CN1636343A

CN1636343A - 密码通信方法和装置

Info

Publication number: CN1636343A
Application number: CNA988141965A
Authority: CN
Inventors: 爱德华·M·沙伊特; C·杰伊·瓦克
Original assignee: TACKSICLE Co
Current assignee: TACKSICLE Co; Tecsec Inc
Priority date: 1998-07-01
Filing date: 1998-07-02
Publication date: 2005-07-06
Also published as: OA11628A; EP1260052B1; NO20006673D0; DE69831982T2; AP2001002031A0; US6075865A; DE69831982D1; WO2000002340A2; PL347367A1; IL140637A; HUP0204260A2; EP1260052A4; BR9815922A; KR20010074633A; AU8277598A; CA2336291A1; WO2000002340A3; EA200100093A1; CA2336291C; US6266417B1

Abstract

一种通信系统，该系统包括源区、通信信道和经通信信道与源区有关联的目标区。源区包括加密机，用于根据输入码元I_t产生输出码元O_t；和用于接收加密密钥、加密文本/密钥关系和输入码元的装置。目标区包括解密机，用于根据经通信信道来自源区的输出码元产生解密码元I’_t；和用于接收解密密钥和解密文本/密钥关系的装置。加密文本/密钥关系这样来控制加密机，即：O_t=α_N(t)+π_N[α_N－1(t)+π_N－1[α_N－2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N－1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N－1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数。解密文本/密钥关系这样来控制解密机，即：I’_t=π₁ ^－1[π₂ ^－1[π₃ ^－1...[π_N－1 ^－1[π_N ^－1[O_t－α’_N(t)]－α’_N－1(t)]－...－α’₃(t)]－α’₂(t)]－α’₁(t)]－α’₀(t)，mod W，其中π_i ^－1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N－1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

Description

密码通信方法和装置

本发明涉及密码系统。本发明尤其涉及一种用于加密明文消息和解密密文通信的系统。

在当今世界上，在用户之间可以利用许多不同的通信媒体以各种不同的方式进行通信。电子通信作为一种传送信息的有效手段正在不断地普及，尤其是电子信函因媒体的直接性而激增。

遗憾的是，电子通信所提供的好处同时也带来一些缺点，尤其在保密领域缺点更明显。电子通信可被无意接收者所截收。无线传输(如蜂窝电话的话音通信)和电子信函尤其容易这样被截收。

电子通信保密问题已摆在我们面前，因此已提出了一些解决该问题的方案。一种方案是采用密码术来为电子通信提供保密。密码术涉及所发送或所存储的消息的加密或编码，继之以所接收或所检索的消息的解密或解码。该消息通常采用数字信号或数字化模拟信号形式。即使通信在传输期间被截收或被越权实体从存储器中提取，该消息对未采取解密该加密消息方法的闯入者而言也将毫无用处。

在采用密码术的系统中，通信的加密端具有编码设备或加密机。编码设备接受明文(未加密的)消息和密钥，并利用该密钥根据明文通信和密钥的预定加密关系来加密明文消息。换言之，利用该密钥按文本/密钥关系所阐明的预定方式来处理消息，以形成密文(加密的)消息。

同样，通信的解密端具有解码设备或解密机。解码设备接受密文消息和密钥，并利用该密钥根据密文消息和密钥的预定解密关系来解密密文消息。换言之，利用该密钥按文本/密钥关系所阐明的预定方式来处理消息，以得到一个与原明文消息相应的新明文消息。

密钥及关系应用于通信处理的方式和管理密钥的方式确定了密码方案。如今，使用着许多种普通密码方案。例如，最通用的密码方案可能是公共密钥密码方案。根据这种方案，实际上所用密钥是可供任何人或很大一组实体使用的公共密钥组分与特殊通信所专用的专用密钥组分的组合。

在判断一种特定密码方案是否适用时，考虑的重点是破译密码术所必需的难度，即解密加密消息的越权者所需付出的工作量。越权者着手尝试破译系统密码术可以有若干种方法。破译密码系统最常用的三种破译法是：穷举密钥破译法(试探法)，微分密码分析法，和代数破译法。选用较复杂的文本/密钥关系和较长的密钥是使密码方案不易破译的两种方法，但会导致系统更昂贵，系统操作速度下降。因此，除非设计出巧妙的密码系统以免易被破译，否则，在决定所要提供的保密等级时必须采取折衷方案。

