密码学重点题归纳

重点知识点归纳：3、IDEA分组密码算法的明文分组长度为比特，密钥长度为比特，经过圈迭代后，再经过一个输出变换，得到比特的密文。整个运算过程全部以位字为运算单位，便于软件实现。算法通过交替使用、、和三种不同的群运算来实现混乱和扩散。（64；128；8；64；16；按位模2加；模216加法；模216+1乘法）14、设一个线性移位寄存器的反馈多项式为，则其线性递推式为。给定初始状态0001，则输出序列为，t=3时的自相关系数为。15、已知a是6次本原多项式生成的m序列，则a的周期为，在a的一个周期内（首尾相接），游程总数有个，其中长度为5的0游程有个，长度为3的1游程有个。19、设RSA公钥密码体制的模数N=221，则j（N）=，从理论上讲，加密指数e共有种可能取法。20、公钥密码RSA的安全性基础是，签名算法DSA的安全性基础是。3、简述密钥分层管理的基本思想及其必要性。答：密钥分层保护也称为逐级保护，一般将密钥分为三层，一级密钥保护二级密钥，二级密钥保护三级密钥等。对密钥实行分层管理是十分必要的，分层管理采用了密码算法，一级对下一级进行保护，底层密钥的泄露不会危及上层密钥的安全，当某个密钥泄露时，最大限度的减少损失。简述密钥分散管理的基本思想及其必要性。答：密钥分散保护通常指将密钥分成几个部分，存放在不同的地方或由不同的人掌管，使用时再将几部分结合起来，结合方式一般为模2加。当一部分泄露时，不会危及整个主密钥的安全。在一个密码系统中，无论密钥如何分层保护，最高一级的密钥（一般是主密钥）总是明的，无法采用密码算法保护，而直接将主密钥明放在计算机中是不允许的，因此必须对主密钥采取相应的保护措施，即对主密钥实行分散管理，将主密钥拆分成几部分，由不同的人来管理或人机共同管理，最大限度的保证主密钥的安全。5、在密码分组链接（CBC）模式中，一个密文块的传输错误将影响几个明文块的正确还原，为什么？解：假设密文块在传输中出错，因为i=1,2,…则有；只有明文块、的还原与密文块有关，因此一个密文块的传输错误将影响两个明文块的正确还原。6、给出一种利用DES算法产生伪随机数的方法。解：利用DES的加密模型，设密钥为。任选一较大的文件，就是说有足够的明文源，设为，为克服相同明文生成相同密文的缺陷，采用密码分组链接模式进行加密，得到i=1,2,…，（假设为全0分组）由此得到的即为生成的随机数。9、为什么共模RSA体制是不安全的？答：（1）任何一个用户都可以利用他的加、脱密钥对的知识去分解大合数N，从而能确定出网上的其他的用户的脱密密钥。（2）通播信息是不安全的。14、为什么Bent函数有良好的抗线性逼近性？Bent函数是平衡函数吗？为什么？答：由于Bent函数的Walsh谱值的绝对值处处相等，从而能抵抗线性逼近攻击。又因为Bent函数在0点的Walsh谱值不等于0，由定义可知它不是平衡函数。17、简述分组密码中所采用的混乱原则和扩散原则。DES算法是通过那些环节实现混乱和扩散的？IDEA算法是通过那些环节实现混乱和扩散的？答：所谓混乱是指密码变换应使得密文和密钥、明文之间的依赖关系尽量复杂，即使攻击者掌握了密文的某些统计特性，由于使用密钥产生密文的方式是如此复杂，以至于攻击者难于从中推测密钥。可以通过复杂的非线性变换实现混乱，而简单的线性函数就不能达到好的混乱效果。所谓扩散是指密码变换应将明文的统计结构扩散消失到整个密文的统计特性中去。做到这一点的方法是让明文的每个字母影响多个密文字母的取值，或者说，每个密文字母被多个明文字母影响（采用模加法可实现这种扩散，如IDEA，AES等）。在二进制分组密码中，扩散可以通过多次置换的方法来实现，这样做就使得原来明文不同位置的多个比特影响一个密文比特的取值。所有分组密码都包含从明文分组到密文分组的变换，具体如何变换则依赖于密钥。扩散机制试图使明文和密文之间的统计关系尽量复杂，以便挫败推测密钥的尝试。另一方面，混乱试图使得密文的统计特性与加密密钥之间的关系尽量复杂，同样是为了挫败发现密钥的尝试。DES算法主要通过S盒代替实现局部混乱，通过P盒实现整体扩散。IDEA算法通过乘加结构MA实现扩散，具体地说通过加法实现比特由低位向高位的扩散，通过乘法实现比特由低位向高位，以及由高位向低位的扩散；通过三种不同的群运算实现混乱。4、已知某序列密码的加密方式为,()，且密钥序列由5级本原移存器产生。今截收到一段密文为1111001001001101，且知一些对应的明文为01001,01,=1（1）求该5级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点，并说明利用m序列作为初始乱源，如何设计一个好的序列密码。（20）分解：（1）由已知的明密对可求出对应的密钥比特10111,11,=0由m序列的游程特性知0,0（仅有一个长为3的1游程），通过10个连续信号及5级线性移存器的一般递推式得到5个线性方程，可解出5个系数。