古典密码密钥空间如何计算

A. 密码学基础

​ 密码学是研究如何保护信息安全性的一门科学，涉及数学、物理、计算机、信息论、编码学、通讯技术等学科，已经在生活中得到广泛应用。

​ 密码学组成分支分为编码学和密码分析学。密码编码学主要研究对信息进行编码，实现信息的隐蔽。密码分析学主要研究加密消息的破译或消息的伪造。二者相互独立，又相互依存，在矛盾与斗争中发展，对立统一。

​ 密码学的发展历史大致可划分为三个阶段：

机密性

仅有发送方和指定的接收方能够理解传输的报文内容。窃听者可以截取到加密了的报文，但不能还原出原来的信息，即不能得到报文内容。

鉴别

发送方和接收方都应该能证实通信过程所涉及的另一方， 通信的另一方确实具有他们所声称的身份。即第三者不能冒充跟你通信的对方，能对对方的身份进行鉴别。

报文完整性

即使发送方和接收方可以互相鉴别对方，但他们还需要确保其通信的内容在传输过程中未被改变。

不可否认性

如果人们收到通信对方的报文后，还要证实报文确实来自所宣称的发送方，发送方也不能在发送报文以后否认自己发送过报文。

​ 密码体制是一个使通信双方能进行秘密通信的协议。密码体制由五要素组成，P（Plaintext明文集合），C（Ciphertext密文集合），K（Key密钥集合），E（Encryption加密算法），D（Decryption解密算法），且满足如下特性： 

<script type="math/tex; mode=display" id="MathJax-Element-1"> p ∈ P </script>

<script type="math/tex; mode=display" id="MathJax-Element-2"> c ∈ C </script>

<script type="math/tex; mode=display" id="MathJax-Element-3"> k1 ∈ K， k2 ∈ K </script>

<script type="math/tex; mode=display" id="MathJax-Element-6"> E_{k1}(p) = c，D_{k2}(c) = p </script>

​ 无论是用手工或机械完成的古典密码体制，还是采用计算机软件方式或电子电路的硬件方式完成的现代密码体制，其加解密基本原理都是一致的。都是基于对明文信息的替代或置换，或者是通过两者的结合运用完成的。

​ 替代（substitution cipher）：有系统地将一组字母换成其他字母或符号;

​ 例如‘help me’变成‘ifmq nf’（每个字母用下一个字母取代）。

​ 置换（Transposition cipher）：不改变字母，将字母顺序重新排列；

​ 例如‘help me’变成‘ehpl em’（两两调换位置）。

​ 密码分析者通常利用以下几种方法对密码体制进行攻击：

​ 已知明文分析法： 

知道一部分明文和其对应的密文，分析发现秘钥。

​ 选定明文分析法： 

设法让对手加密自己选定的一段明文，并获得对应的密文，在此基础上分析发现密钥。

​ 差别比较分析法: 

设法让对方加密一组差别细微的明文，通过比较他们加密后的结果来分析秘钥。

​ 无条件安全： 

无论破译者的计算能力有多强，无论截获多少密文，都无法破译明文。

​ 计算上安全：

​ 破译的代价超出信息本身的价值，破译所需的时间超出信息的有效期。

​ 任何密码系统的应用都需要在安全性和运行效率之间做出平衡，密码算法只要达到计算安全要求就具备了实用条件，并不需要实现理论上的绝对安全。1945年美国数学家克劳德·E·香农在其发布的《密码学的数学原理》中，严谨地证明了一次性密码本或者称为“弗纳姆密码”（Vernam）具有无条件安全性。但这种绝对安全的加密方式在实际操作中需要消耗大量资源，不具备大规模使用的可行性。事实上，当前得到广泛应用的密码系统都只具有计算安全性。

​ 一个好的密码体制应该满足以下两个条件：

在已知明文和密钥的情况下，根据加密算法计算密文是容易的；在已知密文和解密密钥的情况下，计算明文是容易的。

在不知道解密密钥的情况下，无法从密文计算出明文，或者从密文计算出明文的代价超出了信息本身的价值。

常见的密码算法包括:

​ 对称密码体制也称单钥或私钥密码体制，其加密密钥和解密密钥相同，或实质上等同， 即从一个易于推出另一个。

​ 优点：保密性高，加密速度快，适合加密大量数据，易于通过硬件实现； 

缺点：秘钥必须通过安全可靠的途径传输，秘钥的分发是保证安全的关键因素；

​ 常见对称密码算法：DES (密钥长度=56位)、3DES( 三个不同的密钥，每个长度56位)、AES(密钥长度128/192/256可选)、IDEA(密钥长度128位)、RC5(密钥长度可变)。

​ 根据加密方式的不同，对称密码又可以分为分组密码和序列密码。

​ 将明文分为固定长度的组，用同一秘钥和算法对每一块加密，输出也是固定长度的密文，解密过程也一样。

​ 又称为流密码，每次加密一位或一字节的明文，通过伪随机数发生器产生性能优良的伪随机序列（密钥流），用该序列加密明文消息序列，得到密文序列，解密过程也一样。

​ 非对称密码体制又称双钥或公钥密码体制，其加密密钥和解密密钥不同，从一个很难推出另一个。其中的加密密钥可以公开，称为公开密钥，简称公钥；解密密钥必须保密，称为私有密钥，简称私钥。

​ 优点：密钥交换可通过公开信道进行，无需保密。既可用于加密也可用于签名。 

缺点：加密速度不如对称密码，不适合大量数据加密，加密操作难以通过硬件实现。

​ 非对称密码体制不但赋予了通信的保密性，还提供了消息的认证性，无需实现交换秘钥就可通过不安全信道安全地传递信息，简化了密钥管理的工作量，适应了通信网的需要，为保密学技术应用于商业领域开辟了广阔的前景。

​ 常见的非对称密码算法：RSA(基于大整数质因子分解难题)、ECC(基于椭圆曲线离散对数难题)。

对非对称密码的误解 

非对称密码比对称密码更安全？ 

任何一种算法的安全都依赖于秘钥的长度、破译密码的工作量，从抗分析的角度看，没有哪一方更优越；

​ 非对称密码使对称密码成为过时技术？ 

公钥算法很慢，一般用于密钥管理和数字签名，对称密码将长期存在，实际工程中采用对称密码与非对称密码相结合。

​ 哈希函数将任意长的消息映射为一个固定长度的散列值，也称消息摘要。消息摘要可以作为认证符，完成消息认证。 

哈希是单向函数，从消息摘要来推理原消息是极为困难的。哈希函数的安全性是由发生碰撞的概率决定的。如果攻击者能轻易构造出两个不同的消息具有相同的消息摘要，那么这样的哈希函数是不可靠的。

