CN1659512A

CN1659512A - Aes混合列变换

Info

Publication number: CN1659512A
Application number: CN03813105.6A
Authority: CN
Inventors: G·T·M·胡伯特
Original assignee: Koninklijke Philips Electronics NV
Current assignee: Koninklijke Philips NV
Priority date: 2002-06-07
Filing date: 2003-06-04
Publication date: 2005-08-24
Anticipated expiration: 2023-06-04
Also published as: DE60302249D1; CN100541419C; ATE309570T1; DE60302249T2; AU2003239700A1; GB0213242D0; US20050182812A1; US7464130B2; JP2005529365A; EP1514174B1; WO2003104973A1; EP1514174A1

Abstract

一种用于执行AES Rijindael混合列变换的简化的逻辑电路，利用变换矩阵的相继行中的每一行和其在前行之间的公共关系。一种用于执行(m×n)矩阵乘以(1×n)或(m×1)矩阵的乘法的逻辑电路，其中m是行的数目，n是列的数目，并且其中具有n个元素的每一个相继行m都是其在前行的一个预先确定的行置换，该电路包括：n个乘法电路；n个逻辑电路；n个寄存器，用于接收来自所述逻辑电路的逻辑输出；反馈逻辑，用于根据相应于相继矩阵行之间的公共关系的反馈计划，把每一个寄存器的内容发送到所述逻辑电路的输入中的一个选定的输入；以及控制装置，用于相继地向n个乘法电路中的每一个电路提供(1×n)或(m×1)矩阵中的每一个元素来作为输入。

Description

AES混合列变换

本发明涉及用于执行高级加密标准(AES)算法的方法和装置，确切的说，涉及用于在该算法的每一加密和解密轮回(round)中执行矩阵乘法运算的方法和装置，该矩阵乘法运算构成所述AES混合列变换。

本发明特别地、但并不排他地用于诸如安装在智能卡和其它设备中的加密设备，在所述智能卡和其它设备中，处理器和存储器资源比较有限并且加密算法的许多运算在专用的ASIC或FPGA硬件中执行。

AES算法广泛应用于以安全方式对将要传送的数据进行加密。一种应用是在个人信息和/或金融信息从智能卡向卡读取设备的传送过程中。存储在卡上的机密数据除非以加密形式否则不可将该数据从卡中还原，以确保如此还原该数据而不被未授权的第三方中途截取或读取。只有授权的读取者能够将数据从卡上还原。

同样，由读卡器提供的将存储在卡中的数据必须以加密形式传送给卡，并由卡解密用于存储并随后还原。

尽管在部署了现有技术的处理器和存储器电路的常规计算机系统中执行AES算法是相对直接的，然而在智能卡应用中，处理器和存储器资源是非常有限的，并且许多函数必须在诸如ASIC或FPGA的专用硬件中执行。

因此，需要硬件执行在AES算法中所需的程序，该AES算法的执行需要使用最少的硬件资源。

本发明的一个目的是提供一种用于实施混合列变换的合适电路，在用于加密及解密的标准AES(Rijindael)加密算法中部署了所述混合列变换。

根据一个方面，本发明提供用于(m×n)矩阵乘以(1×n)或(m×1)矩阵的乘法的逻辑电路，其中m是行的数目，n是列的数目，并且其中具有n个元素的每一个相继行m都是在前行的一个预先确定的行置换，该电路包括：

n个乘法电路，每一个乘法电路都具有输入和输出，该输出返回所述输入乘以一个预先确定的被乘数所得的值；

n个逻辑电路，每一个逻辑电路都用于执行第一输入和第二输入的预先确定的逻辑组合，以提供一个逻辑输出，所述第一输入连接至所述n个乘法电路中的一个相应的电路的输出；

n个寄存器，用于接收所述逻辑输出；

反馈逻辑，用于根据相应于所述预先确定的行置换的反馈计划，把每一个寄存器的内容都发送到第二输入中所选择的一个输入；以及

控制装置，用于相继地向所述n个乘法电路中的每一个乘法电路提供(1×n)或(m×1)矩阵中的每一个元素来作为输入。

现在将通过实施例和参考附图描述本发明实施方案，其中：

图1是流程图，举例说明了使用AES分组(block)密码算法执行加密运算；以及

图2是用于执行混合列变换的功能逻辑分组的示意图。

图1示出了用于将明文加密成密文的AES算法。可以使用128位、192位或者256位密匙(key)对连续128位输入数据分组进行操作来执行AES算法。本发明可适用于所有这类实施方案。现在将在使用128位密匙的基本实施方案的环境中描述图1。