当选定实现密码术的方案以适应特定应用的约束，文本/密钥关系通常便是密码术如何成功地防破译的决定性因素。这本身又影响到通信用户保持通信秘密的机密性。

本发明的目的是，提供一种用于确保电子通信保密安全的方法和装置。

本发明的又一目的是，提供一种对数字数据进行编码和解码的方法和装置。

本发明的一种实施方式包括一种通信系统，该系统包括源区、通信信道和经通信信道与源区有关联的目标区。源区包括加密机，用于根据输入码元I_t产生输出码元O_t；和用于接收加密密钥、加密文本/密钥关系和输入码元的装置。目标区包括解密机，用于根据经通信信道来自源区的输出码元产生解密码元I’t；和用于接收解密密钥和解密文本/密钥关系的装置。加密文本/密钥关系这样来控制加密机，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数。解密文本/密钥关系这样来控制解密机，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，mod W，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

根据该实施方式的一个方面，加密机还包括W个查阅表，用于存储可能的W组置换中的每一组。根据该实施方式的不同的一方面，加密机还包括M＜W个查阅表，用于存储可能的W组置换中的M个可用的组。根据该实施方式的不同的一方面，加密机还包括N＜M＜W个查阅表，用于存储从可能的W组置换中的M个可用的组中预选的N组置换。根据该实施方式的另一方面，α(t)是阶跃函数。根据该实施方式的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的不同的一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。根据该实施方式的不同的一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的不同的一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。根据该实施方式的又一方面，I’_t与I_t相应。

本发明的另一种实施方式包括一种通信系统，该系统包括源区、通信信道和经通信信道与源区有关联的目标区。源区包括接收机，用于接收输入码元I_t、加密密钥和加密文本/密钥关系；和加密机，可在加密文本/密钥关系控制下根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数。目标区包括接收机，用于接收解密密钥、解密文本/密钥关系；和解密机，可受控地根据经通信信道来自源区的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，modW，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1 ，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

本发明的另一种实施方式包括一种通信系统，该系统包括第一计算机、通信信道和经通信信道与第一计算机连接的第二计算机。第一计算机包括用于接收输入码元I_t的码元输入端口；用于接收加密密钥的加密密钥输入端口；用于存储加密文本/密钥关系的第一存储器；和第一微处理器，用于在加密文本/密钥关系控制下根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数。第二计算机包括用于接收解密密钥的解密密钥输入端口；用于存储解密文本/密钥关系的第二存储器；和第二微处理器，用于在解密文本/密钥关系控制下根据经通信信道来自源区的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，mod W，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

根据该实施方式的一个方面，第一计算机还包括W个查阅表，用于存储可能的W组置换中的每一组。根据该实施方式的另一方面，第一计算机还包括M＜W个查阅表，用于存储可能的W组置换中的M个可用的组。根据该实施方式的另一方面，第一计算机还包括N＜M＜W个查阅表，用于存储从可能的W组置换中的M个可用的组中预选的N组置换。根据该实施方式的又一方面，α(t)是阶跃函数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1 ，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。根据该实施方式的又一方面，I’_t与I_t相应。

本发明还提供了一种用于在源区与目标区之间的通信的方法。该方法包括在源区接收输入码元I_t，和根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是N+1个预定的加性变换，其中π_N，π_N-1，...，π₂，π₀是N个预定的置换，而其中W表示各置换的可能性数。然后在目标区接收输出码元，并根据所接收的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，mod W，其中π_i ^-1是预定的置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是N+1个预定的加性变换，而其中W表示各逆置换的可能性数。

根据该方法的又一个方面，在产生输出码元之前，从W个查阅表中检索可能的W组置换。根据该方法的又一方面，在产生输出码元之前，从M＜W个查阅表中检索可能的W组置换中的M个可用的组。根据该方法的又一方面，在产生输出码元之前，从N＜M＜W个查阅表中检索从可能的W组置换中的M个可用的组预选的N组置换。根据该方法的又一方面，α(t)是阶跃函数。根据该方法的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。根据该方法的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。根据该方法的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。根据该方法的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。根据该方法的又一方面，I’_t与I_t相应。

本发明的另一种实施方式包括一种磁存储媒介，它包括一个接口；和一个控制器，用于通过该接口控制微处理器，以产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中，I_t是输入码元，α_N，α_N-1，...，α₁，α₀是密钥所定义的N+1个加性变换，π_N，π_N-1，...，π₂，π₀是密钥所定义的N个置换，而W表示密钥所定义的各置换的可能性数。

根据该实施方式的又一方面，α(t)是阶跃函数。根据该实施方式的又一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。根据该实施方式的另一方面，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

