CN1617493A - 基于群复合轮函数和128比特分组的对称密钥加密方法 - Google Patents

Abstract

密码学、计算机科学。利用模加、模乘和异或运算的性质算设计一个对称密钥密码体制，密钥长度和明文分组长度均为128比特，加密子密钥与解密子密钥源自同一个密钥。加密时，通过加密子密钥、迭代运算(即轮函数)和输出变换把明文转换成密文；解密时，通过解密子密钥以及同样的迭代运算和输出变换把密文还原成明文。本方法可以和公开密钥密码体制结合起来使用，可用于计算机或通信网络中任何文件、数据的保密存储或传输。

Description

基于群复合轮函数和128比特分组的对称密钥加密方法

1、技术领域

属于密码学和计算机科学。

2、现有技术

在电子商务、电子政务及网络通信中一般采用混合加密技术，即利用对称密钥密码体制来加密明文，然后再用公开密钥密码体制来加密对称密钥。这充分利用了两种体制的优点。目前，普遍使用的对称密钥密码体制有：(1)DES体制；(2)FEAL体制；(3)IDEA体制；(4)MMB体制；(5)GOST体制；(6)RC5体制(参见《应用密码学》，美国BruceSchneier著，吴世忠、祝世雄等译，机械工业出版社，2000年1月)。

上述体制中，DES、FEAL、MMB和RC5体制已被分析为不安全或已有不安全的报道(参见《应用密码学》)。IDEA密钥长度为128比特，明文分组长度为64比特，GOST密钥长度为256比特，分组长度为64比特，由于后两者分组长度仅为64比特，不符合正逐渐被采纳的128比特的高级加密标准AES(Advanced Encryption Standard)，且安全性受到越来越快的计算机速度的挑战(参见《密码学与计算机网络安全》，卿斯汉，清华大学出版社，2001年07月)。

3、发明的目的

本发明是一种基于轮函数和128比特分组的对称密钥加密方法(简称REESSE对称密钥密码体制)，可用于计算机网络和通信网络中字符、文字、图像和声音等各种文件和数据的加密和解密，以确保文件和数据的保密存储和保密传输。

4、内容

4.1 REESSE对称密钥密码体制的描述

在下文中：

(+)异或运算，代表两个16比特的数据子块做逐位模2加法运算。

⊙模乘运算，代表两个16比特的整数做模(2¹⁶+1)乘法运算。

[+]模加运算，代表两个16比特的整数做模2¹⁶加法运算。

它们分别代表三个群上的三种运算。

REESSE对称密钥密码体制的加密与解密操作采用相同的方法，且加密子密钥与解密子密钥也源自同一个密钥，只是两者互逆，即加密和解密操作使用同一个密钥，这正是“对称”的由来。

REESSE对称密钥密码体制是实现密码芯片、密码机等产品所必须遵循的一种基本原理与技术方法，而不是物理产品本身。本发明的技术性体现在对计算机或通信网络中的文件与数据做了编码上的改变。

REESSE对称密钥密码体制的加密或解密操作由子密钥生成、迭代运算(即轮函数)和输出变换三部分组成。加密或解密时，明文或密文按128比特进行分组。

4.1.1加密操作

设PT为128比特的明文分组，K为128比特的密钥。

(1)加密子密钥生成

128比特的密钥K按排列顺序分为8个子密钥，每个子密钥16比特，初始时，令这8个子密钥分别为Z₁ ⁽¹⁾、Z₂ ⁽¹⁾、Z₃ ⁽¹⁾、Z₄ ⁽¹⁾、Z₅ ⁽¹⁾、Z₆ ⁽¹⁾、Z₇ ⁽¹⁾和Z₈ ⁽¹⁾(上标表示迭代轮次)，作为迭代的第一轮密钥输入。下一轮迭代时，先将密钥K整体左环移25(或29)比特，再按排列顺序分为8个子密钥，作为下一轮迭代的密钥输入。依此类推，得到8轮迭代和最后输出变换的加密子密钥如下：