​ 常见的哈希函数有：MD5，SHA1，HMAC。

​ 数字签名是公钥密码的典型应用，可以提供和现实中亲笔签名相似的效果，在技术上和法律上都有保证。是网络环境中提供消息完整性，确认身份，保证消息来源（抗抵赖性）的重要技术。

​ 数字签名与验证过程：

​ 发送方用哈希函数从报文文本中生成一个128位的散列值（或报文摘要），发送方用自己的私钥对这个散列值进行加密来形成自己的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给接收方。接收方收到报文后，用同样的哈希函数从原始报文中计算出散列值（或报文摘要），接着再用发送方的公钥来对报文附加的数字签名进行解密得出另一个散列值，如果两个散列值相同，那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现消息的完整性和不可抵赖性。 

​ 在网络安全中，密钥的地位举足轻重

。如何安全可靠、迅速高效地分配密钥、管理密钥一直是密码学领域中的重要问题。

​ 密钥生成可以通过在线或离线的交互协商方式实现，如密码协议等 。密钥长度应该足够长。一般来说，密钥长度越大，对应的密钥空间就越大，攻击者使用穷举猜测密码的难度就越大。选择密钥时，应该避免选择弱密钥，大部分密钥生成算法采用随机过程或伪随机过程生成密钥。

​ 采用对称加密算法进行保密通信，需要共享同一密钥。通常是系统中的一个成员先选择一个秘密密钥，然后将它传送另一个成员或别的成员。X9.17标准描述了两种密钥：密钥加密密钥和数据密钥。密钥加密密钥加密其它需要分发的密钥；而数据密钥只对信息流进行加密。密钥加密密钥一般通过手工分发。为增强保密性，也可以将密钥分成许多不同的部分然后用不同的信道发送出去。

​ 密钥附着一些检错和纠错位来传输，当密钥在传输中发生错误时，能很容易地被检查出来，并且如果需要，密钥可被重传。接收端也可以验证接收的密钥是否正确。发送方用密钥加密一个常量，然后把密文的前2-4字节与密钥一起发送。在接收端，做同样的工作，如果接收端解密后的常数能与发端常数匹配，则传输无错。

​ 当密钥需要频繁的改变时，频繁进行新的密钥分发的确是困难的事，一种更容易的解决办法是从旧的密钥中产生新的密钥，有时称为密钥更新。可以使用单向函数进行更新密钥。如果双方共享同一密钥，并用同一个单向函数进行操作，就会得到相同的结果。

​ 密钥可以存储在脑子、磁条卡、智能卡中。也可以把密钥平分成两部分，一半存入终端一半存入ROM密钥。还可采用类似于密钥加密密钥的方法对难以记忆的密钥进行加密保存。

​ 密钥的备份可以采用密钥托管、秘密分割、秘密共享等方式。

​ 密钥托管：

​ 密钥托管要求所有用户将自己的密钥交给密钥托管中心，由密钥托管中心备份保管密钥（如锁在某个地方的保险柜里或用主密钥对它们进行加密保存），一旦用户的密钥丢失（如用户遗忘了密钥或用户意外死亡），按照一定的规章制度，可从密钥托管中心索取该用户的密钥。另一个备份方案是用智能卡作为临时密钥托管。如Alice把密钥存入智能卡，当Alice不在时就把它交给Bob，Bob可以利用该卡进行Alice的工作，当Alice回来后，Bob交还该卡，由于密钥存放在卡中，所以Bob不知道密钥是什么。

​ 秘密分割：

​ 秘密分割把秘密分割成许多碎片，每一片本身并不代表什么，但把这些碎片放到一块，秘密就会重现出来。

​ 秘密共享：

​ 将密钥K分成n块，每部分叫做它的“影子”，知道任意m个或更多的块就能够计算出密钥K，知道任意m-1个或更少的块都不能够计算出密钥K。秘密共享解决了两个问题：一是若密钥偶然或有意地被暴露，整个系统就易受攻击；二是若密钥丢失或损坏，系统中的所有信息就不能用了。

​ 加密密钥不能无限期使用，有以下有几个原因：密钥使用时间越长，它泄露的机会就越大；如果密钥已泄露，那么密钥使用越久，损失就越大；密钥使用越久，人们花费精力破译它的诱惑力就越大——甚至采用穷举攻击法。

​ 不同密钥应有不同有效期。数据密钥的有效期主要依赖数据的价值和给定时间里加密数据的数量。价值与数据传送率越大所用的密钥更换越频繁。如密钥加密密钥无需频繁更换，因为它们只是偶尔地用作密钥交换，密钥加密密钥要么被记忆下来，要么保存在一个安全地点，丢失该密钥意味着丢失所有的文件加密密钥。

​ 公开密钥密码应用中的私钥的有效期是根据应用的不同而变化的。用作数字签名和身份识别的私钥必须持续数年（甚至终身），用作抛掷硬币协议的私钥在协议完成之后就应该立即销毁。即使期望密钥的安全性持续终身，两年更换一次密钥也是要考虑的。旧密钥仍需保密，以防用户需要验证从前的签名。但是新密钥将用作新文件签名，以减少密码分析者所能攻击的签名文件数目。

​ 如果密钥必须替换，旧钥就必须销毁，密钥必须物理地销毁。

​ PKI是一个利用公钥加密技术为密钥和证书的管理，所设计的组件、功能子系统、操作规程等的集合，它的主要任务是管理密钥和证书，为网络用户建立安全通信信任机制。

​ 数字证书是一个包含用户身份信息、公钥信息、证书认证中心(CA)数字签名的文件。

​ 作用：数字证书是各类终端实体和最终用户在网上进行信息交流及商业活动的身份证明，在电子交易的各个缓解，交易的各方都需要验证对方数字证书的有效性，从而解决相互间的信任问题。