本发明的另一种实施方式包括一种磁存储媒介，它包括一个接口；和一个控制器，用于通过该接口控制微处理器，以产生生成的码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α_N(t)]-α_N-1(t)]-...-α₃(t)]-α₂(t)]-α₁(t)]-α₀(t)，mod W，其中，O_t是所接收的码元，α_N，α_N-1，...，α₁，α₀是密钥所定义的N+1个加性变换，π₁ ^-1，π₂ ^-1，π₃ ^-1，...，π_N-1 ^-1，π_N ^-1是密钥所定义的N个逆置换，而W表示密钥所定义的各逆置换的可能性数。

通过以下详述，可以看到本发明的上述以及其他目的、特征和优点，详述中涉及了优选的但非限定性的实施方式。下面，参照附图进行描述，其中：

图1示出了采用密码术的通信事件框图。

图2是说明实现本发明的文本/密钥关系的框图，

参照图1，通信具有一个源区2和一个目标区4。源区2确定通信始发的地点和时间。目标区4确定通信被解码或想要被解码的地点和时间。源区2和目标区4在位置上可以是远程的。或者，它们可以被配置但可及时被移置。源区2和目标区4之间的空间和时间的对应性取决于特定通信的性质。源区2和目标区4与公用通信信道6联系。这一通信信道6可以跨过一段物理距离，例如蜂窝话音电话呼叫情况下的空间。或者，通信信道6可以是通信暂存器，而源区2和目标区4之间只是差一段时间，例如第一用户将消息留在一个计算机的存储器中，稍后第二用户在同一计算机中读取。通信信道6还可以是这两种情况的综合，例如在电子信函传输情况下的电话电缆和存储器。

在源区2，接收到原明文消息8后，利用所提供的加密密钥10根据加密文本/密钥关系14将其加密，以形成密文消息16。目标区4通过通信信道6接收密文消息16。然后，具有合适解密密钥20的许可用户可以向目标区4提供解密密钥20，在此，根据解密文本/密钥关系22将该密钥应用于密文消息16，以得到一个与原明文消息8相应的新明文消息24。

源区2和目标区4可以是例如计算机或者甚至是同一计算机。举例说明的计算机可以具有一定量的存储器式的存储空间，用于存储文本/密钥关系。微处理器或类似的控制器，与控制结构以及用于存储用户所提供的原明文和密钥的随机存取存储器一起，可配置在每一区中，并可以实现加密/解密机的功能。输入设备26、28(如键盘、软盘驱动器、CD-ROM驱动器、生物统计学阅读器或用于读取可见光信号源的模态功能的设备)还可用来接受来自源用户的密钥和明文消息、和来自目标用户的密钥。在目标区4，输出设备30(如监视器、磁盘驱动器或音频扬声器)还可以用来向目标用户给出新明文消息。文本/密钥关系可以存储在软盘中或者其他永久或暂时便携式存储器中，而不是存储在计算机的硬存储器中，以便可使不同的文本/密钥关系适用于不同的用户或不同的情况下。

本发明的文本/密钥关系基于一组N个置换与N+1个加性变换的交错关系。在当输入通信按块被加密的情况下，由t个块构成的输入明文消息I_t根据这一关系被加密，以形成输出密文消息O_t。文本/密钥关系中的置换、加性变换的初始值以及其他参数由密钥确定。

如图2中所示，根据本发明的文本/密钥关系的变换按下式根据输入码元I_t产生输出码元O_t：

O_t＝F_t(I_t)＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，

其中α_N，α_N-1，...，α₁，α₀是N+1个加性变换，π_N，π_N-1，...，π₂，π₀是N个置换，而W表示各置换的可能性数。换言之，输入码元I_t与α₀(t)模W加，并在置换表π₁中查出结果。π₁查阅的输出与α₁(t)模W加，以此类推。第t步的输入码元I_t的这一变换用以产生输出码元O_t。

相应的解密运算F_t ^-1要求根据输出码元O_t得出第t步的输入码元I_t。这一运算按下式完成：

I_t＝F^-1(O_t)＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α_N(0)]-α_N-1(0)]-...-α₃(0)]-α₂(0)]-α₁(0)]-α₀(0)，mod W，

其中，π_i ^-1是置换π_i的逆。

换言之，将输出码元O_t模W减α_N(0)，并在π_N ^-1置换表中查出结果。将这一结果模W减α_N-1(0)，并在π_N-1 ^-1中查出结果，以此类推。

置换π₁，π₂，...，π_N-1，π_N是取遍区间0-W，结果得到π的W！个可能性。实用中，用户可以使用π的W！个可能的表中的较小的个数M，并且在特定加密期间可以选择更小的个数N，可根据密钥中的信息确定特定的N个表。一旦选择了N个置换，密钥中的信息就可以提供第一次应用各置换的起始点。

