CN105897403A - 基于并行循环移位寄存器的流密码技术sprr - Google Patents

Abstract

移位寄存器是保密通信领域用于产生伪随机序列的密码部件，有线性反馈移位寄存器LFSR和非线性反馈移位寄存器NLFSR等，其最大周期T≤2ⁿ。n级并行循环移位寄存器PRR的反馈模式为：先求和：σ＝a_{k n‑1}+…+a_{k n‑n}；然后并行计算n个字：For i＝0 to n‑1{j＝kn+i；a_j＝[σ＜＜＜(j mod m)]+a_j‑n+i}。其中，k≥1，＜＜＜j表示循环左移j位，mod表示求余数，m取平台的位数。字长为m位时，n级PRR和非线性循环移位寄存器NRR的周期都大于(2^m)ⁿ，即安全性高于传统(N)LFSR；PRR和NRR效率也高于常用(N)LFSR。采用1个PRR和4个NRR设计了一个流密码SPRR，其中PRR用于密钥编排，4个NRR的输出进行模加产生SPRR的密钥流。SPRR的效率高于常用对称密码，主要用于网络与信息安全中的数据加解密。

Description

基于并行循环移位寄存器的流密码技术SPRR

一、技术领域

基于并行循环移位寄存器PRR的流密码SPRR是保密通信领域的一种对称密码，主要用于网络与信息系统安全中的数据加解密。

二、背景技术

密码体制分为对称密码和非对称密码。由于非对称密码的加密速度远小于对称密码，因此网络与信息系统安全中的数据加解密尽量采用对称密码，以提高效率。对称密码分为流密码和分组密码，2种对称密码各有优缺点。设计流密码的一种常用密码部件是移位寄存器，有线性反馈移位寄存器LFSR^[1]和非线性反馈移位寄存器NLFSR^[2]等，以下合称(N)LFSR。例如，第2代移动通信系统GSM的加密标准A5算法^[3，4]、蓝牙加密标准E0算法^[4]和流密码国际标准SNOW2算法^[3]都采用了LFSR；Hash函数标准SHA1和SHA2的消息扩展算法^[3]以及第3代标准SHA3的多个候选算法采用了(N)LFSR或其它发生器。

n级(N)LFSR的当前输出比特都是前n比特的逻辑函数，这样的逻辑函数共有个，其中线性的有2ⁿ个，非线性的有个。LFSR采用以下反馈模式由前n比特a_i～a_n+i-1线性递推下一比特a_n+i：

a_n+i＝a_i^c_n-1a_i+1^…^c₁a_n+i-1

其中，常数c_k＝0或1，1≤k≤n-1，^是异或即模2加法。如果输入的初始n比特a₀～a_n-1全为0，则LFSR输出恒为0，因此，n级LFSR的最大周期为2ⁿ-1。当且仅当LFSR的反馈多项式为本原多项式时，LFSR的周期才达到最大。产生一个本原多项式并不容易，需借助数学软件包。SHA1的消息扩展算法采用以下模式由前16个字w_t-16～w_t-1递推下一个字w_t：

w_t＝(w_t-3^w_t-8^w_t-14^w_t-16)＜＜＜1

其中，＜＜＜1表示循环左移1位，字长m为32b(比特)。这相当于字长m为32b的16级发生器，如果输入的初始16个字w₀～w₁₅全为0，则输出恒为0，因此，其最大周期小于等于(2³²)¹⁶-1。n级NLFSR的最大周期为2ⁿ。并行循环移位寄存器PRR和非线性循环移位寄存器NRR是2种新型反馈移位寄存器。当字长为m比特时，n级PRR和NRR的周期都大于(2^m)ⁿ。(N)LFSR软件实现慢，解决的办法是并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式，周期才能达到最大。不管字长m和级数n为多大，PRR和NRR存在统一的反馈模式，无须寻找达到最大周期的反馈模式，可以直接适应各种平台，包括将来128位以上的平台。在32位平台下(2.4GHz双核CPU、2GB内存、Windows XP、C语言)，SNOW2的LFSR速度为630MB/s；SHA1和SHA256的消息扩展算法速度都小于400MB/s；NRR的速度为700MB/s；PRR的速度达1GB/s。对于A5和E0算法采用的LFSR，除非同时并行32个LFSR，效率才和NRR相当。对于周期达到最大的(N)LFSR，其输出是绝对均匀的，遍历了所有状态才会重复。测试表明，PRR和NRR产生的输出是伪随机均匀的，又能遍历所有状态。

