降低业务流的信息密度的同时，还能降低检测该编码方案的可能性，从而该业务不被检测为是加密的，并且也通过编码方案的检测来对该业务进行分析。

发明内容

本发明有利地提供了一种方法及系统，该方法及系统用于隐藏通信网络中数据被加密的业务的存在，从而使该业务不被识别为是加密的，并且也不基于编码方案的检测来对该业务进行分析。一般说来，进一步根据Base64编码方案对加密的数据进行编码，该编码方案用到的字母组是根据一组加密密钥伪随机生成的。有利地，编码用的字母表实际上是未知的。

根据本发明的一个方面，提出一种隐藏通信网络中数据加密的存在的方法。通过将一组加密密钥用作伪随机序列函数的输入来生成一组字符。每个字符与索引值对应。加密的数据被分成多个部分。每部分又被划分为多个组，且通过根据对应的索引值将每组数据映射到上述字符组中的字符的方式来被编码。被映射的字符通过通信网络来进行传输。

根据本发明的另一方面，一种用于隐藏数据加密的存在的网络接口，包括控制器和通信接口。通信接口被通信地连接到控制器。通过将一组加密密钥用为伪随机序列函数的输入，控制器可操作来生成一组字符，每个字符与索引值对应。控制器进一步可操作来将加密的数据分成多个部分，并将每部分分成多个组，并且通过根据对应的索引值将多个组中的每个组映射到上述字符组中的字符的方式，对每部分进行编码。通信接口还可操作来通过通信网络来传输映射的字符。

还根据本发明的另一方面，隐藏通信网中数据加密的存在的系统，包括第一网络接口和第二网络接口。通过将一组加密密钥用作伪随机序列函数的输入，第一网络接口可操作来生成一组字母表字符，每个字符元素与索引值对应。第一个网络接口进一步可操作来将加密数据分成多个部分，并将每部分分成多组，并且通过根据对应的索引值将多个组中的每个组映射到上述字符组中的字符的方式来被编码。第一网络接口通过通信网络来传输映射的字符。第二网络接口可操作来接收加密的数据信息。加密的数据信息包括映射的字符。第二网络接口可操作来将加密的数据信息分成多组字符，将每个字符映射成其对应的索引值来再现所述多个部分，并且对多个部分的每部分进行解密。

附图说明

参照以下的详细描述和附件中的图表，更容易完全理解本发明，从而更完全理解其优势特点。

图1是根据本发明原理构造的典型数据加密隐藏系统的方框图。

图2是根据本发明原理构造的典型数据编码器的方框图。

图3是根据本发明原理的典型数据加密隐藏处理的流程图。

图4是根据本发明原理的数据加密隐藏中存在的典型译码处理的流程图。

具体实施方式

在详细描述根据本发明的典型实施例之前，需要注意的是，本发明实施例主要涉及设备组件及处理步骤的结合，其中处理步骤与一种用于实现弱化通信信道中数据加密特性且同时高效利用信道带宽的系统及方法有关。相应地，该系统及方法组件在适当的位置通过附图中的常规符号表示。为了使对本领域的普通技术人员来说明显具有在本文中描述的益处的细节公开清楚，只显示了那些对恰当理解本发明的实施例有关的具体细节。

在这里，诸如“第一”、“第二”，“顶部”、“底部”之类的相关术语，仅仅是用来将一个实体或者元件与另一个实体或者元件区别开来，而不一定要求或暗指这些实体或者元件之间任何物理或逻辑关系或者顺序。相应地，如这里及所附权利要求中使用的，术语“Zigbee”，指的是一组由IEEE802.15.4标准定义的无线通信上层协议。还有，“Wi-Fi”指的是由IEEE802.11标准。术语“WiMAX”指由IEEE802.16标准定义的通信协议。“BLUETOOTH”指由蓝牙技术联盟开发的，用于无线个人区域网(“PAN”)通信的工业规范。

本发明的一个实施例有利地提供了一种系统和方法，该系统和方法用于对加密的数据流进行编码这样的方式来避免包括FIPS140-2随机检测的各种类型随机检测的自动识别。另一个实施例在于针对一些已知的攻击方法对编码方式进行了强化，这包括使用变量模糊编码机制。

