CN104486068A - 基于非线性循环移位寄存器的流密码算法snrr - Google Patents

Abstract

移位寄存器是保密通信领域用于产生伪随机序列的密码部件，有线性反馈移位寄存器LFSR和非线性反馈移位寄存器NLFSR等，其最大周期T≤2ⁿ。n级非线性循环移位寄存器NRR的反馈模式为：上式中，i≥0，n≥2，字长m取平台的位数；＜＜＜j表示循环左移j位；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，每字都是任意m位数。字长为m比特时，n级NRR的周期大于(2^m)ⁿ，即安全性高于传统的(N)LFSR；NRR效率也高于常用的(N)LFSR。采用5个NRR设计了一个流密码算法SNRR，其中第1个NRR用于密钥编排，另4个NRR的输出进行模加产生SNRR的密钥流。SNRR的效率高于常用对称密码算法，主要用于网络与信息系统安全中的数据加解密。

Description

基于非线性循环移位寄存器的流密码算法SNRR

技术领域

基于非线性循环移位寄存器NRR的流密码算法SNRR是保密通信领域的一种对称密码算法，主要用于网络与信息系统安全中的数据加解密。

背景技术

密码算法分为对称密码算法和非对称密码算法。由于非对称密码算法的加密速度远小于对称密码算法，因此网络与信息系统安全中的数据加解密尽量采用对称密码算法，以提高效率。对称密码算法分为流密码算法和分组密码算法，2种对称密码算法各有优缺点。设计流密码算法的一种常用密码部件是移位寄存器，有线性反馈移位寄存器LFSR^[1]和非线性反馈移位寄存器NLFSR^[2]等，以下合称(N)LFSR。例如，第2代移动通信系统GSM的加密标准A5算法^[3，4]、蓝牙加密标准E0算法^[4]和流密码国际标准SNOW2算法^[3]都采用了LFSR；Hash函数标准SHA1和SHA2的消息扩展算法^[3]以及第3代标准SHA3的多个候选算法采用了(N)LFSR或其它发生器。

n级(N)LFSR的当前输出比特都是前n比特的逻辑函数，这样的逻辑函数共有个，其中线性的有2ⁿ个，非线性的有个。LFSR采用以下反馈模式由前n比特a_i～a_n+i-1线性递推下一比特a_n+i：

a_n+i＝a_i^c_n-1a_i+1^…^c₁a_n+i-i

其中，常数c_k＝0或1，1≤k≤n-1，^是异或即模2加法。如果输入的初始n比特a₀～a_n-1全为0，则LFSR输出恒为0，因此，n级LFSR的最大周期为2ⁿ-1。当且仅当LFSR的反馈多项式为本原多项式时，LFSR的周期才达到最大。产生一个本原多项式并不容易，需借助数学软件包。SHA1的消息扩展算法采用以下模式由前16个字w_t-16～w_t-1递推下一个字w_t：

w_t＝(w_t-3^w_t-8^w_t-14^w_t-16)＜＜＜1

其中，＜＜＜1表示循环左移1位，字长m为32b(比特)。这相当于字长m为32b的16级发生器，如果输入的初始16个字w₀～w₁₅全为0，则输出恒为0，因此，其最大周期小于等于(2³²)¹⁶-1。n级NLFSR的最大周期为2ⁿ。非线性循环移位寄存器NRR是一种新型反馈移位寄存器。当字长为m比特时，n级NRR的周期大于(2^m)ⁿ。(N)LFSR软件实现慢，解决的办法是并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式，周期才能达到最大。不管字长m和级数n为多大，NRR存在统一的反馈模式，无须寻找达到最大周期的反馈模式，可以直接适应各种平台，包括将来128位以上的平台。在32位平台下(2.4GHz双核CPU、2GB内存、Windows XP、C语言)，SNOW2的LFSR速度为630MB/s；SHA1和SHA256的消息扩展算法速度都小于400MB/s；NRR的速度为700MB/s。对于A5和E0算法采用的LFSR，除非同时并行32个LFSR，效率才和NRR相当。对于周期达到最大的(N)LFSR，其输出是绝对均匀的，遍历了所有状态才会重复。测试表明，NRR产生的输出是伪随机均匀的，又能遍历所有状态。