在初始轮回15中，将输入明文10的初始128位分组与原始128位密匙12XOR合并11。然后在加密轮回28中，根据所定义的AES算法，来源于该初始轮回15的输出13经过多个反复的变换阶段，该加密轮回28包括子字节变换20，移位行变换21和混合列变换22。

从初始(源)密匙12导出25的新的128位轮回密钥26与来自混合列变换22的输出进行XOR合并23。反馈来自XOR组合23的输出以更多次的经过加密轮回28，该次数取决于该算法的特定实施方案。

对于每一个通过加密轮回28的连续的重复，新的轮回密钥26’都根据AES轮回密钥进程从已存在的轮回密钥26中导出。

当使用128位加密密匙时加密轮回28的重复的次数(Nr-1)为九，当使用192位加密密匙时该次数为十一，而当使用256位加密密匙时该次数为十三。

在经过了必要的(Nr-1)次加密轮回28之后，在判定框24的控制下进入最终轮回(Nr)。最终轮回30包括另一个子字节变换31，另一个移位行变换32，以及用从在前的轮回密钥产生35的最终轮回密钥36对以上结果进行随后的XOR组合33。其输出包括加密算法的密文输出39。

本发明具体地涉及混合列变换22的执行。经过轮回28、30，正被处理的128位分组通常被表示为16个根据如下型式的，如S_row，column的4×4矩阵中的8位分组，

s_0，0	s_0，1	s_0，2	s_0，3
s_0，0	s_0，1	s_0，2	s_0，3	s_1，0	s_1，1	s_1，2	s_1，3
s_2，0	s_2，1	s_2，2	s_2，3	s_1，0	s_1，1	s_1，2	s_1，3
s_2，0	s_2，1	s_2，2	s_2，3	s_3，0	s_3，1	s_3，2	s_3，3

在混合列变换22中，该状态(state)的列被视为在GF(2⁸)上的多项式并用预先确定的固定多项式a(x)乘以(x⁴+1)的模数，该预定的固定多项式给出：

a(x)＝a₃x³+a₂x²+a₁x+a₀，

其中，表示为十六进制的值，

a₃＝03h

a₂＝01h

a₁＝01h

a₀＝02h.

该多项式与(x4+1)是互质的(co-prime)，因此是可逆的。

对于加密，对于在每一列中的s，该混合列变换因此可以表示为S_R，C→S’_R，C。

(\begin{matrix} {s^{'}}_{0, c} \\ {s^{'}}_{1, c} \\ {s^{'}}_{2, c} \\ {s^{'}}_{3, c} \end{matrix}) = (\begin{matrix} a_{0} & a_{3} & a_{2} & a_{1} \\ a_{1} & a_{0} & a_{3} & a_{2} \\ a_{2} & a_{1} & a_{0} & a_{3} \\ a_{3} & a_{2} & a_{1} & a_{0} \end{matrix}) (\begin{matrix} s_{0, c} \\ s_{1, c} \\ s_{2, c} \\ s_{3, c} \end{matrix}) (\begin{matrix} 02 & 03 & 01 & 01 \\ 01 & 02 & 03 & 01 \\ 01 & 01 & 02 & 03 \\ 03 & 01 & 01 & 02 \end{matrix}) (\begin{matrix} s_{0, c} \\ s_{1, c} \\ s_{2, c} \\ s_{3, c} \end{matrix})

