豳雹蛋蚕潼匿 冒２０１ １年第１ Ｏ卷第１ ０期 高级加密标准（ＡＥＳ）算法及安全性探析 口宣克祥 【摘要】高级加密标准（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ，ＡＥＳ）自成为美国联邦政府有效加密标准以来，已经在全世界得到越来越 广泛的应用。ＡＥＳ算法是分组对称式私钥密码机制，本文对ＡＥＳ算法的具体实现过程及安全性进行深入探讨和分析。 【关键词］ＸＥＳ算法；加密标准；信息安全 【作者单位】宣克祥，解放军国际关系学院 随着科技进步，数据加密标准（ＤＥＳ）的安全性受到严重 挑战。为了提高安全强度，美国国家标准与技术研究院（Ｎａ－ ｔｉｏｎａｌ Ｉｓｔｉｔｕｔｅ ｏｆ Ｓｔｎｄａａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，ＭｓＴ）于１９９８年开始 了新加密标准的征集工作。在提交的１５个候选算法中，经严 格分析和测试，２０００年１０月２日，美国政府正式宣布选中比 利时密码学家Ｊｏａｎ Ｄａｅｍｅｎ和Ｖｉｎｃｅｎｔ Ｒｉｊｍｅｎ提出的一种密码 算法ｍＪＮＤＡＥＬ作为新的加密标准，即高级加密标准（Ａｄ． ｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔｎｄａｒａｄ，ＡＥＳ），并于２００２年５月２６日将其 颁布为有效加密标准。 一ｕｎｓｉｎｅｄ ｇｃｈａｒ ｓｔａｔｅ［４］［４］； ｉｎｔ ｉ，ｒ，ｃ； ／／第一阶段 ｆｏｒ（ｒ＝Ｏ；ｒ＜４；ｒ＋＋） ｛ ｆｏｒ（Ｃ＝０；Ｃ＜４；ｃ＋＋） ｛ ｓｔａｔｅ［ｒ］［ｃ］＝ｉｎｐｕｔ［ｒ＋４ Ｃ］； ｝ ｝ 、ＡＥＳ算法加密过程 ＡＥＳ是旨在取代ＤＥＳ的２１世纪加密标准。根据ＮＩｓＴ颁 布的官方文件，ＡＥＳ算法是一种区块对称密钥加密机制，它由 加密（解密）算法和密钥扩展算法两部分组成。加密算法将明 ／／第二阶段 ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，ｗ［０］）； ｏｒｆ（ｉ＝１；ｉ＜＝１０；ｉ＋＋） 文与子密钥进行若干轮迭代，密钥扩展算法将用户主密钥扩 展成若干个子密钥，扩散的密钥与块数据运算后形成密文，以 抵御攻击。ＡＥＳ算法块分组长度为１２８位，密钥长度可为 １２８、１９２、２５６位，扩充后的密钥组数分别为ｌ１、１３、１５组，轮循 环次数分别为１１、１３、ｌ５轮，每轮循环均使用４组密钥，每组密 钥长度均为３２位（４字节）。ＡＥＳ加密轮循环：初始轮（Ｉｎｉｔｉａｌ Ｒｏｕｎｄ），转换轮（Ｔｒａｎｓｆｏｒｍａｔｉｏｎ Ｒｏｎｄｓ，ｕ除去初始轮和最终轮 ｛ ＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）； ＳｈｉｆｔＲｏｗｓ（ｓｔａｔｅ）； ｉｆ（ｉ！＝１０）ＭｉｘＣｏｈｍｍ（ｓｔａｔｅ）； ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，Ｗ［ｉ］）； ｝ ／／第三阶段 外，转换轮数分别为９、ｌ１、１３轮，每轮包括ＳｕｂＢｙｔｅｓ、 Ｒ０ｗｓ、 ＭｉｘＣｏｌｕｍｎｓ、ＡｄｄＲｏｕｎｄＫｅｙ），最终轮（Ｆｉｎａｌ Ｒｏｕｎｄ，没有ＭｉｘＣｏｌ－ ｕｌｎｎｓ）。下表列出了块大小、密钥长度、密钥组数与轮循环次 数的关系： ｏｆｒ（ｒ＝Ｏ；ｒ＜４；ｒ＋＋） ｛ ｆｏｒ（Ｃ＝０；Ｃ＜４；ｃ＋＋） ｛ 块大小 密钥长度 扩充后密钥 轮循环次数 组数 ｉｎｐｕｔ［ｒ＋４ Ｃ］＝ｓｔａｔｅ［ｒ］［ｃ］； ｝ ｝ ｒｅｔｕｒｎ ｉｎｐｕｔ； １２８位（１６字节） １２８位（１６字节） ｌ１组 ｌ１（１＋９＋１） １２８位（１６字节） １９２位（２４字节） １３组 １３（１＋１１＋１） ｝ 从上述代码可以看出，ＡＥＳ加密采取了区块（分组）方式， 区块大小为ｌ６字节，区块数据存放在二维数组（阵列）ｓｔａｔｅ ［４］［４］中，加密操作全部都是对ｓｔａｔｅ［４］［４］中的数据进行操 作，操作过程可以分为以下三个阶段： 第一阶段：明文数据准备阶段。