加性变换α₀，α₁，...，α_N-1，α_N是在查阅下一个置换值之前确定置换如何步进的一些值。加性变换所提供的递增函数可以是基于计数的也可以是基于值的。例如，基于计数的加性变换可规定整个加密方法中每R次将随后的置换表的序列增加1位，其中R最好是一个大素数。另一种基于计数的加性变换可规定整个加密方法中每J次将随后的置换表的序列增加1位，其中J最好是一个不同的大素数。又一种基于计数的加性变换可规定一种暂停，即整个加密方法中除了每L次之外每次都将随后的置换表的序列增加1位，其中L最好是一个不同的大素数。基于值的加性变换可根据前一输出的值如前一置换表的输出或前一码元将随后的置换表的序列递增。该值不仅可以用来确定是否将随后的序列递增，而且可用来确定递增的程度。

作为一个非限定性例子，描述了一种特定的文本/密钥关系，它具有8个置换和9个加性变换。8个置换∏＝π₁，π₂，π₃，π₄，π₅，π₆，π₇，π₈例如在原明文消息的一个256码元块的码元0，1，2，...，255上实现。本例中，8个置换从例如所存储的一组25个置换中选出，并且例如由加密密钥中的前8个码元确定。关系的第t步所用的9个加性变换表示为A(t)＝α₀(t)，α₁(t)，α₂(t)，α₃(t)，α₄(t)，α₅(t)，α₆(t)，α₇(t)，α₈(t)。t＝0时的初始值A(0)例如由加密密钥中的9个码元确定。在本例中的文本/密钥关系的每一应用结束时，加性变换A(t)决定性地被修改，但所选定的8个置换仍保持在适当的位置，直到密钥被改变。用于改变A(t)的方法随不同方式的文本/密钥关系而变。

下面将根据一组加密方式的一部分来描述所举例说明的用于改变A(t)的方法。S(t)＝S₄(t)，S₃(t)，S₂(t)，S₁(t)表示所要加密的t时刻的4码元明文输入。时刻i＝0时明文的初始值S(0)为4码元输入字：

I(0)＝I₄(0)，I₃(0)，I₂(0)，I₁(0)；即S_j(0)＝I_j(0)，j＝1，...，4。

对于i＝0，...，15(本例中，在每一数据块上进行16轮加密)，可以根据下式从状态S(t)计算出S(t+1)：

S₄(t+1)＝F_t(S₁(t))，

S₃(t+1)＝S₄(t+1)，

S₂(t+1)＝S₃(t+1)，

S₁(t+1)＝F_t(S₁(t))+S₂(t)

其中，F_t是∏所定义的第t个F函数。A(t)＝α₀(t)，α₁(t)，α₂(t)，α₃(t)，α₄(t)，α₅(t)，α₆(t)，α₇(t)，α₈(t)，并按以下方式得到：

给定∏，A(0)和X(4)，X(3)，X(2)，X(1)，它们用于根据密钥产生A(t)，t＝1，2，3，...，16，于是计算出块加密的36个4码元输出字。在这一整个方法中，根据密钥设定的A(0)是文本/密钥关系中所要使用的并且不变。

这样，便形成总共144个码元，然后根据以下方式将它们划分为16个9码元序列A(1)，...，A(16)：

A(1)＝第一9个输出码元

A(2)＝第二9个输出码元

A(16)＝最后9个输出码元

最好在装密钥时完成A(1)，A(2)，...，A(16)的计算。这样可以使通信处理更快并可以最大限度地降低存储要求。

时刻t＝16时的密文输出S(16)是输出O(0)，输入字I(0)的块加密变换；即：

S(16)＝S₄(16)，S₃(16)，S₂(16)，S₁(16)＝O(0)＝O₄(0)，O₃(0)，O₂(0)，O₁(0)

序列A(1)，A(2)，...，A(16)是用来定义16个置换的加法组，以便按块加密方式进行加密。为了将输出解密，按倒序即A(16)，A(15)，...，A(1)来采用逆置换和加法。

块加密方式的安全取决于文本/密钥关系的安全和迭代非线性反馈函数的防密码分析的混合特性。文本/密钥关系是一种码元置换，它包括N个随机选定的置换的结果，这N个置换是从一组M个置换中选出的，而这组M个置换又是从基于W个元素的整组W！个置换中选出的。对于函数的每一应用，这N个置换是随确定性的但却是不知的规则而变化的。因此，在单个块的处理期间，即使同一码元在两个不同的轮次中被提供给文本/密钥关系，应用于该码元的置换相同的概率也只有1/W。这样，在块加密的总轮数中，最大限度地提高了不确定性。