现在参看附图，附图中相同的引用指示符表示相同的元件。图1中所示的是典型数据加密隐藏系统10。系统10包括通过广域网(“WAN”)16与第二客户端计算机14通信的第一客户端计算机12。广域网16可以包括因特网、局域网或者其他通信网络。客户端计算机12，14可以包括个人计算机、笔记本、个人数字助理(“PDA”)、服务器、手机等等。每个客户端计算机12，14通过WAN接口18a，18b(这两个接口总称为WAN接口18)在WAN16上传输数据。尽管图1中的通信网络被标为WAN，但是本发明的原理还可以应用于其他形式的通信网络，如个人区域网(“PAN”)，本地局域网(“LAN”)，校园网(“CAN”)，市域网(“MAN’)等等。此外，尽管图1中只示出两个客户端计算机，但这种设置仅仅是为了示范。比如，系统10可以包括多个WAN接口18。WAN接口18能与各种类型的客户端设置通信，比如路由器，交换机等等。再有，WAN接口18可以是一个单独的设备，也可以被嵌入来作为其他资源设备中的一部分，比如客户端计算机12，14。

每个WAN接口18根据一个或者多个已知的加密方式对来自客户端计算机12，14的数据进行加密。WAN接口18包括下面讨论的加密隐藏器，该加密隐藏器的作用是通过使用具有随机生成字母表的Base64编码方案，而不是通过使用通常涉及单个已知字母表的使用的标准Base64编码来对加密的数据进行编码，从而隐藏数据已被加密的事实(fact)。每一个WAN接口18同时也具有反向功能，凭借该反向功能，WAN接口18可通过WAN16来接收Base64编码的和加密的数据帧，然后用随机生成的字母表对这些数据帧进行解码和解密，从而匹配最初从客户端计算机12，14发出的数据。尽管图1中的每个WAN接口18都被示出连结到一台客户端计算机12，14，但是根据本发明原理构建的典型WAN接口18可以支持多台客户端计算机12，14，这种实现方式并不超出本发明的范围。

现在参考图2，典型的WAN接口18包括通信地连接到控制器22的通信接口20。通信接口20可以是有线的、无线的或者它们的任何组合。通信接口20在WAN接口18与其它广域网16资源之间使用已知的通信协议，如以太网，Wi-Fi，WiMAX，BLUETOOTH等，来传输数据包。通信接口可以包括任何数量的通信端口。

控制器22控制信息处理和WAN接口18的操作来实现这里描述的功能。控制器22还与非易失性存储器24连接。非易失性存储器24包括数据存储器26和程序存储器28。程序存储器28包含加密隐藏器30，用来隐藏数据已被加密的事实，以免被连接到WAN16上的其他实体自动检测出来，该操作会在下面详细讨论。加密隐藏器30包括字母表生成器32和Base64编码器34，字母表生成器32能从标准的256个合适ASCII字符中随机生成64个字符的Base64字母表组，Base64编码器34根据使用生成的Base64字母表的Base64编码方案来对加密的数据进行编码。数据存储器26存储数据文件，比如查询表36和一组加密密钥38，查询表36可使得Base64字母表组与对应的ASCII字符集相互关联，加密密钥38会在传输任何用户数据之前，在WAN接口18与诸如客户端计算机14之类的目标资源之间传递。

除上述应该注意到的结构外，每个WAN接口18还可能包括需要实现WAN接口18的其它功能的额外的、可选的结构(未在图上显示)。

在使用Base64编码方式时，通常使用单个标准的字母表来将输入的三段八位组转换成输出的四段八位组，这样做的一个偶然的副作用就是有效地降低了信息密度。这些编码就被设计通过不能传输上述数据的“信道”来获得任意二进制数据。RFC-822电邮就是这种信道的一个例子。

在Base64方案中，需要从所有合适的ASCII字符集中选择一个含有64个可打印字符的集合来作为“编码字母表”。编码字母表有一些变种，但其中只有一到两种比较常用。对编码二进制数据(或者加密数据、随机数据)来说，重要的是考虑与选择合适的字母表相关的组合数学(combinatorics)。等式(1)给出了从一个由256个字符(8比特的ASCII或UTF-8)组成的域中选出64个字符的字母表可能的总数：

P＝K！/n！(K！-n！),             (1)