在这一阶段，代码ｓｔａｔｅ １２８位（１６字节） ２５６位（３２字节） １５组 １５（１＋１３＋１） 现以１６字节（１２８位）长度的密钥为例，ＡＥＳ加密操作具体实 现代码如下： ｕｎｓｉｇｎｅｄ ｃｈａｒ｝Ｃｉｐｈｅｒ（ｕｎｓｉｎｅｄ ｇｃｈａｒ ｉｎｐｕｔ） ｛ ［ｒ］［Ｃ］＝ｉｎｐｕｔ［ｒ＋４｝Ｃ］将明文数据各字节ｉｎｐｕｔ［４］按照下 表的方式拷贝到ｓｔａｔｅ［４］［４］二维数组中： ・６０・ Ｉｎｄｕｓｔｒｉａｌ＆Ｓｃｉｅｎｃｅ Ｔｒｉｂｕｎｅ臣皿衄 豳雹量 潼匿圈２０１ １年第１ ０卷第１ Ｏ期 ｛ Ｏ ４ ８ １２ ０，０ ０，１ ０，２ ０，３ ｉｎｔ ｒ，ｃ； １ ５ ９ １３ １，０ １，１ １，２ １，３ ｆｏｒ（ｅ ＝０；ｃ＜４；ｅ＋＋） Ｉ ２ ６ １０ １４ ２，０ ２，１ ２，２ ２，３ ｆｏｒ（ｒ ＝Ｏ；ｒ＜４；ｒ＋＋） ３ ７ １ｌ １５ ３，０ ３，１ ３，２ ３，３ ｓｔａｔｅ［ ｒ］［ｃ］ ＝ｋ［ｒ］［ｃ］； Ｉｎｐｕｔ［１６］ Ｓｔａｔｅ［４］［４］ 例如，假设ｉｎｐｕｔ［１６］＝｛３２，４３，ｆ６，ａ８，８８，５ａ，３Ｏ，８ｄ，３ｌ， ３１，９８，ａ２，ｅｏ，３７，０ｒ７，３４｝， 则拷贝以后，ｓｔａｔｅ［４］［４］＝｛３２，８８，３１，ｅ０，４３，５ａ，３１，３７， 即将经第一阶段排序后的明文数据ｓｔａｔｅ［，＊］［４］与第１组 ，３０，９８，ｏ７，ａ８，８ｄ，日２，３４｝。 密钥进行异或运算，假如第１组密钥ｋ［０］［４］［４］＝｛２ｂ，２８， 第二阶段：加密轮循环阶段。包括初始轮、转换轮和最终 ａｂ，０９，７ｅ，ａｅ，１＇７，ｃｆ，１５，ｄ２，１５，４ｆ，１６，ａ６，８８，３ｃ｝，那么运算结果 轮。初始轮具体操作由代码ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，ｗ［０］）实现： 如下： ｖｏｉｄ ＡｄｄＲｏｕｎｄＫｅｙ（ｕｎｓｉ ｃｈａｒ ｓｔａｔｅ［］［４］，ｕｎｓｉｇｎｅｄ ｃｈａｒ ｋ［］［４］） ３２ ８８ ３１ ｅ０ ２ｂ ２８ ａｂ ０９ １９ ａＯ ９ａ ｅ９ ４３ ５ａ ３１ ３７ ７ｅ ａｅ ｆ７ ｃｆ ３ｄ ｆ４ ６＇６ ｆ８ ｓｔａｔｅ［４］［４］＝ ＾ 珩 ３０ ９８ ０７ １５ ｄ２ １５ ４ｆ ｅ３ ｅ２ ８ｄ ４８ ａ８ ８ｄ ａ２ ３４ １６ ａ６ ８８ ３ｅ ｂｅ ２ｂ ２ａ ０８ 转换轮共有９轮循环，每轮包括ＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）、 Ｏ ，０】【８３，０ｘ２ｅ，Ｏｘｌａ，０ｘｌｂ，０ｘ６ｅ，ＯｘＳａ，ＯｘａＯ，Ｏｘ５２，Ｏｘ３ｂ， ＳｈｉｆｔＲｏｗｓ（ｓｔａｔｅ）、ＭｉｘＣｏｈｍｎｓ（ｓｔａｔｅ）和ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，ｗ Ｏｘｄ６，Ｏｘｂ３，０ｘ２９，Ｏｘｅ３，０ｘ２ｆ，０ｘ８４，／￥４￥／ ［ｉ］）。字节替换操作ＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）具体代码为： ０ｘ５３，Ｏｘｄｌ，０ｘ０ｏ，Ｏｘｅｄ，０】（２０，０ｘｆｅ，Ｏｘｂｌ，０ｘＳｂ，０ｘ６ａ，０ｘｃｂ， ｖｏｉｄ ＳｕｂＢｙｔｅｓ（ｕｎｓｉｎｇｅｄ ｃｈａｒ ｓｔａｔｅ［］［４］） ０ｘｂｅ，０ｘ３９，０ｘ４ａ，０ｘ４ｃ，０】【５８，０ｘｃｆ，／｛５ ／ ｛ ０ｘｄ０，Ｏｘｅｆ，Ｏｘａａ，Ｏｘｆｂ，０ｘ４３，Ｏｘ４ｄ，０ｘ３３，Ｏｘ８５，０ｘ４５，Ｏｘ ， ｉｎｔ ｒ，ｃ： Ｏｘ０２，０ｘ７ｆ，０ｘ５０，０ｘ３ｅ，０ｘ９ｆ，０ｘａ８，／｝６｝／ ｏｆｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ０ｘＳ１，Ｏｘａ３，Ｏｘ４０，０ｘ８ｆ，０ｘ９２，Ｏｘ９ｄ，０ｘ．