ch-05分组密码的工作模式

《ch-05分组密码的工作模式》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、密码学南京农业大学信息学院主讲：赵力1南京农业大学信息学院第5讲分组密码的工作模式我们已经对分组密码和数据加密标准DES有所了解。我们知道DES能够对64bit明文进行加密，然后得到64bit的密文。我们也了解到现在为止，还没有一种密码分析方法对DES有效，除非采用强力攻击。但是我们还想知道：DES究竟怎么用？是不是“基本算法+分组”就可以了？2南京农业大学信息学院密码模式密码模式通常由基本密码、一些反馈和一些简单运算组合而成。选择模式时，需要考虑（1）隐藏明文的模式；（2）模式的效率不会明显低于基本密码；（3）容错。3南京农业大学信息学院分组密码的工作模式电子密码本(electronic

2、codebookmode,ECB)密码分组链接(cipherblockchaining,CBC)密码反馈(cipherfeedback,CFB)输出反馈(outputfeedback,OFB)计数器(counter,CTR)4南京农业大学信息学院电子密码本ECB模式简称电码本模式，即“基本算法+简单分组”一次处理64位明文明文若长于64位，可简单地将其分成若干64位的明文分组。每个分组使用相同的密钥进行加密。解密也是一次执行一个分组，且使用相同的密钥。5南京农业大学信息学院ECB模式图示加密KP1C1加密KP2C2加密KPNCN解密KC1P1解密KC2P2解密KCNPN时间=1时间=2时间

3、=N……6南京农业大学信息学院填充(padding)大多数消息通常在尾部有一个短分组，需要将这个分组填充至64位。方法：用一些规则的模式（0、1或者0、1交替），把最后的分组填充成一个完整的分组。最后一个分组的最后一字节中加上填充字节的数目。即使明文以分组的边界结束，也必须添加一个整分组。7南京农业大学信息学院ECB错误扩散情况DESDES-1P1P2P3P4C1C2C3C4P1P2P3P4C1C2C3C4传输造成1位错误解密后整个分组不能正确恢复传输路径8南京农业大学信息学院ECB的特点简单和有效可以并行实现不能隐藏明文的模式信息因相同明文分组生成相同密文分组，若同样信息多次将出现造成泄

4、漏，对于长消息，ECB模式可能不安全。对明文的主动攻击是可能的信息块可被替换、重排、删除、重放误差传递：密文块损坏仅对应明文块损坏适合于传输短信息9分组重放(blockreplay)攻击ECB最严重的问题是攻击者可以在不知道密钥的情况下修改被加密过的消息，以达到欺骗指定接受者的目的。10南京农业大学信息学院ECB模式下分组重放攻击示例例如：不同银行之间的资金转帐系统，采用标准的消息格式用来转帐。格式如下：每个“分组”对应一个8-字节的加密分组。金额储户账号储户姓名接受银行发送银行1.5个分组1.5个分组6个分组2个分组1个分组11南京农业大学信息学院Mallory的攻击前提：Mallory

5、能够用计算机窃听并记录所有A银行和B银行之间的通信Mallory事先分别在A银行和B银行建立自己的账户Ma和MbMallory通过Ma向Mb转账100美元。接着，他又通过Ma向Mb转账100美元。他能窃听到什么有用信息呢？不是所有信息都加密了吗？12南京农业大学信息学院他一定能够在这段时间所窃取的消息里发现一对完全相同的消息，他把它们记录下来，虽然他不能够解密该消息，但他最终能够分理出他自己的两个账户之间款项转移的消息。现在他可以按照他的意愿在通讯链路中插入n个这样的消息(消息重放)，每次都有100美元进入他的账户Mb，而实际上并没有从Ma上减去100美元。于是他成功盗得n个100美元。直

6、到两个银行核对他们的往来账目。他早已逃之夭夭。13南京农业大学信息学院银行对协议的修改通过在消息中附加时间标记，使得每条消息不能被重复使用，以防止上述情况的发生：金额储户账号储户姓名接受银行发送银行1.5个分组1.5个分组6个分组2个分组1个分组日期/时间标记1个分组14南京农业大学信息学院Mallory的攻击Mallory这次使用分组重放技术他截取从银行A到银行B得随机消息，并用自己的名字和账号替代分组5和分组12间相应的位消息，然后将其发往B银行。银行每天核对帐目，但是一切正常，直到某天合法客户注意到钱最终没存进他的账户。12345678910111213时间标记发送银行接受银行储户姓

7、名储户账号存款金额分组号15南京农业大学信息学院银行有没有根本的解决方法银行可频繁改变密钥，尽可能降低风险。但这只意味着Mallory的行动要更加迅速。银行增加一个MAC字段，但这仍然不是根本性地解决方案。Mallory仍可以按自己的意愿重复、删除或改换密文分组。造成这一问题的原因：ECB不能隐藏明文的模式。16南京农业大学信息学院有没有什么方法，使Mallary不能从消息中分离出单个分组，或者将相同的明文组加密成不同的