得到，可求出所需密钥序列为1011101100011111。（2）对应的明文为010010。2、已知某序列密码的加密方式为,()，且密钥序列由4级本原移存器产生。今截收到一份密文为101100110111010，且知一些对应的明文为0011,01,（1）求该4级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点。解：（1）由已知的明密对可求出对应的密钥比特1000,00,由m序列的游程特性知1,1，通过8个连续信号及4级线性移存器的一般递推式得到4个线性方程，可解出4个系数。得到，一个周期内信号即为密钥序列100010011010111。（2）对应的明文为01101101。（3）该密码的弱点是直接将m序列用作密钥序列，而m序列具有很强的线性制约特性，复杂度低，必须对其进行复杂的非线性变换，提高其复杂度。m序列用作非线性变换的输入较为合适。3、已知某m序列一个周期内信号可表示为，且100,000,求其余信号。解：利用游程特性可得：a4=1；a8=1由8个已知信号10010001利用解方程组的方法可求出线性递推式由此可确定其余信号，a0=1;a9…a14=1110104、已知某序列密码的加密方式为,()，且密钥序列由5级本原移存器产生。今截收到一段密文为1111001001001101，且知一些对应的明文为01001,01,=1（1）求该5级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点，并说明利用m序列作为初始乱源，如何设计一个好的序列密码。（20）分解：（1）由已知的明密对可求出对应的密钥比特10111,11,=0由m序列的游程特性知0,0（仅有一个长为3的1游程），通过10个连续信号及5级线性移存器的一般递推式得到5个线性方程，可解出5个系数。得到，可求出所需密钥序列为1011101100011111。（2）对应的明文为010010。（3）该密码的弱点是直接将m序列用作密钥序列，而m序列具有很强的线性制约特性，复杂度低，必须对其进行复杂的非线性变换，提高其复杂度。m序列用作非线性变换的输入较为合适。用m序列作为初始乱源，对其进行前馈、时序、筛选、控制逻辑等多层编码环节，利用m序列良好的统计特性，改进其复杂度低的弱点，最终产生变化量大、复杂度高、随机性好的电子机内乱数，采用简单的密码法和明文结合，得到密码。（3）该密码的弱点是直接将m序列用作密钥序列，而m序列具有很强的线性制约特性，复杂度低，必须对其进行复杂的非线性变换，提高其复杂度。m序列用作非线性变换的输入较为合适。用m序列作为初始乱源，对其进行前馈、时序、筛选、控制逻辑等多层编码环节，利用m序列良好的统计特性，改进其复杂度低的弱点，最终产生变化量大、复杂度高、随机性好的电子机内乱数，采用简单的密码法和明文结合，得到密码。9、在英文单表代替中，若限定字母A只能代替成B或C，求这样编制的英文单表代替的唯一解码量。（英文的多余度为3.2比特/字母）解：密钥变化量为2*25！，唯一解码量为(log(2*25!))/3.2字母。10、已知仿射凯撒密码的脱密变换为，试求加密变换并对明文AEF加密。解：加密结果为HTW。13、证明DES算法的互补对称性。证明：对于DES算法中的函数，当输入为和时，由于=因此=，而，，因此当明文和密钥都取补时，可得，==故有，证毕。5、为什么Bent函数有良好的抗线性逼近性？Bent函数是平衡函数吗？为什么？二、设某序列密码模型的前馈函数为==，其三路输入、、分别取自级数为20、39、17的三个本原移存器（1）求输出与三路输入的相关系数。（2）求在点（1，0，1）处的Walsh谱值。（3）求输出序列的线性复杂度。（4）从平衡性、相关性和线性复杂度的角度出发，说明如何设计一个安全性好的序列密码算法。8、Rijndael算法定义的面向四字节字的乘法运算是F28[x]modM(x)上的乘法(M(x)=x4+1)，简要说明xtime()（x乘法）可用字节的循环移位来实现。现代密码学习题一、填空题1、MD5杂凑算法的每个主循环处理的数据长度为比特，算法输出的杂凑值长度为比特，杂凑函数一般可用于和。（512，128，数字签名，数据完整性认证）2、SHA杂凑算法的每个主循环处理的数据长度为比特，算法输出的杂凑值长度为比特，杂凑函数一般可用于和。（512，160，数字签名，数据完整性认证）3、IDEA分组密码算法的明文分组长度为比特，密钥长度为比特，经过圈迭代后，再经过一个输出变换，得到比特的密文。整个运算过程全部以位字为运算单位，便于软件实现。算法通过交替使用、、和三种不同的群运算来实现混乱和扩散。（64；128；8；64；16；按位模2加；模216加法；模216+1乘法）4、CAST—128分组密码算法的分组长度为比特，密钥长度是可变的，经过圈迭代后，得到比特的密文。