轮次    加密子密钥

R1      Z₁ ⁽¹⁾  Z₂ ⁽¹⁾  Z₃ ⁽¹⁾  Z₄ ⁽¹⁾  Z₅ ⁽¹⁾  Z₆ ⁽¹⁾  Z₇ ⁽¹⁾  Z₈ ⁽¹⁾

R2      Z₁ ⁽²⁾  Z₂ ⁽²⁾  Z₃ ⁽²⁾  Z₄ ⁽²⁾  Z₅ ⁽²⁾  Z₆ ⁽²⁾  Z₇ ⁽²⁾  Z₈ ⁽²⁾

R3      Z₁ ⁽³⁾  Z₂ ⁽³⁾  Z₃ ⁽³⁾  Z₄ ⁽³⁾  Z₅ ⁽³⁾  Z₆ ⁽³⁾  Z₇ ⁽³⁾  Z₈ ⁽³⁾

R4      Z₁ ⁽⁴⁾  Z₂ ⁽⁴⁾  Z₃ ⁽⁴⁾  Z₄ ⁽⁴⁾  Z₅ ⁽⁴⁾  Z₆ ⁽⁴⁾  Z₇ ⁽⁴⁾  Z₈ ⁽⁴⁾

R5      Z₁ ⁽⁵⁾  Z₂ ⁽⁵⁾  Z₃ ⁽⁵⁾  Z₄ ⁽⁵⁾  Z₅ ⁽⁵⁾  Z₆ ⁽⁵⁾  Z₇ ⁽⁵⁾  Z₈ ⁽⁵⁾

R6      Z₁ ⁽⁶⁾  Z₂ ⁽⁶⁾  Z₃ ⁽⁶⁾  Z₄ ⁽⁶⁾  Z₅ ⁽⁶⁾  Z₆ ⁽⁶⁾  Z₇ ⁽⁶⁾  Z₈ ⁽⁶⁾

R7      Z₁ ⁽⁷⁾  Z₂ ⁽⁷⁾  Z₃ ⁽⁷⁾  Z₄ ⁽⁷⁾  Z₅ ⁽⁷⁾  Z₆ ⁽⁷⁾  Z₇ ⁽⁷⁾  Z₈ ⁽⁷⁾

R8      Z₁ ⁽⁸⁾  Z₂ ⁽⁸⁾  Z₃ ⁽⁸⁾  Z₄ ⁽⁸⁾  Z₅ ⁽⁸⁾  Z₆ ⁽⁸⁾  Z₇ ⁽⁸⁾  Z₈ ⁽⁸⁾

输出    Z₁ ⁽⁹⁾  Z₂ ⁽⁹⁾  Z₃ ⁽⁹⁾  Z₄ ⁽⁹⁾  Z₅ ⁽⁹⁾  Z₆ ⁽⁹⁾  Z₇ ⁽⁹⁾  Z₈ ⁽⁹⁾

(2)将128比特的明文分组划分为8个数据子块，每个子块16比特，初始时，令这8个子块分别为X₁、X₂、X₃、X₄、X₅、X₆、X₇和X₈，作为迭代的第一轮输入

(3)令i＝1

(4)迭代运算

A＝X₁⊙Z₁ ⁽ⁱ⁾， B＝X₂[+]Z₂ ⁽ⁱ⁾，C＝X₃[+]Z₃ ⁽ⁱ⁾，D＝X₄⊙Z₄ ⁽ⁱ⁾

E＝X₅[+]Z₅ ⁽ⁱ⁾，F＝X₆⊙Z₆ ⁽ⁱ⁾， G＝X₇⊙Z₇ ⁽ⁱ⁾， H＝X₈[+]Z₈ ⁽ⁱ⁾

I＝A(+)C，       J＝B(+)D，        K＝E(+)G，       L＝F(+)H

M＝I⊙J，        N＝K[+]M，        S＝L⊙N，        P＝M[+]S

U＝I[+]S，       T＝L⊙P

X₁＝A(+)P，     X₃＝C(+)P，      X₅＝E(+)T，    X₇＝G(+)T

X₂＝B(+)U，     X₄＝D(+)U，      X₆＝F(+)S，    X₈＝H(+)S

(5)i＝i+1，如果i≤8，则X₂与X₃互换、X₆与X₇互换，并转至(4)，否则，下一步

(6)输出变换

Y₁＝X₁⊙Z₁ ⁽⁹⁾，Y₂＝X₂[+]Z₂ ⁽⁹⁾，Y₃＝X₃[+]Z₃ ⁽⁹⁾，Y₄＝X₄⊙Z₄ ⁽⁹⁾

Y₅＝X₅[+]Z₅ ⁽⁹⁾，Y₆＝X₆⊙Z₆ ⁽⁹⁾，Y₇＝X₇⊙Z₇ ⁽⁹⁾，Y₈＝X₈[+]Z₈ ⁽⁹⁾

