对称加密元素
1、3DES算法
3DES（即Triple DES）是DES向AES过渡的加密算法（1999年，NIST将3-DES指定为过渡的加密标准），加密算法，其具体实现如下：设Ek()和Dk()代表DES算法的加密和解密过程，K代表DES算法使用的密钥，M代表明文，C代表密文，这样：
3DES加密过程为：C=Ek3(Dk2(Ek1(M)))
3DES解密过程为：M=Dk1(EK2(Dk3(C)))
2、Blowfish算法
BlowFish算法用来加密64Bit长度的字符串。
BlowFish算法使用两个“盒”——unsignedlongpbox[18]和unsignedlongsbox[4,256]。
BlowFish算法中，有一个核心加密函数:BF_En(后文详细介绍）。该函数输入64位信息，运算后，以64位密文的形式输出。用BlowFish算法加密信息，需要两个过程：密钥预处理和信息加密。
分别说明如下：
密钥预处理：
BlowFish算法的源密钥——pbox和sbox是固定的。我们要加密一个信息，需要自己选择一个key，用这个key对pbox和sbox进行变换，得到下一步信息加密所要用的key_pbox和key_sbox。具体的变化算法如下：
1)用sbox填充key_sbox
2)用自己选择的key8个一组地去异或pbox，用异或的结果填充key_pbox。key可以循环使用。
比如说：选的key是"abcdefghijklmn"。则异或过程为：
key_pbox[0]=pbox[0]abcdefgh；
key_pbox[1]=pbox[1]ijklmnab；
…………
…………
如此循环，直到key_pbox填充完毕。
3)用BF_En加密一个全0的64位信息，用输出的结果替换key_pbox[0]和key_pbox[1],i=0；
4)用BF_En加密替换后的key_pbox,key_pbox[i+1]，用输出替代key_pbox[i+2]和key_pbox[i+3]；
5)i+2，继续第4步，直到key_pbox全部被替换；
6)用key_pbox[16]和key_pbox[17]做首次输入（相当于上面的全0的输入），用类似的方法，替换key_sbox信息加密。
信息加密就是用函数把待加密信息x分成32位的两部分:xL,xRBF_En对输入信息进行变换。
3、RC5算法
RC5是种比较新的算法，Rivest设计了RC5的一种特殊的实现方式，因此RC5算法有一个面向字的结构：RC5-w/r/b，这里w是字长其值可以是16、32或64对于不同的字长明文和密文块的分组长度为2w位，r是加密轮数，b是密钥字节长度。
(1)对称加密元素扩展阅读：
普遍而言，有3个独立密钥的3DES（密钥选项1）的密钥长度为168位（三个56位的DES密钥），但由于中途相遇攻击，它的有效安全性仅为112位。密钥选项2将密钥长度缩短到了112位，但该选项对特定的选择明文攻击和已知明文攻击的强度较弱，因此NIST认定它只有80位的安全性。
对密钥选项1的已知最佳攻击需要约2组已知明文，2部，2次DES加密以及2位内存（该论文提到了时间和内存的其它分配方案）。
这在现在是不现实的，因此NIST认为密钥选项1可以使用到2030年。若攻击者试图在一些可能的（而不是全部的）密钥中找到正确的，有一种在内存效率上较高的攻击方法可以用每个密钥对应的少数选择明文和约2次加密操作找到2个目标密钥中的一个。
2. HTTPS 到底加密了些什么内容
https其实是有两部分组成：http + SSL / TLS，也就是在http上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会通过TLS进行加密，所以传输的数据都是加密后的数据。具体是如何进行加密，解密，验证的，且看下图。
1. 客户端发起https请求
客户端发起https请求就是指用户在浏览器里输入一个https网址，然后连接到server的443端口。
2. 服务器端的配置
采用https协议的服务器必须要有一套SSL数字证书，需要向CA组织(如WoSign沃通CA)申请。这套SSL证书其实就是一对公钥和私钥。如果对公钥和私钥不太理解，可以想象成一把钥匙和一个锁头，只是全世界只有你一个人有这把钥匙，你可以把锁头给别人，别人可以用这个锁把重要的东西锁起来，然后发给你，因为只有你一个人有这把钥匙，所以只有你才能看到被这把锁锁起来的东西。
