CN105553647A - 基于非线性循环移位寄存器的轻量级流密码技术lsnr2 - Google Patents

Abstract

移位寄存器是保密通信领域用于产生伪随机序列的密码部件，有线性反馈移位寄存器LFSR和非线性反馈移位寄存器NLFSR等，其最大周期T≤2ⁿ。n级非线性循环移位寄存器NRR的反馈模式为：其中，i≥0，n≥2，字长m取平台的位数；＜＜＜j表示循环左移j位；表示模加；c为1～2^m-1之间的奇数；输入的n个字初值a₀～a_n-1都不限，每字都是任意m位数。字长为m比特时，n级NRR的周期大于(2^m)ⁿ，即安全性高于传统的(N)LFSR；NRR效率也高于常用的(N)LFSR。采用3个NRR设计了一种轻量级流密码LSNR2，其中第1个NRR用于密钥编排，另2个NRR的输出进行模加产生LSNR2的密钥流。LSNR2的效率高于常用普通对称密码，且适合资源受限环境，主要用于信息系统中的数据加解密。

Description

基于非线性循环移位寄存器的轻量级流密码技术LSNR2

一、技术领域

基于非线性循环移位寄存器NRR的轻量级流密码技术LSNR2是保密通信领域的一种对称密码，主要用于网络与信息系统安全中的数据加解密，适合资源不受限的终端与资源受限终端互通。

二、背景技术

密码体制分为对称密码和非对称密码。由于非对称密码的加密速度远小于对称密码，因此网络与信息系统安全中的数据加解密尽量采用对称密码算法，以提高效率。对称密码分为流密码和分组密码，2种对称密码各有优缺点。设计流密码的一种常用密码部件是移位寄存器，有线性反馈移位寄存器LFSR^[1]和非线性反馈移位寄存器NLFSR^[2]等，以下合称(N)LFSR。例如，第2代移动通信系统GSM的加密标准A5算法^[3，4]、蓝牙加密标准E0算法^[4]和流密码国际标准SNOW2算法^[3]都采用了LFSR；Hash函数标准SHA1和SHA2的消息扩展算法^[3]以及第3代标准SHA3的多个候选算法采用了(N)LFSR或其它发生器。

n级(N)LFSR的当前输出比特都是前n比特的逻辑函数，这样的逻辑函数共有2²ⁿ个，其中线性的有2ⁿ个，非线性的有2²ⁿ-2ⁿ个。LFSR采用以下反馈模式由前n比特a_i～a_n+i-1线性递推下一比特a_n+i：

a_n+i＝a_i^c_n-1a_i+1^...^c₁a_n+i-1

其中，常数c_k＝0或1，1≤k≤n-1，^是异或即模2加法。如果输入的初始n比特a₀～a_n-1全为0，则LFSR输出恒为0，因此，n级LFSR的最大周期为2ⁿ-1。当且仅当LFSR的反馈多项式为本原多项式时，LFSR的周期才达到最大。产生一个本原多项式并不容易，需借助数学软件包。SHA1的消息扩展算法采用以下模式由前16个字w_t16～w_t-1递推下一个字w_t：w_t＝(w_t3^w_t8^w_t14^w_t16)＜＜＜1其中，＜＜＜1表示循环左移1位，字长m为32b(比特)。这相当于字长m为32b的16级发生器，如果输入的初始16个字w₀～w₁₅全为0，则输出恒为0，因此，其最大周期小于等于(2³²)¹⁶-1。n级NLFSR的最大周期为2ⁿ。非线性循环移位寄存器NRR是一种新型反馈移位寄存器。当字长为m比特时，n级NRR的周期大于(2^m)ⁿ。(N)LFSR软件实现慢，解决的办法是并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式，周期才能达到最大。不管字长m和级数n为多大，NRR存在统一的反馈模式，无须寻找达到最大周期的反馈模式，可以直接适应各种平台，包括将来128位以上的平台。在32位平台下(2.4GHz双核CPU、2GB内存、WindowsXP、C语言)，SNOW2的LFSR速度为630MB/s；SHA1和SHA256的消息扩展算法速度都小于400MB/s；NRR的速度为700MB/s。对于A5和E0算法采用的LFSR，除非同时并行32个LFSR，效率才和NRR相当。对于周期达到最大的(N)LFSR，其输出是绝对均匀的，遍历了所有状态才会重复，不可预测性差。测试表明，NRR产生的输出是伪随机均匀的，又能遍历所有状态，不可预测性好。

本发明采用3个非线性循环移位寄存器NRR，设计了一种轻量级流密码LSNR2。

[1](美)SchneierB.应用密码学——协议、算法与C源程序.吴世忠等译.机械工业出版社，2000-1.264～269

[2](中)王育民，刘建伟.通信网的安全——理论与技术.西安电子科技大学出版社，1999-04.81～82

[3](中)谷利泽，郑世慧，杨义先.现代密码学教程.北京邮电大学出版社，2009-08.169～175，189～204

[4](中)徐胜波，马文平，王新梅.无线通信网中的安全技术.人民邮电出版社，2003-07.149～150，183～187

三、发明内容

【发明目的】

为了设计安全高效的对称密码，用于网络与信息系统安全中的数据加解密，基于非线性循环移位寄存器NRR的轻量级流密码LSNR2相比其它对称密码而言，扩大了输出序列的周期，增强了多平台适应性，提高了效率。