本发明基于非线性循环移位寄存器NRR，设计了一种流密码算法SNRR。

[1](美)Schneier B.应用密码学——协议、算法与C源程序.吴世忠等译.机械工业出版社，2000-1.264～269

[2](中)王育民，刘建伟.通信网的安全——理论与技术.西安电了科技大学出版社，1999-04.81～82

[3](中)谷利泽，郑世慧，杨义先.现代密码学教程.北京邮电大学出版社，2009-08.169～175，189～204

[4](中)徐胜波，马文平，王新梅.无线通信网中的安全技术.人民邮电出版社，2003-07.149～150，183～187

发明内容

【发明目的】

为了设计安全高效的对称密码算法，用于网络与信息系统安全中的数据加解密，基于非线性循环移位寄存器NRR的流密码算法SNRR相比其它对称密码算法而言，扩大了输出序列的周期，增强了多平台适应性，提高了效率。

【技术方案】

本发明中的非线性循环移位寄存器NRR采用的技术方案是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

$a_{i+n}\left\{\right[(a_{i+n-1}<<<j)\&CirclePlus;a_i]+c\}\mathrm{mod}{2}^m$

其中，i≥0，n≥2，字长m取平台的位数；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝i mod m；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

本发明中的NRR与传统的(N)LFSR不同之处在于：(1)循环移位数j循环变化；(2)计数加c；(3)初值不受限。

流密码算法的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。其中KS为密钥流，所以其关键是如何产生密钥流。SNRR算法采用了5个NRR，其中第1个NRR用于密钥编排，另4个NRR的输出进行模加来产生密钥流。SNRR算法产生密钥流的过程用KS＝SNRR(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SNRR算法中第1个NRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod 2³²，其中i≥0，j＝i mod 32，^表示逐位异或运算。

另4个NRR的初值分别为：B₀＝(b₀||b₁||b₂||b₃)＝(a_i+36||a_i+37||a_i+38||a_i+39)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+40+K₃)||(a_i+41+K₀)||(a_i+42+K₁)||(a_i+43+K₂)；

E₀＝(e₀||e₁||e₂||e₃)＝(a_i+44+K₂)||(a_i+45+K₃)||(a_i+46+K₀)||(a_i+47+K₁)；

F₀＝(f₀||f₁||f₂||f₃)＝(a_i+48||a_i+49||a_i+50||a_i+51)。

对于i≥0，后4个NRR的反馈模式分别为：

b_i+4＝{[(b_i+3＜＜＜j₁)+b_i]+3}mod 2³²，其中j₁＝i+5mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod 2³²，其中j₂＝i+11mod 32；

e_i+4＝{[(e_i+3＜＜＜j₃)+e_i]+7}mod 2³²，其中j₃＝i+17mod 32；

f_i+4＝{[(f_i+3＜＜＜j₄)+f_i]+11}mod 2³²，其中j₄＝i+23mod 32。

SNRR算法的输出密钥流由后4个NRR的输出进行模加来产生：

【有益效果】

相比常用对称密码算法，流密码算法SNRR有以下优点：

(1)周期更大、安全性更高。由于乘法系数b和循环移位数j不固定，字长为m比特时，n级NRR的周期大于(2^m)ⁿ。对于反馈模式a_i+n＝[(a_i+n-1＜＜＜j)+a_i+1]mod 2^m，当字长为8b(比特)时，测试得2级NRSR的周期为484192＞2¹⁶B(字节)；3级NRR的周期为81,782456＞2²⁴(16MB)；4级NRR的周期为27,251403552＞2³²(4GB)。当字长为16b时，2级NRR的周期为37,540033008＞4G个短整数。对于反馈模式a_i+n＝[(b×a_i+n-1)+(a_i＜＜＜j)+1]mod 2^m，当字长为8b时，b取1～2^m-1之间循环变化的奇数，测试得2级NRR的周期为4,765440＞2¹⁶(64KB)。如果b取3～2^m-1之间循环变化的奇数，周期更大。测试表明，周期与寄存器的初值、循环移位数j的初值及乘法系数b的初值无关。