本发明基于并行循环移位寄存器PRR和非线性循环移位寄存器NRR，设计了一种流密码SPRR。[1](美)Schneier B.应用密码学——协议、算法与C源程序.吴世忠等译.机械工业出版社，2000-1.264～269

[2](中)王育民，刘建伟.通信网的安全——理论与技术.西安电子科技大学出版社，1999-04.81～82

[3](中)谷利泽，郑世慧，杨义先.现代密码学教程.北京邮电大学出版社，2009-08.169～175，189～204

[4](中)徐胜波，马文平，王新梅.无线通信网中的安全技术.人民邮电出版社，2003-07.149～150，183～187

三、发明内容

【发明目的】

为了设计安全高效的对称密码算法，用于网络与信息系统安全中的数据加解密，基于并行循环移位寄存器PRR和非线性循环移位寄存器NRR的流密码SPRR相比其它对称密码而言，扩大了输出序列的周期，增强了多平台适应性，提高了效率。

【技术方案】

本发明中的非线性循环移位寄存器NRR采用的技术方案是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

$a_{i+n}=\{\&lsqb;(a_{i+n-1}<<<j)\&CirclePlus;a_i\&rsqb;+c\}\mathrm{mod}{2}^m$

其中，i≥0，n≥2，字长m取平台的位数32；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝i modm；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

本发明中的PRR和NRR与传统的(N)LFSR不同之处在于：(1)循环移位数j循环变化；(2)计数加c；(3)初值不受限。

流密码的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。其中KS为密钥流，所以其关键是如何产生密钥流。SPRR算法采用了1个PRR和4个NRR；其中PRR用于密钥编排来产生4个NRR的初值，而4个NRR的输出进行模加来产生密钥流。SPRR算法产生密钥流的过程用KS＝SPRR(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SPRR算法中PRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

For k＝1 to 19

{先求和：σ_k＝a_{k n-1}+…+a_{k n-n}mod 2^m；其中k≥1，n＝4，m＝32；

然后并行计算4个字：For i＝0 to n-1{j＝kn+i；a_j＝[σ_k＜＜＜(j mod m)]+a_j-n+i mod 2^m}}。

4个NRR的初值分别为：B₀＝(a_i+64+K₀)||a_i+68||a_i+72||a_i+75||(a_i+77+K₁)；

D₀＝(a_i+65+K₂)||a_i+69||a_i+73||(a_i+76+K₃)；

E₀＝(a_i+66)||(a_i+70)||(a_i+74)；

F₀＝(a_i+67||a_i+71)。

对于i≥0，4个NRR的反馈模式分别为：

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+1}mod 2³²，其中j₁＝i+5mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+3}mod 2³²，其中j₂＝i+11mod 32；

e_i+3＝{[(e_i+2＜＜＜j₃)+e_i]+5}mod 2³²，其中j₃＝i+17mod 32；

f_i+2＝{[(f_i+1＜＜＜j₄)+f_i]+7}mod 2³²，其中j₄＝i+23mod 32。

SPRR算法的输出密钥流由4个NRR的输出进行模加来产生：

【有益效果】

相比常用对称密码，流密码SPRR有以下优点：

(1)周期更大、安全性更高。由于循环移位数j不固定，字长为m比特时，n级NRR的周期大于(2^m)ⁿ。对于反馈模式a_i+n＝[(a_i+n-1＜＜＜j)+a_i+1]mod 2^m，当字长为8b(比特)时，测试得2级NRSR的周期为484192＞2¹⁶B(字节)；3级NRR的周期为81,782456＞2²⁴(16MB)；4级NRR的周期为27,251403552＞2³²(4GB)。当字长为16b时，2级NRR的周期为37,540033008＞4G个短整数。测试表明，周期与寄存器的初值、循环移位数j的初值及乘法系数b的初值无关。

对于周期达到最大的LFSR，其输出状态1～2ⁿ-1是绝对均匀的；对于周期达到最大的NLFSR，其输出状态0～2ⁿ-1是绝对均匀的，遍历了所有状态才会重复。测试表明，NRR产生的输出是伪随机均匀的，没有遍历所有状态也可能出现重复。寄存器状态重复不一定是周期重复，当寄存器的状态和循环移位数j的状态以及乘法系数b的状态同时重复才是周期重复。因此，NRR的不可预测性和安全性优于(N)LFSR。