本系统中所用的文本/密钥关系尤其难以破译。输入具有随机的元素而长度是受限的。根据得到的固定长度的输出，输出被限定在比特子集。因此，无法使输入-输出字相称，通常必须分析如同本发明的加密块那样复杂的关系。再者，由于密钥可以周期性地(例如每30分钟，等等)被改变，因此，限制了利用单个密钥所处理的输入的数量。因此，与相对较小数量的函数值结合的可观测的函数关系的不完全特性使得本发明的块加密的密码分析相当困难。

可以选择块加密方式中处理的轮数(例如16)，以最大限度地加强寄存器的内容的非线性混合。这样，确保了根据文本/密钥关系将每一寄存器中的数据处理很多次。例如，根据文本/密钥关系在16轮处理的每一轮中对最初第1级的码元进行处理，而要根据文本/密钥关系处理的在寄存器的最初和最后第4级的码元被处理12次。因此，块加密寄存器的每一级的内容被高度嵌套，从而使输出-输入呈非线性函数关系。

反馈的配置可起到至少两个好的作用。第一，线性元素减小了任何可能出现的非随机性。第二，一旦出现差异(其概率等于所期望的随机值)，反馈的位置就迅速将差异引入到非线性移位寄存器中，并将这些差别保持在那里。第1级处理中，一出现不同的码元，文本/密钥关系就在下一步肯定将一个差异置入寄存器的第4级中，并且还可随机地将一个差异置入寄存器的第1级中。因此，寄存器的第1级中单个差异可用来将它本身乘以下一步块加密处理的高概率。此外，虽然总是有抵消的可能性，但在所选择的块加密配置中，这种碰巧的概率简直就是随机的。考虑到DSSS形式的寄存器的初始配置，即在两个不同的时刻，寄存器的第4级的初始状态包括不同的码元，而寄存器的其他三级包括相同的内容。由于应用了文本/密钥关系，因此这种配置具有最大的延时。于是，由于文本/密钥关系的每一步都是一种置换，因此，在块加密处理的第6步，寄存器的内容为DDDD的概率p＝1。在方法的第10步，寄存器的内容为SSSS的概率只有(1/2)³²，这正是所期望的随机概率。然而，在产生输出之前，此时还要有6步要进行。在该方法中，任何其他的最初输入配置甚至可以更早地引入差异。因此，这种设计防微分密码分析技术的破译的能力很强。

如果，例如256个元素总共有W＝256！个置换，从中选出系统的M＝25个基本置换，那么25个基本置换的组数约为W²⁵/M！，这是一个相当大的值。然而，即使考虑到置换组被发现，也还有相当大的密钥的个数。如果代之以从25个置换中选出8个置换，那么，置换的可能的组数约25⁸＝10¹¹。这里，由利用72比特序列所定义的固定未知的加法对寄存器的未知的32比特最初状态进行操作的块加密可以产生块加密所需的16个线性加法。这提供了附加的2¹⁰⁴＝10³¹可能性。因此，对于已知的一组25个置换而言，总密钥空间约为10⁴²。这样的密钥空间相当大，足以很好地防止穷举密钥搜寻到下一个世纪，并且还足以防止现有的其他简捷的密码分析法的破译。

除了选择基于256个元素(从中选择密钥变量)的基本的置换组外，还有一些块加密的变形，它们提供了唯一性以便于验证。这些变形每个都既有性能冲突又有安全冲突。例如，非线性寄存器的长度可被改变，以满足更长或更短的需要。对寄存器的非线性反馈可以被改变或者寄存器的递增的轮数可以被改变，以得到可变性。这种在块加密处理期间用于产生加法组的技术可以被改变，以便它们与块加密方式本身无关。

为了说明本发明的文本/密钥关系的块加密方式的强度的思想，下面将讨论可在世界密码分析文献中找到的三种最常用的破译方法。这些方法是：穷举密钥或试探破译法，微分密码分析法，和代数破译法。

穷举密钥破译法是一种强力破密法，在这种方法中，比特的每种可能的组合作为一种可能的密钥产生，并尝试着应用于系统中，以便偶然地产生有效密钥。对于8个置换π₁，π₂，π₃，π₄，π₅，π₆，π₇，π₈，有25×24×23×22×21×20×19×18＝43,609,104,000＝10^10.64种可能的选择，而对于最初加法变换的9个码元A(0)，有256⁹＝10^21.67种可能的选择。最后，对于用于产生A(t)，t＝1，2，3，...，16的初始密钥填充，X(1)，X(2)，X(3)，X(4)，有256⁴＝10^9.63种可能的选择。