其中K是备选八位组的总数，例如256，n是选出的字符集包含的元素个数，例如64。

如果已知上述参数，那么从256个合适的字节值组成的域中选出64个字符组成字母表，共有大约10⁶¹种选法。如果从信息论的视角考虑编码方案，由此产生的编码是否能产生纯可打印的ASCII字符完全不重要。重要的是由此产生的编码降低了由此产生的业务流中的信息密度。任何一种将24比特三段数据扩展成32比特四段的编码，对于降低由此产生的流中的信息密度来说都足够了。

在实施本发明的时候，让人迷惑的是创建小数量的字母表，可能小到只有一个非Base64字母表元素的成员，然后用这样的字母表对加密的业务流进行编码。但任何这样的方案的问题立刻就会突显出来：单个的，固定的字母表和Base64编码方案一样容易被“对手”解码。必须假定“对手”知道这种编码方案所用的字母表，并进而如上所述像处理Base64编码的方式那样对它们进行处理。

因此，本发明的实施例字母表34是动态选择的，例如，在生成一个长加密的业务流期间，使用静态字母表的流会有更高的可检测性。此外，大多数加密通信会话在创建之初就会建立密钥材料，如密钥38，以便为下面的加密“封包”过程提供共享的加密和完整密钥。因为加密的信道一旦建立，密钥38会被通信双方共享，所以一些密钥材料会被用来帮助选择动态编码字母表34。

现在参考图3，图中展示了一个操作流程图示例，该操作流程图描述了加密隐藏器30隐藏数据加密的存在而执行的示范步骤。该流程始于WAN接口18判定加密的数据可以传输时(步骤S102)。加密的数据可以加密或未经加密的形式来从客户端计算机12处接收。在接下来的例子中，WAN接口18可根据已知的加密方法对数据进行加密。

WAN接口18通过通信接口20初始化与目标设备进行安全通信会话(步骤S104)。作为安全通信会话初始化的一部分，WAN接口18要与目标设备交换密钥材料(步骤S106)，例如，加密密钥38。加密密钥38被用来产生从更宽泛的、256个元素的域中，比如ASCII字符的全集中，挑选出来的64个元素的单个伪随机选取的字母表(步骤S108)。

任何强大的随机数生成器都能被用来生成共享的编码字母表，但为了提高通用性，就是使用标准的、强加密的伪随机函数，以便通信双方获得相同的加密字母表。标准请求注解(“RFC”)4615中描述了一种合适的算法，在该算法中，伪随机函数(“PRF”)的输出是PRF下一次调用(nextcall)的链式变量，并且需要的密钥K是从会话初始化时的共享密钥材料中取得的。表1中给出了伪代码的例子。

表1

根据本发明，为了开始编码，加密数据被分成多个部分，比如以三段八位，即三个8比特为一部分(步骤S110)。输入的三段八位数据被分解成每6比特一组的数据(步骤S112)，这些6比特数据被用作选出的64个字母元素的表36中的索引(步骤S114)。对数据的编码是通过将每组的6比特数据作为上述字母表36的索引，将每组的6比特数据映射成对应的字母表中的字符(步骤S116)。经过编码的数据(即，将原来的三段八位数据变成了4个字母表字符)再通过WAN16传输给目标设备(步骤S118)。

图4提供了典型操作流程图，该流程图描述了诸如接收端WAN接口18或者客户端计算机14这些目标设备在接收到根据本发明原理进行过加密隐藏的数据信息时所执行的步骤。图4描述的处理过程很大一部分是图3中的反向操作。如上所述，目标设备与源设备建立起安全通信会话(步骤S118)并交换加密密钥38(步骤S120)。加密密钥38被用来伪随机地生成用于对加密的数据进行编码的Base64字母表组(步骤S122)。所谓的“反向”表就可使用如表2中显示的伪代码来计算。

表2

目标设备接收经过编码的数据(步骤S124)，这些数据是由包含在上述伪随机生成的Base64字母表组中的一系列字母表字符组成(步骤S124)。解码时，字母表字符被用作反向表的索引，检索得到6比特的结果(步骤S126)。这一系列6比特的结果被排列为四组，从而再现最初的加密的三段八位数据(步骤S128)。使用已知的加密方案，通过对三段八位数据进行解密来得到原始数据(步骤S130)。

上述技术的效果之一是，在输入的数据可通过(秘密的)字母表给定的单字符替换密码来进行高效地加密，从而使得多加密了一层。这项技术可靠地提供了的编码方案，该方案可提供常常能躲过FIPS140-2随机性检测的数据。