３８，０ｘｆ５，Ｏｘｂｅ，Ｏｘｂ６， ｛ ０ｘｄａ，０ｘ２１，ＯｘｌＯ，０】 ，Ｏｘｔ３，Ｏｘｄ２，／｝７ ／ ｆｏｒ（ｃ＝０；ｃ＜４；ｅ＋＋） ０ｘｃｄ，０ｘ０ｃ，Ｏｘ１３，Ｏｘｅｃ，Ｏｘ５ｆ，０ｘ９７，０ｘ４４，０ｘ１７，Ｏｘｅ４，０ｘａ７， ｛ ０ｘ７ｅ，０ｘ３ｄ，０ｘ６４，Ｏｘ５ｄ，Ｏｘ１９，０ｘ７３，／｝８ ／ ｓｔａｔｅ［ｒ］［ｅ］＝ｓＢｏｘ［ｓｔａｔｅ［ｒ］［ｃ］］； Ｏｘ６０，Ｏｘ８１，Ｏｘ４ｆ，０ｘｄｅ，０ｘ２２，Ｏｘ２ａ，ＯｘｇＯ，０ｘ８８，０ｘ４６，Ｏｘｅｅ， ｝ Ｏｘｂ８，０ｘ１４，０ｘｄｅ，ＯｘＳｅ，ＯｘＯｂ，Ｏｘｄｂ，／ ９｝／ ｝ ＯｘｅＯ，０ｘ３２，０ｘ３ａ，０ｘ０ａ，０ｘ４９，Ｏｘ０６，０ｘ２４，０ｘＳｃ，Ｏｘｃ２，０ｘｄ３， ｝ ０ｘａｅ，０ｘ６２，Ｏ １，０ｘ９５，Ｏｘｅ４，０ｘ７９，／％ａ｛／ 替换表由数组ｓＢｏｘ［］定义，ｓＢｏｘ［］数组由０ｘ００—０ｘｆ共 ０ｘｅ７，Ｏｘｃ８，Ｏ】【３７，０ｘ６ｄ，Ｏｘ８ｄ，０ｘｄ５，０ｘ４ｅ，Ｏｘａ９，０ｘ６ｃ，０ｘ５６， ２５６个元素构成： Ｏｘｆ４，０ｘｅａ，０ｘ６５，Ｏｘ７ａ，０ｘａｅ，Ｏ）（ｏ８，／｝ｂ ／ ｕｎｓｉｎｇｅｄ ｃｈａｒ ｓＢｏｘ［］＝ ０ｘｂａ，０ｘ７８，０ｘ２５，Ｏｘ２ｅ，０ｘｌｃ，０ｘａ６，ＯｘＭ，Ｏｘｅ６，Ｏｘｅ８，Ｏｘｄｄ， ｌ／｜ｃ ０ １ ２ ３ ４ ５ ６ ７ ８ ９ ａ ｂ ｅ ｄ Ｏｘ７４，０ｘｌｆ，Ｏｘ４ｂ，Ｏｘｂｄ，Ｏｘ８ｂ，０ｘ８ａ，／｝ｃ｝／ ｅ ｆ ￥／ ０ｘ７０，Ｏｘ３ｅ，Ｏｘｌ：６，０ｘ６６，０ｘ４８，Ｏｘ０３，Ｏｘｆ６，０ｘ０ｅ，０ｘ６１，０】‘３５， ０ｘ６３，０ｘ７ｃ，Ｏｘ７７，Ｏｘ７ｂ，Ｏｘｔ２，Ｏｘ６ｂ，０ｘ６ｆ，Ｏｘｃ５，Ｏｘ３０，ＯｘＯ１， ０】【５７，Ｏｘｂ９，０ｘ８６，Ｏｘｃ１，０ｘｌｄ，０ｘｇｅ，／ ｄ｝／ ０ｘ６７，Ｏｘ２ｂ，Ｏｘｆｅ，ｏ】【（ｒ７，Ｏｘａｂ，０ｘ７６，／｝０￥／ ０ｘｅｌ，０ ，０ ８，Ｏｘｌｌ，０ｘ６９，Ｏｘｄ９，０ｘ８ｅ，０ｘ９４，０ｘｇｂ，Ｏｘｌｅ， ０ｘｃａ，０ｘ８２，Ｏｘｃ９，Ｏｘ７ｄ，０ｘｆａ，０ｘ５９，０ｘ４７，ＯｘｆＯ，Ｏｘａｄ，０ｘｄ４， Ｏｘ８７，Ｏｘｅ９，０ｘｃｅ，０）【５５，Ｏ】【２８，Ｏｘｄｆ，／｝ｅ ／ ０ｘａ２，Ｏｘａｆ，Ｏｘ９ｅ，Ｏｘａ４，０ｘ７２，ＯｘｃＯ，／ １ ／ ０ｘＳｃ，０ｘａｌ，０ｘ８９，ＯｘＯｄ，０ｘｂｆ，Ｏｘｅ６，０ｘ４２，０ｘ６８，Ｏｘ４１，０） ， Ｏｘｂ７，Ｏｘｆｄ，０ｘ９３，０ｘ２６，０ｘ３６，０ｘ３ｆ，０ｘｆ７，０ｘｃｃ，０ｘ３４，０ｘａ５， ０ｘ２ｄ，０ｘ０ｆ，０ｘｂ０，０ｘ５４，０ｘｂｂ，０ｘ１６／｝ｆ｛／ ０ｘｅ５，０ｘｆｌ，０ｘＴ１，０ｘｄ８，０ｘ３１，０ｘ１５，／ ２｝／ ｝； ０ｘ０４，０ｘｃ７，０ｘ２３，Ｏｘｃ３，Ｏｘ１８，０ｘ９６，Ｏｘ０５，Ｏ ａ，０ｘ０７，Ｏｘ１２， 将ｓｔａｔｅ［ｒ］［ｃ］作为索引，取数组ｓＢｏｘ［］中的元素赋值给 Ｏｘ８０，Ｏｘｅ２，０ｘｅｂ，０ｘ２７，Ｏｘｂ２，０ｘ７５，／ ３￥／ ｓｔａｔｅ［ｒ］［ｃ］。例如：如果ｓｔａｔｅ［０］［０］＝Ｏｘ１９，ｓＢｏｘ［ｓｔａｔｅ［０］ ｈＩｄｌｌｓｔｒｉａｌ＆ｓｃｉｅｎｃｅ Ｔ ｕｎｅ圄固嘲匝圈 ．６１－ 豳薯冒匝蠲豳豳２０１ １年第１ ０卷第１ Ｏ期 ［０］］即为ｓＢｏｘ［２５］，对应值为ｏｘｄ４，实际上即是替换表第ｌ行 第９列上的元素，如此类推。 １９ ａＯ ９ａ ｅ９ ｄ４ ｅＯ ｂ８ １ｅ ３ｄ ｆ４ ｅ６ ｆ８ ２７ ｂｆ ｂ４ ４１ ｅ３ ｅ２ ８ｄ ４８ １ｌ ９８ ５ｄ ５２ ｂｅ ２ｂ ２ａ ０８ ｄ．ｅ ｆ１ ｅ５ ３０ 行字节移位ＳｈｉｆｔＲｏｗｓ（ｓｔａｔｅ）操作具体代码为： ｖｏｉｄ ＳｈｉｆｔＲｏｗｓ（ｕｎｓｉｇｎｅｄ ｃｈａｒ ｓｔａｔｅ［］［４］） ｛ ｕｎｓｉｇｎｅｄ ｃｈａｒ ｔ［４］； ｉｎｔ ｒ，ｃ； ｆｏｒ（ｒ＝１；ｒ＜４；ｒ＋＋） ｛ ｆｏｒ（ｃ＝Ｏ；ｃ＜４；ｃ＋＋） ｛ ｔ［ｃ］＝ｓｔａｔｅ［ｒ］［（ｃ＋ｒ）％４］； ｝ ｆｏｒ（ｃ＝Ｏ；ｃ＜４；ｃ＋＋） ｛ ｓｔａｔｅ［ｒ］［ｃ］＝ｔ［ｃ］； 行字节移位操作将ｓｔａｔｅ中第１、２，３、４行上的字节向左 （低位）移动０，１、２、３个字节，移出的字节依次放回右边（高 位）。