因此，密钥相异性，即密钥空间的基数为10^{10.64+21.67+9.63}＝10^41.94。如果有人想用某种试探破译法试出所有可能的密钥，那么，平均将通过几乎整个方法即约10^41.94次尝试以后，他才能找到正确的密钥。这种破译不太实际，并且利用现有技术在一个世纪内也无法完成。如果密钥被定义为只是固定的时间内例如30分钟内有效，那么穷举密钥法完全不可能成功。

如今，可能最常用的简捷密码分析破译法是微分密码分析法。破译的基本思想是，将两种(或多种)输入字的加密型式进行比较，在假定输出中的差异可以取决于密钥的某一子集或可能取决于具有较小相异性的相关密钥的情况下，它们差异很小。

对破译者而言，可以预想下列最好的情形：

1.选择一些只有单个比特差异的32比特输入字对。

2.对于块加密中16步中的每一步，将每一步之后的结果进行比较。

3.找出这些差异与密钥的21个码元的特定选择之间的关系。

经过前8步，可以看到可能与密钥选择有关的决定性差异。然而，16步中的9步之后，无法从2³²种可能的差异模式的随机选择中区分出这一差异模式。第9步之后，算法在产生输出之前还有7步，因此，密码分析者在任何试验中都可能使用这些结果。这7步进一步使差异模式随机化。因此，这种破译法想要成功是完全不可能的。

对于代数破译法，结果也好不了。如果，以置换矩阵的形式来写入置换，那么，结果是一些0，1矩阵，其每行和每列完全是一个值。在本发明的文本/密钥关系的代数表达式中，以各种与加性变换的组合，将这些矩阵彼此相乘。因此，单个输入/输出变换的代数表达式是8阶多项式。对于块加密方式，基于输入的输出的代数表达式阶数更高，因此要复杂得多。即使有人可以找到解决高阶多项式方程组的方法，实际上也无法解块加密方式的方程。

本发明的密码系统的一种实际应用是敌我识别(IFF)系统。在这种系统中，利用加密查询信号来识别和查询目标。如果目标是友好的，则配备一种转发器，它能解密查询，读取查询中所含的信息，并根据该信息产生一个加密应答，以便传输到查询者。如果查询者在合适的响应窗期间接收到合适的应答，则认为应答有效并认为该目标是友好目标。如果未接收到有效应答，则认为该目标是敌方。

由于加密信号在查询者与转发器之间传输，因此，每方都必须具有有效密钥，或者有效的一组密钥(如果这些密钥要被周期性地改变)。在下例中，出于安全考虑，每30分钟更换一次有效密钥。因此，各查询者和转发器每天都必须装上或填充48个密钥。IFF设备中每天输入的48个密钥每个都是21个码元，K₁，K₂，K₃，...，K₂₁，并且在本例中，按如下方式应用这些码元：

K₁，K₂，K₃，K₄，K₅，K₆，K₇，K₈＝π₁，π₂，π₃，π₄，π₅，π₆，π₇，π₈

K9，K₁₀，K₁₁，K₁₂，K₁₃，K₁₄，K₁₅，K₁₆，K₁₇＝α₀(t)，α₁(t)，α₂(t)，α₃(t)，α₄(t)，α₅(t)，α₆(t)，α₇(t)，α₈(t)

K₁₈，K₁₉，K₂₀，K₂₁＝X(1)，X(2)，X(3)，X(4)

当每一密钥都装入到设备中时，计算144个附加码元A(1)，A(2)，...，A(16)，以使IFF要求挑战/应答的处理快得多，这些附加码元加上21个密钥码元，总共为165个码元K₁，K₂，K₃，...，K₁₆₅。因此，每天48个密钥的存储需求是48×165＝7920个码元，即约8K码元。

如上所述，结合本发明的密码系统所用的优选密钥有三个部分：

1.从整数1...25中随机选择的8个码元。

2. 9个随机码元。

3. 4个随机码元。

除前8个码元是1-25范围内的随机数的要求之外，对密钥的产生没有限制。然而，密钥产生方法必须仔细地检查，以确保它不产生任何错误或非随机性。任何良好的现有随机化器都足以适用于此目的。

一旦产生密钥，它们就可以被加密以便传输。它们最好是成组的，每组包括一个月的需要量31×48＝1488个密钥。

如上所述，块加密利用一种密钥加密密钥(KEK)将每月的密钥组加密，这种KEK根据具有某一频率的周期人工地被分配，这样，对于这种KEK，物理安全足以支持所规定的加密期(比如一年)。