(7)连接Y₁、Y₂、Y₃、Y₄、Y₅、Y₆、Y₇和Y₈，得到128比特的密文分组CT。

4.1.2解密操作

设CT为128比特的密文分组，K为128比特的密钥，Z_i为16比特的子密钥。

用Z_i ^-1表示Z_i的乘法逆，即Z_i⊙Z_i ^-1mod(2¹⁶+1)＝1

用(-Z_i)表示Z_i的加法逆，即Z_i[+](-Z_i)mod2¹⁶＝0

特别，对于mod(2¹⁶+1)乘法，2¹⁶的逆仍是2¹⁶。由于2¹⁶的低16位全是0，所以，用全0子分组代表2¹⁶本身及其逆，也就是说0的乘法逆仍是0。

(1)解密子密钥生成

首先按加密子密钥生成方法从K得到加密子密钥，然后，根据加密子密钥的逆得到下列解密子密钥：

轮次    解密子密钥

R1      Z₁ ^(9)-1  -Z₂ ⁽⁹⁾  -Z₃ ⁽⁹⁾  Z₄ ^(9)-1  -Z₅ ⁽⁹⁾  Z₆ ^(9)-1  Z₇ ^(9)-1  -Z₈ ⁽⁹⁾

R2      Z₁ ^(8)-1  -Z₃ ⁽⁸⁾  -Z₂ ⁽⁸⁾  Z₄ ^(8)-1  -Z₅ ⁽⁸⁾  Z₇ ^(8)-1  Z₆ ^(8)-1  -Z₈ ⁽⁸⁾

R3      Z₁ ^(7)-1  -Z₃ ⁽⁷⁾  -Z₂ ⁽⁷⁾  Z₄ ^(7)-1  -Z₅ ⁽⁷⁾  Z₇ ^(7)-1  Z₆ ^(7)-1  -Z₈ ⁽⁷⁾

R4      Z₁ ^(6)-1  -Z₃ ⁽⁶⁾  -Z₂ ⁽⁶⁾  Z₄ ^(6)-1  -Z₅ ⁽⁶⁾  Z₇ ^(6)-1  Z₆ ^(6)-1  -Z₈ ⁽⁶⁾

R5      Z₁ ^(5)-1  -Z₃ ⁽⁵⁾  -Z₂ ⁽⁵⁾  Z₄ ^(5)-1  -Z₅ ⁽⁵⁾  Z₇ ^(5)-1  Z₆ ^(5)-1  -Z₈ ⁽⁵⁾

R6      Z₁ ^(4)-1  -Z₃ ⁽⁴⁾  -Z₂ ⁽⁴⁾  Z₄ ^(4)-1  -Z₅ ⁽⁴⁾  Z₇ ^(4)-1  Z₆ ^(4)-1  -Z₈ ⁽⁴⁾

R7      Z₁ ^(3)-1  -Z₃ ⁽³⁾  -Z₂ ⁽³⁾  Z₄ ^(3)-1  -Z₅ ⁽³⁾  Z₇ ^(3)-1  Z₆ ^(3)-1  -Z₈ ⁽³⁾

R8      Z₁ ^(2)-1  -Z₃ ⁽²⁾  -Z₂ ⁽²⁾  Z₄ ^(2)-1  -Z₅ ⁽²⁾  Z₇ ^(2)-1  Z₆ ^(2)-1  -Z₈ ⁽²⁾

输出    Z₁ ^(1)-1  -Z₂ ⁽¹⁾  -Z₃ ⁽¹⁾  Z₄ ^(1)-1  -Z₅ ⁽¹⁾  Z₆ ^(1)-1  Z₇ ^(1)-1  -Z₈ ⁽¹⁾

(2)将128比特的密文分组划分为8个数据子块，每个子块16比特，初始时，令这8个子块分别为X₁、X₂、X₃、X₄、X₅、X₆、X₇和X₈，作为迭代的第一轮输入

(3)令i＝1

(4)迭代运算

A＝X₁⊙(Z₁ ^(10-i))^-1，B＝X₂[+](-Z₂ ^(10-i))，C＝X₃[+](-Z₃ ^(10-i))，D＝X₄⊙(Z₄ ^(10-i))^-1