算法使用的四种基本操作为、、和。（64；16；64；按位模2加；模232加法；模232减法；循环移位）5、高级加密标准Rijndael算法支持可变的分组长度和密钥长度，若分组长度为192比特，密钥长度为256比特，则迭代圈数为。（14）6、高级加密标准Rijndael算法支持可变的分组长度和密钥长度，若分组长度为128比特，密钥长度为192比特，则迭代圈数为。（12）7、DES分组算法的明文分组长度是比特，子密钥长度为比特，经过圈迭代后，得到比特的密文。DES算法主要通过实现局部混乱，通过实现整体扩散。（64；48；16；64；S盒；P盒）8、两个密钥的三重DES的加密变换为；三个密钥的三重DES的加密变换为。（；）9、密码学的两个主要分支为和。（密码编码学；密码分析学）10、8级m序列一个周期段中长为6的0游程有个，长为5的1游程有个，长为4的游程有个。（1；2；8）11、8级m序列一个周期段中长为6的1游程有个，长为5的0游程有个，长为4的游程有个。（1；2；8）12、密码学是研究、和密钥管理的一门综合性应用科学。13、在Kerckhoff假设下，根据攻击者掌握的信息，可将基本攻击方法分为唯密文攻击、和三种。14、设一个线性移位寄存器的反馈多项式为，则其线性递推式为。给定初始状态0001，则输出序列为，t=3时的自相关系数为。14.1设一个线性移位寄存器的线性递推式为，则其反馈多项式为。15、已知a是6次本原多项式生成的m序列，则a的周期为，在a的一个周期内（首尾相接），游程总数有个，其中长度为5的0游程有个，长度为3的1游程有个。16、分组密码算法设计的两个主要原则是和。在DES算法中，其唯一的非线性变换是。P盒的主要作用是。17、若ab=100100111011012，则ab(mod28+1)=；若ab=1110000011011102，则ab(mod28+1)=。18、美国21世纪高级加密标准的推荐算法是，该分组密码算法支持比特的分组长度，比特的密钥长度。19、设RSA公钥密码体制的模数N=221，则（N）=，从理论上讲，加密指数e共有种可能取法。20、公钥密码RSA的安全性基础是，签名算法DSA的安全性基础是。21、用背包向量b=(1356,215,2370,321,764)对明文m=(10011)加密的结果为。21、若用超递增背包向量b=(2,6,9,19,41)对某明文加密得密文c＝30，则该密文对应的明文为。（10110）22、密钥管理的关键技术是。23、Kerberos协议是一个协议。24、已知Shamir(3,5)门限方案的模数p=17，影子值分别为k1=13，k2=3，k3=2，k4=10，k5=10，重构密钥为。25、杂凑函数主要用于数字签名和。MD5杂凑算法的数据分组长度是比特，杂凑值为比特。26、考虑等式y=gxmodp，若g=9，x=20和p=79，则y=，若给定大素数p以及g，y时，计算x被称为问题。27、加密密钥为DES的维吉尼亚密码对明文TEXT加密所得密文为。（WIPW）28、加密密钥为ACE的维吉尼亚密码对明文TEXT加密所得密文为。（TGBT）二、简答题1、叙述IDEA分组密码的加密子密钥生成算法。答：IDEA分组密码算法的初始密钥长度为128比特，8圈迭代用到48个自密钥，一个输出变换用到4个在密钥，每个子密钥长度为16比特。其密钥生成算法为：按顺序从用户密钥k中直接生成最初的8个子密钥，然后将k循环左移25位，生成后续的8个子密钥，按此方法进行下去，直到生成全部的52个16比特子密钥为止。2、说明MD5杂凑算法的每个主循环可处理的数据长度，算法输出的杂凑值长度，杂凑函数的简单应用。答：512，128，数字签名，数据完整性认证。3、简述密钥分层管理的基本思想及其必要性。答：密钥分层保护也称为逐级保护，一般将密钥分为三层，一级密钥保护二级密钥，二级密钥保护三级密钥等。对密钥实行分层管理是十分必要的，分层管理采用了密码算法，一级对下一级进行保护，底层密钥的泄露不会危及上层密钥的安全，当某个密钥泄露时，最大限度的减少损失。简述密钥分散管理的基本思想及其必要性。答：密钥分散保护通常指将密钥分成几个部分，存放在不同的地方或由不同的人掌管，使用时再将几部分结合起来，结合方式一般为模2加。当一部分泄露时，不会危及整个主密钥的安全。在一个密码系统中，无论密钥如何分层保护，最高一级的密钥（一般是主密钥）总是明的，无法采用密码算法保护，而直接将主密钥明放在计算机中是不允许的，因此必须对主密钥采取相应的保护措施，即对主密钥实行分散管理，将主密钥拆分成几部分，由不同的人来管理或人机共同管理，最大限度的保证主密钥的安全。5、在密码分组链接（CBC）模式中，一个密文块的传输错误将影响几个明文块的正确还原，为什么？