NRR输入的初始n个字a₀～a_n-1取值都不限。对于杂凑(Hash)函数标准SHA1和SHA2的消息扩展算法，如果初始消息全为0，则扩展消息也全为0。NRR不存在该问题。

另外，有个分组密码叫RC6，需要5轮加密才能实现伪随机性。其加密轮函数f(i，a，b，c，d)为：

{u＝[d(2d+1)]＜＜＜5；t＝[b(2b+1)]＜＜＜5；a＝[(a^t)＜＜＜u]+k[i]；c＝[(c^u)＜＜＜t]+k[i+1]；}

用NRR直接取代2个缓存变量u和t，对d和b进行可逆更新：

{t＝d；d＝[(t+1)＜＜＜i]+b；b＝(d＜＜＜i)+t+1；a＝[(a^d)＜＜＜b]+k[i]；c＝[(c^b)＜＜＜d]+k[i+1]；}

5轮加密也实现了伪随机性，这也说明NRR具有良好的密码特性。

因此，流密码SPRR的周期大于常用对称密码。从这方面讲，SPRR的安全性高于常用对称密码。

(2)效率更高。在32位平台下(2.4GHz双核CPU、2GB内存、Windows XP、C语言)，NRR速度为700MB/s。常用(N)LFSR速度不超过630MB/s。

单核时，常用对称密码的速度不超过50MB/s；双核时不超过100MB/s。2GHz单核时，RC6-ECB的加密速度，即RC6-CTR和RC6-OFB产生密钥流的速度为45MB/s；RC4、AES-CTR和AES-OFB产生密钥流的速度为30MB/s。2.4GHz双核时，AES-CTR和AES-OFB产生密钥流的速度为75MB/s。2GHz单核时，SPRR产生密钥流的速度为62MB/s；2.4GHz双核时，SPRR产生密钥流的速度为119MB/s。SPRR的4个NRR能并行处理，四核时效率达到最佳，适合目前普遍使用的双核四核平台。

(3)多平台适应性更灵活。(N)LFSR软件实现慢，解决的办法是，平台的位数为m时，并行m个(N)LFSR，相当于字长为m比特，但最大周期还是小于等于2ⁿ，除非象SNOW2一样采用模2^m的本原多项式，最大周期才小于等于(2^m)ⁿ。也就是说，对于不同的字长m和不同的级数n，(N)LFSR要寻找不同的反馈模式。不管字长m和级数n为多大，NRR存在固定的反馈模式 和无须寻找达到最大周期的反馈模式，能直接适应各种平台，包括将来128位以上的平台。

SPRR能直接扩展成面向64位以上平台的密码算法，也能直接改成面向资源受限的8位平台算法。

四、附图说明

图1基于并行循环移位寄存器的流密码SPRR

说明：表示模加；NRR为非线性循环移位寄存器。

五、具体实施方式

本发明中的非线性循环移位寄存器NRR的具体实施方式是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2个字递推下一个字a_i+n

$a_{i+n}=\{\&lsqb;(a_{i+n-1}<<<j)\&CirclePlus;a_i\&rsqb;+c\}\mathrm{mod}{2}^m$

其中，n≥2，字长m取平台的位数32；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝imod m；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

SPRR采用了1个PRR和4个非NRR，其中PRR用于密钥编排来产生4个NRR的初值，而4个NRR的输出进行模加来产生密钥流。SPRR产生密钥流的过程用KS＝SPRR(K，IV)表示。其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长。对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SPRR中PRR的初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV。其反馈模式为：

For k＝1 to 19

{先求和：σ_k＝a_kn-1+…+a_kn-nmod 2^m；其中k≥1，n＝4，m＝32；

然后并行计算4个字：For i＝0 to n-1{j＝kn+i；a_j＝[σ_k＜＜＜(j mod m)]+a_j-n+i mod 2^m}}。

4个NRR的初值分别为：B₀＝(a_i+64+K₀)||a_i+68||a_i+72||a_i+75||(a_i+77+K₁)；

D₀＝(a_i+65+K₂)||a_i+69||a_i+73||(a_i+76+K₃)；

E₀＝(a_i+66)||(a_i+70)||(a_i+74)；

F₀＝(a_i+67||a_i+71)。

对于i≥0，4个NRR的反馈模式分别为：

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+1}mod 2³²，其中j₁＝i+5mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+3}mod 2³²，其中j₂＝i+11mod 32；