E＝X₅[+](-Z₅ ^(10-i))， F＝X₆⊙(Z₆ ^(10-i))^-1,G＝X₇⊙(Z₇ ^(10-i))^-1,H＝X₈[+](-Z₈ ^(10-i))

I＝A(+)C，             J＝B(+)D，             K＝E(+)G，            L＝F(+)H

M＝I⊙J，              N＝K[+]M，             S＝L⊙N，             P＝M[+]S

U＝I[+]S，             T＝L⊙P

X₁＝A(+)P，           X₃＝C(+)P，           X₅＝E(+)T，         X₇＝G(+)T

X₂＝B(+)U，           X₄＝D(+)U，           X₆＝F(+)S，         X₈＝H(+)S

(5)i＝i+1，如果i≤8，则X₂与X₃互换、X₆与X₇互换，且-Z₂ ^(10-i)与-Z₃ ^(10-i)互换、Z₆ ^(10-i)-1与Z₇ ^(10-i)-1互换，然后转至(4)，否则，下一步

(6)输出变换

Y₁＝X₁⊙(Z₁ ⁽¹⁾)^-1，Y₂＝X₂[+](-Z₂ ⁽¹⁾)，Y₃＝X₃[+](-Z₃ ⁽¹⁾)，Y₄＝X₄⊙(Z₄ ⁽¹⁾)^-1

Y₅＝X₅[+](-Z₅ ⁽¹⁾)，Y₆＝X₆⊙(Z₆ ⁽¹⁾)^-1，Y₇＝X₇⊙(Z₇ ⁽¹⁾)^-1，Y₈＝X₈[+](-Z₈ ⁽¹⁾)