解：假设密文块在传输中出错，因为i=1,2,…则有；只有明文块、的还原与密文块有关，因此一个密文块的传输错误将影响两个明文块的正确还原。6、给出一种利用DES算法产生伪随机数的方法。解：利用DES的加密模型，设密钥为。任选一较大的文件，就是说有足够的明文源，设为，为克服相同明文生成相同密文的缺陷，采用密码分组链接模式进行加密，得到i=1,2,…，（假设为全0分组）由此得到的即为生成的随机数。7、假设用户A和KDC的共享密钥为，B和KDC的共享密钥为，A通过KDC与B建立会话密钥的过程如下：（1）A向KDC传送：请求||。（N1为A产生的一个随机数）（2）KDC向A传送：（||请求||||）。简要说明KDC向A传送的报文中各参数的含义。答：因为报文是用加密的，所以A是可以成功收到该报文的惟一用户，且A知道该报文一定来自KDC。脱密后，A就得到了会话密。该报文包含有A的请求和现时，的出现使A确信是KDC针对他这次请求的响应，而不是老报文的重放，且报文在传送时没有被篡改。报文中的是让A转发给B的，其中有会话密钥和A的ID。8、在共模RSA体制中，系统外用户如何对通播信息进行攻击？答：设一用户A要向个用户发送同一信息，这样就得到：（modN）如果比较大，则就有很大的可能性找到两个互素的加密指数，设为和，从而可由欧几里德算法求出和，使得：这样，就可以由截获的密文和按下式求出明文：9、为什么共模RSA体制是不安全的？答：（1）任何一个用户都可以利用他的加、脱密钥对的知识去分解大合数N，从而能确定出网上的其他的用户的脱密密钥。（2）通播信息是不安全的。10、Rijndael算法定义的面向四字节字的乘法运算是F28[x]modM(x)上的乘法(M(x)=x4+1)，简要说明xtime()（x乘法）可用字节的循环移位来实现。11、客户机C要访问应用服务器V，通过鉴别服务器AS所做的鉴别步骤如下：(1)CAS：(2)ASC：Ticket(=)(3)CV：Ticket试分析该鉴别协议的弱点，并简要说明改进的方法。（其中，、分别是用户C和服务器V的标识符；、是用户C的网络地址和口令；是AS与V共享的保密密钥）解：弱点（1）口令明传。解决方法：不向AS传口令，而由AS向C传一个加密的票据，所用密钥是基于最初的共享口令生成的，算法是双方共有的。（2分）弱点（2）对手可通过伪造C的ID及AD来重放票据而获得V的服务。解决方法：引入C和V的双向鉴别，即要实现：出示票据的人就是申请票据的人。（由第三方向C和V分配一个共享的秘密信息，实现鉴别）（4分）在RSA算法中，若已知N和，如何可分解大合数N。13、叙述用户A和B之间，利用Diffe-Hellman密钥交换协议建立会话密钥的过程。答：系统中用户A和B在开始通讯前同具有一个大的素数P和域Z/(p)中的本原根g，密钥交换如下：（1）用户A从集Z/(p-1)中取随机数，计算：，发送给用户B；（2）用户B从集Z/(p-1)中取随机数，计算：，发送给用户A；（3）用户A计算：=；（4）用户B计算：=；通过以上步骤，用户A、B双方就产生了共同的共享密钥。14、为什么Bent函数有良好的抗线性逼近性？Bent函数是平衡函数吗？为什么？答：由于Bent函数的Walsh谱值的绝对值处处相等，从而能抵抗线性逼近攻击。又因为Bent函数在0点的Walsh谱值不等于0，由定义可知它不是平衡函数。15、简述DES算法中S盒的设计原则。答：（1）盒的每一位输出都不是输入的线性或仿射函数。（2）每一个盒输入变化1比特，输出至少变化两比特。（3）对于任意的输入，和至少有两比特不同。（4）对任意的,。（5）盒的输入中任一位固定，每一位输出中0和1的个数尽可能平衡，其0,1个数之差不超过8。（6）盒的每一行应包括所有16种比特组合。16、简述DES算法中P盒的设计原则。答：（1）对于每个盒的4个输出、、、，在下圈要分送不同的盒，其中两比特影响下圈的“中间比特”，另外两比特影响下圈的“两端比特”。（2）对于每个盒的4个输出、、、，在下圈要影响6个不同的盒，并且任两个都不会影响同一个盒。（3）对于两个不同的盒、，如果的输出影响下圈的“中间比特”，那么的输出一定不能影响下圈“中间比特”。17、简述分组密码中所采用的混乱原则和扩散原则。DES算法是通过那些环节实现混乱和扩散的？IDEA算法是通过那些环节实现混乱和扩散的？答：所谓混乱是指密码变换应使得密文和密钥、明文之间的依赖关系尽量复杂，即使攻击者掌握了密文的某些统计特性，由于使用密钥产生密文的方式是如此复杂，以至于攻击者难于从中推测密钥。可以通过复杂的非线性变换实现混乱，而简单的线性函数就不能达到好的混乱效果。所谓扩散是指密码变换应将明文的统计结构扩散消失到整个密文的统计特性中去。做到这一点的方法是让明文的每个字母影响多个密文字母的取值，或者说，每个密文字母被多个明文字母影响（采用模加法可实现这种扩散，如IDEA，AES等）。