也可以用其他方法来管理可用的IFF设备中的密钥。例如，假定IFF设备每两天时间返回到主基地，那么应当将只管两天的密钥(即今天和明天的密钥)存储在该设备中。如果情况不是这样，则该方法可放宽，以便以设备远离基地的最长时间来取代两天。在本发明的系统的其他应用中就进行同样的安全考虑。

以上利用一些举例说明的优选实施方式描述了本发明。然而，本发明的范围并不局限于这些特定的公开实施方式。相反，本发明可包括各种修改和类似的配置。因此，权利要求书的范围应符合最广泛的说明，以便包括所有这些修改和类似的配置。例如，以上详述了本发明的举例说明的块加密方式。然而，对一般技术人员而言，显然，在不背离本发明的实质和范围的前提下，本文中所描述的方法和装置还可以容易地应用于所接收和处理的并非块中的信息流的明文消息。

Claims

1.一种通信系统，该系统包括：

a)源区；

b)通信信道；和

c)经通信信道与源区有关联的目标区；

d)其中，源区包括：

1)加密机，用于根据输入码元I_t产生输出码元O_t；和

2)用于接收加密密钥、加密文本/密钥关系和输入码元的装置；

e)其中，目标区包括：

1)解密机，用于根据经通信信道来自源区的输出码元产生解密码元I’_t；和

2)用于接收解密密钥和解密文本/密钥关系的装置；

f)加密文本/密钥关系这样来控制加密机，即：O_t＝α_N(t)+π_N[α_{N- 1}(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_{N- 1}，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数；和

g)解密文本/密钥关系这样来控制解密机，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^{- 1}...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，modW，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

2.如权利要求1所述的通信系统，其中，加密机还包括W个查阅表，用于存储可能的W组置换中的每一组。

3.如权利要求1所述的通信系统，其中，加密机还包括M＜W个查阅表，用于存储可能的W组置换中的M个可用的组。

4.如权利要求1所述的通信系统，其中，加密机还包括N＜M＜W个查阅表，用于存储从可能的W组置换中的M个可用的组中预选的N组置换。

5.如权利要求1所述的通信系统，其中，α(t)是阶跃函数。

6.如权利要求5所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

7.如权利要求5所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

8.如权利要求5所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

9.如权利要求5所述的通信系统，其中，α_X(t)，X＝{0，1 ，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

10.如权利要求1所述的通信系统，其中，I’_t与I_t相应。

11.一种通信系统，该系统包括：

a)源区；

b)通信信道；和

c)经通信信道与源区有关联的目标区；

d)其中，源区包括：

1)用于接收输入码元I_t、加密密钥和加密文本/密钥关系的装置；和

2)加密机，可在加密文本/密钥关系控制下根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_{N- 2}(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数；和

e)其中，目标区包括：

1)用于接收解密密钥和解密文本/密钥关系的装置；和

2)解密机，可受控地根据经通信信道来自源区的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，mod W，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

12.如权利要求11所述的通信系统，其中，加密机还包括W个查阅表，用于存储可能的W组置换中的每一组。

13.如权利要求11所述的通信系统，其中，加密机还包括M＜W个查阅表，用于存储可能的W组置换中的M个可用的组。

14.如权利要求11所述的通信系统，其中，加密机还包括N＜M＜W个查阅表，用于存储从可能的W组置换中的M个可用的组中预选的N组置换。

15.如权利要求11所述的通信系统，其中，α(t)是阶跃函数。

16.如权利要求15所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

17.如权利要求15所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

18.如权利要求15所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

19.如权利要求15所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

20.如权利要求11所述的通信系统，其中，I’_t与I_t相应。

21.一种通信系统，该系统包括：

a)第一计算机；

b)通信信道；和

c)经通信信道与第一计算机连接的第二计算机；

d)其中，第一计算机包括：

1)用于接收输入码元I_t的码元输入端口；

2)用于接收加密密钥的加密密钥输入端口；

3)用于存储加密文本/密钥关系的第一存储器；和

4)第一微处理器，用于在加密文本/密钥关系控制下根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_{N- 2}(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是加密密钥所定义的N+1个加性变换，其中π_N，π_N-1，...，π₂，π₀是加密密钥所定义的N个置换，而其中W表示加密密钥所定义的各置换的可能性数；和

e)其中，第二计算机包括：

1)用于接收解密密钥的解密密钥输入端口；

2)用于存储解密文本/密钥关系的第二存储器；和

3)第二微处理器，用于在解密文本/密钥关系控制下根据经通信信道来自源区的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^{- 1}...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，modW，其中π_i ^-1被解密密钥定义为置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是解密密钥所定义的N+1个加性变换，而其中W表示解密密钥所定义的各逆置换的可能性数。