3. 传送证书
这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，证书过期时间等等。
4. 客户端解析证书
这部分工作是有客户端的TLS来完成的，首先会验证公钥是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就生成一个随机值。然后用证书对该随机值进行加密。就好像上面说的，把随机值用锁头锁起来，这样除非有钥匙，不然看不到被锁住的内容。
5. 传送加密信息
这部分传送的是用SSL证书加密后的随机值，目的就是让服务端得到这个随机值，以后客户端和服务端的通信就可以通过这个随机值来进行加密解密了。
6. 服务段解密信息
服务端用私钥解密后，得到了客户端传过来的随机值(私钥)，然后把内容通过该值进行对称加密。所谓对称加密就是，将信息和私钥通过某种算法混合在一起，这样除非知道私钥，不然无法获取内容，而正好客户端和服务端都知道这个私钥，所以只要加密算法够彪悍，私钥够复杂，数据就够安全。
7. 传输加密后的信息
这部分信息是服务段用私钥加密后的信息，可以在客户端被还原。
8. 客户端解密信息
客户端用之前生成的私钥解密服务段传过来的信息，于是获取了解密后的内容。整个过程第三方即使监听到了数据，也束手无策。
3. 加密技术06-加密总结
对称密码是一种用相同的密钥进行加密和解密的技术，用于确保消息的机密性。在对称密码的算法方面，目前主要使用的是 AES。尽管对称密码能够确保消息的机密性，但需要解决将解密密钥配送给接受者的密钥配送问题。
主要算法
DES
数据加密标准（英语：Data Encryption Standard，缩写为 DES）是一种对称密钥加密块密码算法，1976年被美国联邦政府的国家标准局确定为联邦资料处理标准（FIPS），随后在国际上广泛流传开来。它基于使用56位密钥的对称算法。
DES现在已经不是一种安全的加密方法，主要因为它使用的56位密钥过短。
原理请参考： 加密技术01-对称加密-DES原理
3DES
三重数据加密算法（英语：Triple Data Encryption Algorithm，缩写为TDEA，Triple DEA），或称3DES（Triple DES），是一种对称密钥加密块密码，相当于是对每个数据块应用三次DES算法。由于计算机运算能力的增强，原版DES由于密钥长度过低容易被暴力破解；3DES即是设计用来提供一种相对简单的方法，即通过增加DES的密钥长度来避免类似的攻击，而不是设计一种全新的块密码算法。
注意：有3个独立密钥的3DES的密钥安全性为168位，但由于中途相遇攻击（知道明文和密文），它的有效安全性仅为112位。
3DES使用“密钥包”，其包含3个DES密钥，K1，K2和K3，均为56位（除去奇偶校验位）。
密文 = E k3 (D k2 (E k1 (明文)))
而解密则为其反过程：
明文 = D k3 (E k2 (D k1 (密文)))
AES
AES 全称 Advanced Encryption Standard（高级加密标准）。它的出现主要是为了取代 DES 加密算法的，因为 DES 算法的密钥长度是 56 位，因此算法的理论安全强度是 56 位。于是 1997 年 1 月 2 号，美国国家标准技术研究所宣布什望征集高级加密标准，用以取代 DES。AES 也得到了全世界很多密码工作者的响应，先后有很多人提交了自己设计的算法。最终有5个候选算法进入最后一轮：Rijndael，Serpent，Twofish，RC6 和 MARS。最终经过安全性分析、软硬件性能评估等严格的步骤，Rijndael 算法获胜。
AES 密码与分组密码 Rijndael 基本上完全一致，Rijndael 分组大小和密钥大小都可以为 128 位、192 位和 256 位。然而 AES 只要求分组大小为 128 位，因此只有分组长度为 128 位的 Rijndael 才称为 AES 算法。
本文 AES 默认是分组长度为 128 位的 Rijndael 算法
原理请参考： 加密技术02-对称加密-AES原理