​ CA全称Certificate Authentication，是具备权威性的数字证书申请及签发机构。

​ CA作为PKI的核心部分，主要由注册服务器组、证书申请受理和审核机构、认证中心服务器三者组成。

​ 注册服务器：通过 Web Server 建立的站点，可为客户提供24×7 不间断的服务。客户在网上提出证书申请和填写相应的证书申请表。

​ 证书申请受理和审核机构：负责证书的申请和审核。

认证中心服务器：是数字证书生成、发放的运行实体，同时提供发放证书的管理、证书废止列表（CRL）的生成和处理等服务。

​ 通过CA可以实现以下功能：

​ 1. 接收验证最终用户数字证书的申请； 

2. 确定是否接受最终用户数字证书的申请和审批； 

3. 向申请者颁发、拒绝颁发数字证书； 

4. 接收、处理最终用户数字证书的更新； 

5. 接受最终用户数字证书的查询、撤销； 

6. 产生和发布CRL（证书废止列表）； 

7. 数字证书的归档； 

8. 密钥归档； 

9. 历史数据归档；

五、量子密码

5.1 量子计算

​ 由于量子计算技术取得了出人意料的快速发展，大量仅能抵御经典计算机暴力破解的密码算法面临被提前淘汰的困境 。

​ 非对称密码系统有效解决了对称密码面临的安全密钥交换问题，因而广泛应用于公钥基础设施、数字签名、联合授权、公共信道密钥交换、安全电子邮件、虚拟专用网以及安全套接层等大量网络通信活动之中。不幸的是，随着量子计算的发展，包括RSA密码、ECC密码以及DH密钥交换技术等非对称密码算法已经从理论上被证明彻底丧失了安全性。相对于对称密码系统还可以采取升级措施应对量子威胁，非对称密码系统必须采取全新方法进行重建 。

5.2 量子密码

​ 量子密码是以量子力学和密码学为基础，利用量子物理学中的原理实现密码体制的一种新型密码体制，与当前大多使用的经典密码体制不一样的是，量子密码利用信息载体的物理属性实现。目前量子密码用于承载信息的载体包括光子、压缩态光信号、相干态光信号等。

​ 由于量子密码体制的理论基础是量子物理定理，而物理定理是物理学家经过多年的研究与论证得出的结论，有可靠的理论依据，且不论在何时都是不会改变的，因此，理论上，依赖于这些物理定理的量子密码也是不可攻破的，量子密码体制是一种无条件安全的密码体制。

​

B. 计算机密码学定义

一个密码系统是整个安全系统的一部分，由五部分组成（M，C，K，E，D）：

1、明文空间M：全体明文的集合，明文（Plaintext）：伪装前的原始数据。

2、密文空间C：全体密文的集合，密文（Ciphertext）：伪装后的数据。

3、密钥空间K：全体密钥的集合，K = < Ke，Kd >，密钥（Key）：加密和解密分别在加密密钥和解密密钥的控制下进行。

4、加密算法集合E，加密变换，ek：M→C，加密（Encryption）：伪装的过程。

5、解密算法集合D，解密变换，dk：C→M，解密（Decryption）：去掉密文的伪装恢复出明文的过程。

加密算法需满足两条准则之一，满足两个准则的加密算法称为计算上安全。

1、破译密文的代价超过被加密信息的价值。

2、破译密文所花的时间超过信息的有用期。

信息安全的四个要求、目标：

1、机密性：确保信息在发信方和收信方之间传递，而不会被不可信的第三方知道。

2、完整性：保证所接收的消息未经复制、插入、篡改、重排或重放，即保证接收的消息和所发出的消息完全一样，对已毁坏的数据进行恢复。

3、认证性：确保接收者能够确认消息发送者的身份没有经过篡改。

4、不可否认性：用于防止通信双方中的某一方对所传输消 息的否认，消息发出后，接收者能够证明这一消息的确是由通信的另一方发出，消息被接收后，发出者能够证明这一消息的确已被通信的另一方接收。

5、可用性：是指授权主体在需要信息时能及时得到服务的能力。

数学基础

素数与合数定义：整数p是一个素数, 如果它只能被±p，±1整除。素数的个数是无限的，全体素数的集合记为P。如果整数n不是素数，则它是一个合数。

模n同余定义：若a mod n= b mod n，则称整数a和b模n同余。

求最大公因子GCD的Euclidean算法（辗转相除法）：

Step 1: r0 =a and r1 =b；

Step 2: r0 =q1r1+r2； r1 =q2r2+r3； …… ；rn-2 = qn-1rn-1+rn； until rn=0 and rn-1 ≠ 0；

Step 3: rn-1 = gcd(a,b)。

中国剩余定理（Chinese Remainder Theorem, CRT）：

设 n1, n2, …, nk 为两两互素的正整数，gcd(ni,nj)=1(ij)，a1，a2，…，ak为整数，则同余方程组:：

x = a1 mod n1

x = a2 mod n2

……

x = ak mod nk

有模n=n1n2…nk的惟一解x。

特性：在模n(=n1n2…nk)下可将非常大的数x由一组小数(a1,a2,…,ak)表达 x →(a1,a2,…,ak)。

中国古代命题：“韩信点兵”、“孙子定理”、求一术(沈括)“鬼谷算”(周密)、“隔墻算”(周密)、“剪管术”(杨辉)、“秦王暗点兵”、“物不知数”。中国剩余定理：孙子剩余定理、物不知数、数论的重要命题。

费马小定理：设p是素数，由于对任意的a(0<a<p)，有gcd(a,p)=1，则 a p-1 = 1 mod p。

C. 古典密码包括两大类

1.古典密码编码方法归根结底主要有两种，即替换密码和置换密码。

D. 密码技术（十一）之密钥

  ——秘密的精华

 在使用对称密码、公钥密码、消息认证码、数字签名等密码技术使用，都需要一个称为 密钥 的巨大数字。然而，数字本身的大小并不重要，重要的是 密钥空间的大小 ，也就是可能出现的密钥的总数量，因为密钥空间越大，进行暴力破解就越困难。密钥空间的大小是由 密钥长度 决定的。

 对称密码DES的密钥的实质长度为56比特（7个字节）。
例如，
一个DES密钥用二进制可以表示为：
01010001 11101100 01001011 00010010 00111101 01000010 00000011
用十六进制则可以表示为：
51 EC 4B 12 3D 42 03
而用十进制则可以表示为：
2305928028626269955