通过在生成的字母表中加入一些细微偏倚(bias)，可进一步增强冗余性。例如，可以作一些布置，使ASCII码控制字符被选为字母表元素的可能性较低，并且使ASCII码组“E T A O I N S”和“e t a o i n s”被选为字母表元素的可能性略有提高。这样在稍微减少合适的字母数量的同时，又能降低信息密度。

进一步提高针对这种编码方案的“攻击”的组合复杂性可通过为输出的四段八位数据并入多个随机选择的字母表。生成三个不同的字母表，并对输出的四段八位数据应用不同的字母表，能阻扰(frustrate)任何用于可靠地识别该方案编码的业务(traffic)的机制。给四段输出数据分配字母表可以是固定的，比如1-2-3-1，也可以是用生成字母表时使用的同一PRF来伪随机地选择。虽然，从信息论的角度而言，这样做并不能对系统有什么改进，但它能增加那些针对本系统的“攻击”的组合复杂性。

如果第三方能够可靠地识别该编码方案编码的加密业务，那么就认为针对该编码方案的攻击是成功的。只考虑那些高效自动化的攻击才有用，因为该编码方案就是设计来防御这些“攻击”的。考虑一个Base64编码方案的例子，“攻击者”需要用足够的深度来对业务流进行测试，从而确保该业务流中只使用了Base64编码的字符，然后对由此产生的业务流进行解码，再对由此产生的比特流进行随机性测试。注意，由于Base64被用来保护多种不同类型的数据，而不仅仅是加密的数据，所以自动化攻击者会将许多Base64解码测试都判定为“非随机”。

一种假设的“攻击”场景是，对手拥有数量庞大的基于该编码方案的所有合适的编码字母表。该“攻击者”需要用他拥有的所有的字母表对业务流作足够深度的测试，才能得出结论说该业务流确实是用其中一个字母表编码的。有利的是，由于该攻击者不能提前断定哪一个字母表会被用来编码某个业务流，所以在典型的因特网场景中，要可靠的区分基于该编码方案编码的业务和其它没有加密的业务仍然非常困难。

所有合适的字母表的数量如之前所述，大约可以达到10⁶¹。推荐的PRF产生大约10³⁸种结构后才会出现重复。所以基于该方案产生的合适的字母表数量的上限大约为10³⁸。又由于每个字母表的长度为64字节，存储10³⁸个字母表需要的存储空间过大，在实际中很难具备。

一种更有力的攻击是，如果有人能可靠地检测出用该编码方案编码的业务，但不能可靠地推断出加密数据的存在。如果攻击者首先假设被检数据是用该编码方案编码过的，那么他们就能为输出的四段中的每个八位组提供频率表，并且在对适量的数据进行检测后，对输出的八位组的所有4段查找频率表，在该表中，只有64个对象具有非零计数。为每个业务流提供这样的频率表是有必要的，因为字母表是在业务流开始时生成的。但从攻击者的角度而言有一个问题，那就是Base64及其它24到42比特编码方案也会将必定的错误(necessarily-false)判定为积极的(positive)。由于攻击者只有现在的频率表，而没有映射回6比特的频率表，因此就不能明确地断定该业务被加密了，因为该业务无法被解码。攻击者只能知道每个八位组只有64个值，这显然不是“确凿的证据”，而只是适度的暗示，那就是基于本编码方案编码的隐含数据有可能是加密的数据。

即使存在随机字母表选择，上面讨论的“攻击”也能可靠地检测类Base64编码方案，但使用“模糊”编码方案，将一些输入6比特序列表示成多于1个的输出八位组就能绕开这些攻击。在一种这样的方案中，可在开始通信时随机地选择“模糊”编码的程度，就像在开始通信时随机选定字母表映射一样。对3个字母表中的每个及其对应的逆映射，在字母表中额外增加一定数量的编码点，比如说高达23个，则对应于字母表中高达23个的元素。这样一来，字母表的元素个数就可能是64到87的任何一种。编码时，对6比特采用两种合适的编码中的哪一种进行编码可以随机决定。这个决定的随机性可以任意，但在一个实例中采用了50％的概率。

字母表哪些元素具有“模糊”编码的决定，可以使用随机序列生成器在基本字母表内选择一个偏移量的方式，动态地被设置。使用大约30％的6比特序列被模糊编码的模糊编码方案，可以增强由此产生的加密的业务流对之前描述的使用频率表分析法的检测的抵抗力。