该矩阵乘法的求值方法为：

s’_0，c＝{02}*s_0，c{03}*s_1，cs_2，cs_3，c

s’_1，c＝s_0，c{02}*s_1，c{03}*s_2，cs_3，c

s’_2，c＝s_0，cs_1，c{02}*s_2，c{03}s_3，c

s’_3，c＝{03}*s_0，cs_1，cs_2，c{02}*s_3，c

在加密期间，要求该运算的逆向操作。由以下矩阵乘法给出：

(\begin{matrix} {s^{'}}_{0, c} \\ {s^{'}}_{1, c} \\ {s^{'}}_{2, c} \\ {s^{'}}_{3, c} \end{matrix}) = (\begin{matrix} b_{0} & b_{3} & b_{2} & b_{1} \\ b_{1} & b_{0} & b_{3} & b_{2} \\ b_{2} & b_{1} & b_{0} & b_{3} \\ b_{3} & b_{2} & b_{1} & b_{0} \end{matrix}) (\begin{matrix} s_{0, c} \\ s_{1, c} \\ s_{2, c} \\ s_{3, c} \end{matrix}) = (\begin{matrix} 0 E & 0 B & 0 B & 09 \\ 09 & 0 E & 0 E & 0 D \\ 0 D & 09 & 0 E & 0 B \\ 0 B & 0 D & 09 & 0 E \end{matrix}) (\begin{matrix} s_{0, c} \\ s_{1, c} \\ s_{2, c} \\ s_{3, c} \end{matrix})

该矩阵乘法的求值方法为：

s’_0，c＝{0E}*s_0，c{0B}*s_1，c{0D}*s_2，c{09}*s_3，c

s’_1，c＝{09}*s_0，c{0E}*s_1，c{0B}*s_2，c{0D}*s_3，c

s’_2，c＝{0D}*s_0，c{09}*s_1，c{0E}*s_2，c{0B}*s_3，c

s’_3，c＝{0B}*s_0，c{0D}*s_1，c{09}*s_2，c{0E}*s_3，c

应当注意到，该混合列变换矩阵具有特殊的属性：每一相继行都是在前行的一个移位(shifted)或旋转(rotated)的行。通常，一行中的每一个元素都出现在每一个行中但是在该行中不同的位置，特别地，对于混合列变换矩阵，每一行的每一个元素的不同位置构成了单位置右移位或旋转。

根据本发明，已经认识到该属性允许使用明显减少的硬件完成将要达到的状态s的每一列的乘法。

图2举例说明了适用于m×n矩阵乘以1×n矩阵的硬件逻辑50的示范性实施方案，其中该m×n矩阵的具有n个元素每一相继行之间的关系是预先确定的的行移位。对于AES混合列变换，m＝4，n＝4，并且所述预先确定的关系是一个单右移位。

逻辑50包括四个8位的乘法电路60...63，四个8位的XOR门70...73和四个反馈/输出寄存器80...83，表示为MixCol₀...MixCol₃。每一个乘法电路70...73适用于将输入乘以矩阵系数C₀，C₁，C₂，C₃之一。如下文所述，使用用以执行两个输入的适当的逻辑组合所要求的逻辑元素的任一适当组合可以实现每一个XOR门70...73。

对于加密轮回，C₀...C₃的值分别为以上定义的a₀...a₃。对于解密轮回，C₀...C₃的值分别为以上定义的b₀...b₃。将每一个乘法电路60...63的输出耦合到相应的XOR门70...73的第一输入。将每一个XOR门70...73的输出耦合到相应的MixCol寄存器80...83。按照反馈计划(feedback plan)90...93，将每一个MixCol寄存器80...83的输出耦合到XOR门70...73中的一个的第二输入，所述反馈计划相应于定义了所述矩阵的相继行之间的关系的行移位功能。在这种情形下，反馈计划90...93实现矩阵a_r，c(加密)和b_r，c(解密)-更通常的是矩阵c_r，c的相继行之间的右移位功能。

在电路50的运算期间，在相继的周期上把s_0c，s_1c，s_2c，s_3c顺序地提供给乘法逻辑60...63。在每一个列乘法的开始，将寄存器MixCol₀至MixCol₃均预先设置为零。