 在对称密码三重DES中，包括使用两个DES密钥的DES-EDE2和使用三个DES密钥的DES-EDE3这两种方式。
DES-EDE2的密钥长度实质长度为112比特（14字节），比如：
51 EC 4B 12 3D 42 03 30 04 D8 98 95 93 3F
DES-EDE3的密钥的实质长度为168比特（21字节），比如：
51 EC 4B 12 3D 42 03 30 04 D8 98 95 93 3F 24 9F 61 2A 2F D9 96

 对称密码AES的密钥长度可以从128、192和256比特中进行选择，当密钥长度为256比特时，比如：
51 EC 4B 12 3D 42 03 30 04 D8 98 95 93 3F 24 9F 61 2A 2F D9 96
B9 42 DC FD A0 AE F4 5D 60 51 F1

  密钥和明文是等价的 。假设明文具有100万的价值，那么用来加密这段明文的密钥也就是具有100万元的价值；如果明文值1亿元，密钥也就值1亿元；如果明文的内容是生死攸关的，那么密钥也同样是生死攸关的。

 在对称密码中，加密和解密使用同一个密钥。由于发送者和接收者需要共享密钥，因此对称密码又称为共享密钥密码。对称密码中所使用的密钥必须对发送者和接收者以外的人保密，否则第三方就能够解密了。

 在消息认证码中，发送者和接收者使用共享的密钥来进行认证。消息认证码只能由持有合法密钥的人计算出来。将消息认证码附加在通信报文后面，就可以识别通信内容是否被篡改或伪装，由于“持有合法的密钥”就是发送者和接收者合法身份的证明，因此消息认证码的密钥必须对发送者以外的人保密，否则就会产生篡改和伪装的风险。

 在数字签名中，签名生成和验证使用不同的密钥，只有持有私钥的本人才能够生成签名，但由于验证签名使用的是公钥，因此任何人都能够验证签名。

 对称密码和公钥密码的密钥都是用于确保机密性的密钥。如果不知道用于解密的合法密钥，就无法得知明文的内容。
 相对地，消息认证码和数字签名所使用的密钥，则是用于认证的密钥。如果不知道合法的密钥，就无法篡改数据，也无法伪装本人的身份。

 当我们访问以https://开头的网页时，Web服务器和浏览器之间会进行基于SSL/TLS的加密通信。在这样的通信中所使用的密钥是仅限于本次通信的一次密钥，下次通信时就不能使用了，想这样每次通信只能使用一次的密钥称为 会话密钥 。
 由于会话密钥只在本次通信中有效，万一窃听者获取了本次通信的会话密钥，也只能破译本次通信的内容。
 虽然每次通信都会更换会话密钥，但如果用来生成密钥的伪随机数生成器品质不好，窃听者就有可能预测出下次生成会话密钥，这样就会产生通信内容被破译的风险。
 相对于每次通信更换的会话密钥，一直被重复使用的密钥称为 主密钥 。

 一般来说，加密的对象是用户直接使用的信息，这样的情况下所使用的密钥称为CEK(Contents Encryting Key，内容加密密钥)；相对地，用于加密密钥的密钥则称为KEK（Key Encryting Key，密钥加密密钥）。

 在很多情况下，之前提到的会话密钥都是被作为CEK使用的，而主密钥则是被作为KEK使用的。

 生成密钥的最好方法就是使用随机数，因为米哟啊需要具备不易被他人推测的性质。在可能的情况下最好使用能够生成密码学上的随机数的硬件设备，但一般我们都是使用伪随机数生成器这一专门为密码学用途设计的软件。
 在生成密钥时，不能自己随便写出一些像“3F 23 52 28 E3....”这样的数字。因为尽管你想生成的是随机的数字，但无论如何都无法避免人为偏差，而这就会成为攻击者的目标。
 尽管生成伪随机数的算法有很多种，但密码学用途伪随机生成器必须是专门针对密码学用途而设计的。例如，有一些伪随机数生成器可以用于游戏和模拟算法，尽管这些伪随机数生成器所生成的数列看起也是随机的，但只要不是专门为密码学用途设计的，就不能用来生成密钥，因为这些伪随机数生成器不具备不可预测性这一性质。

 有时候我们也会使用人类的可以记住的口令（pasword或passphrase）来生成密钥。口令指的是一种由多个单词组成的较长的password。
 严格来说，我们很少直接使用口令来作为密钥使用，一般都是将口令输入单向散列函数，然后将得到的散列值作为密钥使用。
 在使用口令生成密钥时，为了防止字典攻击，需要在口令上附加一串称为盐（salt）的随机数，然后在将其输入单向散列函数。这种方法称为“基于口令的密码（Password Based Encryption，PBE）”。

 在使用对称密码时，如何在发送者和接收者之间共享密钥是一个重要的问题，要解决密钥配送问题，可以采用事先共享密钥，使用密钥分配中心，使用公钥密码等方法，除了上述方法，之前还提到一种解决密钥配送的问题的方法称为Diffie-Hellman密钥交换。

 有一种提供通信机密性的技术称为 密钥更新 （key updating），这种方法就是在使用共享密钥进行通信的过程中，定期更改密钥。当然，发送者和接收者必须同时用同样的方法来改变密钥才行。
 在更新密钥时，发送者和接收者使用单向散列函数计算当前密钥的散列值，并将这个散列值用作新的密钥。简单说，就是 用当前密钥散列值作为下一个密钥 。
 我们假设在通信过程中的某个时间点上，密钥被窃听者获取了，那么窃听者就可以用这个密钥将之后的通信内容全部解密。但是，窃听者却无法解密更新密钥这个时间点之前的内容，因为这需要用单向散列函数的输出反算出单向散列函数的输入。由于单向散列函数具有单向性，因此就保证了这样的反算是非常困难的。
 这种防止破译过去的通信内容机制，称为 后向安全 （backward security）。