对于周期达到最大的LFSR，其输出状态1～2ⁿ-1是绝对均匀的；对于周期达到最大的NLFSR，其输出状态0～2ⁿ-1是绝对均匀的，遍历了所有状态才会重复。测试表明，NRR产生的输出是伪随机均匀的，没有遍历所有状态也可能出现重复。寄存器状态重复不一定是周期重复，当寄存器的状态和循环移位数j的状态以及乘法系数b的状态同时重复才是周期重复。因此，NRR的不可预测性和安全性优于(N)LFSR。

NRR输入的初始n个字a₀～a_n-1取值都不限。对于杂凑(Hash)函数标准SHA1和SHA2的消息扩展算法，如果初始消息全为0，则扩展消息也全为0。NRR不存在该问题。

另外，有个分组密码算法叫RC6，需要5轮加密才能实现伪随机性。其加密轮函数f(i，a，b，c，d)为：

{u＝[d(2d+1)]＜＜＜5；t＝[b(2b+1)]＜＜＜5；a＝[(a^t)＜＜＜u]+k[i]；c＝[(c^u)＜＜＜t]+k[i+1]；}

用NRR直接取代2个缓存变量u和t，对d和b进行可逆更新：

{t＝d；d＝[(t+1)＜＜＜i]+b；b＝(d＜＜＜i)+t+1；a＝[(a^d)＜＜＜b]+k[i]；c＝[(c^b)＜＜＜d]+k[i+1]；}

5轮加密也实现了伪随机性，这也说明NRR具有良好的密码特性。

因此，流密码算法SNRR的周期大于常用对称密码算法。从这方面讲，SNRR的安全性高于常用对称密码算法。

(2)效率更高。在32位平台下(2.4GHz双核CPU、2GB内存、Windows XP、C语言)，NRR速度为700MB/s。常用(N)LFSR速度不超过630MB/s。

单核时，常用对称密码算法的速度不超过50MB/s；双核时不超过100MB/s。2GHz单核时，RC6_-ECB的加密速度，即RC6-CTR和RC6-OFB产生密钥流的速度为45MB/s；RC4、AES-CTR和AES-OFB产生密钥流的速度为30MB/s。2.4GHz双核时，AES-CTR和AES-OFB产生密钥流的速度为75MB/s。2GHz单核时，SNRR产生密钥流的速度为61MB/s；2.4GHz双核时，SNRR产生密钥流的速度为118MB/s。SNRR算法的4个NRR能并行处理，四核时效率达到最佳，适合目前普遍使用的双核四核计算机。

(3)多平台适应性更灵活。(N)LFSR软件实现慢，解决的办法是，平台的位数为m时，并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式。不管字长m和级数n为多大，NRR存在固定的反馈模式 $a_{i+n}=\left\{\right[(a_{i+n-1}<<<$ $j)\&CirclePlus;a_i]+c\}\mathrm{mod}{2}^m$ 和 $a_{i+n}=\left\{\right[(b\&times;a_{i+n-1})\&CirclePlus;(a_i<<<j)]+c\}\mathrm{mod}{2}^m,$ 无须寻找达到最大周期的反馈模式，能直接适应各种平台，包括将来128位以上的平台。

SNRR算法能直接扩展成面向64位以上平台的密码算法，也能直接改成面向资源受限的8位平台算法。

附图说明

图1基于非线性循环移位寄存器的流密码算法SNRR

说明：表示模加。

具体实施方式

本发明中的非线性循环移位寄存器NRR的具体实施方式是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

$a_{i+n}\left\{\right[(a_{i+n-1}<<<j)\&CirclePlus;a_i]+c\}\mathrm{mod}{2}^m$

其中，n≥2，字长m取平台的位数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝i modm：表示模加；c为1～2^m1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