在二进制分组密码中，扩散可以通过多次置换的方法来实现，这样做就使得原来明文不同位置的多个比特影响一个密文比特的取值。所有分组密码都包含从明文分组到密文分组的变换，具体如何变换则依赖于密钥。扩散机制试图使明文和密文之间的统计关系尽量复杂，以便挫败推测密钥的尝试。另一方面，混乱试图使得密文的统计特性与加密密钥之间的关系尽量复杂，同样是为了挫败发现密钥的尝试。DES算法主要通过S盒代替实现局部混乱，通过P盒实现整体扩散。IDEA算法通过乘加结构MA实现扩散，具体地说通过加法实现比特由低位向高位的扩散，通过乘法实现比特由低位向高位，以及由高位向低位的扩散；通过三种不同的群运算实现混乱。18、给出一种利用分组密码构造序列密码的方法。答：分组密码工作模式中的密码反馈（CFB）模式即可。19、Rijndael密码算法的圈函数包含哪四个基本环节？其中哪个环节是非线性的？答；字节代替变换，行移位变换，列混合变换，圈密钥加。其中字节代替变换是算法唯一的非线性变换。20、简述分组密码的密码分组链接（CBC）模式？画出加脱密框图或写出加脱密变换即可。i=1,2,…，（假设为全0分组）三、综合题1、周期为p的m序列，左移t（）位得到序列，将序列与序列按位对齐。（1）证明在一个周期段中，序列与序列（0，0）的有(p-3)/4对，（1，1）的有(p+1)/4对。（2）考查序列中0、1个数。（3）考查序列的游程分布。（4）求序列和序列的相关系数。（5）求序列的线性复杂度。解：（1）由于与原m序列平移等价，并且序列与序列是（0，0）和（1，1）时在中出现0，序列与序列是（0，1）和（1，0）时在中出现1，利用此特性容易证明结果；（2）序列中1个数为(p+1)/4，0个数为p-(p+1)/4；（3）序列的游程分布与原m序列相同；（4）=-1/p（5）序列的线性复杂度等于原m序列的级数，即为2、已知某序列密码的加密方式为,()，且密钥序列由4级本原移存器产生。今截收到一份密文为101100110111010，且知一些对应的明文为0011,01,（1）求该4级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点。解：（1）由已知的明密对可求出对应的密钥比特1000,00,由m序列的游程特性知1,1，通过8个连续信号及4级线性移存器的一般递推式得到4个线性方程，可解出4个系数。得到，一个周期内信号即为密钥序列100010011010111。（2）对应的明文为01101101。（3）该密码的弱点是直接将m序列用作密钥序列，而m序列具有很强的线性制约特性，复杂度低，必须对其进行复杂的非线性变换，提高其复杂度。m序列用作非线性变换的输入较为合适。3、已知某m序列一个周期内信号可表示为，且100,000,求其余信号。解：利用游程特性可得：a4=1；a8=1由8个已知信号10010001利用解方程组的方法可求出线性递推式由此可确定其余信号，a0=1;a9…a14=1110104、已知某序列密码的加密方式为,()，且密钥序列由5级本原移存器产生。今截收到一段密文为1111001001001101，且知一些对应的明文为01001,01,=1（1）求该5级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点，并说明利用m序列作为初始乱源，如何设计一个好的序列密码。（20）分解：（1）由已知的明密对可求出对应的密钥比特10111,11,=0由m序列的游程特性知0,0（仅有一个长为3的1游程），通过10个连续信号及5级线性移存器的一般递推式得到5个线性方程，可解出5个系数。得到，可求出所需密钥序列为1011101100011111。（2）对应的明文为010010。（3）该密码的弱点是直接将m序列用作密钥序列，而m序列具有很强的线性制约特性，复杂度低，必须对其进行复杂的非线性变换，提高其复杂度。m序列用作非线性变换的输入较为合适。用m序列作为初始乱源，对其进行前馈、时序、筛选、控制逻辑等多层编码环节，利用m序列良好的统计特性，改进其复杂度低的弱点，最终产生变化量大、复杂度高、随机性好的电子机内乱数，采用简单的密码法和明文结合，得到密码。5、已知某序列密码的加密方式为,()，且密钥序列由5级本原移存器产生。今截收到一段密文为0100100101010010，且知一些对应的明文为11110,10,=1（1）求该5级本原移存器的线性递推式。（2）求对应的明文。（3）分析该密码的弱点，并说明利用m序列作为初始乱源，如何设计一个好的序列密码。（20）分6、已知某密码的加密方法为，先用易位密码对明文M加密，再对该结果用维吉尼亚密码加密得密文C。若易位密码使用的加密密钥为置换T=（351246），维吉尼亚密码使用的加密密钥为AEF，密文C=vemaildytophtcmystnqzahj，求明文M。