> For the complete documentation index, see [llms.txt](https://dizzzzy.gitbook.io/notebook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dizzzzy.gitbook.io/notebook/course/crypto-and-application-1.md). # Crypto and application-1 密码技术及应用 ## CH1 密码技术概述 #### 密码学学科特点&密码学研究的主要内容 是信息的机密性、完整性、鉴别和不可抵赖性等信息安全问题相关的一门学科
#### 密码系统的安全条件 理论不可破译和实际不可破译 Kerckhoffs原则（柯克霍夫斯原则）：一切秘密寓于密钥之中 * **密码体制即使不是理论上不可破译的，也应该是实际不可破译的** * **密码体制的泄露不应该给保密通信者带来麻烦** **一个提供机密性服务的密码系统是实际可用的**，必须满足的基本要求： ①系统的保密性不依赖于对加密体制或算法的保密，而仅依赖于密钥的安全性。 “一切秘密寓于密钥之中”是密码系统设计的一个重要原则。 ②满足实际安全性，使破译者取得密文后在有效时间和成本范围内，确定密钥或相应明文在计算上是不可行的。 ③加密和解密算法应适用于明文空间、密钥空间中的所有元素。 ④加密和解密算法能有效地计算，密码系统易于实现和使用。
#### 两种保密通信模型
#### 对密码系统的两种攻击类型：主动攻击与被动攻击 所谓的被动式攻击意指入侵者（非法）**取得信息资产的存取权限，但是并未对其内容进行窜改**。主要的攻击方式有以下两种： 1. **窃听**（Eavesdropping）：窃听是指入侵者针对档案或通信内容进行监控。最常见的例子是于视频中时常出现的电话监听与网络监听等等。 2. **通信分析**（Traffic Analysis）：流量分析是针对网络通信的流量、内容、以及行为等等进行分析，透过通信内容或者流量的分析可以获得目标网络可观的数据，如：服务器位址、通信模式等等。 所谓的主动式攻击意指入侵者**针对档案或通信内容进行伪造或修改**，可能为以下四种攻击型式之一或是采取混合方式进行： 1. **伪装**（Masquerade）：伪装是指攻击者欺骗认证系统，非法取用系统资源。例如利用社交工程法骗取，或者利用网络窃听的方式取得密码后登入系统。 2. **回放**（Replay）：回放是指攻击者将从网络上截取的某些通信内容（如认证信息）重新发送，以欺骗服务器认证机制。常见的实例如早期Windows网络芳邻采用哈希方式（Hash Function）进行密码的加密，入侵者若能截取获得编码后的密码内容，可以利用重送一次的方式取得系统登入的授权。 3. **信息窜改**（Message Modification）：信息窜改指攻击者针对网络通信的内容进行删增或者更动。通信劫夺（Session Hijacking）利用TCP/ IP网络通信的弱点，抢夺合法使用者的通信频道，进而获得系统的操作权限，这种方式为信息窜改的一个实例。 4. **服务阻绝**（Denial of Service）：服务阻绝大概是大家最耳熟能详的攻击方式，攻击者透过各种可能的方法（ICMP flooding、SYN Flooding、Mail Bomb）等等方式使得使用者与管理者无法取得系统资源及服务。 #### 密码分析攻击的主要类型： 根据密码分析者对明文、密文等数据资源的掌握程度可以分为四类分析攻击：
#### 密码算法的分类 * 根据密码算法功能分类
* 根据密码算法密钥数量
* 根据对明文信息的处理方式
* 其他分类方式
#### 确定性和非确定性密码算法 **确定性密码**：在给定**相同的密钥和相同的明文**时，算法每次运行都会产生**完全相同的密文**，整个过程不引入随机因素

C = Enc(K, M)

**（1）无随机性：**算法不使用随机数或随机填充，输出结果完全由输入决定。 **（2）可重复性强：**同一输入在任何环境下加密结果一致，便于调试、测试和结果验证。 **（3）结构简单，实现成本低：**无需安全随机数生成器（CSPRNG），实现复杂度相对较低。 **（4）安全性依赖密钥而非随机性：**在现代安全模型下，其安全性通常较弱，容易泄露明文模式， * **明文模式泄露**：相同明文 → 相同密文 * **易受字典攻击、频率分析攻击** * **通常不满足 IND-CPA（选择明文攻击下的不可区分性）** 例如：（1）古典密码（凯撒密码、维吉尼亚密码）（2）分组密码的 ECB 模式（如 AES-ECB）（3）确定性哈希（在固定输入下输出固定） 非确定性密码算法（**概率密码算法）：概率密码算法**在加密过程中引入**随机性**，即使在使用相同密钥和相同明文的情况下，不同加密过程也可能产生**不同的密文：** $$ C=Enc(K,M;r) $$ 引入随机性（Nonce / IV / Salt）；安全性更高，但实现更复杂；**满足现代安全定义，**通常可满足：IND-CPA，在认证加密中甚至满足 IND-CCA * 防止重放分析 * 防止字典攻击 * 防止流量模式泄露 * 可抵御大多数已知的被动攻击模型 例如：（1）RSA-OAEP（概率公钥加密）（2）ElGamal 加密（3）AES-CBC（使用随机 IV）（4）带随机 salt 的密码哈希（如 bcrypt、scrypt） #### 对称密码体制和非对称密码体制
#### 针对不同功能密码算法的攻击目标
| 密码功能 | 核心安全目标 | 攻击目标 | | --------- | --------- | ---------------- | | 对称/公钥加密 | 机密性 | 明文恢复 / 密钥恢复 / 区分 | | MAC | 完整性 | 伪造合法 MAC | | 哈希函数 | 抗碰撞 / 抗原像 | 原像 / 二次原像 / 碰撞 | | 数字签名 | 不可否认 | 伪造签名 | | 密钥交换 | 安全建密 | 会话密钥恢复 / MITM | | PRG / PRF | 不可区分 | 区分真随机 | ## CH1-2 古典密码 #### 替换密码和置换密码 替换密码： **（1）单表替换密码（Monoalphabetic）** * 同一个明文字母始终被替换为同一个密文字母 * 例如：凯撒密码 $$c=(p+k) mod 26，k=3$$ **（2）多表替换密码（Polyalphabetic）** * 同一明文字母在不同位置可能被替换为不同密文字母 * 例如：维吉尼亚密码
置换密码： * 栅栏密码（Rail Fence Cipher） * 列置换密码（Columnar Transposition Cipher）
| 对比维度 | 替换密码 | 置换密码 | | ------- | ------ | ---- | | 操作对象 | 符号 | 位置 | | 是否改变字符 | 是 | 否 | | 是否改变顺序 | 否 | 是 | | 是否保持频率 | 是（单表） | 是 | | 抗统计攻击能力 | 弱 | 弱 | | 密钥本质 | 映射（双射） | 排列 | 现代分组密码并不单独使用其中之一，而是通过**反复组合**： * **替换（Substitution）** → 提供混淆（Confusion） * **置换（Permutation）** → 提供扩散（Diffusion） 这正是 **Shannon 提出的“混淆与扩散原则”**，也是 SPN（Substitution–Permutation Network）结构的理论基础。 #### 凯撒密码、仿射密码、单表替换密码、多表替换密码的概念与特点 * 凯撒密码（k=3时的一般单表替代密码） * $$\mathrm{E}=\left{E: Z\_{26} \rightarrow Z\_{26}, E\_{\mathrm{k}}(m)=m+k(\bmod 26) \mid m \in M, k \in K\right}$$ * $$\mathrm{D}=\left{D: Z\_{26} \rightarrow Z\_{26}, D\_{\mathrm{k}}(m)=c-k(\bmod 26) \mid c \in C, k \in K\right}$$ * 密钥空间极小（仅 25 种有效密钥） * 完全保持明文字母的频率分布 * 极易被穷举攻击和频率分析破解 * 仅具教学和历史意义 * 仿射密码（Affine Cipher） * $$c= E\_ {k} (m)= k\_{1}m+ k\_ {2} (mod26)$$ * $$m=D\_k\left(c\right)=k\_1^{-1}\left(c\text{一}k\_2\right)\left(\mathrm{mod\~}26\right)$$ * 密钥空间（ $$K={(k\_1,k\_2)|k\_1,k\_2\in Z\_{26},\gcd(k\_1,26){=}1}$$）比凯撒密码大，但仍有限 * 保持明文字母频率分布 * 易受已知明文攻击与频率分析 * 线性结构明显，安全性较弱 * 单表替换密码 * 整个加密过程中使用**同一张固定的替换表**，将每个明文字母替换为唯一的密文字母 * 密钥空间为 26!，理论上很大 * 明文字母与密文字母存在固定一一对应关系 * 严格保持字母频率和统计特征 * 在自然语言下可被频率分析、模式分析破解 * 多表替换密码 * 多表替换密码在加密过程中**周期性或非周期性地切换多张替换表**，使同一明文字母在不同位置可能映射为不同密文字母 * 显著削弱单一字母频率特征 * 抗频率分析能力强于单表替换密码 * 安全性依赖密钥长度与使用方式 * 仍可通过 Kasiski 检验、Friedman 检验等方法破解 #### 维吉利亚(Vigenère)、 Playfair算法计算方法和特性
