CN106059752A

CN106059752A - 一种基于扩张密文的白盒密码加解密方法

Info

Publication number: CN106059752A
Application number: CN201610531694.0A
Authority: CN
Inventors: 许涛; 武传坤; 薛锐
Original assignee: Institute of Information Engineering of CAS
Current assignee: Institute of Information Engineering of CAS
Priority date: 2016-07-04
Filing date: 2016-07-04
Publication date: 2016-10-26
Anticipated expiration: 2036-07-04
Also published as: CN106059752B

Abstract

本发明公开了一种基于扩张密文的白盒密码加解密方法。本发明包括隐含了伪随机比特流的扩张密文，以及用来解密的n比特到m比特(n>m)的查找表，该查表操作是三个函数的复合：与密钥K相关的n比特输入到n比特输出的一一映射函数F_(K,n→n)、n比特输入到m比特输出的函数C_n→m以及与密钥K相关的m比特输入到m比特输出的一一映射函数F_(K,m→m)。本发明加密时服务器端将伪随机比特流作为掩码与明文结合并置乱，得到扩张密文；解密时通过一次查表操作将n比特密文解密为对应m比特明文。本发明能够明显提高解密效率。

Description

一种基于扩张密文的白盒密码加解密方法

技术领域

本发明属于信息技术领域，涉及一种可应用于智能手机、数字机顶盒等不可信环境中，基于扩张密文的白盒密码加解密方法。

背景技术

传统的密码算法在设计之初总是假设运行于黑盒环境中，即攻击者仅能够观察到算法的输入和输出。然而随着信息技术的发展，这种假设不再成立。当前，各种电子设备随处可得，并能够直接或间接访问互联网，人们获取数字内容的途径越来越多。这些设备包括但不限于数字机顶盒、IPTV、PC以及日益增多的手持装置，例如移动电话、平板电脑等。随着这些设备的智能化，其中的软件所在的运行环境可能是不可信的，设备的合法用户也有可能成为主动攻击者，因此传统的密码算法不再可靠。

例如，服务器端对数字内容进行加密，控制其向合法用户分发。用户终端软件得到密文后，利用密钥进行解密，以得到可以使用的数字内容。然而，由于终端软件运行环境的不安全性，攻击者可以任意观察解密过程，轻易截获密钥并传播给非法用户。这种不可信的软件运行环境被称为白盒环境。在白盒环境中，攻击者对运行环境拥有高权限的控制，除了能够任意观察软件的运行，还可能移植/修改代码、修改运行时的中间结果等。这种对软件直接的攻击被称为白盒攻击。

白盒密码是为了抵抗白盒攻击而提出的一项技术，其概念最早由Stanley Chow等人在“White-box Cryptography and anAES Implementation”(SAC，2002)中提出。Chow等人将AES(高级加密标准)的操作用包含密钥的查找表网络实现，用随机双射对查找表进行编码保护，并通过把密码边界推到包含解密模块的应用中来进一步保护密钥。沿用类似Chow的方法，白盒DES、SM4等相继被提出。然而，所有已公布的针对已有密码算法的白盒化工作都被证明是不够安全的。证明方法都与Alex Biryukov等人在“StructuralCryptanalysis of SASAS”(Journal ofCryptologly，2010)中提出的结构化分析方法类似。

目前，最新的白盒密码研究集中在构造专用的白盒密码。Alex Biryukov等人在“Cryptographic Schemes Based on the ASASA Structure:Black-box,White-box,andPublic-key”(ASIACRYPT，2014)中提出了基于ASASA结构的白盒密码；Andrey Bogdanov等人在“White-box Cryptography Revisited:Space-Hard Ciphers”(22nd ACM SIGSACConference，2015)中提出了名为SPACE的专用分组白盒密码。其中，前者已经被证明是不安全的，因为ASASA结构的查找表已经被成功分解。用SPACE对明文加密时，为了获得良好的密文性质，明文需要经过若干轮的加密处理，相应地，在解密时也需要经过若干轮白盒解密模块的处理，而且每一轮包含若干查表操作，解密速度较慢。

构造专用的白盒密码时，需要满足以下三个安全目标：1.密文安全性；2.密钥不可提取性；3.抗代码移植性。密文安全性是指：密文空间足够大，而且密文满足一定的密码学特性，能够抗黑盒攻击。密钥不可提取性是指：白盒实现的代码由密钥控制生成的，从代码逆推密钥是困难的。抗代码移植性是指：白盒实现必须作为一个整体被使用，不能被修改或者压缩。专用的白盒密码会给出整体代码量可控的策略，代码量的实际大小由实施者根据安全需求和实际应用环境确定。