(7)连接Y₁、Y₂、Y₃、Y₄、Y₅、Y₆、Y₇和Y₈，得到128比特的原明文分组PT。

4.2  REESSE对称密钥密码体制的正确性证明

假设在输出变换之前只有一轮迭代运算(这并不影响密码方法的正确性，因为只要证明轮函数是可逆的即可)。

按照4.2.1加密方法，明文子块X_i和密钥K作为输入，加密的迭代运算如下：

(01)A＝X₁⊙Z₁ ⁽¹⁾                   (02)B＝X₂[+]Z₂ ⁽¹⁾

(03)C＝X₃[+]Z₃ ⁽¹⁾                  (04)D＝X₄⊙Z₄ ⁽¹⁾

(05)E＝X₅[+]Z₅ ⁽¹⁾                  (06)F＝X₆⊙Z₆ ⁽¹⁾

(07)G＝X₇⊙Z₇ ⁽¹⁾                   (08)H＝X₈[+]Z₈ ⁽¹⁾

(09)I＝A(+)C                         (10)J＝B(+)D

(11)K＝E(+)G                         (12)L＝F(+)H

(13)M＝I⊙J                          (14)N＝K[+]M

(15)θ＝L⊙N                         (16)P＝M[+]θ

(17)λ＝I[+]θ                                                (18)δ＝L⊙P

(19)Q＝A(+)P                         (20)R＝C(+)P

(21)S＝E(+)δ                                                  (22)T＝G(+)δ

(23)U＝B(+)λ                                                  (24)V＝D(+)λ

(25)W＝F(+)θ                                                  (26)ψ＝H(+)θ

加密的输出变换如下(注意，因为只有一轮，迭代结果不做交换)：

(01)Y₁＝Q⊙Z₁ ⁽²⁾                   (02)Y₂＝U[+]Z₂ ⁽²⁾

(03)Y₃＝R[+]Z₃ ⁽²⁾                  (04)Y₄＝V⊙Z₄ ⁽²⁾

(05)Y₅＝S[+]Z₅ ⁽²⁾                  (06)Y₆＝W⊙Z₆ ⁽²⁾

(07)Y₇＝T⊙Z₇ ⁽²⁾                   (08)Y₈＝ψ[+]Z₈ ⁽²⁾

按照4.2.2解密方法，密文子块Y_i和密钥K作为输入，解密的迭代运算如下：

(01)A’＝Y₁⊙(Z₁ ⁽²⁾)^-1＝Q         (02)B’＝Y₂[+](-Z₂ ⁽²⁾)＝U

(03)C’＝Y₃[+](-Z₃ ⁽²⁾)＝R          (04)D’＝Y₄⊙(Z₄ ⁽²⁾)^-1＝V

(05)E’＝Y₅[+](-Z₅ ⁽²⁾)＝S          (06)F’＝Y₆⊙(Z₆ ⁽²⁾)^-1＝W

(07)G’＝Y₇⊙(Z₇ ⁽²⁾)^-1＝T         (08)H’＝Y₈[+](-Z₈ ⁽²⁾)＝ψ

(09)I’＝A’(+)C’＝Q(+)R＝A(+)C＝I

(10)J’＝B’(+)D’＝U(+)V＝B(+)D＝J

(11)K’＝E’(+)G’＝S(+)T＝E(+)G＝K

(12)L’＝F’(+)H’＝W(+)ψ＝F(+)H＝L

(13)M’＝I’⊙J’＝I⊙J＝M              (14)N’＝K’[+]M’＝K[+]M＝N

(15)θ’＝L’⊙N’＝L⊙N＝θ                          (16)P’＝M’[+]θ’＝M[+]θ＝P

(17)λ’＝I’[+]θ’＝I[+]θ＝λ                  (18)δ’＝L’⊙ P’＝L⊙P＝δ

(19)Q’＝A’(+)P’＝Q(+)P＝A(+)P(+)P＝A

(20)R’＝C’(+)P’＝R(+)P＝C(+)P(+)P＝C

(21)S’＝E’(+)δ’＝S(+)δ＝E(+)δ(+)δ＝E

(22)T’＝G’(+)δ’＝T(+)δ＝G(+)δ(+)δ＝G

(23)U’＝B’(+)λ’＝U(+)λ＝B(+)λ(+)λ＝B

(24)V’＝D’(+)λ’＝V(+)λ＝D(+)λ(+)λ＝D

(25)W’＝F’(+)θ’＝W(+)θ＝F(+)θ(+)θ＝F

(26)ψ’＝H’(+)θ’＝ψ(+)θ＝H(+)θ(+)θ＝H

解密的输出变换(注意，因为只有一轮，迭代结果不做交换)：

(01)Y₁’＝Q’⊙(Z₁ ⁽¹⁾)^-1＝A⊙(Z₁ ⁽¹⁾)^-1＝X₁

(02)Y₂’＝U’[+](-Z₂ ⁽¹⁾)＝B[+](-Z₂ ⁽¹⁾)＝X₂

(03)Y₃’＝R’[+](-Z₃ ⁽¹⁾)＝C[+](-Z₃ ⁽¹⁾)＝X₃

(04)Y₄’＝V’⊙(Z₄ ⁽¹⁾)^-1＝D⊙(Z₄ ⁽¹⁾)^-1＝X₄

(05)Y₅’＝S’[+](-Z₅ ⁽¹⁾)＝E[+](-Z₅ ⁽¹⁾)＝X₅

(06)Y₆’＝W’⊙(Z₆ ⁽¹⁾)^-1＝F⊙(Z₆ ⁽¹⁾)^-1＝X₆

(07)Y₇’＝T’⊙(Z₇ ⁽¹⁾)^-1＝G⊙(Z₇ ⁽¹⁾)^-1＝X₇

(08)Y₈’＝ψ’[+](-Z₈ ⁽¹⁾)＝H[+](-Z₈ ⁽¹⁾)＝X₈

解密后，得到原来的明文数据块，所以，4.2节的加密、解密方法是正确的。

4.3 REESSE对称密钥密码体制的安全性

REESSE对称体制在设计上遵循了“混乱”和“扩散”的原则。

REESSE对称体制的轮函数核心部分包含三个“模乘”运算和三个“模加”运算，比较复杂。轮函数越复杂，比特的扩散就越快，混乱就越无特征，差分密码分析方法就越无效。

REESSE对称体制的混乱和扩散是在128比特范围内进行，而不是在64比特范围内进行，由于范围变大，迭代的r-轮特征将得到稀释，所以，差分密码分析的难度将增大。

4.4优点和积极效果

4.4.1安全性好

由4.3节知，REESSE对称体制具有良好的安全性。

4.4.2运算速度快

REESSE对称体制一次加密128比特的明文，减少了分组调用时间，所以，比起明文分组为64比特的算法来速度更快。另外，REESSE对称体制只涉及到16比特的异或运算、模加运算和模乘运算，而这些运算属于基本运算，因此实现起来速度都很快。

4.4.3对信息安全有利

在信息网络化时代与经济全球化时代，开发拥有自主知识产权的对称密钥密码体制对国家信息安全与经济安全都是有好处的。对称密钥密码体制与公开密钥密码体制结合起来使用，能有效地保证各种重要信息的动态传输安全与静态存储安全。