解：加密密钥为置换T=（351246），则脱密密钥为置换T=（341526）用维吉尼亚密码脱密得结果vahaegduoolctykyoonmuade再使用易位密码脱密得明文M=haveagoodluckytoyouandme7、已知某密码的加密方法为：C=f2(f1(M))，其中变换f1为：c=(7m+5)mod26；变换f2为置换T=（31254），今收到一份用这种密码加密的密文C=ficxsebfiz，求对应的明文M。解：f-1-1为：m=15(c-5)mod26=(15c+3)mod26f2-1为：T-1=（23154）则：f2-1（C）=icfsxbfezif2-1(f2-1(C))=thanksalot。8、在英文单表代替中，若限定元音字母只能代替成辅音字母，求这样编制的英文单表代替的唯一解码量。（英文的多余度为3.2比特/字母）9、在英文单表代替中，若限定字母A只能代替成B或C，求这样编制的英文单表代替的唯一解码量。（英文的多余度为3.2比特/字母）解：密钥变化量为2*25！，唯一解码量为(log(2*25!))/3.2字母。10、已知仿射凯撒密码的脱密变换为，试求加密变换并对明文AEF加密。解：加密结果为HTW。11、在英文单表代替中，若A、B、C、D中的字母只能代替成A或B或C或D，其余22个字母两两互代，即，若则（）求这样编制的英文单表代替的唯一解码量。（英文的多余度为3.2比特/字母）12、DES的加脱密相似性是由什么模型实现的？证明DES的加脱密相似性。答：DES的加脱密相似性是通过Feistel模型实现的。要证明DES的加脱密相似性，就是要证明利用脱密密钥和加密算法能将密文正确还原。（证明略）13、证明DES算法的互补对称性。证明：对于DES算法中的函数，当输入为和时，由于=因此=，而，，因此当明文和密钥都取补时，可得，==故有，证毕。14、证明：利用DES的互补对称性，在选择明文攻击时可减少一半的穷尽量。证明：已知条件为，对密钥空间K穷尽，试图恢复当前密钥。今选择用当前密钥加密的两个明密对、且任取，计算（1）若=，则为真，因为，否则（2）若=，则为真，因为=，则=由互补对称性知=，又因=，则为真。（3）若，重新选取不同的密钥重复上述过程。当我们选取密钥空间中一个密钥时，可同时验证和，因此只需搜索密钥空间K中的一半元素即可，也就是说可减少一半的穷尽量。15、假设DES算法的8个S盒都相同，由下表给出，11111111888888888888，（均为16进制表示）不考虑P盒的作用，求。15.1假设DES算法的8个S盒都相同，由下表给出，FFFFFFFF208208208208，（均为16进制表示），求。解：E（R0）=11……11；K1=0010,0000,1000……；B=E（R0）+K1=110111……110111S（B）=1110……1110=10111111100111011111100101111011=BF9DF97B16、假设DES算法的8个S盒都相同，由下表给出，FFFFFFFF555555555555，（均为16进制表示），求。（10分）17、假设DES算法的8个S盒都相同，由下表给出，00000000AAAAAAAAAAAA，（均为16进制表示），求。（10分）00010203040506070809101112131415S10123140413010215110803100612050900070015070414021301100612110905030804011408130602111512090703100500151208020409010705110314100006133232123455678991011121312131415161716171819202120212223242524252627282928293031321161672021291228171152326518311028241432273919133062211425E扩展P置换解：E（R0）=11……11；K1=0101……0101；B=E（R0）+K1=101010……101010S（B）=0110……0110=01010000001101111001011010111100=503796BC18、设S-DES算法的一个4进2出的S盒如图所示，假设4个输入变量为，，，，输出为，(1)写出输出，关于输入，，，的布尔函数。(2)求输出与，，，的相关系数。(3)函数在点（1，0，1，0）的Walsh谱值。(4)若，，，取自同一个5级本原移存器，则产生的输出序列的线性复杂度最大为多少？(5)若，，，分别取自不同的4个级数为3、5、7、11的本原移存器，则产生的输出序列的线性复杂度为多少？