SNRR算法采用了5个NRR，其中第1个NRR用于密钥编排，另4个NRR的输出进行模加来产生密钥流。SNRR算法产生密钥流的过程用KS＝SNRR(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SNRR算法中第1个NRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod 2³²，其中i≥0，j＝imod 32，^表示逐位异或运算。

另4个NRR的初值分别为：B₀＝(b₀||b₁||b₂||b₃)＝(a_i+36||a_i+37||a_i+38||a_i+39)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+40+K₃)||(a_i+41+K₀)||(a_i+42+K₁)||(a_i+43+K₂)；

E₀＝(e₀||e₁||e₂||e₃)＝(a_i+44+K₂)||(a_i+45+K₃)||(a_i+46+K₀)||(a_i+47+K₁)；

F₀＝(f₀||f₁||f₂||f₃)＝(a_i+48||a_i+49||a_i+50||a_i+51)。

对于i≥0，后4个NRR的反馈模式分别为：

b_i+4＝{[(b_i+3＜＜＜j₁)+b_i]+3}mod 2³²，其中j₁＝i+5mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod 2³²，其中j₂＝i+11mod 32；

e_i+4＝{[(e_i+3＜＜＜j₃)+e_i]+7}mod 2³²，其中j₃＝i+17mod 32；

f_i+4＝{[(f_i+3＜＜＜j₄)+f_i]+11}mod 2³²，其中j₄＝i+23mod 32。

SNRR算法的输出密钥流由后4个NRR的输出进行模加来产生：

流密码算法SNRR的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。

Claims (5)

1.基于非线性循环移位寄存器NRR的流密码算法SNRR，其总体特征是：采用了5个NRR，其中第1个NRR用于密钥编排，另4个NRR的输出进行模加来产生密钥流KS，即

${\mathrm{KS}}_i=(b_{i+4}\&CirclePlus;d_{i+4}\&CirclePlus;e_{i+4}\&CirclePlus;f_{i+4})$

其中i≥0，b_i+4、d_i+4、e_i+4、f_i+4分别为4个NRR的输出，KS_i和b_i+4、d_i+4、e_i+4、f_i+4都是32位数。

2.根据权利要求1所述的流密码算法SNRR，其采用的非线性循环移位寄存器NRR的特征是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2字递推下一个字a_i+n

$a_{i+n}=\left\{\right[a_{i+n-1}<<<j\&CirclePlus;a_i]+c\}\mathrm{mod}{2}^m$

上式中，i≥0，n≥2，字长m取平台的位数；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝i modm；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

3.根据权利要求1所述的流密码算法SNRR，其产生密钥流KS的过程用KS＝SNRR(K，IV)表示；其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长；对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SNRR算法中第1个NRR的特征是：初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV；其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod 2³²，其中i≥0，j＝i mod 32，^表示逐位异或运算。

4.根据权利要求3所述的流密码算法SNRR，用于产生密钥流KS的后4个NRR的特征是：

其初值分别为B₀＝(b₀||b₁||b₂||b₃)＝(a_i+36||a_i+37||a_i+38||a_i+39)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+40+K₃)||(a_i+41+K₀)||(a_i+42+K₁)||(a_i+43+K₂)；

E₀＝(e₀||e₁||e₂||e₃)＝(a_i+44+K₂)||(a_i+45+K₃)||(a_i+46+K₀)||(a_i+47+K₁)；

F₀＝(f₀||f₁||f₂||f₃)＝(a_i+48||a_i+49||a_i+50||a_i+51)。

5.根据权利要求4所述的流密码算法SNRR，用于产生密钥流KS的后4个NRR的特征是：

对于i≥0，后4个NRR的反馈模式分别为

b_i+4＝{[(b_i+3＜＜＜j₁)+b_i]+3}mod 2³²，其中j₁＝i+5mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod 2³²，其中j₂＝i+11mod 32；

e_i+4＝{[(e_i+3＜＜＜j₃)+e_i]+7}mod 2³²，其中j₃＝i+17mod 32；

f_i+4＝{[(f_i+3＜＜＜j₄)+f_i]+11}mod 2³²，其中j₄＝i+23mod 32

SNRR算法的输出密钥流由后4个NRR的输出进行模加来产生：