发明内容

本发明涉及的基于扩张密文的白盒密码系统是一种新型专用白盒密码加解密方法，可被运行于白盒环境中的软件采用，用来抵抗白盒攻击。系统中的白盒实现是位于终端的n比特输入m比特输出(n>m)的查找表，此查找表是由服务器生成然后分发到终端，分发过程可以是网络传输、出厂预置、载体复制等等分发方式。本发明中的解密仅需要一次查表操作，效率高很多。本发明中的密文性质由作为掩码的伪随机比特流保证。

本发明采用的技术方案如下：

一种基于扩张密文的白盒密码加密方法，其步骤为：

1)将m比特明文用映射函数F_(K,m→m)的逆函数进行映射，得到m比特的中间结果A_b；其中，F_(K,m→m)为与密钥K相关的m比特到m比特的映射函数；

2)利用一n-m比特随机数据PRN和函数C_n→m的随机逆函数将该中间结果A_b扩张为n比特；其中，C_n→m为n比特输入到m比特输出函数；随机逆函数为：在函数C_n→m的作用下，一个m比特输出对应有K个n比特原像(即多个n比特原像)，利用伪随机数据PRN从该K个原像中选定一个的过程称为C_n→m的随机逆函数；

3)利用映射函数F_(K,n→n)的逆函数对扩展后的中间结果A_b进行映射，得到密文A_d；其中，为与密钥K相关的n比特到n比特的映射函数。

进一步的，步骤1)中，首先将一向量IV与m比特明文进行计算，得到m比特的中间结果A_a；然后将该中间结果A_a用映射函数F_(K,m→m)的逆函数进行映射，得到m比特的中间结果A_b。

进一步的，该向量IV的长度为m比特，将m比特的初始化向量IV与m比特明文进行异或加计算，得到m比特的中间结果A_a。

进一步的，采用分组加密方法对明文进行加密，其中，m为明文的分组长度，n为密文的分组长度；取第i分组密文中的低m比特数据更新向量IV，重复步骤1)～3)对第i+1分组明文进行加密，直至所有明文分组加密完毕。

进一步的，步骤2)中，将该中间结果A_b扩张为n比特的方法为：将该n-m比特随机数据R和A_b进行联接R||A_b。

一种基于扩张密文的白盒密码解密方法，解密端利用加密端分发的查找表对n比特密文进行查表操作，解密端利用加密端分发的查找表对n比特密文进行查表操作，得到对应的m比特明文；其中，该查找表为三个函数的复合：与密钥K相关的n比特输入到n比特输出的一一映射函数F_(K,n→n)、n比特输入到m比特输出的函数C_n→m以及与密钥K相关的m比特输入到m比特输出的一一映射函数F_(K,m→m)。

进一步的，该n比特密文为加密端将一向量IV与m比特明文进行计算后进行加密的密文，解密端将得到的该m比特明文与该向量IV进行计算得到最终的明文。

进一步的，该向量IV的长度为m比特，解密端将该m比特向量IV与该m比特明文进行异或加计算，得到最终的明文。

进一步的，该密文为采用分组加密方法对明文进行加密得到的密文，其中，m为明文的分组长度，n为密文的分组长度；解密端用第i分组密文的低m比特数据更新该向量IV，与对第i+1分组密文解密后的m比特明文进行异或加计算，直至所有密文分组解密完毕。

本发明提供的一种白盒密码系统，用于在给定密钥的情况下执行将输入消息映射到输出消息的密码操作，其特征在于，所述系统包括：隐含了伪随机比特流的扩张密文，以及用来解密的n比特到m比特(n>m)的查找表。

进一步地，服务器端将伪随机比特流作为掩码与明文结合并置乱，得到扩张密文，其中的置乱操作与密钥相关。

进一步地，用来完成解密操作的查找表是一个与密钥相关的映射，其作用是去掉密文中的掩码信息。

进一步地，m和n被设置为安全参数，根据该安全参数控制白盒密码实现的代码规模和复杂程度。

—种将伪随机比特流应用于白盒密码的方法，用于在给定密钥的情况下执行将输入消息映射到输出消息的密码操作，其中伪随机比特流作为掩码影响密文的密码特性，负责解密的是暴露在白盒环境的查找表。