特别地，普通密码技术适合资源不受限的普通终端加解密，不适合资源受限终端，也就是不适合资源不受限的终端与资源受限终端互通。物联网等无线网络中的资源受限终端加解密需要轻量级密码，但常见轻量级密码用于资源不受限的终端与资源受限终端互通，发挥不了资源不受限终端的资源优势，效率低。本发明的最大目的是设计一种能充分利用资源不受限终端的资源优势、又适合资源受限终端的、效率能达到普通密码级别的轻量级密码。

【技术方案】

本发明中的非线性循环移位寄存器NRR采用的技术方案是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

其中，i≥0，n≥2，字长m取平台的位数；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝imodm；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

本发明中的NRR与传统的(N)LFSR不同之处在于：(1)循环移位数j循环变化；(2)计数加c；(3)初值不受限。

流密码的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。其中KS为密钥流，所以其关键是如何产生密钥流。LSNR2采用了3个NRR。3个NRR的字长m均为32b(比特)，级数n分别为4、5、4。其中第1个NRR用于密钥编排，另2个NRR的输出进行模加来产生密钥流。LSNR2产生密钥流的过程用KS＝LSNR2(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)。

LSNR2中第1个NRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod2³²，其中i≥0，j＝imod32，^表示逐位异或运算。

另2个NRR的初值分别为：

B₀＝(b₀||b₁||b₂||b₃||b₄)＝(a_i+64+K₀||a_i+67+K₁||a_i+70+K₂||a_i+73)||(a_i+75+K₃)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+65+K₂)||(a_i+68+K₃)||(a_i+71+K₀)||(a_i+74+K₁)。

对于i≥0，后2个NRR的反馈模式分别为

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+3}mod2³²，其中j₁＝imod32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod2³²，其中j₂＝i+17mod32

LSNR2的输出密钥流由后2个NRR的输出进行模加来产生：

【有益效果】

相比常用对称密码算法，流密码算法LSNR2有以下优点：

(1)周期更大、安全性更高。由于循环移位数j不固定，字长为m比特时，n级NRR的周期大于(2^m)ⁿ。对于反馈模式a_i+n＝[(a_i+n1＜＜＜j)+a_i+1]mod2^m，当字长为8b(比特)时，测试得2级NRSR的周期为484192＞2¹⁶B(字节)；3级NRR的周期为81,782456＞2²⁴(16MB)；4级NRR的周期为27,251403552＞2³²(4GB)。当字长为16b时，2级NRR的周期为37,540033008＞4G个短整数。测试表明，周期与寄存器的初值及循环移位数j的初值无关。

对于周期达到最大的LFSR，其输出状态1～2ⁿ-1是绝对均匀的；对于周期达到最大的NLFSR，其输出状态0～2ⁿ-1是绝对均匀的，遍历了所有状态才会重复，不可预测性差。测试表明，NRR产生的输出是伪随机均匀的，没有遍历所有状态也可能出现重复。寄存器状态重复不一定是周期重复，当寄存器的状态和循环移位数j的状态同时重复才是周期重复。因此，NRR的不可预测性和安全性优于(N)LFSR。

NRR输入的初始n个字a₀～a_n-1取值都不限。对于杂凑(Hash)函数标准SHA1和SHA2的消息扩展算法，如果初始消息全为0，则扩展消息也全为0。NRR不存在该问题。

另外，有个分组密码叫RC6，需要5轮加密才能实现伪随机性。其加密轮函数f(i，a，b，c，d)为：

{u＝[d(2d+1)]＜＜＜5；t＝[b(2b+1)]＜＜＜5；a＝[(a^t)＜＜＜u]+k[i]；c＝[(c^u)＜＜＜t]+k[i+1]；}

用NRR直接取代2个缓存变量u和t，对d和b进行可逆更新：

{t＝d；d＝[(t+1)＜＜＜i]+b；b＝(d＜＜＜i)+t+1；a＝[(a^d)＜＜＜b]+k[i]；c＝[(c^b)＜＜＜d]+k[i+1]；}

5轮加密也实现了伪随机性，这也说明NRR具有良好的密码特性。

因此，流密码LSNR2的周期大于常用对称密码。从这方面讲，LSNR2的安全性高于常用对称密码。

(2)效率更高。在32位平台下(2.4GHz双核CPU、2GB内存、WindowsXP、C语言)，NRR速度为700MB/s。常用(N)LFSR速度不超过630MB/s。