5、附图说明

附图中：

(+)异或运算，代表两个16比特的数据子块做逐位模2加法运算。

⊙模乘运算，代表两个16比特的整数做模(2¹⁶+1)乘法运算。

[+]模加运算，代表两个16比特的整数做模2¹⁶加法运算。

(+)、⊙、[+]等每个运算符有两个输入数，一个输出数。指向运算符的箭头代表两个输入数的来源，指出运算符的箭头代表输出数的去向。

其中，X_i(i从1到8)为16比特的明文输入子块、Y_i为16比特的密文输出子块，Z_i ^(j)(上标表示迭代轮次)为16比特的密钥子块。Z_i ⁽⁹⁾以上部分为迭代运算(即轮函数)部分，图中画出了第1轮迭代，其余7轮迭代与第1轮迭代相同，被省略了。加密操作由8轮迭代运算和一个输出变换组成，每一轮的迭代过程如图中所示。解密操作采用与加密操作相同的方法，且解密子密钥与加密子密钥也源自同一个密钥，只是两者互逆。

6、实现方式

REESSE对称密钥密码体制可以由数字逻辑电路或计算机程序来实现。在产品形态上可以是纯粹的数字逻辑电路做成的密码芯片，或者由数字逻辑电路加固化程序做成的密码芯片，或者由计算机硬件加软件组成的密码机等。本发明是一种生产上述密码系统或产品所必须遵循的基本原理与技术方法，而不是物理产品本身。

Claims (1)

1、一种兼有模加、模乘和异或运算的对称密钥加密方法，由子密钥生成、迭代运算(即轮函数)和输出变换三部分组成，密钥长度和明文分组长度均为128比特，加密与解密操作采用相同的方法，且加密子密钥与解密子密钥也源自同一个密钥，只是两者互逆，其特征在于

●加密操作采用了下列步骤：

设PT为128比特的明文分组，K为128比特的密钥

(1)加密子密钥生成

128比特的密钥K按排列顺序分为8个子密钥，每个子密钥16比特，初始时，令这8个子密钥分别为Z₁ ⁽¹⁾、Z₂ ⁽¹⁾、Z₃ ⁽¹⁾、Z₄ ⁽¹⁾、Z₅ ⁽¹⁾、Z₆ ⁽¹⁾、Z₇ ⁽¹⁾和Z₈ ⁽¹⁾(上标表示迭代轮次)，作为迭代的第一轮密钥输入。下一轮迭代时，先将密钥K整体左环移25(或29)比特，再按排列顺序分为8个子密钥，作为下一轮迭代的密钥输入。依此类推，得到8轮迭代和最后输出变换的加密子密钥如下：