行字节移位操作方式如下图所示： 列混合变换ＭｉｘＣｏｌｕｎｍｓ（ｓｔａｔｅ）操作具体代码为： ｖｏｉｄ ＭｉｘＣｏｌｕｎｍｓ（ｕｎｓｉｇｎｅｄ ｃｈａｒ ｓｔａｔｅ［］［４］） ｛ ｕｍｉｇｎｅｄ ｃｈａｒ ｔ［４］； ｉｎｔ ｒ，ｃ； ｆｏｒ（ｃ＝０；ｃ＜４；ｃ＋＋） ・６２・ ｛ ｆｏｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ｛ ｔ［ｒ］＝ｓｔａｔｅ［ｒ］［ｃ］； ｆｏｒ（ｒ ｓｔａｔｅ［ｒ］［ｃ］：ＦＦｍｕｌ（０ｘ０２，ｔ［ｒ］） ＦＦｍｕｌ（０ｘ０３，ｔ［（ｒ＋１）％４］） ＦＦｍｕｌ（０ｘ０１，ｔ［（ｒ＋２）％４］） ＦＦｍｕｌ（０ｘ０１，ｔ［（ｒ＋３）％４］）； ｝ ｝ ｝ 按照第０．１、２，３列和第０．１、２、３行的顺序，ｔ［ｒ］取每个元 素的值作为函数ＦＦｍｕｌ的参数，先在函数ＦＦｍｕｌ中进行有限 域乘法和加法运算，再将结果进行异或运算，以对ｓｔａｔｅ中从 ｓｔａｔｅ［０］［０］至ｓｔａｔｅ［３］［３］的所有元素进行置换。 ｅ０ ｂ８ １ｅ ｅ０ ４８ ２８ ｂ４ ４１ ２７ ｅｂ ０６ ５２ １１ ９８ １９ ｄ３ ２６ ａｅ ｎ ｅ５ ９ａ ７ａ ４ｅ ｔ［ｒ］＝ｓｔａｔｅ［ｒ儿ｃ］ ｓｔａｔｅ［ｒ］［ｃ］＝ＦＦｍｕｌ（０ｘ０２，ｔ［ｒ］） Ｆｍｕｌ（０ｘ０３，ｔ［（ｒ＋１）％４］） ＦＦｍｕｌ（０ｘ０１，ｔ［（ｒ＋２）％４］） ＦＦｍｕｌ（０ｘ０１，ｔ［（ｒ＋３）％４］）； 函数ＦＦｍｕｌ先计算参数ｂ（ｓｔａｔｅ中的元素）与０ｘ０１、０ｘ０２、 ０ｘ０４、０ｘ０８相乘的值，再根据参数ａ（０ｘ０１、０ｘ０２、０ｘ０３、０ｘ０９、 ０ｘ０ｂ、０ｘ０ｄ、０ｘ０ｅ）用异或运算求和： ｕｎｓｉｇｎｅｄ ｃｈａｒ ＦＦｍｕｌ（ｕｎｓｉｇｎｅｄ ｃｈａｒ ａ，ｕｎｓｉｇｎｅｄ ｃｈａｒ ｂ） ｛ ｕｎｓｉｇｎｅｄ ｃｈａｒ ｂｗ［４］； ｕｎｓｉｇｎｅｄ ｃｈａｒ ｒｅ￥＝０； ｉｍ ｉ： ／／计算ｓｔａｔｅ中的元素与０ｘ０１、０ｘ０２、０ｘ０４、０ｘ０８相乘的值 ｂｗ［０］＝ｂ； ｆｏｒ（ｉ－１；ｉ＜４；ｉ＋＋） ｛ ｂｗ［ｉ］＝ｂｗ［ｉ一１］＜＜１； ｉｆ（ｂｗ［ｉ一１］＆０ｘ８０） ｛ ｂｗ［ｉｉ ］＝０ｘｌｂ； ／／根据参数ａ（０￣０１、０ｘ０２、０ｘ０３、０ｘ０９、０ｘ０ｂ、０ｘ０ｄ、０ｘ０ｅ）， ／／用异或运算求和 ＩＩＩｄＩＩｓｔｒｉａｌ＆ｓｃｉｅｎｃｅ Ｔ曲咖ｅ目蜀瞳珏薅固 豳冒重 疆匿盔冒２０１ １年第１ Ｏ卷第１ Ｏ期 ｆｏｒ（ｉ＝０；ｉ＜４；ｉ＋＋） 操作与之前均相同，只是异或运算所使用的是最后一组密钥， ｛ ｉｆ（（ａ＞＞ｉ）＆ＯｘＯ１） 即第ｌｌ组密钥ｋ［１０］［４］［４］。 第三阶段：密文数据输出阶段。这是第一阶段的逆过程， 对本块（组）１６字节踢文加密后的数据重新进行排序，并将结 果输出。假设加密后数据为ｓｔａｔｅ［４］［４］＝｛３９，０２，ｄｃ，１９，２５， ｛ ｒｅ８＾＝ｂｗ［ｉ］； ｝ ｝ ｒｅｔｕｒｎ ｒｅ８： ｄｃ，１１，６ａ，８４，０９，８５，０ｂ，１ｄ，ｌｂ，９ｒ７，３２｝，那么重新排序后输出结 果为ｉｎｐｕｔ［１６］＝｛３９，２５，８４，１ｄ，０２，ｄｃ，０９， ，ｄｃ，１１，８５，９７，１９， ６８，Ｏｂ。３２｝。 ， ｝ 前面的ｆ０ｒ循环是进行域乘法运算。如果是与ＯｘＯｌ相乘， ０，０ ０．１ ０，２ ０，３ Ｏ ４ ８ 】２ 算法与算术中与１相乘相同，结果ｂｗ［０］即是被乘数ｂ本身； 如果是与０ｘ０２相乘，结果ｂｗ［１］是将被乘数ｂｗ［０］向左位移１ 位的值；如果是与０ｘ０４相乘，结果ｂｗ［２］是将被乘数ｂｗ［１］再 向左位移１位的值；如果是与Ｏｘ０８相乘，结果ｂｗ［３］是将被乘 数ｂｗ［２］再向左位移１位的值。为防止结果出现“域溢出”， 如果位移后所得的值大于或等于ＯｘＳＯ，还要与Ｏｘｌｂ进行异或 运算。