在第一个循环后：

MixCol₀＝c₀.s_0c

MixCol₁＝c₁.s_0c

MixCol₂＝c₂.s_0c

MixCol₃＝c₃.s_0c

在第二个循环后：

MixCol₀＝c₀.s_1cc₁.s_0c

MixCol₁＝c₁.s_1cc₂.s_0c

MixCol₂＝c₂.s_1cc₃.s_0c

MixCol₃＝c₃.s_1cc₀.s_0c

在第三个循环后：

MixCol₀＝c₀.s_2cc₁.s_1cc₂.s_0c

MixCol₁＝c₁.s_2cc₂.s_1cc₃.s_0c

MixCol₂＝c₂.s_2cc₃.s_1cc₀.s_0c

MixCol₃＝G₃.s_2cc₀.s_1cc₁.s_0c

在第四个循环后：

MixCol₀＝c₀.s_3cc₁.s_2cc₂.s_1cc₃.s_0c

MixCol₁＝c₁.s_3cc₂.s_2cc₃.s_1cc₀.s_0c

MixCol₂＝c₂.s_3cc₃.s_2cc₀.s_1cc₁.s_0c

MixCol₃＝c₃.s_3cc₀.s_2cc₁.s_1cc₂.s_0c

重排这些输出，根据反馈计划90...93给出以下输出：

MixCol₁＝s′_0，c

MixCol₂＝s′_1，c

MixCol₃＝s′_2，c

MixCol₀＝s′_0，c

这就是所要求的结果。

应当注意到，一般来说，矩阵中的行数m决定了所要求的循环的次数，而列数n决定了所要求的逻辑组(乘法器60...63，XOR门70...73，和寄存器80...83)的数目。

可以使用任一合适的逻辑执行该乘法逻辑60...63。在一个优选实施方案中，该逻辑是为加密以及解密而提供的，包含符合以下一览表的某个逻辑。

对于c₀×s_0，c而言，将来自个乘法逻辑60...63的输出定义为e_cycle，b_it，且对于加密，d＝0，对于解密，d＝1：

e₀₇＝s₆ XNOR NAND(d，s₄₅)

e₀₆＝s₅ XNOR NAND(d，s₃₄₇)

e₀₅＝s₄ XNOR NAND(d，s₂₃₈)

e₀₄＝s₃₇ XNOR NAND(d，s₁₂₅)

e₀₃＝s₂₇ XNOR NAND(d，s₀₁₅₇)

e₀₂＝s₁₇ XNOR NAND(d，s₀₅₆₇)

e₀₁＝s₀ XNOR NAND(d，s₆₇)

e₀₁＝s₇ XNOR NAND(d，s₅₆)

类似地，对于c₁×s_1，c：

e₁₇＝s₇ XNOR NAND(d，s₄)

e₁₆＝s₆ XNOR NAND(d，s₃₇)

e₁₅＝s₅ XNOR NAND(d，s₂₆₇)

e₁₄＝s₄ XNOR NAND(d，s₁₅₆₇)

e₁₃＝s₃ XNOR NAND(d，s₀₅₆)

e₁₂＝s₂ XNOR NAND(d，s₅₇)

e₁₁＝s₁ XNOR NAND(d，s₆)

e₁₀＝s₀ XNOR NAND(d，s₅)

类似地，对于c₂×s_2，c：

e₂₇＝s₇ XNOR NAND(d，s₄₅)

e₂₆＝s₆ XNOR NAND(d，s₃₄₇)

e₂₅＝s₅ XNOR NAND(d，s₂₃₆)

e₂₄＝s₄ XNOR NAND(d，s₁₂₅)

e₂₃＝s₃ XNOR NAND(d，s₀₁₅)

e₂₂＝s₂ XNOR NAND(d，s₀₅₆₇)

e₂₁＝s₁ XNOR NAND(d，s₆₇)

e₂₀＝s₀ XNOR NAND(d，s₅₆)

类似地，对于c₃×s_3，c：

e₃₇＝s₆₇ XNOR NAND(d，s₄)

e₃₆＝s₅₆ XNOR NAND(d，s₃₇)

e₃₅＝s₄₅ XNOR NAND(d，s₂₈₇)

e₃₄＝s₃₄₇ XNOR NAND(d，s₁₅₆₇)

e₃₃＝s₂₃ XOR s₇ XNOR NAND(d，s₀₅₆)

e₃₂＝s₁₂ XOR s₇ XNOR NAND(d，s₅₇)

e₃₁＝s₀₁ XNOR NAND(d，s₆)

e₃₀＝s₀₇ XNOR NAND(d，s₅)