22.如权利要求21所述的通信系统，其中，第一计算机还包括W个查阅表，用于存储可能的W组置换中的每一组。

23.如权利要求21所述的通信系统，其中，第一计算机还包括M＜W个查阅表，用于存储可能的W组置换中的M个可用的组。

24.如权利要求21所述的通信系统，其中，第一计算机还包括N＜M＜W个查阅表，用于存储从可能的W组置换中的M个可用的组中预选的N组置换。

25.如权利要求21所述的通信系统，其中，α(t)是阶跃函数。

26.如权利要求25所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

27.如权利要求25所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

28.如权利要求25所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

29.如权利要求25所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

30.如权利要求21所述的通信系统，其中，I’_t与I_t相应。

31.一种用于在源区与目标区之间的通信的方法，该方法包括：

a)在源区接收输入码元I_t；

b)根据输入码元产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_{N- 1}[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，其中α_N，α_N-1，...，α₁，α₀是N+1个预定的加性变换，其中π_N，π_N-1，...，π₂，π₀是N个预定的置换，而其中W表示各置换的可能性数；

c)在目标区接收输出码元；和

d)根据所接收的输出码元产生解密码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^{- 1}[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α’_N(t)]-α’_N-1(t)]-...-α’₃(t)]-α’₂(t)]-α’₁(t)]-α’₀(t)，mod W，其中π_i ^-1是预定的置换π_i的逆，其中α’_N，α’_N-1，...，α’₁，α’₀是N+1个预定的加性变换，而其中W表示各逆置换的可能性数。

32.如权利要求31所述的方法，还包括，在产生输出码元之前，从W个查阅表中检索可能的W组置换。

33.如权利要求31所述的方法，还包括，在产生输出码元之前，从M＜W个查阅表中检索可能的W组置换中的M个可用的组。

34.如权利要求31所述的方法，还包括，在产生输出码元之前，从N＜M＜W个查阅表中检索从可能的W组置换中的M个可用的组预选的N组置换。

35.如权利要求31所述的方法，其中，α(t)是阶跃函数。

36.如权利要求35所述的方法，还包括，利用α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

37.如权利要求35所述的方法，还包括，利用α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

38.如权利要求35所述的方法，还包括，利用α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

39.如权利要求35所述的方法，还包括，利用α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

40.如权利要求31所述的方法，其中，I’_t与I_t相应。

41.一种存储媒介，它包括：

一个接口装置；和

用于通过该接口装置控制微处理器的装置，以产生输出码元O_t，即：O_t＝α_N(t)+π_N[α_N-1(t)+π_N-1[α_N-2(t)+...+π₂[α₁(t)+π₁[I_t+α₀(t)]]...]]，mod W，

其中，I_t是输入码元，α_N，α_N-1，...，α₁，α₀是密钥所定义的N+1个加性变换，π_N，π_N-1，...，π₂，π₀是密钥所定义的N个置换，而W表示密钥所定义的各置换的可能性数。

42.如权利要求41所述的存储媒介，其中，α(t)是阶跃函数。

43.如权利要求42所述的存储媒介，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

44.如权利要求42所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

45.如权利要求42所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

46.如权利要求42所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。

47.一种存储媒介，它包括：

一个接口装置；和

用于通过该接口装置控制微处理器的装置，以产生生成的码元I’_t，即：I’_t＝π₁ ^-1[π₂ ^-1[π₃ ^-1...[π_N-1 ^-1[π_N ^-1[O_t-α_N(t)]-α_N-1(t)]-...-α₃(t)]-α₂(t)]-α₁(t)]-α₀(t)，mod W，

其中，O_t是所接收的码元，α_N，α_N-1，...，α₁，α₀是密钥所定义的N+1个加性变换，π₁ ^-1，π₂ ^-1，π₃ ^-1，...，π_N-1 ^-1，π_N ^-1是密钥所定义的N个逆置换，而W表示密钥所定义的各逆置换的可能性数。

48.如权利要求47所述的存储媒介，其中，α(t)是阶跃函数。

49.如权利要求48所述的存储媒介，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递增，其中R为素数。

50.如权利要求48所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于当t等于R的整数倍时的每个值，都将π_X的序列递减，其中R为素数。

51.如权利要求48所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递增，其中R为素数。

52.如权利要求48所述的通信系统，其中，α_X(t)，X＝{0，1，2，...，N-1，N}，用来对于除了当t等于R的整数倍时t的每个值，都将π_X的序列递减，其中R为素数。