后面的ｆ０ｒ循环是进行域加法运算，实际上只是异或运 算。根据参数ａ（ｏ￣ｏｌ、Ｏｘ０２、Ｏｘ０３、Ｏｘ０９、０ｘ０ｂ、ＯｘＯｄ和ＯｘＯｅ共 七个常数，加密时用前三个常数，解密时用后四个常数）向右 位移ｉ位并与ＯｘＯ１位与运算的结果确定是否进行异或运算。 假设ａ为Ｏｘ０２，即００００００１０，当ｉ等于０时，ｉｆ条件为假，ｒｅｓ为 Ｏ；当ｉ等于１时，ｉｆ条件为真，ｅｒ￥与ｂｗ【１］进行异或运算，即得 到与Ｏｘ０２相乘的结果。假设ａ为Ｏｘ０３，即００００００１１，当ｉ等于 Ｏ时，ｉｆ条件为真，ｒｅｓ与ｂｗ［Ｏ］进行异或运算；当ｉ等于１时，ｉｆ 条件仍为真，ｒｅｓ再与ｂｗ［１］进行异或运算，两次异或运算得到 的值即为与Ｏｘ０３相乘的结果。以此类推，七个常数与ｓｔａｔｅ中 的元素相乘和相加运算情况见下表： 乘数（ａ） ｒｅｓ ＝ｂｗ［ｉ］ 十六进制 十进制 二进制 ｉ＝０ ｉ＝１ ｉ＝２ ｉ＝３ Ｏ如１ １ Ｏ００ＣＯ００ｌ ｂｗ［０］ 无运算 无运算 无运算 ０）ｄＤ２ ２ Ｏ００００ｏ１Ｏ 无运算 ｂｗ［１］ 无运算 无运算 ０ Ｂ ３ ０ｏ（）ｏｏ０ｌ１ ｂｗ［０］ ｂｗ［１］ 无运算 无运算 Ｏ）【０９ ９ ０ｏ（）ｏｌｏｏ１ ｂｗ［０］ 元运算 无运算 ｂｗ［３］ ＯｘＯｂ １ｌ ０ｏ０ｏ１０１１ ｂｗ［０］ ｂｗ［１］ 无运算 ｂｗ［３］ ＯｘＯｄ １３ ０Ｏｏｏ１１０１ ｂｗ［０］ 无运算 ｂｗ［２］ ｂｗ［３］ ＯｘＯｅ １４ ０Ｏｏ０ｌ１１Ｏ 无运算 ｂｗ［１］ ｂｗ［２］ ｂｗ［３］ 转换轮中的ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，Ｗ［ｉ］）操作与初始轮相同，只 是取下一组（第２一ｌ０组）密钥与ｓｔａｔｅ中的数据进行异或运 算。 最终轮包括ＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）、ＳｈｉｆｔＲｏｗｓ（ｓｔａｔｅ）和Ａｄ－ ｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，Ｗ［ｉ］），但没有ＭｉｘＣｏｌｕｍｎｓ（ｓｔａｔｅ）。各模块 Ｉｎｄｕｓｔｒｉａｌ＆Ｓｃｉｅｎｃｅ Ｔｒｉｂｕｎｅ暇皿盈衄 １，０ １，１ １，２ １，３ ｌ ５ ９ １３ ２，０ ２，１ ２，２ ２，３ ２ ６ １０ １４ ３，０ ３，１ ３，２ ３，３ ３ ７ １１ １５ 二、ＫＥＳ算法解密过程 ＡＫＳ算法解密过程是整个加密过程的逆过程。如果密钥 长度为１２８位，ＡＥＳ对数据的解密过程为： ￣ｍｓｉｇｎｅｄ ｃｈａｒ｝ＩｎｖＣｉｐｈｅｒ（ｕｎｓｉｇｎｅｄ ｃｈａｒ ｉｎｐｕｔ） ｛ ｕｎｓｉｎｇｅｄ ｃｈａｒ ｓｔｅｅｌ４］［４］； ｉｎｔｉ，ｒ，ｃ； ／／第一阶段 ｆｏｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ｛ ｆｏｒ（ｃ＝Ｏ；ｅ＜４；ｃ＋＋） ｛ ｓｔａｔｅ［ｒ］［ｃ］＝ｉｎｐｕｔ［ｒ＋４ ｃ］； ｝ ｝ ／／第二阶段 ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，Ｗ［１０］）； ｆｏｒ（ｉ－９；ｉ＞＝０；ｉ一一） ｛ ＩｎｖＳｈｉｆｔＲｏｗｓ（ｓｔａｔｅ）； ＩｎｖＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）； ＡｄｄＲｏｕｎｄＫｅｙ（ｓｔａｔｅ，Ｗ［ｉ］）； ｉｆ（ｉ）ＩｎｖＭｉｘＣｏｌｕｍｎｓ（ｓｔａｔｅ）； ｝ ／／第三阶段 ｏｆｒ（ｒ＝０；ｒ＜４；ｒ＋十） ｛ ｆｏｒ（Ｃ＝Ｏ；Ｃ＜４；ｃ＋＋） ｛ ｉｎｐｕｔ［ｒ＋４｝Ｃ］＝ｓｔａｔｅ［ｒ］［ｅ］； ｝ ｝ ｒｅｎｌⅡＩ ｉｎｐｕｔ； ｝ 解密过程也可以分为三个阶段：密文数据准备阶段、解密 ・６３・ 豳冒重 瞳匿 冒２０１１年第１０卷第１０期 轮循环阶段和明文数据输出阶段。解密过程的第一阶段与加 密过程的第三阶段是互逆的，第三阶段与加密过程的第一阶 段是互逆的。