轮次    加密子密钥

R1      Z₁ ⁽¹⁾  Z₂ ⁽¹⁾  Z₃ ⁽¹⁾  Z₄ ⁽¹⁾  Z₅ ⁽¹⁾  Z₆ ⁽¹⁾  Z₇ ⁽¹⁾  Z₈ ⁽¹⁾

R2      Z₁ ⁽²⁾  Z₂ ⁽²⁾  Z₃ ⁽²⁾  Z₄ ⁽²⁾  Z₅ ⁽²⁾  Z₆ ⁽²⁾  Z₇ ⁽²⁾  Z₈ ⁽²⁾

R3      Z₁ ⁽³⁾  Z₂ ⁽³⁾  Z₃ ⁽³⁾  Z₄ ⁽³⁾  Z₅ ⁽³⁾  Z₆ ⁽³⁾  Z₇ ⁽³⁾  Z₈ ⁽³⁾

R4      Z₁ ⁽⁴⁾  Z₂ ⁽⁴⁾  Z₃ ⁽⁴⁾  Z₄ ⁽⁴⁾  Z₅ ⁽⁴⁾  Z₆ ⁽⁴⁾  Z₇ ⁽⁴⁾  Z₈ ⁽⁴⁾

R5      Z₁ ⁽⁵⁾  Z₂ ⁽⁵⁾  Z₃ ⁽⁵⁾  Z₄ ⁽⁵⁾  Z₅ ⁽⁵⁾  Z₆ ⁽⁵⁾  Z₇ ⁽⁵⁾  Z₈ ⁽⁵⁾

R6      Z₁ ⁽⁶⁾  Z₂ ⁽⁶⁾  Z₃ ⁽⁶⁾  Z₄ ⁽⁶⁾  Z₅ ⁽⁶⁾  Z₆ ⁽⁶⁾  Z₇ ⁽⁶⁾  Z₈ ⁽⁶⁾

R7      Z₁ ⁽⁷⁾  Z₂ ⁽⁷⁾  Z₃ ⁽⁷⁾  Z₄ ⁽⁷⁾  Z₅ ⁽⁷⁾  Z₆ ⁽⁷⁾  Z₇ ⁽⁷⁾  Z₈ ⁽⁷⁾

R8      Z₁ ⁽⁸⁾  Z₂ ⁽⁸⁾  Z₃ ⁽⁸⁾  Z₄ ⁽⁸⁾  Z₅ ⁽⁸⁾  Z₆ ⁽⁸⁾  Z₇ ⁽⁸⁾  Z₈ ⁽⁸⁾

输出    Z₁ ⁽⁹⁾  Z₂ ⁽⁹⁾  Z₃ ⁽⁹⁾  Z₄ ⁽⁹⁾  Z₅ ⁽⁹⁾  Z₆ ⁽⁹⁾  Z₇ ⁽⁹⁾  Z₈ ⁽⁹⁾

(2)将128比特的明文分组划分为8个数据子块，每个子块16比特，初始时，令这8个子块分别为X₁、X₂、X₃、X₄、X₅、X₆、X₇和X₈，作为迭代的第一轮输入

(3)令i＝1

(4)迭代运算

A＝X₁⊙Z₁ ⁽ⁱ⁾， B＝X₂[+]Z₂ ⁽ⁱ⁾，C＝X₃[+]Z₃ ⁽ⁱ⁾，D＝X₄⊙Z₄ ⁽ⁱ⁾

E＝X₅[+]Z₅ ⁽ⁱ⁾，F＝X₆⊙Z₆ ⁽ⁱ⁾， G＝X₇⊙Z₇ ⁽ⁱ⁾， H＝X₈[+]Z₈ ⁽ⁱ⁾

I＝A(+)C，       J＝B(+)D，        K＝E(+)G，       L＝F(+)H

M＝I⊙J，        N＝K[+]M，        S＝L⊙N，        P＝M[+]S

U＝I[+]S，       T＝L⊙P

X₁＝A(+)P，X₃＝C(+)P，X₅＝E(+)1，X₇＝G(+)1

X₂＝B(+)U，X₄＝D(+)U，X₆＝F(+)S，X₈＝H(+)S

(5)i＝i+1，如果i≤8，则X₂与X₃互换、X₆与X₇互换，并转至(4)，否则，下一步

(6)输出变换

Y₁＝X₁⊙Z₁ ⁽⁹⁾，   Y₂＝X₂[+]Z₂ ⁽⁹⁾， Y₃＝X₃[+]Z₃ ⁽⁹⁾， Y₄＝X₄⊙Z₄ ⁽⁹⁾

Y₅＝X₅[+]Z₅ ⁽⁹⁾，  Y₆＝X₆⊙Z₆ ⁽⁹⁾，  Y₇＝X₇⊙Z₇ ⁽⁹⁾，  Y₈＝X₈[+]Z₈ ⁽⁹⁾

(7)连接Y₁、Y₂、Y₃、Y₄、Y₅、Y₆、Y₇和Y₈，得到128比特的密文分组CT；

●解密操作采用了下列步骤：

设CT为128比特的密文分组，K为128比特的密钥

(1)解密子密钥生成

首先按加密子密钥生成方法从K得到加密子密钥，然后，根据加密子密钥的逆得到下列解密子密钥：

轮次    解密子密钥

R1      Z₁ ^(9)-1  -Z₂ ⁽⁹⁾  -Z₃ ⁽⁹⁾  Z₄ ^(9)-1  -Z₅ ⁽⁹⁾  Z₆ ^(9)-1  Z₇ ^(9)-1  -Z₈ ⁽⁹⁾

R2      Z₁ ^(8)-1  -Z₃ ⁽⁸⁾  -Z₂ ⁽⁸⁾  Z₄ ^(8)-1  -Z₅ ⁽⁸⁾  Z₇ ^(8)-1  Z₆ ^(8)-1  -Z₈ ⁽⁸⁾