本发明可以用硬件、软件或软件硬件结合的方式来实现。适于执行此处所描述方法的任何类型的计算机系统或其它的设备，都适于执行此处描述的功能。

硬件与软件的典型组合可以是具有一个或多个处理部件和存储在存储器媒介中的计算机程序的计算机系统，该存储器媒介当被下载和执行时可以控制计算机系统以致可以执行这里描述的方法。本发明也可以嵌入在计算机程序产品中，这样的计算机软件产品包括了所有能够实现这里描述的方法的特点，并能在加载进计算机系统后该计算机程序产品能够执行这些方法。存储介质可以是易失性存储器也可以是非易失性存储器。

本申请中提到的计算机程序或应用是指，旨在使具有信息处理能力的系统直接或在进行以下任何一种或两种处理后完成特定功能的，以任何一种语言、代码或符号编写的一组指令的任何表达形式：a)转换成另一种语言、代码或符号；b)以不同材料形式再现。

另外，需要注意的是，除非上面提到过相反的情况，否则所有的附图都不是按照比例的。重要的是，本发明可以被嵌入到其它特定的形式中去，而不偏移本发明的精神和本质属性，因此，相对于前面的说明书而言，需要参考下面的权利要求来表明本发明的范围。

Claims (40)

1.一种对加密的输入数据流进行编码用于在通信网络中传输的方法，所述方法包括使用替换密码对加密的输入数据流进行编码以生成编码的数据流，所述编码的数据流具有比加密的输入数据流更低的信息密度，所述更低的信息密度通过将三段第一数量比特扩大为四段第二数量比特的编码得到。

2.根据权利要求1所述的方法，其中所述替换密码是基于一个秘密字母表的单一字母替换物。

3.根据权利要求1所述的方法，其中所述替换密码是基于多个秘密字母表的多字母替换物。

4.根据权利要求1所述的方法，其中所述替换密码使用模糊编码方案，在该模糊编码方案中，至少一些所述输入数据被多于一个输出字符表示。

5.根据权利要求1所述的方法，其中所述编码的数据不进行FIPS140-2随机测试。

6.根据权利要求1所述的方法，其中进一步地使用替换密码加密所述加密的输入数据流包括：

将加密的输入数据流划分成多个组；以及

将每个组映射到一组字符中的一个字符。

7.根据权利要求6所述的方法，其中所述一组字符可以使用伪随机函数从一组加密密钥得到。

8.一种将从通信网络接收的编码的加密数据流进行解码的方法，所述方法包括：

使用替换密码对所述编码的加密数据流进行解码以生成解码的加密数据流，所述编码的加密数据流具有通过将三段第一数量比特扩大为四段第二数量比特的编码得到的信息密度。

9.根据权利要求8所述的方法，其中所述编码的加密数据流包括一组字符中的字符，所述方法包括进一步地将每个字符映射到所述解码的加密数据流的一组比特。

10.根据权利要求9所述的方法，其中所述替换密码是基于至少一个秘密字母表的字母替换物。

11.一种编码器，用于对加密的输入数据流进行编码用于在通信网络中传输，所述编码器包括：

至少一个控制器；以及

至少一个存储器，其存储可由所述控制器执行的指令以使用替换密码对所述加密的输入数据流进行编码从而生成编码的数据流，所述编码的数据流具有比所述加密的输入数据流更低的信息密度，所述更低的信息密度通过将三段第一数量比特扩大为四段第二数量比特的编码得到。

12.根据权利要求11所述的编码器，其中所述替换密码是基于一个秘密字母表的单一字母替换物。

13.根据权利要求11所述的编码器，其中所述替换密码是基于多个秘密字母表的多字母替换物。

14.根据权利要求11所述的编码器，其中所述替换密码可操作以使用模糊编码方案，在所述模糊编码方案中，至少一些所述输入数据能够被多于一个输出字符表示。

15.根据权利要求11所述的编码器，其中所述替换密码可操作以生成编码的数据，所述编码的数据不进行FIPS140-2随机测试。

16.根据权利要求11所述的编码器，其中可被执行以使用所述替代密码进一步地加密所述加密的输入数据流的指令进一步包括指令，其可执行以：

将加密的输入数据流划分成多个组；以及

将每个组映射到一组字符中的一个字符。

17.根据权利要求16所述的编码器，其中所述一组字符可以使用伪随机函数从一组加密密钥得到。

18.一种解码器，用于将通过信息网络接收的编码的加密数据流进行解码，所述解码器包括：

至少一个控制器；以及

至少一个存储器，其存储可由所述控制器执行的指令以使用替换密码将所述编码的加密数据流进行解码从而生成解码的加密的数据流，所述编码的加密数据流具有通过将三段第一数量比特扩大为四段第二数量比特的编码得到的信息密度。