e_i+3＝{[(e_i+2＜＜＜j₃)+e_i]+5}mod 2³²，其中j₃＝i+17mod 32；

f_i+2＝{[(f_i+1＜＜＜j₄)+f_i]+7}mod 2³²，其中j₄＝i+23mod 32。

SPRR的输出密钥流由4个NRR的输出进行模加来产生：

流密码SPRR的加密方式为：密文C＝P^KS；解密方式为：明文P＝C^KS。

Claims (4)

1.基于并行循环移位寄存器PRR的流密码SPRR，其总体特征是：采用了1个PRR和4个非线性循环移位寄存器NRR，5个寄存器的字长m均为32b(比特)，级数n分别为4、5、4、3、2；其中PRR用于密钥编排来产生4个NRR的初值，而4个NRR的输出进行模加来产生密钥流KS，即

${\mathrm{KS}}_i=(b_{i+5}\&CirclePlus;d_{i+4}\&CirclePlus;e_{i+3}\&CirclePlus;f_{i+2})$

其中i≥0，b_i+5、d_i+4、e_i+3、f_i+2分别为4个NRR的输出，KS_i和b_i+5、d_i+4、e_i+3、f_i+2都是32位数。

2.根据权利要求1所述的流密码SPRR，其采用的非线性循环移位寄存器NRR的特征是：当字长为m比特时，n级NRR采用以下反馈模式由前n个字a_i～a_i+n-1中的首尾2字递推下一个字a_i+n

$a_{i+n}=\{\&lsqb;(a_{i+n-1}<<<j)\&CirclePlus;a_i\&rsqb;+c\}\mathrm{mod}{2}^m$

上式中，i≥0，n≥2，字长m取平台的位数32；模运算mod表示求余数；＜＜＜j表示循环左移j位，j在0～m-1之间循环变化，即j＝i mod m；表示模加；c为1～2^m-1之间的奇数；输入的初始n个字a₀～a_n-1取值都不限，输入的每个字都是任意m比特长的数。

3.根据权利要求1所述的流密码SPRR，其产生密钥流KS的过程用KS＝SPRR(K，IV)表示；其中输入参数K为长度Lk≥16B(字节)的密钥；IV是保密通信中用于抗重放攻击的初始向量，与密钥K等长；对于16B的密钥和32位平台，将密钥K和初值IV表示成4个32位字级联：

K＝(K₀||K₁||K₂||K₃)；IV＝(IV₀||IV₁||IV₂||IV₃)

SPRR算法中PRR的特征是：初值为A₀＝(a₀||a₁||a₂||a₃)＝K^IV；其反馈模式为：

For k＝1 to 19

{先求和：σ_k＝a_kn-1+…+a_kn-nmod 2^m；其中k≥1，n＝4，m＝32；

然后并行计算4个字：For i＝0 to n-1{j＝kn+i；a_j＝[σ_k＜＜＜(j mod m)]+a_j-n+imod 2^m}}。

4.根据权利要求3所述的流密码SPRR，用于产生密钥流KS的4个NRR的特征是：

其初值分别为B₀＝(a_i+64+K₀)||a_i+68||a_i+72||a_i+75||(a_i+77+K₁)；

D₀＝(a_i+65+K₂)||a_i+69||a_i+73||(a_i+76+K₃)；

E₀＝(a_i+66)||(a_i+70)||(a_i+74)；

F₀＝(a_i+67||a_i+71)

对于i≥0，4个NRR的反馈模式分别为

b_i+5＝{[(b_i+4＜＜＜j₁)+b_i]+1}mod 2³²，其中j₁＝i+5 mod 32；

d_i+4＝{[(d_i+3＜＜＜j₂)+d_i]+3}mod 2³²，其中j₂＝i+11 mod 32；

e_i+3＝{[(e_i+2＜＜＜j₃)+e_i]+5}mod 2³²，其中j₃＝i+17 mod 32；

f_i+2＝{[(f_i+1＜＜＜j₄)+f_i]+7}mod 2³²，其中j₄＝i+23 mod 32

SPRR算法的输出密钥流由4个NRR的输出进行模加来产生：