与现有技术相比，本发明的有益效果如下：

1.本发明提供了一种基于扩张密文的白盒密码方法，特点是如图5所示的白盒密码系统，其中明文的分组长度m，密文的分组长度n(n>m)。在终端的白盒密码实现中，仅包含一个n比特到m比特的查找表，结构简洁，易于实现。

2.目前已公布的白盒密码，为了获得良好的密文性质，明文需要经过若干轮的加密处理。相应地，在解密时，密文需要经过若干轮白盒解密模块的处理，解密速度较慢。例如：SPACE中，轮数最少的方案也要128个查找表。而本发明中的解密操作，仅需要1次查表，速度较快，因而能够明显提高解密效率。

3.本发明提供了一种根据安全需求控制系统规模和复杂程度的手段：将m和n作为安全参数，在实际实施时确定。

附图说明

图1示出了终端查找表的构造；

(a)为传统查找表，(b)本发明的查找表；

图2示出了将伪随机比特流作为掩码得到扩张密文的操作；

图3示出了服务器端的完整加密过程；

图4示出了终端的解密过程；

图5示出了基于扩张密文的白盒密码系统的整体结构；

图6示出了本发明涉及的一个白盒密码系统的实例。

具体实施方式

利用隐含密钥的查找表对数据流进行操作，是目前设计白盒密码的基本方法：如图1(a)所示，F_(K,n→n)是一个与密钥K相关的n比特到n比特的一一映射，将其用查找表101表达出来后，攻击者很难由查找表逆推出K或者与F_(K,n→n)等价的函数关系。101可以是单个查找表，也可以是一组查找表的组合。

在系统实施时，服务器端利用F_(K,n→n)的逆函数对数据进行加密，而终端(运行于白盒环境)则利用查找表解密。考虑到查找表的构造效率和服务器端的计算资源限制(多用户的情况下，不能为每个用户都以查找表的形式存储密钥)，查找表由相对简单的函数关系叠加生成。

AlexBiryukov等人利用密钥相关的ASASA型结构构造查找表(见背景技术)，即F_(K,n→n)由密钥相关的A(扩散层)和S(代换层)交替叠加而成，设计了一种专用分组白盒密码方案。但是他们的方法很快就被证明是不安全的。ASASA结构的查找表被成功分解的基础是能够利用n比特输入和n比特输出之间的关系建立方程组。如果查找表被设计为n比特输入对应m比特输出(n>m)，则攻击者很难再沿用已有的方法进行攻击。

本发明涉及的基于扩张密文的白盒密码系统，白盒实现部分是位于终端的单个n比特到m比特(n>m)的查找表以及利用查找表进行解密的过程。查找表的构造方法如图1(b)中的102所示，一次查表操作是三个函数的复合：与密钥K相关的n比特输入到n比特输出的一一映射函数F_(K,n→n)、n比特输入到m比特输出的函数C_n→m以及与密钥K相关的m比特输入到m比特输出的一一映射函数F_(K,m→m)。

查找表在服务器端生成，然后被分发给终端。分发方式可以是网络传输、终端设备出厂预置、用U盘等载体传送等等。当查找表被构建好后，原来的函数关系被隐藏。在终端仅能看到查找表，而看不到显式的函数关系。

在实际实施时，F_(K,n→n)和F_(K,m→m)的构造可以采用密钥相关的A和S交替叠加的方法，或者其他方法，只要保证其分别是“n-bit到n-bit的可逆映射”、“m-bit到m-bit的可逆映射”即可。这2个函数是秘密的，其显式逻辑关系(逆函数)只在服务器端进行加密操作时被使用。F_(K,n→n)和F_(K,m→m)的具体实现不是本发明的重点，因而本发明中不描述其具体实现。

C_n→m的实现也可以有多种选择，可以是秘密的也可以是公开的。服务器端加密时利用C_n→m的随机逆函数。随机逆函数的定义为：在C_n→m的作用下，一个输出(m比特)的原像(n比特)有K个，利用伪随机数据PRN，从K个原像中选定一个，这个过程称为C_n→m的随机逆函数，记作比如n＝2m，C_n→m是将n比特输入数据中的高m比特与低m比特异或加，得到m比特输出；相应地，是从伪随机比特流生成器PRNG(201)中获得n-m＝m比特数据PRN，将其与m比特输入异或加后，将结果补到PRN的高位，得到扩张后的n比特数据。为了表述方便，以下我们以截断函数举例说明，即C_n→m是仅保留n比特输入数据的低m比特为输出数据，高位的n-m比特被抛弃。