#### Hill密码的特性与计算方法
#### 转轮机密码、OTP等古典密码算法的原理与特点 **转轮机密码：**转轮机密码是一类**机电式多表替换密码系统**，其核心思想是通过**多个可旋转的转轮（Rotor）构造一个动态变化的替换表**。 每个转轮本质上是一个固定的单表替换，但随着每次按键操作，转轮发生转动，从而改变整体的替换关系。一个**随时间变化的多表替换密码；**典型代表：**Enigma 密码机**。 工作机制 * 明文输入一个字母 * 信号依次通过多个转轮（正向替换） * 经反射器（Reflector）反射 * 再反向通过转轮 * 输出密文字母 * 每加密一个字符，至少有一个转轮转动 主要特点 * 同一明文字母在不同位置会被映射为不同密文字母 * 具备较强的混淆能力，远强于传统多表替换密码 * 密钥空间较大（转轮选择、初始位置、插线板设置） * 仍存在结构性弱点（如自反性、不映射为自身等） * 可被利用操作失误和统计规律进行系统性破译 **一次一密** One-Time Pad, OTP **基本原理：**一次一密是一种基于**模加或异或运算**的流加密体制，其核心思想是：**使用一段真正随机、与明文等长、且只使用一次的密钥进行加密。** 常见形式（以比特串为例）： 加密： $$c = p \oplus k$$ 解密： $$p = c \oplus k$$ **理论安全性：**OTP 在严格满足以下条件时，具备**信息论安全性（Perfect Secrecy）**： 1. 密钥完全随机 2. 密钥长度 ≥ 明文长度 3. 密钥只使用一次 4. 密钥绝对保密 这是**唯一被严格证明具有完全保密性的加密方案**（Shannon 定理）。 **主要特点** * 在理论上不可破解（即使无限计算能力） * 不泄露任何关于明文的统计信息 * 密钥管理成本极高 * 一旦密钥复用，安全性彻底失效 * 实际系统中难以大规模部署 ## CH2 香农保密理论基础 #### 密码体制的数学模型
#### 熵的概念与熵的特性
#### 多余度和唯一解距离
多余度： $$\mathbf{d}=\log\_2|\mathbf{P}|-\mathbf{H}\_\mathrm{L}，另一种形式：d\_0=\frac{\log\_2\lvert P\rvert-H\_L}{\log\_2\lvert P\rvert}=1-\frac{H\_L}{\log\_2\lvert P\rvert}$$ 唯一解距离： $$\mathbf{U\_d=H(K)/d}=\frac{H(K)}{d\_0\log\_2\lvert P\rvert}$$ 当密码分析者所截获的密文字符数小于 $$U\_d$$时，存在多个可能的 解（存在伪密钥），但当所截获的密文字符数大于 $$U\_d$$时，这种密码 的破译问题理论上就存在唯一解。 **唯一解距离**表示了密码分析者必须处理的密文量的**理论下限，**例如计算出密码的唯一解距离 $$U\_d=28$$,则至少要给出长度为28的密文串，唯一地破解该密码才有可能 #### 完全保密体制和理论保密体制 完全保密性（Perfect Secrecy ） ： 对于密码分析者通过观察密文不能获得有关明文的任何信息。 \ 定义： $$对\forall m\in M,c\in C,有:P\_r(m|c)=P\_r(m)$$即**明文m的后验概率等于明文m的** \ **先验概率**，则该密码体制具有完全保密性。 密码体制的完全保密性是**针对唯密文攻击而言的**。 一个完全保密密码体制并**不能保证它在已知明文攻击或选择明文攻 击下也是安全的**。
理想保密性（Ideal Secrecy ）： \ 定义：当一个密码体制的**唯一解距离** $$U\_d$$**趋向于无穷大**时，该密码体制就称为具有理 想保密性。
#### 扩散与扰乱原理 扩散原理(diffusion)：尽量使得明文的每一位都影响密文中许多位的值 \ 扰乱原理(confusion)：使密文与明文、加密密钥之间的统计关系尽量复杂化，使 破译者难以从密文的统计特性导出与密钥相关的信息 #### 乘积密码体制 对于幂等密码，有: $$对 m\in M,\forall k\_1,k\_2\in K,\exists k\_3\in K, 满足：E\_{k\_2}(E\_{k\_1}(m))=E\_{k\_3}(m)$$ **迭代密码体制必须使用非幂等密码体制。**
## CH-3 对称密码技术 #### 分组密码的设计原理和整体结构 分组密码是一种将明文分成固定长度的块，然后对每个块进行加密的密码算法。在**设计分组密码时，需要满足以下要求**： 1. **分组长度足够大**：为了提高安全性，分组长度应该足够大。当明文分组长度为n位时，至多需要2n个明文密文对就可完全破解密码。