在解密过程的第二阶段，密钥的使用顺序是ｗ ［１Ｏ］．．…・ｗＥ０］，与加密时相反。需要特别注意的是，在解密 轮循环阶段，字节替换操作函数ＩｎｖＳｕｂＢｙｔｅｓ（ｓｔａｔｅ）中所使用 的替换表与加密时不同： ｕｎｓｉｇｎｅｄ ｃｈａｒｉｎｖｓＢｏｘ［２５６］＝ ｝／ ０ １ ２ ３ ４ ５ ６ ７ ８ ９ ａ ｂ ｃ ｄ ｅ ｆ ＋／ ０ｘ５２，０ｘ０９，０ｘ６ａ，０ｘｄ５，０ｘ３０，０ｘ３６，ｏ】【ａ５，０ｘ３８，Ｏｘｂｆ，０ｘ４０， ０ｘａ３，０ｘｇｅ，Ｏｘ８１，Ｏｘｔ３，０ｘｄ７，０ｘｆｂ，／｝０ ／ Ｏｘ７ｅ，Ｏｘｅ３，０ｘ３９，０ｘ８２，０ｘ９ｂ，０ｘ２ｆ，０ｘｆｆ，０ｘ８７，０ｘ３４，０ｘ８ｅ， ０ｘ４３，０ｘ４４，Ｏｘｃ４，０ｘｄｅ，０ｘｅ９，０ｘｃｂ，／｝１｝／ ０ｘ５４，０ｘ７ｂ，０ｘ９４，０ｘ３２，Ｏｘａ６，０ｘｃ２，０ｘ２３，Ｏｘ３ｄ，Ｏｘｅｅ，Ｏｘ４ｃ， ０ｘ９５，ＯｘＯｂ，０ｘ４２，０ｘｆａ，Ｏｘｅ３，Ｏｘｇｅ，／ ２ ／ Ｏｘ０８，Ｏｘ２ｅ，Ｏｘａｌ，０ｘ６６，０ｘ２８，Ｏｘｄ９，０ｘ２４，Ｏｘｂ２，０ｘ７６，０ｘ５ｂ， Ｏｘａ２，０ｘ４９，０ｘ６ｄ，Ｏｘ８ｂ，Ｏｘｄｌ，０ｘ２５，／｝３ ／ ０ｘ７２，Ｏｘｆ８，Ｏｘｆ６，０ｘ６４，０ｘ８６，０ｘ６８，０ｘ９８，Ｏｘ１６，０ｘｄ４，０ｘａ４， Ｏｘ５ｅ，Ｏｘｃｃ，ＯｘＳｄ，０ｘ６５，Ｏｘｂ６，０ｘ９２，／｝４｝／ Ｏｘ６ｅ，ＯｘＴ０，０ｘ４８，０ｘＳ０，０ｘｆｄ，０ｘｅｄ，Ｏｘｂ９，Ｏｘｄａ，ＯｘＳｅ，Ｏｘ１５， ０ｘ４６，０ｘ５７，Ｏｘａ７，Ｏｘ８ｄ，０ｘｇｄ，０ｘ８４，／￥５ ／ ＯｘｇＯ，０ｘｄ８，０ｘａｂ，０ｘ００，Ｏｘ８ｅ，Ｏｘｂｅ，０ｘｄ３，０ｘＯａ，Ｏ ，０ｘｅ４， ０】【５８，Ｏｘ０５，Ｏｘｂ８，Ｏｘｋ３，０ｘ４５，Ｏｘ０６，／｜ｃ６￥／ ０ｘｄＯ，Ｏｘ２ｅ，Ｏｘｌｅ，Ｏｘ８ｆ，Ｏｘｅａ，Ｏｘ３ｆ，ＯｘＯｆ，Ｏｘ０２，Ｏｘｃｌ，Ｏｘａｆ， Ｏｘｂｄ，Ｏｘ０３，ＯｘＯ１，ｏ】【１３，Ｏｘ８ａ，Ｏｘ６ｂ，／ ７女／ Ｏｘ３ａ，Ｏｘｇｌ，０ｘｌｌ，Ｏｘ４１，０ｘ４ｆ，０ｘ６７，Ｏｘｄｃ，Ｏｘｅａ，０ｘ９７，Ｏｘｆ２， Ｏｘｅｆ，Ｏｘｅｅ，ＯｘｆＯ，Ｏｘｂ４，Ｏｘｅ６，０ｘ７３，／￥８｝／ ０ｘ９６，Ｏｘａｃ，０ｘ７４，０ｘ２２，０ｘｅ７，Ｏｘａｄ，０ｘ３５，０ｘ８５，０ｘｅ２，０ｘｔ９， ０ｘ３７，０ｘｅ８，Ｏｘｌｃ，０ｘ７５，Ｏｘｄｆ，０ｘ６ｅ，／・９ ／ ０ｘ４７，Ｏｘｆｌ，Ｏｘｌａ，Ｏｘ７１，０ｘｌｄ，０ｘ２９，Ｏｘｅ５，０ｘ８９，Ｏｘ６ｆ，Ｏｘｂ７， ０ｘ６２，０ｘＯｅ，０ｘｓａ，Ｏｘ１８，Ｏｘｂｅ，０ｘｌｂ，／｝ａ｝／ ０ｘｆｃ，０ｘ５６，Ｏｘ３ｅ，Ｏｘ４ｂ，Ｏｘｅ６，Ｏｘｄ２，０ｘ７９，Ｏｘ２０，０ｘｇａ，Ｏｘｄｂ， Ｏｘｅ０，Ｏｘｆｅ，Ｏｘ７８，０ｘｅｄ，０ｘＳａ，Ｏｘｆ４，／｝ｂ ／ Ｏｘｌｆ，Ｏｘｄｄ，Ｏｘａ８，０ｘ３３，０ｘ８８，Ｏｘ０７，０ｘｅ７，Ｏｘ３１，Ｏｘｂ１，Ｏｘ１２， ｏ】【１０，０ｘ５９，０ｘ２７，０ｘＳ０，Ｏｘｅｅ，Ｏｘ５ｆ，／ ｃ｝／ Ｏｘ６０，ＯｘＳ１，Ｏｘ７ｆ，Ｏｘａ９，０ｘ１９，０ｘｂ５，Ｏｘ４ａ，ＯｘＯｄ，Ｏｘ２ｄ，Ｏｘｅ５， Ｏｘ７ａ，０ｘｇｆ，０ｘ９３，Ｏｘｅ９，Ｏｘ９ｅ，Ｏｘｄ，／ ｄ ／ ＯｘａＯ，０ｘｅ０，Ｏｘ３ｂ，Ｏｘ４ｄ，Ｏｘａｅ，Ｏｘ２ａ，０ ，ＯｘｂＯ，０ｘｃ８，０ｘｅｂ， Ｏｘｂｂ，Ｏｘ３ｅ，０ｘ８３，０ｘ５３，０ｘ９９，Ｏｘ６１，／ ｅ｝／ Ｏｘ１７，Ｏｘ２ｂ，Ｏｘ０４，Ｏｘ７ｅ，０ｘｂａ，０ｘ７７，０ｘｄ６，０ｘ２６，Ｏｘｅｌ，０ｘ６９， ０ｘ１４，０】【６３，０ｘ５５，Ｏｘ２１，ＯｘＯｅ，０ｘ７ｄ／｜ｃｆ｜Ｅ／ ｝； 将ｓｔａｔｅ［ｒ］［ｃ］作为索引，取数组ｉｎｖｓＢｏｘ［］中的元素赋值 给ｓｔａｔｅ［ｒ］［ｃ］。例如：如果ｓｔａｔｅ［０］［０］＝０ｘｄ４，ｓＢｏｘ［ｓｔａｔｅ［Ｏ］ ［Ｏ］］即为ｓＢｏｘ［２１２］，对应值为０ｘ１９，实际上即是替换表第ｄ 行第４列上的元素，正好与加密时相反，如此类推。 