 由于会话密钥在通信过程中仅限于一次，因此我们不需要保存这种秘密。然而，当密钥需要重复使用时，就必须要考虑保存密钥的问题了。

 人类是 无法记住具有实用长度的密钥 的。例如，像下面这样一个AES的128比特的密钥，一般人是很难记住的。
51 EC 4B 12 3D 42 03 30 04 DB 98 95 93 3F 24 9F
就算勉强记住了，也只过不是记住一个密钥而已。但如果要记住多个像这样的密钥并且保证不忘记，实际上是非常困难的。

 我们记不住密钥，但如果将密钥保存下来又可能会被窃取。这真是一个头疼的问题。这个问题很难得到彻底解决，但我们可以考虑一些合理的解决方法。
 将密钥保存生文件，并将这个文件保存在保险柜等安全地方。但是放在保险柜里的话，出门就无法使用了。这种情况，出门时就需要随身携带密钥。而如果将密钥放在存储卡随身携带的话，就会产生存储卡丢失、被盗等风险。
 万一密钥被盗，为了能够让攻击者花更多的时间才能真正使用这个密钥，我们可以使用将密钥加密后保存的方法，当然，要将密钥加密，必须需要另一个密钥。像这样用于密码加密的密钥，一般称为KEK。
 对密钥进行加密的方法虽然没有完全解决机密性的问题，但在现实中却是一个非常有效地方法，因为这样做可以减少需要保管密钥的数量。
 假设计算机上有100万个文件，分别使用不同的密钥进行加密生成100万个密文，结果我们手上就产生了100万个密钥，而要保管100万个密钥是很困难的。
 于是，我们用一个密钥（KEK）将这100万个密钥进行加密，那么现在我们只要保管者一个KEK就可以了，这一个KEK的价值相当于签名的100万个密钥的价值的总和。
 用1个密钥来代替多个密钥进行保管的方法，和认证机构的层级化非常相似。在后者中，我们不需要信任多个认证机构，而只需要信任一个根CA就可以了。同样的，我们也不需要确保多个密钥的机密性，而只需要确保一个KEK的机密性就可以了。

 密钥的作废和生成是同等重要的，这是因为密钥和明文是等价的。

 假设Alice向Bob发送了一封加密邮件。Bob在解密之后阅读了邮件的内容，这时本次通信所使用的密钥对于Alice和Bob来说就不需要了。不在需要的密钥必须妥善删除，因为如果被窃听者Eve获取，之前发送的加密邮件就会被解密。

 如果密钥是计算机上的一个文件，那么仅仅删除这个文件是不足以删除密钥的，因为有一些技术能够让删除的文件“恢复”。此外，很多情况下文件的内容还会残留在计算机的内存中，因此必须将这些痕迹完全抹去。简而言之，要完全删除密钥，不但要用到密码软件，还需要在设计计算机系统时对信息安全进行充分的考虑

 如果包含密钥的文件被误删或者保管密钥的笔记本电脑损坏了，会怎么样？
 如果丢失了对称密钥密码的共享密钥，就无法解密密文了。如果丢失了消息认证码的密钥，就无法向通信对象证明自己的身份了。
 公钥密码中，一般不太会发送丢失公钥的情况，因为公钥是完全公开的，很有可能在其他电脑上存在副本。
 最大的问题是丢失公钥密码的私钥。如果丢失了公钥密码的私钥，就无法解密用公钥密码加密的密文了。此外，如果丢失了数字签名的私钥，就无法生成数字签名了。

 Diffie-Hellman密钥交换（Diffie-Hellman key exchange）是1976年由Whitfield Diffie和Martin Hellman共同发明的一种算法。使用这种算法，通信双方仅通过交换一些可以公开的信息就能够生成共享秘密数字，而这一秘密数字就可以被用作对称密码的密钥。IPsec 中就使用了经过改良的Diffie-Hellman密钥交换。

2 Alice 生成一个随机数A
 A是一个1 ~ P-2之间的整数。这个数是一个只有Alice知道的密码数字，没有必要告诉Bob，也不能让Eve知道。

Alice计算出的密钥=Bob计算出的密钥

  在步骤1-7中，双方交换数字一共有4个，P、G、G ^A mod P 和 G ^B mod P。根据这4个数字计算出Alice和Bob的共享密钥是非常困难的。
 如果Eve能欧知道A和B的任意一个数，那么计算G ^A*B 就很容易了，然而仅仅根据上面的4个数字很难求出A和B的。
 根据G ^A mod P 计算出A的有效算法到现在还没有出现，这问题成为有限域(finite field) 的 离散对数问题 。

 Diffie-Hellman密钥交换是利用了“离散对数问题”的复杂度来实现密钥的安全交换的，如果将“离散对数问题”改为“椭圆曲线上离散对数问题”，这样的算法就称为 椭圆曲线Diffie-Hellman 密钥交换。
 椭圆曲线Diffie-Hellman密钥交换在总体流程上是不变的，只是所利用的数学问题不同而已。椭圆曲线Diffie-Hellman密钥交换能够用较短的密钥长度实现较高的安全性。

 基于口令密码（password based encryption，PBE）就是一种根据口令生成密钥并用该密钥进行加密的方法。其中加密和解密使用同一个密钥。
 PBE有很多种实现方法。例如RFC2898和RFC7292 等规范中所描述的PBE就通过java的javax.crypto包等进行了实现。此外，在通过密码软件PGP保存密钥时，也会使用PBE。
PBE的意义可以按照下面的逻辑来理解。

想确保重要消息的机制性。
  ↓
将消息直接保存到磁盘上的话，可能被别人看到。
  ↓
用密钥（CEK）对消息进行加密吧。
  ↓
但是这次又需要确保密钥（CEK）的机密性了。
  ↓
将密钥（CEK）直接保存在磁盘上好像很危险。
  ↓
用另一个密钥（KEK）对密钥进行加密（CEK）吧。
  ↓
等等！这次又需要确保密钥（KEK）的机密性了。进入死循环了。
  ↓
既然如此，那就用口令来生成密钥（KEK）吧。
  ↓
但只用口令容易遭到字典攻击
  ↓
那么就用口令和盐共同生成密钥（KEK）吧。
  ↓
盐可以和加密后的密钥（CEK）一切保存在磁盘上，而密钥（KEK）可以直接丢弃。
  ↓
口令就记在自己的脑子里吧。