本系统加解密的概要过程如下：首先，如图2所示，服务器端的加密操作为(ο表示函数的复合，即fοg(x)＝f(g(x)))，该操作可被视作终端查表操作的逆操作，其中是截断函数C_n→m的随机逆函数，即从伪随机比特流生成器PRNG(201)中获得n–m比特数据PRN，补到m比特输入数据的高位，将m比特数据扩张为n比特数据。加密操作的结果是将每次获得的n–m比特伪随机数据作为掩码，获得扩张后的密文。终端的解密过程则是利用查找表去掉这个掩码的过程。

服务器端的完整加密过程如图3所示。为了让加密后的数据具有更好的密文性质，我们采用类似分组密码的CBC模式。m比特的初始化向量IV与首m比特明文异或加，将结果进行如图2的加密操作，得到n比特的密文。将密文的低m比特数据反馈给对下一组m比特明文加密的过程，取代IV的位置。在实际实施时，也可以采用其他密文反馈的方法。加密过程描述如下：

1.m比特的初始化向量IV与m比特明文异或加，得到m比特的中间结果A_a；

2.将A_a用F_(K,m→m)的逆函数作用，得到m比特的中间结果A_b；

3.从PRN获得n-m比特随机数据R，将步骤2.的结果扩张为n比特，即R和A_b的联接R||A_b，该过程记为

4.利用由R||A_b得到密文A_d；

5.用A_d中的低m比特数据更新IV，重复1.至4.，对下一明文分组进行加密，直至所有明文分组加密完毕。

注：对相同明文的加密，由于伪随机比特流的不同，加密结果也会不同，但解密时，会得到相同的密文。

终端的解密过程如图4所示。首n比特的密文经过一次查表操作后，得到m比特输出，将其与m比特的初始化向量IV异或加(服务器端将m比特的初始化向量IV分发给终端；如果服务器和终端约定将第一个分组的明文抛弃，这时候服务器可以不将IV发送给终端)，得到明文。在对接下来n比特密文解密的过程中，前n比特密文的低m比特取代IV的位置。解密过程描述如下：

1.输入为n比特的密文，利用查找表，得到输出为m比特的中间结果A_a；

2.将A_a与IV异或加，得到明文A_b；

3.用密文的低m比特数据更新IV，重复1.和2.，对下一密文分组进行解密，直至所有密文分组解密完毕。

本发明涉及的基于扩张密文的白盒密码系统的整体结构如图5所示。501是位于服务器端的加密过程，502是位于终端的解密过程。在加密过程中，伪随机比特流的性质能够影响最终的密文性质，使得密文能够抵抗黑盒攻击。伪随机比特流的实现可以选用现有的流密码算法，ZUC、RC4和SEAL等。

以下是本发明的一个简单实例，用来详细解释加解密过程：

m＝2，n＝3，F_(001,3→3)(x)＝x+001，x是3比特输入；C_3→2(x)，输入为3比特数据x，输出为x的低2比特数据，例如：输入x＝010，输出为10；F_(01,2→2)(x)＝x+01，x是2比特输入。常数项01和001是密钥。查找表L为这3个函数的复合具体数据如下：