18.1设四进两出的布而函数f(x)=f(x1,x2,x3,x4)=(y1,y2)，输出与输入对应关系为X0123456789ABCDEFY1302312003211332000102030S012310030203201000002103310302解：(1)将S盒写成真值表表示：0000000011111111：0000111100001111：0011001100110011：0101010101010101：0101101001100111：1100110001011110则：(2)由相关系数定义可得（9-7）/16=1/8；（9-7）/16=1/8；（8-8）/16=0；（9-7）/16=1/8；(3)函数在点（1，0，1，0）的Walsh谱值就是与的相关系数，=0101010110101010，所求Walsh谱值为（7-9）/16=-1/8。(4)因为是4次非线性函数，其线性复杂度最大值为+++=30。(5)将级数代入函数表达式得其线性复杂度为3*5*7*11+3*5+3*7+5+11=120719、高级加密标准Rijndael算法中定义的列混合变换为，其中；为变换的输入；为变换的输出；为算法所用的固定多项式上述三个多项式的系数都属于，乘法“”为上多项式的乘法，。证明：=证明：注意到，则，由此可将中高于三次的项化简，根据对应项系数关系，就可写成上述矩阵形式。设d(x)=a(x)c(x)=d6x6+d5x5+d4x4+d3x3+d2x2+d1x+d0d0=a0c0d4=a3c1+a2c2d1=a1c0+a0c1d5=a3c2d2=a2c0+a1c1+a0c2d6=ad3=a3c0+a2c1+a1c2又设：d(x)modM(x)=b(x)，考虑到x4+1=0modM(x)，即x4=1modM(x)b0=c0a0+c3a1+c2a2b1=c1a0+c0a1+c3a2b2=c2a0+c1a1+c0a2b3=c3a0+c2a1+c1a2a0,0a0,1a0,2a0,3a0,4a0,5a1,0a1,1a1,2a1,3a1,4a1,5a2,0a2,1a2,2a2,3a2,4a2,5a3,0a3,1a3,2a3,3a3,4a3,5a0,0a0,1a0,2a0,3a0,4a0,5a1,0a1,1a1,2a1,3a1,4a1,5a2,0a2,1a2,2a2,3a2,4a2,5a3,0a3,1a3,2a3,3a3,4a3,5b0,0b0,1b0,2b0,3b0,4b0,5b1,0b1,1b1,2b1,3b1,4b1,5b2,0b2,1b2,2b2,3b2,4b2,5b3,0b3,1b3,2b3,3b3,4b3,520、设某序列密码模型的前馈函数为==，其三路输入、、分别取自级数为20、39、17的三个本原移存器（1）求输出与三路输入的相关系数。（2）求在点（1，0，1）处的Walsh谱值。（3）求输出序列的线性复杂度。（4）分析该模型的弱点。解：（1）、由真值表表示：00001111：00110011：01010101：01000111由相关系数定义可得（6-2）/8=1/2；（4-4）/8=0；（6-2）/8=1/2；（2）、函数在点（1，0，1）的Walsh谱值就是与的相关系数，=01011010，所求Walsh谱值为（4-4）/8=0。（3）、将级数代入函数表达式得其线性复杂度为20*39+39*17+17=1460（4）在该模型中，第二路序列实际上是控制序列，当=1时，输出；当=0时，输出。由上面分析可知，与、的相关系数都是1/2，就是说输出与第一、第三路输入有较大的相关优势，而输入移存器都是三项式，可利用快速相关攻击的方法，由输出序列求输入序列或与之近似的序列，并由此确定源移存器的起点。10分）21、（1）假设、是两路不同的相互独立的二元序列，对两路序列按位模2加得序列，证明输出序列的平衡性要好于任一输入序列。证明：设=，=； =，=；=（+）；=（+）|-|=|+--|=|(-)(-)|=|(-)|*|(-)|从而有：|-||(-)|；|-||(-)|；就是说输出序列的平衡性要好于任一输入序列。（证毕）（2）当对同一路信号的相邻元素进行模2加合成时，所得新的二元信号序列比原来序列趋于等概。设,是同一路信号中任意两个相邻元素，它们是两个随机变量。显然与独立同分布，设；；且令，则有p{x=1}=p{}=p{=0,=1}+p{=1,=0}=p{=0}p{=1}+p{=1}p{=0}==p{x=0}=p{}=p{=0,=0}+p{=1,=1}=p{=0}p{=0}+p{=1}p{=1}=显然，有|p{x=1}-p{x=0}|=|-()|=|证毕22、设用户A，B要应用RSA进行签名加密，用户A的公开密钥为，用户B的公开密钥为，求用户A对消息=6的先签名后加密的结果。解：首先求得A的签名密钥dA=5，由签名方式可知，签名消息=15。然后再利用B的公钥对签名消息进行加密可得=157mod39=1823、设用户A，B要应用RSA进行签名加密，用户A的公开密钥为，用户B的公开密钥为，求用户A对消息=10的先签名后加密的结果。