PBE加密包括下列3个步骤：

  盐是由伪随机数生成器生成的随机数，在生成密钥（KEK）时会和口令一起被输入单向散列函数。
 密钥（KEK）是根据秘密的口令生成的，加盐好像没有什么意义，那么盐到底起到什么作用呢？
  盐是用来防御字典攻击的 。字典攻击是一种事先进行计算并准备好候选密钥列表的方法。
 我们假设在生成KEK的时候没有加盐。那么主动攻击者Mallory就可以根据字典数据事先生成大量的候选KEK。
 在这里，事先是很重要的一点。这意味着Mallory可以在窃取到加密会话的密钥之前，就准备好了大量的候选KEK。当Mallory窃取加密的会话密钥后，就需要尝试将它解密，这是准备好了大量事先生成的候选KEK，就能够大幅度缩短尝试的时间，这就是 字典攻击 （dictionary attack）。
 如果在生成KEK时加盐，则盐的长度越大，候选KEK的数量也会随之增大，事先生成的的候选KEK就会变得非常困难。只要Mallory还没有得到盐，就无法生成候选KEK。这是因为加盐之后，候选KEK的数量会变得非常巨大。

 具有充足长度的密钥是无法用人脑记忆的。口令也是一样，我们也无法记住具有充足比特数的口令。
 在PBE中，我们通过口令生成密钥（KEK），在用这个密钥来加密会话密钥（CEK）。由于通过口令生成的密钥（KEK）强度不如由伪随机数生成器生成的会话密钥（CEK），这就好像是将一个牢固的保险柜的钥匙放在了一个不怎么牢固的保险柜保管，因此在使用基于口令的密钥时，需要将盐和加密后的CEK通过物理方法进行保护。例如将盐和加密后的CEK保存到存储卡随身携带。

 在生成KEK时，通过多次使用单向散列函数就可以提高安全性。例如，将盐和口令输入单向散列函数，进行1000次的散列函数所得到的散列值作为KEK来使用，是一个不错的方法。
 像这样将单向散列函数进行多次迭代的方法称为 拉伸 （stretching）。

该系列的主要内容来自《图解密码技术第三版》
我只是知识的搬运工
文章中的插图来源于原着

E. 什么是古典密码

乘积和迭代：多种加密方法混合使用 对一个加密函数多次迭代 古典密码编码方法： 置换，代替，加法 把明文中的字母重新排列，字母本身不变，但其位置改变了，这样编成的密码称为置换密码。 最简单的置换密码是把明文中的字母顺序倒过来，然后截成固定长度的字母组作为密⑴单表代替密码
①、加法密码
A和B是有 n个字母的字母表。 定义一个由A到B的映射：f:A→B f(ai )= bi=aj j=i+k mod n 加法密码是用明文字母在字母表中后面第 k个字母来代替。 K=3 时是着名的凯撒密码。 恺撒密码——历史上第一个密码技术 “恺撒密码”是古罗马恺撒大帝在营救西塞罗战役时用来保护重要军情的加密系统（高卢战记）。
②、乘法密码
?A和B是有n个字母的字母表。?定义一个由A到B的映射：f:A→B f(ai )= bi= aj j=ik mod n 其中，(n,k)=1。?注意：只有(n,k)=1，才能正确解密。
③密钥词组代替密码
随机选一个词语，去掉其中的重复字母，写到矩阵的第一行，从明文字母表中去掉这第一行的字母，其余字母顺序写入矩阵。然后按列取出字母构成密文字母表
编辑本段⑵、多表代替密码
?单表代替密码的安全性不高，一个原因是一个明文字母只由一个密文字母代替。?构造多个密文字母表，?在密钥的控制下用相应密文字母表中的一个字母来代替明文字母表中的一个字母。一个明文字母有多种代替。? Vigenere密码：着名的多表代替密码
（3）、代数密码：
① Vernam密码
明文、密文、密钥都表示为二进制位： M=m1,m2,… ,mn K =k1,k2,… ,kn C =c1,c2,… ,cn
② 加密
c1= mi⊕ ki ,i=1,2,… ,n 解密 ： m1= ci⊕ ki ,i=1,2,… ,n
③
因为加解密算法是模2加，所以称为代数密码。
④对合运算
f=f-1，模 2加运算是对合运算。 密码算法是对和运算，则加密算法＝解密算法，工程实现工作量减半。
⑤ Vernam密码经不起已知明文攻击
。
⑥
如果密钥序列有重复，则Vernam密码是不安全的。
⑦一种极端情况
一次一密 ? 密钥是随机序列。 ? 密钥至少和明文一样长。 ? 一个密钥只用一次。
⑧
一次一密是绝对不可破译的，但它是不实用的。
⑨
一次一密给密码设计指出一个方向，人们用序列密码逼近一次一密。

F. 古典加密技术中最基本的两种算法是什么

替代算法和置换移位法。

1.替代算法
替代算法指的是明文的字母由其他字母或数字或符号所代替。最着名的替代算法是恺撒密码。凯撒密码的原理很简单，其实就是单字母替换。我们看一个简单的例子：

明文：abcdefghijklmnopq

密文：defghijklmnopqrst

若明文为student，对应的密文则为vwxghqw 。在这个一一对应的算法中，恺撒密码将字母表用了一种顺序替代的方法来进行加密，此时密钥为3，即每个字母顺序推后3个。由于英文字母为26个，因此恺撒密码仅有26个可能的密钥，非常不安全。

为了加强安全性，人们想出了更进一步的方法：替代时不是有规律的，而是随机生成一个对照表。

明文：abcdefghijklmnopqrstuvwxyz

密文：xnyahpogzqwbtsflrcvmuekjdI

此时，若明文为student,对应的密文则为 vmuahsm 。这种情况下，解密函数是上面这个替代对照表的一个逆置换。

不过，有更好的加密手段，就会有更好的解密手段。而且无论怎样的改变字母表中的字母顺序，密码都有可能被人破解。由于英文单词中各字母出现的频度是不一样的，通过对字母频度的统计就可以很容易的对替换密码进行破译。为了抗击字母频度分析，随后产生了以置换移位法为主要加密手段的加密方法。