其中：

a₅₇＝a₅ XOR a₇

a₀₇＝a₀ XOR a₇

a₃₄＝a₃ XOR a₄

a₅₆₇＝a₇ XOR a₅₆

a₁₂₅＝a₁₂ XOR a₅

a₁₅₆₇＝a₁₇ XOR a₅₆

a₃₇＝a₃ XOR a₇

a₆₇＝a₆ XOR a₇

a₂₃＝a₂ XOR a₃

a₀₅₆＝a₀ XOR a₅₆

a₂₆₇＝a₂ XOR a₆₇

a₂₇＝a₂ XOR a₇

a₅₆＝a₅ XOR a₆

a₁₂＝a₁ XOR a₂

a₃₄₇＝a₃₄ XOR a₇

a₀₁₅₇＝a₀₁ XOR a₅₇

a₁₇＝a₁ XOR a₇

a₄₅＝a₄ XOR a₅

a₀₁＝a₀ XOR a₁

a₂₃₆＝a₂₃ XOR a₆

a₀₅₆₇＝a₀₇ XOR a₅₆

这要求23个XOR门，32个XNOR门以及32个NAND门。

其它实施方案按照设计也是落在随附的权利要求范围内。

Claims

1.一种用于(m×n)矩阵乘以(1×n)或(m×1)矩阵的乘法的逻辑电路，其中m是行的数目，n是列的数目，并且其中每一个具有n个元素的相继行m都是在前行的预先确定的行置换，该电路包括：

n个乘法电路(60…63)，每一个电路都具有输入和输出，该输出返回由所述输入乘以一个预先确定的被乘数所得的值；

n个逻辑电路(70…73)，每一个都用于执行第一输入和第二输入的预先确定的逻辑组合，以提供一个逻辑输出，所述第一输入耦合至所述n个乘法电路中的一个相应的电路的输出；

n个寄存器(80…83)，用于接收所述逻辑输出；

反馈逻辑，用于根据相应于所述预先确定的行置换的反馈计划把每一个寄存器的内容都发送到第二输入中所选择的一个输入；以及

控制装置，用于相继地向n个乘法电路中的每一个乘法电路提供(1×n)或(m×1)矩阵中的每一个元素来作为输入。

2.如权利要求1所述的逻辑电路，其中该反馈逻辑提供相应于所述预先确定的行置换的反馈计划，所述预先确定的行置换为行移位。

3.如权利要求2所述的逻辑电路，其中所述行移位是单一元素右移位。

4.如权利要求1所述的逻辑电路，其中所述n个逻辑电路均适于执行所述第一输入和所述第二输入的XOR组合。

5.如权利要求1所述的逻辑电路，其中所述预先确定的被乘数中的每一个被乘数均相应于在AES Rijindael混合列变换函数中的一个元素。

6.如权利要求5所述的逻辑电路，其中数字m＝4，数字n＝4时，用于第一乘法电路的被乘数＝02，用于第二乘法电路的被乘数＝03，用于第三乘法电路的被乘数＝01，用于第四乘法电路的被乘数＝01。

7.如权利要求5所述的逻辑电路，其中数字m＝4，数字n＝4时，用于第一乘法电路的被乘数＝0E，用于第二乘法电路的被乘数＝0B，用于第三乘法电路的被乘数＝0D，用于第四乘法电路的被乘数＝09。

8.如权利要求6或7所述的逻辑电路，其中所述四个被乘数可在权利要求6中的值和权利要求7中的值之间切换。

9.如权利要求1所述的逻辑电路，其中所述控制装置适于在n或m个运算循环的每一个运算循环上，分别相继地向所述n个乘法电路中的每一个乘法电路提供所述(1×n)或(m×1)矩阵中的每一个相继元素来作为输入。

10.如权利要求1所述的逻辑电路，其中所述n个乘法电路中的每一个乘法电路、所述n个逻辑电路中的每一个逻辑电路以及所述n个寄存器中的每一个寄存器都至少是八位宽。

11.如权利要求1所述的逻辑电路，其中所述控制装置还包括用于在每第n个循环之后提供所述n个寄存器的内容来作为所述逻辑电路的输出的装置。

12.如权利要求1所述的逻辑电路，其中所述控制装置还包括用于在第一个计算循环之前复位所述寄存器中的每个一寄存器的装置。

13.如权利要求1所述的逻辑电路，其中具有n个元素的每个相继行m都是其最接近的在前行的一个预先确定的行置换。

14.一种AES混合列变换电路，该电路并入了权利要求1至13中任一权利要求所述的逻辑电路。

15.一种AES加密和/或解密引擎，该引擎并入了权利要求1至13中任一权利要求所述的逻辑电路，用于执行混合列变换。

16.一种参考附图基本上在此描述的设备。