解：首先求得A的签名密钥dA=5，由签名方式可知，签名消息=30。然后再利用B的公钥对签名消息进行加密可得=307mod65=30.24、设用户A的公开参数为，用户B的公开参数为，求用户A应用RSA算法向用户B传送的对消息=6的带签名的保密信息。解：dA=7c=DA(EB(m))=DA(18)=1725、设用户A的公开参数为，用户B的公开参数为，求用户A应用RSA算法向用户B传送的对消息=6的带签名的保密信息。解：dA=5c=EB(DA(m))=EB(15)=525.1设用户A的公开参数为（NA=55,eA=23），用户B的公开参数为（NB=33,eB=13），求用户A应用RSA算法向用户B传送的对消息m=6的加密信息，以及用户B向A传送的对消息m=6的加密信息。26、在RSA密码体制中，设证明：对，均有证明：若不整除m，则有，所以,若p整除m，则m=0modp，故也有，因此对任意的m，恒有。同理可证对任意的m，恒有，从而有27、在RSA密码体制中，设，证明：若已知，则可分解大模数N。解：若已知，则有=(p-1)(q-1)=pq-(p+q)+1，所以p+q=N-+1，又因为，故可求得p,q，因此可分解N。28、证明：在RSA算法中。其中，29、设用户A、B在密钥分配中心（KDC）已登记各自的公钥，但用户A、B都没有存储对方的公钥。今用户A想和B建立保密连接，并希望用对称体制进行保密通信。试给出一种安全的、带有鉴别的利用公钥体制传递会话密钥的方案。答：设A的公钥为，A的私钥为，KDC的私钥为，B的公钥为（1）用户A向KDC传送报文：（请求||时间1）。向KDC要用户B的公钥。用时间1来标示这次请求。（2）KDC向用户A传送报文：（||请求||时间1）。KDC的签名使用户A可确信该报文来自KDC，并得到用户B的公钥，由于时间1的存在，使A确信该报文不是老报文的重放。（3）用户A向用户B传送报文：（||）。和B做一次交互，用来标示。（4）用户B向KDC传送报文：（请求||时间2）。向KDC要用户A的公钥。（5）KDC向用户B传送报文：（||请求||时间2）。用户B可确信该报文来自KDC，并得到用户A的公钥。（6）用户B向用户A响应报文：（||）。A解密报文后，由报文中的可确信他的对方是B，因为只有B能从第3步中的报文解密得到。（7）用户A向B传送报文：（）。B从报文中的可确信他的对方是A。（8）用户A向用户B传送报文：（）。A对他产生的会话密钥签名加密后传送给B。30、假设A和B已经安全地交换过公钥，在此基础上，A、B希望用传统体制进行保密通信，则A、B之间交换会话密钥的步骤如下：（1）A向B传送：。A使用B的公钥向B传送一个报文，该报文包含A的ID和一个现时，用用来惟一标识这次交互。（2）B向A传送：。该报文包含A的现时以及B新产生的现时，因为只有B才能解密报文（1），该报文中的存在，使A确信对方是B。（3）A向B传送：。A返回一个用B的公钥加密的，以便使B确信他的对方是A。（4）A选择一个秘密密钥并发送给B。用加密保证只有B能解读，用加密保证只有A能发送它。（5）B计算恢复。试解释每一步要达到的目的和各参数的含义。31、序列密码以其编码方法灵活，实现方便，安全性好，速度快等优点，在数据的传输加密中有其独特的优势。结合本课程的学习和对密码算法设计的理解，从平衡性、相关性和计算复杂度的角度说明，如何设计一个安全性好的序列密码算法。32、代替密码、易位密码是两种最基本的古典密码法，虽然在安全性方面有其局限性，但其加密思想在现代密码算法的设计中还是有借鉴意义的。（1）分析这两种密码法的弱点。（2）从混乱和扩散的角度，说明其在现代分组密码算法设计中的应用。33、高级加密标准Rijndael算法中定义的列混合变换为，其中；为变换的输入；为变换的输出；为算法所用的固定多项式上述三个多项式的系数都属于，乘法“”为上多项式的乘法，。若给定，详细说明如何使用简单的操作（移位和加法）由输入得到输出。34、在IDEA算法中，证明ab(mod)=其中a、b是两个16比特的非零整数。（10分）35、在数字签名算法（DSA）中，设公开参数：p,q,g，用户A的保密的签名密钥为x，对应的验证密钥为y。A对消息m进行签名时，任选一个小于q的随机数k，计算得到：证明：如果(r,s)是A对m的签名，则一定有其中：；；36、证明Walsh谱值的能量守恒定量，并说明其密码学意义。37、设f(x)是2m元的布尔函数，证明是Bent函数。其中,是上的任意置换，是上的任意布尔函数。现代密码学试题一、简答题（每题6分）1、叙述IDEA分组密码的子密钥生成算法。2、减述密钥分层管理的基本思想及其必要性。3、在密码分组链接（CBC）模式中，一个密文块的传输错误将影响几个明文块的正确还原，为什么？4、在共模RSA体制中，系统外用户如何对通播信息进行攻击？5、为什么Bent函数有良