2.置换移位法
使用置换移位法的最着名的一种密码称为维吉尼亚密码。它以置换移位为基础的周期替换密码。

前面介绍的替代算法中，针对所有的明文字母，密钥要么是一个唯一的数，要么则是完全无规律可寻的。在维吉尼亚密码中，加密密钥是一个可被任意指定的字符串。加密密钥字符依次逐个作用于明文信息字符。明文信息长度往往会大于密钥字符串长度，而明文的每一个字符都需要有一个对应的密钥字符，因此密钥就需要不断循环，直至明文每一个字符都对应一个密钥字符。对密钥字符，我们规定密钥字母a，b，c，d……y，z对应的数字n为：0，1，2，3……24，25。每个明文字符首先找到对应的密钥字符，然后根据英文字母表按照密钥字符对应的数字n向后顺序推后n个字母，即可得到明文字符对应的密文字符。

如果密钥字为deceptive , 明文为 wearediscoveredsaveyourself，则加密的过程为：

明文： wearediscoveredsaveyourself

密钥： deceptivedeceptivedeceptive

密文： zicvtwqngrzgvtwavzhcqyglmgj

对明文中的第一个字符w，对应的密钥字符为d，它对应需要向后推3个字母，w,x,y,z,因此其对应的密文字符为z。上面的加密过程中，可以清晰的看到，密钥deceptive被重复使用。

古典密码体制将数学的方法引入到密码分析和研究中。这为现代加密技术的形成和发展奠定了坚实的基础。

G. 古典密码安全算法有哪些

世界上最早的一种密码产生于公元前两世纪。是由一位希腊人提出的，人们称之为
棋盘密码，原因为该密码将26个字母放在5×5的方格里，i,j放在一个格子里，具体情
况如下表所示

1 2 3 4 5
1 a b c d e
2 f g h i,j k
3 l m n o p
4 q r s t u
5 v w x y z

这样，每个字母就对应了由两个数构成的字符αβ，α是该字母所在行的标号，β是列
标号。如c对应13，s对应43等。如果接收到密文为

43 15 13 45 42 15 32 15 43 43 11 22 15

则对应的明文即为secure message。

另一种具有代表性的密码是凯撒密码。它是将英文字母向前推移k位。如k=5，则密
文字母与明文与如下对应关系

a b c d e f g h i j k l m n o p q r s t u v w x y z
F G H I J K L M N O P Q R S T U V W X Y Z A B C D E

于是对应于明文secure message，可得密文为XJHZWJRJXXFLJ。此时，k就是密钥。为了
传送方便，可以将26个字母一一对应于从0到25的26个整数。如a对1，b对2，……，y对
25，z对0。这样凯撒加密变换实际就是一个同余式

c≡m+k mod 26

其中m是明文字母对应的数，c是与明文对应的密文的数。

随后，为了提高凯撒密码的安全性，人们对凯撒密码进行了改进。选取k,b作为两
个参数，其中要求k与26互素，明文与密文的对应规则为

c≡km+b mod 26

可以看出，k=1就是前面提到的凯撒密码。于是这种加密变换是凯撒野加密变换的
推广，并且其保密程度也比凯撒密码高。

以上介绍的密码体制都属于单表置换。意思是一个明文字母对应的密文字母是确定
的。根据这个特点，利用频率分析可以对这样的密码体制进行有效的攻击。方法是在大
量的书籍、报刊和文章中，统计各个字母出现的频率。例如，e出现的次数最多，其次
是t,a,o,I等等。破译者通过对密文中各字母出现频率的分析，结合自然语言的字母频
率特征，就可以将该密码体制破译。

鉴于单表置换密码体制具有这样的攻击弱点，人们自然就会想办法对其进行改进，
来弥补这个弱点，增加抗攻击能力。法国密码学家维吉尼亚于1586年提出一个种多表式
密码，即一个明文字母可以表示成多个密文字母。其原理是这样的：给出密钥
K=k[1]k[2]…k[n]，若明文为M=m[1]m[2]…m[n]，则对应的密文为C=c[1]c[2]…c[n]。
其中C[i]=(m[i]+k[i]) mod 26。例如，若明文M为data security，密钥k=best，将明
文分解为长为4的序列data security，对每4个字母，用k=best加密后得密文为

C=EELT TIUN SMLR

从中可以看出，当K为一个字母时，就是凯撒密码。而且容易看出，K越长，保密程
度就越高。显然这样的密码体制比单表置换密码体制具有更强的抗攻击能力，而且其加
密、解密均可用所谓的维吉尼亚方阵来进行，从而在操作上简单易行。该密码可用所谓
的维吉尼亚方阵来进行，从而在操作上简单易行。该密码曾被认为是三百年内破译不了
的密码，因而这种密码在今天仍被使用着。