算法对比
公钥密码是一种用不同的密钥进行加密和解密的技术，和对称密码一样用于确保消息的机密性。使用最广泛的一种公钥密码算法是 RAS。和对称密码相比，公钥密码的速度非常慢，因此一般都会和对称密码一起组成混合密码系统来使用。公钥密码能够解决对称密码中的密钥交换问题，但存在通过中间人攻击被伪装的风险，因此需要对带有数字签名的公钥进行认证。
公钥密码学的概念是为了解决对称密码学中最困难的两个问题而提出
应用场景
几个误解
主要算法
Diffie–Hellman 密钥交换
迪菲-赫尔曼密钥交换（英语：Diffie–Hellman key exchange，缩写为D-H） 是一种安全协议。它可以让双方在完全没有对方任何预先信息的条件下通过不安全信道创建起一个密钥。这个密钥可以在后续的通讯中作为对称密钥来加密通讯内容。公钥交换的概念最早由瑞夫·墨克（Ralph C. Merkle）提出，而这个密钥交换方法，由惠特菲尔德·迪菲（Bailey Whitfield Diffie）和马丁·赫尔曼（Martin Edward Hellman）在1976年发表，也是在公开文献中发布的第一个非对称方案。
Diffie–Hellman 算法的有效性是建立在计算离散对数很困难的基础上。简单地说，我们可如下定义离散对数。首先定义素数 p 的本原跟。素数 p 的本原根是一个整数，且其幂可以产生 1 到 p-1 之间所有整数，也就是说若 a 是素数 p 的本原根，则
a mod p, a 2 mod p,..., a p-1 mod p 各不相同，它是整数 1 到 p-1 的一个置换。
对任意整数 b 和素数 p 的本原跟 a，我们可以找到唯一的指数 i 使得
b ≡ a i (mod p) 其中 0 <= i <= p-1
其中 a, b, p 这些是公开的，i 是私有的，破解难度就是计算 i 的难度。
Elgamal
1985年，T.Elgamal 提出了一种基于离散对数的公开密钥体制，一种与 Diffie-Hellman 密钥分配体制密切相关。Elgamal 密码体系应用于一些技术标准中，如数字签名标准(DSS) 和 S/MIME 电子邮件标准。
基本原理就是利用 Diffie–Hellman 进行密钥交换，假设交换的密钥为 K，然后用 K 对要发送的消息 M，进行加密处理。
所以 Elgamal 的安全系数取决于 Diffie–Hellman 密钥交换。
另外 Elgamal 加密后消息发送的长度会增加一倍。
RSA
MIT 的罗纳德·李维斯特（Ron Rivest）、阿迪·萨莫尔（Adi Shamir）和伦纳德·阿德曼（Leonard Adleman）在 1977 年提出并于 1978 年首次发表的算法。RSA 是最早满足要求的公钥算法之一，自诞生日起就成为被广泛接受且被实现的通用的公钥加密方法。
RSA 算法的有效性主要依据是大数因式分解是很困难的。
原理请参考： 加密技术03-非对称加密-RSA原理
ECC
大多数使用公钥密码学进行加密和数字签名的产品和标准都使用 RSA 算法。我们知道，为了保证 RSA 使用的安全性，最近这些年来密钥的位数一直在增加，这对使用 RSA 的应用是很重的负担，对进行大量安全交易的电子商务更是如此。近来，出现的一种具有强大竞争力的椭圆曲线密码学（ECC）对 RSA 提出了挑战。在标准化过程中，如关于公钥密码学的 IEEE P1363 标准中，人们也已考虑了 ECC。
与 RSA 相比，ECC 的主要诱人之处在于，它可以使用比 RSA 短得多的密钥得到相同安全性，因此可以减少处理负荷。
ECC 比 RSA 或 Diffie-Hellman 原理复杂很多，本文就不多阐述了。
算法对比
公钥密码体制的应用
密码分析所需计算量（ NIST SP-800-57 ）
注：L=公钥的大小，N=私钥的大小
散列函数是一种将长消息转换为短散列值的技术，用于确保消息的完整性。在散列算法方面，SHA-1 曾被广泛使用，但由于人们已经发现了一些针对该算法理论上可行的攻击方式，因此该算法不应再被用于新的用途。今后我们应该主要使用的算法包括目前已经在广泛使用的 SHA-2，以及具有全新结构的 SHA-3 算法。散列函数可以单独使用，也可以作为消息认证、数字签名以及伪随机数生成器等技术的组成元素来使用。
