1上節(jié)內(nèi)容回顧：第6章分組密碼的工作模式多重加密和3DES雙重DES使用兩個(gè)密鑰的三重DES使用三個(gè)密鑰的三重DES分組密碼的工作模式電話本模式密文分組鏈模式密文反饋模式輸出反饋模式計(jì)數(shù)器模式用于面向分組的存儲(chǔ)設(shè)備的XTS-AES模式C=EK1(DK2(EK1(P)))P=DK1(EK2(DK1(C)))C=EK3(DK2(EK1(P)))P=DK1(EK2(DK3(C)))C=EK2(EK1(P))

P=DK1(DK2(C))2分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR3分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR4分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR5分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR6分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR7分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR需要對(duì)明文填充不需要填充8分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTR9分組密碼的工作模式多重加密和3DESECBCBCCFBOFBCTRXTS-AES輸入：明文P、密鑰K、微調(diào)T（不需要保密）第7章隨機(jī)數(shù)與流密碼10隨機(jī)數(shù)與偽隨機(jī)數(shù)發(fā)生器隨機(jī)數(shù)產(chǎn)生的原則偽隨機(jī)數(shù)發(fā)生器使用分組密碼的偽隨機(jī)數(shù)發(fā)生器偽隨機(jī)數(shù)流密碼流密碼RC4算法真隨機(jī)數(shù)發(fā)生器熵源PRNG與TRNG的比較量子隨機(jī)數(shù)發(fā)生器流密碼真隨機(jī)數(shù)隨機(jī)數(shù)在密碼學(xué)中的應(yīng)用認(rèn)證過(guò)程中，用于防止重放攻擊（時(shí)變值）會(huì)話密鑰的產(chǎn)生RSA算法中密鑰的產(chǎn)生用于流密碼加密的位流的產(chǎn)生對(duì)隨機(jī)數(shù)產(chǎn)生的要求：隨機(jī)性分布均勻性：0、1出現(xiàn)的概率相等；測(cè)試方法很多獨(dú)立性：任何子序列不能由其他子序列推導(dǎo)出；難以測(cè)試不可預(yù)測(cè)性認(rèn)證、會(huì)話密鑰、流密碼等應(yīng)用時(shí)要求11偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)真隨機(jī)數(shù)（TRN）與偽隨機(jī)數(shù)（PRN）真隨機(jī)數(shù)難以獲得，一般來(lái)自物理噪聲發(fā)生器量子隨機(jī)數(shù)生成器（QRNG）偽隨機(jī)數(shù)用算法生成的密碼應(yīng)用大多使用算法來(lái)生成隨機(jī)數(shù)。這些算法是確定的，所以產(chǎn)生的序列并非統(tǒng)計(jì)隨機(jī)的。但是，算法足夠好的話，產(chǎn)生的序列可以經(jīng)受住隨機(jī)性檢測(cè)，這樣的樹(shù)一般稱(chēng)為偽隨機(jī)數(shù)。althougharenottrulyrandomcanpassmanytestsof“randomness”createdby“PseudorandomNumberGenerators(PRNGs)”12偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)兩類(lèi)偽隨機(jī)數(shù)發(fā)生器：偽隨機(jī)數(shù)發(fā)生器（PRNG）用于生產(chǎn)不限長(zhǎng)位流的算法。在流密碼中應(yīng)用偽隨機(jī)函數(shù)（PRF）用于生成固定長(zhǎng)度的偽隨機(jī)串。對(duì)稱(chēng)加密密鑰、時(shí)變值13偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)對(duì)偽隨機(jī)數(shù)的要求最基本的要求：不知道種子的敵手不能絕對(duì)偽隨機(jī)串在用于生成密鑰時(shí)，若隨機(jī)性不強(qiáng)，會(huì)使密鑰空間變小隨機(jī)性：顯示隨機(jī)、多種測(cè)試均勻性：任意位置為0的概率為1/2可伸縮性：整體序列滿(mǎn)足的測(cè)試，抽取的子序列也滿(mǎn)足一致性：對(duì)于所有初始值（種子），發(fā)生器的行為必須具有一致性。部分測(cè)試（SP800-22列出了15種）：頻率測(cè)試：0、1格式是否相當(dāng)游程測(cè)試：各種長(zhǎng)度的0串和1串出現(xiàn)的概率是否與真隨機(jī)數(shù)符合Maurer通用統(tǒng)計(jì)測(cè)試：是否能被壓縮14偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)對(duì)偽隨機(jī)數(shù)的要求最基本的要求：不知道種子的敵手不能絕對(duì)偽隨機(jī)串隨機(jī)性：均勻性、可伸縮性、一致性不可預(yù)測(cè)性：前向不可預(yù)測(cè)性：不知道種子，不管知道序列前多少位，都無(wú)法預(yù)測(cè)下一位后向不可預(yù)測(cè)性：產(chǎn)生的任何值都不能推測(cè)種子種子的要求：安全，敵手知道種子就可以確定輸出為什么不用TRNG流密碼中不實(shí)用PRF能夠使真隨機(jī)數(shù)性質(zhì)更好15偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)線性同余發(fā)生器算法：Xn+1=(aXn+c)modm參數(shù)說(shuō)明：模數(shù)m>0，乘數(shù)a（0<a<m），增量c（0≤c<m），初始值（或種子）X0