输入	输出
		000	00
001	01
		010	10
011	11
		100	00
101	01
		110	10
111	11

查找表生成后，被分发给终端。注：本实例中的函数关系非常简单，仅用来举例说明加解密过程，未考虑加密强度。

加密过程：明文为8个比特01 11 01 10(每2比特一组)，初始化向量IV＝11，PRN是一个伪随机比特流的发生器。

1.明文分组01与IV＝11异或加，得到10；

2.利用F_(01,2→2)的逆函数由1.的结果10得到11；

3.从PRN获得3-2＝1比特随机数据，假设为0。将0与02.的结果联接，扩张为011，该过程记为

4.利用由3.的结果011得到密文010；

5.用4.结果010中的低2比特数据10更新IV，重复1.至4.，对下一明文分组进行加密，直至所有明文分组加密完毕。

假设加密时获得的伪随机比特流为0110，则最终获得的密文为010 101 100 010，共12个比特(每3比特一组)。

解密过程：从服务器端得到密文010 101 100 010和初始化向量IV＝11

1.输入为密文010，利用查找表L，得到输出为10；

2.将1.的输出10与IV异或加，得到明文01；

3.用1.中密文010的低2比特数据10更新IV，重复1.和2.，对下一密文分组进行解密，直至所有密文分组解密完毕。

最后得到的明文为01 11 01 10。

在实际实施时，m和n可根据需求灵活选择。可粗略地认为，m固定时，n越大，安全程度越高。查找表占用的存储空间为2ⁿ·m比特。当需要抵抗代码移植时，也可以通过调整n和m的大小，来控制代码规模。代码规模越大，抵抗代码移植的能力越强。在我们的示例中，终端的白盒实现部分是一个查找表，在系统实际实施时，也可以在终端部署多个同样结构的查找表。

图6展示了本发明的实施实例。该实例是一个付费数字媒体系统，包括服务器端610和一个终端(媒体播放器)620。服务器端将数字内容(WAV、MP3、WMA、AVI、JPEG、MPEG-1、MPEG-2、MPEG-4等格式)用图3所述的方法加密，并分发给合法的终端。分发途径可以通过通信接口625或介质626(例如CD、DVD或U盘)。

终端获得密文形式的数字内容后，用预先内置在存储器622中的安全播放软件播放。该软件不仅需要对数字内容进行解码，还需要先利用白盒密码模块对加密的数字内容进行解密。白盒密码模块包括本发明涉及的查找表和相应的解密操作。处理器621可以接受来自用户的输入，来确定需要播放的内容，并将解密解码后的内容呈现在显示器(或音箱)624上。

本发明可以扩展应用至所有适于实施本发明的计算机程序。该程序可以具有源代码、目标代码和部分编译的目标代码等形式。程序的载体可以是能够携带该程序的任何实体或装置，包括：ROM等存储介质、Internet等信息通道传输的信号和嵌入了程序的集成电路等。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims

1.一种基于扩张密文的白盒密码加密方法，其步骤为：

2)利用一n-m比特随机数据PRN和函数C_n→m的随机逆函数将该中间结果A_b扩张为n比特；其中，C_n→m为n比特输入到m比特输出函数；随机逆函数为：在函数C_n→m的作用下，一个m比特输出对应有K个n比特原像，利用伪随机数据PRN从该K个原像中选定一个的过程称为C_n→m的随机逆函数；

2.如权利要求1所述的方法，其特征在于，步骤1)中，首先将一向量IV与m比特明文进行计算，得到m比特的中间结果A_a；然后将该中间结果A_a用映射函数F_(K,m→m)的逆函数进行映射，得到m比特的中间结果A_b。

3.如权利要求2所述的方法，其特征在于，该向量IV的长度为m比特，将m比特的初始化向量IV与m比特明文进行异或加计算，得到m比特的中间结果A_a。

4.如权利要求1或2或3所述的方法，其特征在于，采用分组加密方法对明文进行加密，其中，m为明文的分组长度，n为密文的分组长度；取第i分组密文中的低m比特数据更新向量IV，重复步骤1)～3)对第i+1分组明文进行加密，直至所有明文分组加密完毕。

5.如权利要求1或2或3所述的方法，其特征在于，步骤2)中，将该中间结果A_b扩张为n比特的方法为：将该n-m比特随机数据R和A_b进行联接R||A_b。

6.一种基于扩张密文的白盒密码解密方法，其特征在于，解密端利用加密端分发的查找表对n比特密文进行查表操作，得到对应的m比特明文；其中，该查找表为三个函数的复合：与密钥K相关的n比特输入到n比特输出的一一映射函数F_(K,n→n)、n比特输入到m比特输出的函数C_n→m以及与密钥K相关的m比特输入到m比特输出的一一映射函数F_(K,m→m)。

7.如权利要求6所述的方法，其特征在于，该n比特密文为加密端将一向量IV与m比特明文进行计算后进行加密的密文，解密端将得到的该m比特明文与该向量IV进行计算得到最终的明文。

8.如权利要求7所述的方法，其特征在于，该向量IV的长度为m比特，解密端将该m比特向量IV与该m比特明文进行异或加计算，得到最终的明文。

9.如权利要求8所述的方法，其特征在于，该密文为采用分组加密方法对明文进行加密得到的密文，其中，m为明文的分组长度，n为密文的分组长度；解密端用第i分组密文的低m比特数据更新该向量IV，与对第i+1分组密文解密后的m比特明文进行异或加计算，直至所有密文分组解密完毕。