19.根据权利要求18所述的解码器，其中所述编码的加密数据流包括一组字符中的字符，所述可执行以将编码和加密的数据流进行解码的指令进一步包括可执行以将每个字符映射到所述解码的加密数据流的一组比特。

20.根据权利要求19所述的解码器，其中所述替换密码是基于至少一个秘密字母表的字母替换物。

21.一种通过信息网络传输加密的数据流的方法，包括：

使用替换密码对加密的输入数据流进行编码以生成编码的数据流，所述编码的数据流具有比所述加密的输入数据流更低的信息密度，所述更低的信息密度通过将三段第一数量比特扩大为四段第二数量比特的编码得到；

通过信息网络传输所述编码的数据流；以及

使用与用于编码的替换密码反向的替换密码对所述编码的数据流进行解码以恢复所述加密的输入数据流。

22.根据权利要求21所述的方法，其中所述替换密码是基于一个秘密字母表的单一字母替换物。

23.根据权利要求21所述的方法，其中所述替换密码是基于多个秘密字母表的多字母替换物。

24.根据权利要求21所述的方法，其中用于编码的所述替换密码使用模糊编码方案，在所述模糊编码方案中，至少一些所述输入数据可被多于一个输出字符表示。

25.根据权利要求21所述的方法，其中所述替换密码可操作以生成编码的数据，所述编码的数据不进行FIPS140-2随机测试。

26.一种永久的处理器可读取的存储介质，其存储由处理器执行以对加密的输入数据流进行编码用于在通信网络中传输的指令，所述指令包括：

通过处理器可执行以使用替换密码对所述加密的输入数据流进行编码以生成编码的数据流的指令，所述编码的数据流具有比所述加密的输入数据流更低的信息密度。

27.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述可执行以使用替换密码对所述加密的数据进行编码的指令包括可执行以将三段第一数量比特扩大为四段第二数量比特的指令。

28.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述替换密码是基于一个秘密字母表的单一字母替换物。

29.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述替换密码是基于多个秘密字母表的多字母替换物。

30.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述替换密码使用模糊编码方案，在所述模糊编码方案中，至少一些所述输入数据可被多于一个输出字符表示。

31.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述编码的数据将不进行FIPS140-2随机测试。

32.根据权利要求26所述的永久的处理器可读取的存储介质，其中所述可执行以使用替换密码对所述加密的输入数据流进行编码的指令包括指令，该指令可执行以：

将加密的输入数据流划分成多个组；以及

将每个组映射到一组字符中的一个字符。

33.根据权利要求32所述的永久的处理器可读取的存储介质，其中所述一组字符使用伪随机函数从一组加密密钥得到。

34.一种永久的处理器可读取的存储介质，其存储可由处理器执行以对通过通信网络接收的编码的加密数据流进行解码的指令，所述指令包括：

可执行以使用替换密码对所述编码的加密数据流进行解码以生成解码的加密数据流的指令，所述解码的加密数据流具有比所述编码的加密数据流更高的信息密度。

35.根据权利要求34所述的永久的处理器可读取的存储介质，其中所述编码的加密的数据流包括一组字符中的字符，所述指令包括可执行以将每个字符映射到所述解码的加密数据流的一组比特的指令。

36.根据权利要求35所述的永久的处理器可读取的存储介质，其中所述替换密码是基于至少一个秘密字母表的字母替换物。

37.根据权利要求35所述的永久的处理器可读取的存储介质，其中所述替换密码是基于一个秘密字母表的单一字母替换物。

38.根据权利要求35所述的永久性处理器可读取的存储介质，其中所述替换密码是基于多个秘密字母表的多字母替换物。

39.根据权利要求35所述的永久的处理器可读取的存储介质，其中所述替换密码使用模糊编码方案，在所述模糊编码方案中，至少一些输入数据被多于一个输出字符表示。

40.根据权利要求35所述的永久的处理器可读取的存储介质，其中所述一组字符使用伪随机函数从一组加密密钥得到。