因此，分组长度的大小应该足够大，**防止攻击者通过收集不同的密文、明文对来进行穷举明文空间攻击** 2. **密钥空间足够大**：**防止攻击者穷举密钥空间的攻击** 3. **密码算法足够复杂**：分组密码的设计要求密码变换必须足够复杂，使攻击者**除了强行攻击（穷举）外，找不到其他便捷的数学破译方法**。这样可以有效防止攻击者通过分析密文得到有意义的明文。 分组密码的设计原理主要包括**数学规则、简单函数和非线性函数等运算**。 在整体结构上，分组密码通常包括**密钥调度、初始置换、多次轮函数迭代和最后的逆初始置换**等部分。其中，**轮函数**是分组密码的核心部分，由非线性函数构成，可以有效地防止攻击者通过分析密文得到明文。 分组密码的分析方法主要包括朴素密码分析、差分密码分析、线性密码分析和相关密钥密码分析等。这些方法都是通过分析密文和密钥之间的关系，尝试破解出明文和密钥。为了提高安全性，现代的分组密码算法通常采用多种分析方法的结合，以增加破解的难度。 密钥管理是分组密码应用中的重要环节。为了保证安全性，密钥应该在安全的环境中生成、存储和使用。同时，应该定期更换密钥，以降低密钥被破解的风险。此外，对于一些重要的数据加密场景，可以采用一些额外的安全措施，如使用硬件加密模块等来保护密钥的安全性。 分组密码的工作模式主要包括**电子密码本模式、密文链接模式和计数器模式**等。这些模式可以根据实际应用场景选择使用。在选择工作模式时，应该充分考虑安全性、效率和实现难度等因素。 分组密码的检测与评估：为了确保分组密码的安全性，需要对算法进行严格的检测和评估。评估指标主要包括算法的安全性、效率、实现难度和资源占用等方面。此外，还可以通过对比分析不同的分组密码算法来评估其优劣 #### 分组密码的两种基本结构SPN，Feistel、分组密码原理与概念
#### 数据加密标准DES、三重DES, IDEA, AES，SM4等算法原理与基本特性
算法结构分组密钥长轮数基本运算 主要特点
DESFeistel 64 bit56 bit（有效）16 轮置换、S 盒替换、异或与循环移位结构经典，安全性不足，易受暴力破解
3DESFeistel 64 bit112 / 168 bit48 轮DES 运算重复（EDE/EEE）提高安全性但效率低，逐步淘汰
IDEA非 Feistel 64 bit128 bit8.5 轮模加、模乘、异或代数结构复杂，抗差分/线性分析
AESSPN 128 bit128 / 192 / 256 bit10 / 12 / 14 轮S 盒、行移位、列混合、轮密钥加高效、安全、应用最广
SM4Feistel 变种128 bit128 bit32 轮S 盒、线性变换、异或国家商用密码，适合软硬件实现
DES：
利用DES算法的互补对称性,利用选择明文进行穷举 攻击时可将密钥的加密测试量**降低一半**
#### 分组密码的操作方式及特点 美国国家标准和技术研究所（NIST）规定了四种标准的操 作模式 * ECB：**独立加密每个块**
* CBC：**每个块与前一个密文块异或**
* CFB：**将分组密码转换为流密码**
特点： * 移位寄存器的的内容与明文整个以前的历史有关，同样需要一个初始向量（寄 存器初值）； * 存在误码扩散（仍有自同步特性），加密效率不及CBC 模式（为什么？）； * 将分组密码转换为流密码（序列密码），实现及时加密； * 可用于用户鉴别。 {% hint style="info" %} CFB 模式由于采用反馈结构，加解密过程中都必须顺序调用分组密码的**加密运算**，无法并行处理分组，也无法利用解密阶段的并行和硬件优化；而 CBC 模式在解密时可以并行执行、实现更高吞吐率，因此整体加密效率通常不如 CBC。 {% endhint %} * OFB：**生成密钥流与明文异或**
* **计数器模式（CTR）：用计数器生成密钥流**
* 特点： * 处理效率高，可进行并行处理，提高数据吞吐量； * 可提前进行预处理； * 具有随机访问特性，可随机对任意一个密文分组进 行解密处理，对该密文分组的处理与其他密文无关； * 实现简单，加、解密阶段都只涉及加密函数。 （这点与ECB和CBC模式不同）。 * **密文窃取模式CSM（Ciphertext Stealing Mode）**
| 特性 | ECB | CBC | CFB | OFB | CTR | | -------- | --- | ----- | --- | --- | ----- | | **填充需求** | 需要 | 需要 | 不需要 | 不需要 | 不需要 | | **并行加密** | 支持 | 不支持 | 不支持 | 不支持 | 支持 | | **并行解密** | 支持 | 支持 | 不支持 | 支持 | 支持 | | **错误传播** | 1块 | 后续所有块 | 8字节 | 无 | 无 | | **IV要求** | 无 | 唯一 | 唯一 | 唯一 | 唯一计数器 | | **安全等级** | 低 | 中 | 中 | 中 | 高 |