另外需要注意的是，列混合变换ＩｎｖＭｉｘＣｏｌｕｍｎｓ（ｓｔａｔｅ）操 作中，与加密时不同，ＦＦｍｕｌ函数的参数为ＯｘＯｅ、ＯｘＯｂ、ＯｘＯｄ和 Ｏｘ０９，操作结果与加密时相反： ・６４・ 墨 ｉｉ ｅ０ ｂ８ １ｅ ｉ ｉ ｉ ｂ４ ４１ ２７ ｉ ｌｌ ｉ５２ ｌ１ ９８ ｉ 置 ａｅ ｎ ｅ５ ｔ［ｒ］＝ｓｔａｔｅ［ｒ］［ｃ］ ｓａｔｔｅ［ｒ］［ｅ］＝ＦＦｍｕｌ（０ｘ０ｅ，ｔ［ｒ］） ＦＦｍｕｌ（０ｘ０ｂ，ｔ［（ｒ＋１）％４］） ＦＦｍｕｌ（ＯｘＯｄ，ｔ［（ｒ＋２）％４］） ＦＦｍｕｌ（０ｘ０９，ｔ［（ｒ＋３）％４］）； 三、ＡＥＳ算法密钥扩展 在ＡＥＳ算法中，可以使用１２８位（１６字节）、１９２位（２４字 节）或２５６位（３２字节）长度的密钥对数据进行加密，三种长度 的密钥分别被扩展成１１组、１３组、１５组。１２８位（１６字节）长 度的密钥扩展程序如下： ｖｏｉｄ ＫｅｙＥｘｐａｎｓｉｏｎ（ｕｎｓｉｇｎｅｄ ｃｈａｒ｝ｋｅｙ，ｕｎｓｉｇｎｅｄ ｃｈａｒ ｗ［］ ［４］［４］） ｛ ｉｎｔ ｉ，ｒ，ｃ； ｎｕｓｉｇｎｅｄ ｃｈａｒ ｒｃｏｎ［］＝｛ＯｘＯ１，Ｏｘ０２，Ｏｘ０４，Ｏｘ０８，ＯｘｌＯ，Ｏｘ２０， ０ｘ４０，０ｘＳ０，０ｘｌｂ，０ｘ３６ｆ； ／／第１组密钥 ｆ０ｌｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ｛ ｆｏｒ（ｅ：０；ｃ＜４；ｃ＋＋） ｛ ｗ［Ｏ］［ｒ］［ｅ］ ＝ｋｅｙ［ｒ＋ｃ｝４］； ｝ ／／第２一ｌ１组密钥 ｆｏｒ（ｉ一１；ｉ＜＝１０；ｉ＋＋） ｛ ｆｏｒ（ｅ＝Ｏ；ｅ＜４；ｅ＋＋） ｛ ／／计算ｔ［ｒ］：ｒｉＯ］、ｔ［１］、ｔ［２］、ｔ［３］，供每列４行使用 ｕｎｓｉｎｇｅｄ ｃｈａｒｔ［４］； ｆｏｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ｛ ｔ［ｒ］＝ｅ？ｗ［ｉ］［ｒ］［ｅ一１］：ｗ［ｉ一１］［ｒ］［３］； ｝ ｉｆ（ｃ＝＝Ｏ） ｛ ｎｕｓｉｇｎｅｄ ｃｈａｒｔｅｍｐ ｔ［ｏ］； ｆｏｒ（ｒ＝０；ｒ＜３；ｒ＋＋） ｛ ｔ［ｒ］＝ｓＢｏｘ［ｔ［（ｒ＋１）％４］］； ｝ ｔ［３］＝ｓＢｏｘ［ｔｅｍｐ］； ＩｎｄｌｌＳｔｒｉａｌ＆ｓｄｅｎｃｅ Ｔｒｉｂ珊ｌｅ ｌ嚣日口日匝ｌ衄 豳冒重 疆匿Ｉ圈２０１ １年第１ ０卷第１ ０期 ｔ［０］ ＝ｒｃｏｎ［ｉ一１］； ｌ 位）以上。极大地增加了破解密文的难度。由于ＫＥＳ算法是在 公众广泛参与和专家严密论证的基础上产生的，是一个已经 ／／第２一ｌ１组密钥：前１组每列４行密钥与ｔ［ｒ］进行异或 公开的算法，因此，ＡＥＳ算法密钥本身特别是密钥长度对保护 运算 ｆｏｒ（ｒ＝０；ｒ＜４；ｒ＋＋） ｛ ｗ［ｉ］［ｒ］［ｅ］＝ｗ［ｉ一１］［ｒ］［ｃ］ ｔ［ｒ］； ｝ ｝ ｝ ｝ 第１组密钥ｗ［Ｏ］［ｒ］［ｃ］直接使用原始密钥，密钥扩展程 序只是将１２８位（１６字节）原始密钥重新进行排序： 腿１０】ｊｒ］【ｃ ， 【０儿Ｏ】 【０Ｊ ｃ１ Ｊ 【０Ｊ ｌ２Ｊ 【ｏｊ【３ Ｊ Ｋｅｙ【０Ｊ Ｋｅｙ【４Ｊ Ｋｅｙ【ＳＪ Ｋｅｙ【１２】 【ｌ Ｊ【Ｏ】 【Ｉｊ【｛】 【Ｉ】【２Ｊ 【Ｉ】【３】 Ｋｅｙ【ｔ】 Ｋｅｙ ｃ５ｊ Ｋｅｙ【９ｌ Ｋｅｙｆｌ ３】 【２ｌｔｏｌ Ｌ２ｌ ＬＩｌ 【２ｌ【２Ｊ 【２ｌ【３Ｊ Ｋｅｙ【２ｊ Ｋｅｙ【６Ｊ Ｋｅｙ【｛０】 Ｋｅｙ【ｔ４】 【３Ｊ【ＯＪ 【３¨Ｉ Ｊ 【３ｌ【２Ｊ Ｉ３】【３Ｊ Ｋｅｙｔ３】 Ｋｅｙｔ，ｊ Ｋｅｙ【１ｔｌ Ｋｅｙｔｔ５ｊ 第２～ｌ１组密钥Ｗ［１］［ｒ］［Ｃ］一Ｗ［１０］［ｒ］［ｃ］用以下方式 得到：对于第２～ＩＩ组第１列密钥Ｗ［Ｉ≤ｉ≤１０］［ｒ］［０］，ｔ［ｒ］首 先取前１组第４列密钥ｗ［ｉ一１］［ｒ］［３］，然后再通过ｓＢｏｘ对ｔ ［ｒ１进行置换；对于第２—１１组第２．３、４列密钥Ｗ［１≤ｉ≤ｌＯ］ ［ｒ］［１≤ｃ≤３］，ｔ［ｒ］直接取本组第１、２，３列密钥。