（0≤X0<m）m要足夠大，隨機(jī)性的主要來(lái)源a決定了序列的周期16偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)線性同余發(fā)生器算法：Xn+1

=(aXn+c)modm參數(shù)說(shuō)明：模數(shù)m>0，乘數(shù)a（0<a<m），增量c（0≤c<m），初始值（或種子）X0

（0≤X0<m）m要足夠大，隨機(jī)性的主要來(lái)源；a決定了序列的周期例子：a=c=X0=1andm=8{2,3,4,5,6,7,0,1}a=7,c=0,m=32andX0

=1{7,17,23,1,7,17,23,1,…}.17偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)線性同余發(fā)生器m模數(shù)m>0

231-1a乘數(shù)0a<ma=75=16807

c增量0c<mX0

種子0X0<mXn+1

=(aXn+c)modm缺點(diǎn)：缺乏不可預(yù)測(cè)性只要知道其中任何一位，后續(xù)序列全部知道改進(jìn)：每隔N個(gè)數(shù)，以時(shí)鐘值作為新的種子來(lái)計(jì)算直接將時(shí)鐘加在隨機(jī)數(shù)上再對(duì)m取模18偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)BlumBlumShub發(fā)生器BBS發(fā)生器是現(xiàn)在產(chǎn)生安全偽隨機(jī)數(shù)的普遍方法，它的密碼強(qiáng)度很高?；诠€算法Takelargeprimespandqthathaveareminderof3upondivisionby4：

