第5,6讲-伪密钥和唯一解距离

§3.2伪密钥和唯一解距离2005年3月92023/1/51

定理3.1

设b>1,则有

且,都有(2)当且仅当,都有(1)(3)当且仅当存在使得上节内容回顾熵:2023/1/52上节内容回顾定理3.3

推论3.1且等号成立X与Y独立.定理3.2:且等号成立X与Y独立.联合熵:条件熵:结论:且等号成立X与Y独立.平均互信息:2023/1/53§3.2伪密钥和唯一解距离主要内容:

利用Shannon信息论,研究密文、明文和密钥的信息量。分析唯密文攻击条件下要唯一确定密钥时至少需要的密文长度。2023/1/54

定理3.4设M,K,C分别是明文空间、密钥空间和密文空间上的随机变量，则有截获密文后密钥的未知信息量等于明文与密钥总的未知信息量减去从已知的密文中获得的信息量。直观含义:2023/1/55

定理3.4设M,K,C分别是明文空间、密钥空间和密文空间上的随机变量，则有根据条件熵与联合熵之间的关系,有证明:由于知道密文和密钥,自然也知道明文,因而密钥和密文都知道时提供的信息量H(K,C)等于密钥、密文和明文都知道时提供的信息量H(K,M,C),即下证之.由和条件熵与联合熵的关系知同理,有,故由密钥与明文独立知2023/1/56截获密文C后,就可将密钥唯一确定等价于

下面根据这个条件,计算至少需要多少密文才能将密钥唯一确定.将密钥唯一确定所需要的最少的密文的数量,就称为该密码体制的唯一解距离.

要求唯一解距离,需要首先计算计算出n长明文M的熵H(M)和n长密文的熵H(C).定理3.4说明:截获密文C后,就可将密钥唯一确定等价于2023/1/57(A)n长密文熵的计算我们需要做一个合理的假设:

假设:密文是随机的!设密文字母表为Y,则n长密文就是由字母表Y中n个字母组成的密文字母串.结论:设n长密文服从均匀分布,则n长密文的熵为

证明:因n长密文共有个,从而由n长密文服从均匀分布和熵的性质知2023/1/58

如何刻划明文本身包含的未知信息量呢?我们给出如下的定义：

设明文字母表为X,则n长明文就是由字母表X中n个字母组成的明文字母串.(B)n长明文熵的计算2023/1/59定义3.5（2）设L是一种语言,则称为该语言L的冗余度(Redundancy).定义3.5

(1)设L是一种语言,则称为该语言L的(单字母)熵.因此,当n很大时,近似有2023/1/510例1如果由64个二进制数构成的某类密钥

的熵平均是56比特,则该类密钥的熵为0.875比特.例2如果由64个二进制数构成的某类密钥的熵平均是56比特,则该类密钥的冗余度是

1-0.875=0.125比特即:平均每个密钥比特有0.125个比特是多余的.2023/1/511

下面转到分析需要截获多少密文才能将密钥唯一确定的问题.2023/1/512定义3.6称将密钥唯一确定所平均需要的最少的密文的数量为该密码体制的唯一解码量.唯一解码量也称为唯一解距离.

将密钥唯一确定等价于H(K|C)=0.下面根据定理3.4的结论计算一个密码体制的唯一解码量.2023/1/513当截获n长明文X(n)对应的n长密文Y(n)后,就可将密钥的信息全部确定等价于现设,则有从而即

也就是说,当截获个密文字母后,就可将密钥的信息全部确定.2023/1/514

设已知密文C(n)及对应的明文M(n).由于明文M(n)是已知的,因而此时该明文的熵H(M(n))=0,因而RL=1.这就是说,当n=H(K)/RL=128时,就可将密钥的信息唯一确定.即此时唯一解距离为128.

结论:设明文的(单字母)冗余度为,则所有密码体制的唯一解距离均为

例:对于具有128比特密钥的密码体制,平均需要128比特的已知明文,就能将密钥唯一确定.其中已知明文就是已知一个密文和它对应的明文.解毕解:2023/1/515

几点说明:

（1）由于唯一解距离量是用熵推出来的，因而它只是将密钥唯一确定所平均需要的密文长度。由于明文熵是每份明文所包含的信息量关于所有明文的平均值，因而有时需要的密文数量少，有时需要的数量多，但其平均值就是唯一解码距离。

（2）明文熵不同，唯一解距离也不同。明文熵就是你在攻击过程中每个字母所能利用的信息量。

（3）如何确定唯一密钥？确定过程实际上能否实现，这里并不关心。一般而言，穷举攻击所需的平均密文量就是该密码体制的唯一解距离。2023/1/516

伪密钥首先介绍候选密钥、伪密钥和等效密钥的概念。

候选密钥：攻击者在求解正确密钥时，求出的可能密钥都称为候选密钥。

平均来看,当得到的密文数量小于唯一解距离时,候选密钥未必只有一个,此时,就会有多个候选密钥.

伪密钥：攻击者得到的候选密钥中的错误密钥称为伪密钥.

等效密钥：如果两个密钥对所有明文的加密结果都相同,则称这两个密钥为等效密钥.

两个等效密钥k1和k2对应的加密函数和就是一个函数,因而它们的加密效果完全相同.2023/1/517§3.1密码体制的数学模型密码体制由明文空间、密文空间、密钥空间和密码算法四部分构成。

被加密的明文服从明文空间上的一个概率分布pm(x)；

被使用的密钥服从密钥空间上的一个概率分布pk(x);

密文也服从密文空间上的一个概率分布pc(x)；.

注意:

密钥的分布与明文的分布独立!2023/1/518§3.3密码体制的完善保密性

定义3.7(完善保密性)对一个密码体制而言，如果明文与密文独立，即对所有明文空间中的任一点x

和密文空间中的任一点y,都有则称该密码体制具有完善保密性(Perfectsecrecy).或称该密码体制是完全保密的。

等价刻划:一个密码体制具有完善保密性当且仅当对所有明文空间中的任一点x

和密文空间中的任一点y,都有2023/1/5