之后，将前１ 组每列４行密钥Ｗ［ｉ一１］［ｒ］［ｅ］与ｔ［ｒ］（ｔ［ｏ］、ｔ［１］、ｔ［２］、ｔ ［３］）进行异或运算，即得到第２—１１组密钥Ｗ［１］［ｒ］［ｅ］一ｗ ［１０］［ｒ儿ｅ］。 四、ＡＥＳ算法安全性分析 数据加密是维护数据安全的重要手段。作为ＤＥＳ的继承 者，ＡＥＳ已经被工业界、银行业和行政部门作为事实上的密码 标准，并逐渐取代ＤＥＳ在ＩＰＳｅｃ、ＳＳＬ和ＡＴＭ中的加密功能。 在这种情况下，除了要求能够高效实现以外，ＡＥＳ算法的安全 性问题显得尤为突出。正如ＤＥＳ算法使输入与输出之间呈现 非线性映射关系一样，ＡＥＳ算法每次以１６字节（１２８位）数据 块Ｓｔａｔｅ［４］［４］为对象，通过将数据与密钥进行异或运算、对数 据进行置换、将数据行列进行变换等操作，最大限度地模糊输 出对输入的依赖，从而有效地保护数据安全。 （一）ＡＥＳ加密算法将密钥的位数提高到ｌ６字节（１２８ ｈｄｌＩｓｔｒｉａｌ＆ｓｄｅｎｃｅ Ｔｒｉｂｕｎｅ医圊匝同啊 数据安全十分重要。但到目前为止，要强行遍历搜索所有可 能的１６字节（１２８位）以上的密钥，即使最快的计算机系统在 有效时间内也是无法做到的。 （二）ＡＥＳ加密算法除对数据进行普通替代和置换外，还 引入了域乘法和加法远算，以增加加密强度。列混合变换 ＭｉｘＣｏｌｕｍｎｓ（ｓｔａｔｅ）所进行的域乘法和加法运算是基于名为ＧＦ （２８）有限域理论的。Ｇ代表这一数学理论的发明者法国数学 家伽罗华（Ｇａｌｏｉｓ，公元１８１１年一公元１８３２年）；Ｆ即Ｆｉｅｌｄ，表 示数学域；２８＝２５６，表示有限域范围位于集合｛０ｘ００…０ｘｆ｝之 中。虽然ＡＥＳ算法中的ＧＦ（２８）域乘法和加法运算仅在ｓｔａｔｅ ［４］［４］中的元素与０ｘ０１、０ｘ０２、０ｘ０３、０ｘ０９、０ｘ０ｂ、０ｘ０ｄ和０ｘ０ｅ 七个常数之间进行，乘法和加法也只是移位和异或运算，但是， 将数学原理巧妙地应用于密码分析实践之中，这种加密方式 有效地增加了对数据的加密强度。 （三）ＡＥＳ算法强调通过大量轮数来增加加密数据的复杂 性。根据密钥长度，ＡＥＳ算法对１６字节（１２８位）数据的加密 轮数分另ｑ是ｌｌ、１３和１５轮，当前的密码分析研究表明，迭代型 分组密码抗击密码分析攻击的能力随着加密轮数的增加而增 加。ＡＥＳ算法通过轮变换产生的高扩散性，归功于它在所有 状态比特上的均匀结构，每个状态比特均依赖于两轮之前的 所有状态比特，或者说，一个状态比特的改变均可能对两轮之 后的半数状态比特产生影响。研究表明，捷径攻击比穷尽密 钥搜索攻击更有效。目前，尚未发现能够对具有６轮以上的经 ＡＥＳ算法加密的数据有效的捷径攻击。如果考虑还有４轮以 上的安全余量，捷径攻击ＡＥＳ算法成功的可能性就更小。 虽然到目前为止还没有已知的密码分析攻击可以破解 ＡＥＳ加密的数据，但是，由于ＡＥＳ算法密钥扩展过程中，某一 轮的密钥都是由前一轮的密钥推导而来的，如果我们知道了 某轮密钥的部分字节，就有可能递推出本轮密钥的其它字节。 当泄露的密钥信息达到一定程度时，或许就可以通过穷举法 获得某一轮的密钥，进而获得全部轮子密钥。 【参考文献】 １．Ｆｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄｓ Ｐｕｂｌｉｃａｔｉｏｎ １９７，Ｎｏ— ｖｅｍｂｅｒ２６，２００１．Ａｎｎｏｕｎｃｉｎｇ ｔｈｅ Ａｄｖａｎｃｅｄ Ｅｎｅｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ． Ｈｔｔｐ：／／ｃｓｒｃ．ｎｉｓｔ．ｇｏｖ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｔｉｐｓ／ｔｉｐｓ１９７／ｔｉｐｓ一１９７．ｐｄｆ． ２．［美］Ｒｉｃｈａｒｄ Ｓｐｉ￣ｍａｎ．经典密码学与现代密码学［Ｍ］．叶远 健，曹英，张长富译．北京：清华大学出版社，２００５ ３．［美］Ｄａｖｉｄ Ｓａｌｏｍｏｎ．数据保密与安全［Ｍ］．蔡建，梁志敏译． 北京：清华大学出版社，２００５ ４．［印］Ａｔｕｌ Ｋａｈａｔｅ．密码学与网络安全［Ｍ］．邱仲潘译．北京： 清华大学出版社，２００５． ・６５・