单核时，常用对称密码的速度不超过50MB/s；双核时不超过100MB/s。2GHz单核时，RC6-ECB的加密速度，即RC6-CTR和RC6-OFB产生密钥流的速度为45MB/s；RC4、AES-CTR和AES-OFB产生密钥流的速度为30MB/s。2.4GHz双核时，AES-CTR和AES-OFB产生密钥流的速度为75MB/s。2GHz单核时，LSNR2产生密钥流的速度为80MB/s；2.4GHz双核时，LSNR2产生密钥流的速度为130MB/s。LSNR2的2个NRR能并行处理，双核时效率达到最佳，适合目前普遍使用的双核计算机。

(3)多平台适应性更灵活。(N)LFSR软件实现慢，解决的办法是，平台的位数为m时，并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式。不管字长m和级数n为多大，NRR存在固定的反馈模式 和无须寻找达到最大周期的反馈模式，能直接适应各种平台，包括将来128位以上的平台。

LSNR2算法能直接扩展成面向64位以上平台的密码算法，也能直接改成面向8位平台的算法。

(4)资源受限不受限的环境都适用。普通密码技术适合资源不受限的普通终端加解密，不适合资源受限终端，也就是不适合资源不受限的终端与资源受限终端互通。物联网等无线网络中的资源受限终端加解密需要轻量级密码，但常见轻量级密码用于资源不受限的终端与资源受限终端互通，发挥不了资源不受限终端的资源优势，效率低。本发明的最大优势是设计了一种能充分利用资源不受限终端的资源优势、又适合资源受限终端的、效率高于普通对称密码的轻量级密码。LSNR2硬件实现需要的逻辑门电路(GE)数约为2389，符合轻量级密码的需求。

四、附图说明

图1基于非线性循环移位寄存器的轻量级流密码LSNR2

说明：表示模加。

五、具体实施方式

本发明中的非线性循环移位寄存器NRR的具体实施方式是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

其中，n≥2，字长m取平台的位数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝imodm；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

LSNR2采用了3个NRR。3个NRR的字长m均为32b(比特)，级数n分别为4、5、4。其中第1个NRR用于密钥编排，另2个NRR的输出进行模加来产生密钥流。LSNR2产生密钥流的过程用KS＝LSNR2(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

LSNR2中第1个NRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod2³²，其中i≥0，j＝imod32，^表示逐位异或运算。

另2个NRR的初值分别为：

B₀＝(b₀||b₁||b₂||b₃||b₄)＝(a_i+64+K₀||a_i+67+K₁||a_i+70+K₂||a_i+73)||(a_i+75+K₃)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+65+K₂)||(a_i+68+K₃)||(a_i+71+K₀)||(a_i+74+K₁)。

对于i≥0，后2个NRR的反馈模式分别为

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+3}mod2³²，其中j₁＝imod32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod2³²，其中j₂＝i+17mod32

LSNR2的输出密钥流由后2个NRR的输出进行模加来产生：

流密码LSNR2的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。

Claims (5)

1.基于非线性循环移位寄存器NRR的轻量级流密码技术LSNR2，其总体特征是：采用了3个NRR；3个NRR的字长m均为32b(比特)，级数n分别为4、5、4；其中第1个NRR用于密钥编排，另2个NRR的输出进行模加来产生密钥流KS，即

$K{S}_i=\left(b_{i+5}{\⊕d}_{i+4}\right)$

其中i≥0，b_i+5、d_i+4分别为2个NRR的输出，KS_i和b_i+5、d_i+4都是32位数。

2.根据权利要求1所述的轻量级流密码LSNR2，其采用的非线性循环移位寄存器NRR的特征是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2字递推下一个字a_i-n

$a_{i+n}=\{\&lsqb;(a_{i+n-1}<<<j)\&CirclePlus;a_i\&rsqb;+c\}mod{2}^m$

上式中，i≥0，n≥2，字长m取平台的位数；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝imodm；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

3.根据权利要求1所述的轻量级流密码技术LSNR2，其产生密钥流KS的过程用KS＝LSNR2(K，IV)表示；其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长；对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

LSNR2中第1个NRR的特征是：初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV；其反馈模式为：

a_i+4＝{[(a_i+3＜＜＜j)^a_i]+1}mod2³²，其中i≥0，j＝imod32，^表示逐位异或运算。

4.根据权利要求3所述的轻量级流密码LSNR2，用于产生密钥流KS的后2个NRR的特征是：

其初值分别为B₀＝(b₀||b₁||b₂||b₃||b₄)＝(a_i+64+K₀||a_i+66+K₁||a_i+68+K₂||a_i+70)||(a_i+72+K₃)；

D₀＝(d₀||d₁||d₂||d₃)＝(a_i+65+K₂)||(a_i+67+K₃)||(a_i+69+K₀)||(a_i+71+K₁)。

5.根据权利要求4所述的轻量级流密码LSNR2，用于产生密钥流KS的后2个NRR的特征是：

对于i≥0，后2个NRR的反馈模式分别为

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+3}mod2³²，其中j₁＝imod32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+5}mod2³²，其中j₂＝i+17mod32；

LSNR2的输出密钥流由后2个NRR的输出进行模加来产生：