一种新实用安全加密标准算法--Camellia算法

发布时间:2008/6/5 0:00:00 访问次数:408

继２０００年１０月美国推出二十一世纪高级数据加密标准ａｅｓ后，２００３年２月欧洲最新一代的安全标准ｎｅｓｓｉｅ（ｎｅｗｅｕｒｏｐｅａｎｓｃｈｅｍｅｓｆｏｒｓｉｇｎａｔｕｒｅｓ、ｉｎｔｅｇｒｉｔｙａｎｄｅｎｃｒｙｐｔｉｏｎ）出台。ｎｅｓｓｉｅ是欧洲ｉｓｔ（ｉｎｆｏｒｍａｔｉｏｎｓｏｃｉｅｔｙｔｅｃｈｎｏｌｏｇｉｅｓ）委员会计划的一个项目。ｃａｍｅｌｌｉａ算法以其在各种软件和硬件平台上的高效率这一显著特点成为ｎｅｓｓｉｅ标准中两个１２８比特分组密码算法之一（另一个为美国的ａｅｓ算法）。

ｃａｍｅｌｌｉａ算法由ｎｔｔ和ｍｉｔｓｕｂｉｓｈｉｅｌｅｃｔｒｉｃｃｏｒｐｏｒａｔｉｏｎ联合开发。作为欧洲新一代的加密标准，它具有较强的安全性，能够抵抗差分和线性密码分析等已知的攻击。与ａｅｓ算法相比，ｃａｍｅｌｌｉａ算法在各种软硬件平台上表现出与之相当的加密速度。除了在各种软件和硬件平台上的高效性这一显著特点，它的另外一个特点是针对小规模硬件平台的设计。整个算法的硬件执行过程包括加密、解密和密钥扩展三部分，只需占用８．１２ｋ０．１８μｍｃｏｍｓ工艺ａｓｉｃ的库门逻辑。这在现有１２８比特分组密码中是最小的。

１ｃａｍｅｌｌｉａ算法的组成ｃａｍｅｌｌｉａ算法支持１２８比特的分组长度，１２８、１９２和２５６比特的密钥与ａｅｓ的接口相同。本文以１２８比特密钥为例对ｃａｍｅｌｌｉａ算法进行详细介绍。

ｃａｍｅｌｌｉａ算法１２８比特密钥的加、解密过程共有１８轮，采用ｆｅｉｓｔｅｌ结构，加、解密过程完全相同，只是子密钥注入顺序相反。而且密钥扩展过程和加、解密过程使用相同的部件。这使得ｃａｍｅｌｌｉａ算法不论是在软件平台还是硬件平台只需更小的规模和更小的存储即可。

(１)ｃａｍｅｌｌｉａ算法所采用的符号列表及其含义

ｂ８比特向量ｗ３２比特向量
ｌ６４比特向量ｑ１２８比特向量
ｘ(ｎ) 比特向量
ｘl 向量ｘ的左半部分ｘr 向量ｘ的右半部分
＜＜＜比特循环左移｜｜两个操作数的连接
 比特的异或操作ｘ比特位取补操作
∪ 比特位的或操作 ∩ 比特位的与操作

(２)ｃａｍｅｌｌｉａ算法所采用的变量列表及其含义

ｍ(128)　１２８比特明文组ｃ(128)　１２８比特密文组
ｋ主密钥ｋｗt(64)，ｋu(64)，ｋｌv(64)，　子密钥

（３）ｃａｍｅｌｌｉａ算法所采用的变换函数 ·ｆ变换

ｆ变换（见式（１））是ｃａｍｅｌｌｉａ算法中最主要的部件之一，而且ｆ变换被加、解密过程和密钥扩展过程所共用（１２８比特密钥的加、解密各用１８次，密钥扩展用４次）。ｃａｍｅｌｌｉａ算法的ｆ变换在设计时采用１轮的ｓｐｎ（ｓｕｂｓｔｉｔｕｔｉｏｎｐｅｒｍｕｔａｔｉｏｎｎｅｔｗｏｒｋ），包括一个ｐ变换（线性）和一个ｓ变换（非线性）。在ｆｅｉｓｔｅｌ型密码使用一轮ｓｐｎ作轮函数时，对更高阶的差分和线性特性概率的理论评估变得更加复杂，在相同安全水平下的运行速度有所提高。

ｆ：ｌ×ｌ→ｌ （１）　
（ｘ（64），ｋ（64））→ｙ（64）＝ｐ（ｓ（ｘ（64）　ｋ（64））

·ｐ变换

ｃａｍｅｌｌｉａ算法的ｐ变换（见式（２））是一个线性变换。为了通信中软、硬件实现的高效性，它适合采用异或运算，并且其安全性能足以抵抗差分和线性密码分析。其在３２位处理器、高端智能卡上的应用，跟在８位处理器上一样。

ｐ：ｌ→ｌ

＝ （２）　

·ｓ变换

ｃａｍｅｌｌｉａ算法采用的ｓ盒（见式（３））是一个ｇｆ（２8）上的可逆变换，它加强了算法的安全性并且适用于小硬件设计。众所周知，ｇｆ（２8）上函数的最大差分概率的最小值被证明为２－6，最大线性概率的最小值推测为２－6。ｃａｍｅｌｌｉａ算法选择ｇｆ（２8）上能够获得最好的差分和线性概率的可逆函数作ｓ盒，而且ｓ盒每个输出比特具有高阶布尔多项式，使得对ｃａｍｅｌｌｉａ进行高阶差分攻击是困难的。ｓ盒在ｇｆ（２8）上输入、输出相关函数上的复杂表达式，使得插入攻击对ｃａｍｅｌｌｉａ无效。

ｓ：ｌ→ｌ

（ｌ1（8），ｌ1（8），ｌ1（8），ｌ1（8），ｌ1（8），ｌ1（8），ｌ1（8），ｌ1（8））→
（ｓ1（ｌ1（8）），ｓ2（ｌ2（8）），ｓ3（ｌ3（8）），ｓ4（ｌ4（8）），ｓ2（ｌ5（8）），ｓ3（ｌ6（8）），
ｓ4（ｌ7（8）），ｓ1（ｌ8（8）））

ｓ1：ｙ（8）＝ｓ1（ｘ（8））＝ｈ（ｇ（ｆ（０ｘｃ５ｘ（8））））０ｘ６ｅ
其中，ｓ2：ｙ（8）＝ｓ2（ｘ（8））＝ｓ1（ｘ（8））＜＜＜１ （３）
ｓ3：ｙ（8）＝ｓ3（ｘ（8））＝ｓ1（ｘ（8））＞＞＞１
ｓ4：ｙ（8）＝ｓ4（ｘ（8））＝ｓ1（ｘ（8））＜＜＜１