p=q=3mod4Letn=p*qChooseaseed“s”relativelyprimewithnAlgorithm:X0=s2modnFori=1to{Xi=(Xi-1)2modnBi=Ximod2}19偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)取每次計(jì)算結(jié)果的最低有效位（最后一位）BlumBlumShub發(fā)生器例：n=383×503=192649，s=101355，則X0≡2074920偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)BlumBlumShub發(fā)生器評(píng)價(jià)：不可預(yù)知,續(xù)位測(cè)試不存在多項(xiàng)式時(shí)間的算法：使得在已知前k位的情況下預(yù)測(cè)出第k+1位的概率大于0.5安全性依賴(lài)于對(duì)n的因子分解量子計(jì)算可以在多項(xiàng)式時(shí)間內(nèi)預(yù)測(cè)BBS發(fā)生器的下一位運(yùn)行速度慢，因?yàn)閿?shù)字很大對(duì)加密來(lái)說(shuō)太慢了，作為密鑰發(fā)生器可以21偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)使用分組密碼的偽隨機(jī)數(shù)發(fā)生器CTR模式與OFB模式22偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)隨機(jī)性來(lái)源于分組密碼加密特性，雪崩效應(yīng)、均勻性等等不可預(yù)測(cè)性來(lái)源于密鑰K的保密性使用分組密碼的偽隨機(jī)數(shù)發(fā)生器ANSIX9.17算法：Ri=EDEK1,K2(ViEDEK1,K2(DTi))Vi+1=EDEK1,K2(RiEDEK1,K2(DTi))23偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)保密64位當(dāng)前日期和時(shí)間種子偽隨機(jī)數(shù)的特點(diǎn)：隨機(jī)性、不可預(yù)測(cè)性只要種子保密，隨機(jī)數(shù)“顯得隨機(jī)”，完全不可預(yù)測(cè)只要種子已知，就是確定性的結(jié)果如果A、B共享了一組種子，就可以產(chǎn)生一串只有A和B才知道的比特串；足夠好的偽隨機(jī)數(shù)序列可以用來(lái)加密明文——流密碼24偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)流密碼25偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)一次一密26偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)流密碼模擬一次一密27偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)28偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法DesignedbyRonRivestin1987forRSASecurity.Keptasatradesecretuntilleakedoutin1994.Themostpopularstreamcipher.Simpleandfast.Witha128bitskey,theperiodis>10100.UsedintheSSL/TLSstandards(forsecureWebcommunication),IEEE802.11wirelessLANstandard,MicrosoftPoint-to-PointEncryption,andmanyothers.29偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法30偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法31偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法32偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法33偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)RC4算法的安全性ThekeystreamgeneratedbyRC4isbiased.Thesecondbyteisbiasedtowardzerowithhighprobability.Thefirstfewbytesarestronglynon-randomandleakinformationabouttheinputkey.Defense:discardtheinitialnbytesofthekeystream.Called“RC4-drop[n-bytes]”.Recommendedvaluesforn=256,768,or3072bytes.Effortsareunderway(e.g.theeSTREAMproject)todevelopmoresecurestreamciphers.34偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)35偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)真隨機(jī)數(shù)的來(lái)源：熵源即不可預(yù)測(cè)的自然過(guò)程：電離輻射的脈沖測(cè)試、氣體管放電、漏電電容熱噪音采樣磁盤(pán)驅(qū)動(dòng)：空氣波動(dòng)會(huì)導(dǎo)致磁盤(pán)驅(qū)動(dòng)在轉(zhuǎn)動(dòng)時(shí)有很小的隨機(jī)波動(dòng)。鍵盤(pán)、鼠標(biāo)、聲音、圖像等輸入真正意義上的隨機(jī)必須是一個(gè)量子演化過(guò)程純經(jīng)典過(guò)程混沌過(guò)程：初始值的細(xì)微差別或者細(xì)微擾動(dòng)會(huì)帶來(lái)巨大變化雖然難以預(yù)測(cè)，但本質(zhì)上也是確定性的，例如布朗運(yùn)動(dòng)。36偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)真?zhèn)坞S機(jī)數(shù)的對(duì)比量子隨機(jī)數(shù)PRNGTRNGQRNG效率較高較低相對(duì)較高確定性確定性的非確定性的非確定性的周期性周期性的非周期性的非周期性的鈾、錘子、毒藥、貓t：出現(xiàn)鈾原子衰變的概率為50%活貓：0死貓：137偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)量子隨機(jī)數(shù)鈾、錘子、毒藥、貓t：出現(xiàn)鈾原子衰變的概率為50%活貓：0死貓：1水平偏振垂直偏振水平偏振與垂直偏振的疊加態(tài)38偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)偏差真隨機(jī)數(shù)發(fā)生器會(huì)存在偏差，例如1的個(gè)數(shù)大于0薛定諤的隨機(jī)數(shù)：t偏大，打開(kāi)盒子時(shí)間晚了利用Hash函數(shù)（MD-5或者SHA-1）消偏消偏的過(guò)程也是壓縮的過(guò)程。如果真隨機(jī)數(shù)發(fā)生器產(chǎn)生0、1概率分別為：50%：50%0%：100%20%：80%80%：20%10%：90%n→nn→0n→n×H(0.2)=0.72nn→n×H(0.8)=0.72nn→n×H(0.1)=0.47n39偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)Intel數(shù)字隨機(jī)數(shù)發(fā)生器（DRNG）40偽隨機(jī)數(shù)流密碼真隨機(jī)數(shù)Intel數(shù)字隨機(jī)數(shù)發(fā)生器（DRNG