古典密码的发展已有悠久的历史了。尽管这些密码大都比较简单，但它在今天仍有
其参考价值。

H. 古典加密算法有哪些 古典加密算法

世界上最早的一种密码产生于公元前两世纪。是由一位希腊人提出的，人们称之为
棋盘密码，原因为该密码将26个字母放在5×5的方格里，i,j放在一个格子里，具体情
况如下表所示
1 2 3 4 5
1 a b c 搜索d e
2 f g h i,j k
3 l m n o p
4 q r s t u
5 v w x y z
这样，每个字母就对应了由两个数构成的字符αβ，α是该字母所在行的标号，β是列
标号。如c对应13，s对应43等。如果接收到密文为
43 15 13 45 42 15 32 15 43 43 11 22 15
则对应的明文即为secure message。
另一种具有代表性的密码是凯撒密码。它是将英文字母向前推移k位。如k=5，则密
文字母与明文与如下对应关系
a b c d e f g h i j k l m n o p q r s t u v w x y z
F G H I J K L M N O P Q R S T U V W X Y Z A B C D E
于是对应于明文secure message，可得密文为XJHZWJRJXXFLJ。此时，k就是密钥。为了
传送方便，可以将26个字母一一对应于从0到25的26个整数。如a对1，b对2，……，y对
25，z对0。这样凯撒加密变换实际就是一个同余式
c≡m+k mod 26
其中m是明文字母对应的数，c是与明文对应的密文的数。
随后，为了提高凯撒密码的安全性，人们对凯撒密码进行了改进。选取k,b作为两
个参数，其中要求k与26互素，明文与密文的对应规则为
c≡km+b mod 26
可以看出，k=1就是前面提到的凯撒密码。于是这种加密变换是凯撒野加密变换的
推广，并且其保密程度也比凯撒密码高。
以上介绍的密码体制都属于单表置换。意思是一个明文字母对应的密文字母是确定
的。根据这个特点，利用频率分析可以对这样的密码体制进行有效的攻击。方法是在大
量的书籍、报刊和文章中，统计各个字母出现的频率。例如，e出现的次数最多，其次
是t,a,o,I等等。破译者通过对密文中各字母出现频率的分析，结合自然语言的字母频
率特征，就可以将该密码体制破译。
鉴于单表置换密码体制具有这样的攻击弱点，人们自然就会想办法对其进行改进，
来弥补这个弱点，增加抗攻击能力。法国密码学家维吉尼亚于1586年提出一个种多表式
密码，即一个明文字母可以表示成多个密文字母。其原理是这样的：给出密钥
K=k[1]k[2]…k[n]，若明文为M=m[1]m[2]…m[n]，则对应的密文为C=c[1]c[2]…c[n]。
其中C[i]=(m[i]+k[i]) mod 26。例如，若明文M为data security，密钥k=best，将明
文分解为长为4的序列data security，对每4个字母，用k=best加密后得密文为
C=EELT TIUN SMLR
从中可以看出，当K为一个字母时，就是凯撒密码。而且容易看出，K越长，保密程
度就越高。显然这样的密码体制比单表置换密码体制具有更强的抗攻击能力，而且其加
密、解密均可用所谓的维吉尼亚方阵来进行，从而在操作上简单易行。该密码可用所谓
的维吉尼亚方阵来进行，从而在操作上简单易行。该密码曾被认为是三百年内破译不了
的密码，因而这种密码在今天仍被使用着。
古典密码的发展已有悠久的历史了。尽管这些密码大都比较简单，但它在今天仍有
其参考价值。世界上最早的一种密码产生于公元前两世纪。是由一位希腊人提出的，人们称之为
棋盘密码，原因为该密码将26个字母放在5×5的方格里，i,j放在一个格子里，具体情
况如下表所示
1 2 3 4 5
1 a b c 搜索d e
2 f g h i,j k
3 l m n o p
4 q r s t u
5 v w x y z
这样，每个字母就对应了由两个数构成的字符αβ，α是该字母所在行的标号，β是列
标号。如c对应13，s对应43等。如果接收到密文为
43 15 13 45 42 15 32 15 43 43 11 22 15
则对应的明文即为secure message。
另一种具有代表性的密码是凯撒密码。它是将英文字母向前推移k位。如k=5，则密
文字母与明文与如下对应关系
a b c d e f g h i j k l m n o p q r s t u v w x y z
F G H I J K L M N O P Q R S T U V W X Y Z A B C D E
于是对应于明文secure message，可得密文为XJHZWJRJXXFLJ。此时，k就是密钥。为了
传送方便，可以将26个字母一一对应于从0到25的26个整数。如a对1，b对2，……，y对
25，z对0。这样凯撒加密变换实际就是一个同余式
c≡m+k mod 26
其中m是明文字母对应的数，c是与明文对应的密文的数。
随后，为了提高凯撒密码的安全性，人们对凯撒密码进行了改进。选取k,b作为两
个参数，其中要求k与26互素，明文与密文的对应规则为
c≡km+b mod 26
可以看出，k=1就是前面提到的凯撒密码。于是这种加密变换是凯撒野加密变换的
推广，并且其保密程度也比凯撒密码高。
以上介绍的密码体制都属于单表置换。意思是一个明文字母对应的密文字母是确定
的。根据这个特点，利用频率分析可以对这样的密码体制进行有效的攻击。方法是在大
量的书籍、报刊和文章中，统计各个字母出现的频率。例如，e出现的次数最多，其次
是t,a,o,I等等。破译者通过对密文中各字母出现频率的分析，结合自然语言的字母频
率特征，就可以将该密码体制破译。
鉴于单表置换密码体制具有这样的攻击弱点，人们自然就会想办法对其进行改进，
来弥补这个弱点，增加抗攻击能力。法国密码学家维吉尼亚于1586年提出一个种多表式
密码，即一个明文字母可以表示成多个密文字母。其原理是这样的：给出密钥
K=k[1]k[2]…k[n]，若明文为M=m[1]m[2]…m[n]，则对应的密文为C=c[1]c[2]…c[n]。
其中C[i]=(m[i]+k[i]) mod 26。例如，若明文M为data security，密钥k=best，将明
文分解为长为4的序列data security，对每4个字母，用k=best加密后得密文为
C=EELT TIUN SMLR
从中可以看出，当K为一个字母时，就是凯撒密码。而且容易看出，K越长，保密程
度就越高。显然这样的密码体制比单表置换密码体制具有更强的抗攻击能力，而且其加
密、解密均可用所谓的维吉尼亚方阵来进行，从而在操作上简单易行。该密码可用所谓
的维吉尼亚方阵来进行，从而在操作上简单易行。该密码曾被认为是三百年内破译不了
的密码，因而这种密码在今天仍被使用着。
古典密码的发展已有悠久的历史了。尽管这些密码大都比较简单，但它在今天仍有
其参考价值。

I. 关于棋盘密码(一种古典密码) 怎么解密,加密

棋盘密码的加密方法，其实方法十分简单，在密码学并不发达的古代，也够用了。棋盘密码的解题思路是这样

这种密码的原理是：通信双方各掌握一个m*n列的矩阵，比如A列第一行写上“我”，A列第2行写上“的”……以此类推，构成：

所以，“我的名字叫XXX”的密文即：A1A2A3A4B1B2。这样，一份密文就出来了。

使用这种密码表的加密也叫作 ADFGX 密码（密文中只有 A D F G X）

明文：HELLO 密文：DD XF AG AG DF

对于解密，对密文每两个字符一组，分别进行解密

由于密文仅包含5个字符，所以其密钥（也就是密码表）只有5！种可能

写脚本暴力攻击（brute-force）即可

棋盘密码的由来：

公元前2世纪前后希腊人提出了棋盘密码，在当时得到了广泛的运用。同时，它也是密码史上第一个密码。棋盘密码通过将26个字母设法变成十位数来达到加密的目的。棋盘密码的密钥是一个5×5的棋盘，将26个英文字母放置在里面。其中 i 和 j 共用一个密码。