现代密码学第3章.ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 上面是美国标准。 下面是其它流行的算法。 * * 引理3.3 将某一轮的后两个计算部件和下一轮的前两个计算部件组成组合部件，该组合部件的程序为 MixColumn (State)； AddRoundKey (State, Key(i)); ByteSub (State); ShiftRow (State) 则该组合部件的逆变换程序为 InvByteSub (State); InvShiftRow (State); InvMixColumn (State); AddRoundKey (State, InvMixColumn (Key(i))) 证明：这是引理3.1和引理3.2的直接推论。 注意到在引理3.3所描述的逆变换中，第2步到第4步在形状上很像加密算法的轮函数，这将是解密算法的轮函数。注意到结尾轮只有3个计算部件，因此可以得到如下定理。 定理3.2 Rijndael密码的解密算法为顺序完成以下操作：初始的密钥加；(Nr-1)轮迭代；一个结尾轮。其中解密算法的轮函数为 InvRound (State, RoundKey) { InvByteSub (State); InvShiftRow (State); InvMixColumn (State); AddRoundKey (State, RoundKey) } 解密算法的结尾轮为 InvFinalRound (State, RoundKey) { InvByteSub (State); InvShiftRow (State); AddRoundKey (State, RoundKey) } 设加密算法的初始密钥加、第1轮、第2轮、…、第Nr轮的子密钥依次为 k(0), k(1), k(2), …, k(Nr-1), k(Nr) 则解密算法的初始密钥加、第1轮、第2轮、…、第Nr轮的子密钥依次为 k(Nr), InvMixColumn (k(Nr-1)), InvMixColumn (k(Nr-2)), …, InvMixColumn (k(1)), k(0)。 证明：这是上述3个引理的直接推论。 综上所述，Rijndael密码的解密算法与加密算法的计算网络相同，只是将各计算部件换为对应的逆部件。 1，2，3，4 习题 * * * * * * * * * * * * * * * * * * * * * * * * * “95”的乘法逆为“8a”，二进制表示为 结果为，十六进制表示为“2a” 上述S-盒对状态的所有字节所做的变换记为 ByteSub (State) 图3.19 字节代换示意图 ByteSub的逆变换由代换表的逆表做字节代换，可通过如下两步实现: 首先进行仿射变换的逆变换，再求每一字节在GF(28)上逆元。 (2) 行移位（ShiftRow） 行移位是将状态阵列的各行进行循环移位，不同状态行的位移量不同。第0行不移动，第1行循环左移C1个字节，第2行循环左移C2个字节，第3行循环左移C3个字节。位移量C1、C2、C3的取值与Nb有关，由表3.10给出。 图3.20 行移位示意图 行移位运算记为ShiftRow (State) ShiftRow的逆变换是对状态阵列的后3列分别以位移量Nb-C1、Nb-C2、Nb-C3进行循环移位，使得第i行第j列的字节移位到(j+Nb-Ci) mod Nb。 （3） 列混合（MixColumn） 在列混合变换中，将状态阵列的每个列视为GF(28)上的多项式，再与一个固定的多项式c(x)进行模x4+1乘法。当然要求c(x)是模x4+1可逆的多项式，否则列混合变换就是不可逆的，因而会使不同的输入分组对应的输出分组可能相同。Rijndael的设计者给出的c(x)为（系数用十六进制数表示）： c(x)=‘03’ x3+‘01’ x2+‘01’ x+‘02’ c(x)是与x4+1互素的，因此是模x4+1可逆的。列混合运算也可写为矩阵乘法。设b(x)= c(x) a(x)，则 这个运