R3      Z₁ ^(7)-1  -Z₃ ⁽⁷⁾  -Z₂ ⁽⁷⁾  Z₄ ^(7)-1  -Z₅ ⁽⁷⁾  Z₇ ^(7)-1  Z₆ ^(7)-1  -Z₈ ⁽⁷⁾

R4      Z₁ ^(6)-1  -Z₃ ⁽⁶⁾  -Z₂ ⁽⁶⁾  Z₄ ^(6)-1  -Z₅ ⁽⁶⁾  Z₇ ^(6)-1  Z₆ ^(6)-1  -Z₈ ⁽⁶⁾

R5      Z₁ ^(5)-1  -Z₃ ⁽⁵⁾  -Z₂ ⁽⁵⁾  Z₄ ^(5)-1  -Z₅ ⁽⁵⁾  Z₇ ^(5)-1  Z₆ ^(5)-1  -Z₈ ⁽⁵⁾

R6      Z₁ ^(4)-1  -Z₃ ⁽⁴⁾  -Z₂ ⁽⁴⁾  Z₄ ^(4)-1  -Z₅ ⁽⁴⁾  Z₇ ^(4)-1  Z₆ ^(4)-1  -Z₈ ⁽⁴⁾

R7      Z₁ ^(3)-1  -Z₃ ⁽³⁾  -Z₂ ⁽³⁾  Z₄ ^(3)-1  -Z₅ ⁽³⁾  Z₇ ^(3)-1  Z₆ ^(3)-1  -Z₈ ⁽³⁾

R8      Z₁ ^(2)-1  -Z₃ ⁽²⁾  -Z₂ ⁽²⁾  Z₄ ^(2)-1  -Z₅ ⁽²⁾  Z₇ ^(2)-1  Z₆ ^(2)-1  -Z₈ ⁽²⁾

输出    Z₁ ^(1)-1  -Z₂ ⁽¹⁾  -Z₃ ⁽¹⁾  Z₄ ^(1)-1  -Z₅ ⁽¹⁾  Z₆ ^(1)-1  Z₇ ^(1)-1  -Z₈ ⁽¹⁾

(2)将128比特的密文分组划分为8个数据子块，每个子块16比特，初始时，令这8个子块分别为X₁、X₂、X₃、X₄、X₅、X₆、X₇和X₈，作为迭代的第一轮输入

(3)令i＝1

(4)迭代运算

A＝X₁⊙(Z₁ ^(10-i))^-1，B＝X₂[+](-Z₂ ^(10-i))， C＝X₃[+](-Z₃ ^(10-i))， D＝X₄⊙(Z₄ ^(10-i))^-1

E＝X₅[+](-Z₅ ^(10-1))， F＝X₆⊙(Z₆ ^(10-i))^-1，G＝X₇⊙(Z₇ ^(10-i))^-1，H＝X₈[+](-Z₈ ^(10-1))

I＝A(+)C，             J＝B(+)D，              K＝E(+)G，             L＝F(+)H

M＝I⊙J，              N＝K[+]M，              S＝L⊙N，              P＝M[+]S

U＝I[+]S，             T＝L⊙P

X₁＝A(+)P，           X₃＝C(+)P，            X₅＝E(+)T，           X₇＝G(+)T

X₂＝B(+)U，           X₄＝D(+)U，            X₆＝F(+)S，           X₈＝H(+)S

(5)i＝i+1，如果i≤8，则X₂与X₃互换、X₆与X₇互换，且-Z₂ ^(10-i)与-Z₃ ^(10-i)互换、Z₆ ^(10-i)-1与Z₇ ^(10-i)-1互换，然后转至(4)，否则，下一步

(6)输出变换

Y₁＝X₁⊙(Z₁ ⁽¹⁾)^-1，Y₂＝X₂[+](-Z₂ ⁽¹⁾)，Y₃＝X₃[+](-Z₃ ⁽¹⁾)，Y₄＝X₄⊙(Z₄ ⁽¹⁾)^-1

Y₅＝X₅[+](-Z₅ ⁽¹⁾)，Y₆＝X₆⊙(Z₆ ⁽¹⁾)^-1，Y₇＝X₇⊙(Z₇ ⁽¹⁾)^-1，Y₈＝X₈[+](-Z₈ ⁽¹⁾)

(7)连接Y₁、Y₂、Y₃、Y₄、Y₅、Y₆、Y₇和Y₈，得到128比特的原明文分组PT。

Images