主要应用
主要算法
MD5
MD5消息摘要算法（英语：MD5 Message-Digest Algorithm），一种被广泛使用的密码散列函数，可以产生出一个 128 位（ 16 字节，被表示为 32 位十六进制数字）的散列值（hash value），用于确保信息传输完整一致。MD5 由美国密码学家罗纳德·李维斯特（Ronald Linn Rivest）设计，于 1992 年公开，用以取代 MD4 算法。这套算法的程序在 RFC 1321 中被加以规范。
2009年，中国科学院的谢涛和冯登国仅用了 2 20.96 的碰撞算法复杂度，破解了MD5的碰撞抵抗，该攻击在普通计算机上运行只需要数秒钟。2011年，RFC 6151 禁止MD5用作密钥散列消息认证码。
原理请参考： 加密技术04-哈希算法-MD5原理
SHA-1
SHA-1（英语：Secure Hash Algorithm 1，中文名：安全散列算法1）是一种密码散列函数，美国国家安全局设计，并由美国国家标准技术研究所（NIST）发布为联邦资料处理标准（FIPS）。SHA-1可以生成一个被称为消息摘要的160位（20字节）散列值，散列值通常的呈现形式为40个十六进制数。
2005年，密码分析人员发现了对SHA-1的有效攻击方法，这表明该算法可能不够安全，不能继续使用，自2010年以来，许多组织建议用SHA-2或SHA-3来替换SHA-1。Microsoft、Google以及Mozilla都宣布，它们旗下的浏览器将在2017年停止接受使用SHA-1算法签名的SSL证书。
2017年2月23日，CWI Amsterdam与Google宣布了一个成功的SHA-1碰撞攻击，发布了两份内容不同但SHA-1散列值相同的PDF文件作为概念证明。
2020年，针对SHA-1的选择前缀冲突攻击已经实际可行。建议尽可能用SHA-2或SHA-3取代SHA-1。
原理请参考： 加密技术05-哈希算法-SHA系列原理
SHA-2
SHA-2，名称来自于安全散列算法2（英语：Secure Hash Algorithm 2）的缩写，一种密码散列函数算法标准，由美国国家安全局研发，由美国国家标准与技术研究院（NIST）在2001年发布。属于SHA算法之一，是SHA-1的后继者。其下又可再分为六个不同的算法标准，包括了：SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224、SHA-512/256。
SHA-2 系列的算法主要思路和 SHA-1 基本一致
原理请参考： 加密技术05-哈希算法-SHA系列原理
SHA-3
SHA-3 第三代安全散列算法(Secure Hash Algorithm 3)，之前名为 Keccak 算法。
Keccak 是一个加密散列算法，由 Guido Bertoni，Joan Daemen，Michaël Peeters，以及 Gilles Van Assche 在 RadioGatún 上设计。
2012年10月2日，Keccak 被选为 NIST 散列函数竞赛的胜利者。SHA-2 目前没有出现明显的弱点。由于对 MD5、SHA-0 和 SHA-1 出现成功的破解，NIST 感觉需要一个与之前算法不同的，可替换的加密散列算法，也就是现在的 SHA-3。
SHA-3 在2015年8月5日由 NIST 通过 FIPS 202 正式发表。
原理请参考： 加密技术05-哈希算法-SHA系列原理
算法对比
4. 数据加密主要涉及三要素
数据加密主要涉及三要素：明文、密钥、密文。
非对称加密：
在加解密的时候，使用的是不同的密钥：一个是公钥，一个是私钥
密钥的使用：
公钥加密，私钥解密
私钥解密，公钥加密
密钥的特点：
公钥：公共的密钥，可以发给任何人
私钥：只有生成密钥的一端可以持有，其他人不能知晓，所以需要保管好私钥
加密速度慢，加密效率低（相对于对称加密）
适合加密少量的数据
加密等级较高（相对于对称加密）
非对称加密的密钥分发指的是公钥的分发，私钥需要保存好
5. 谁帮我介绍下加密对称算法
A．对称加密技术 a. 描述 对称算法（symmetric algorithm），有时又叫传统密码算法，就是加密密钥能够从解密密钥中推算出来，同时解密密钥也可以从加密密钥中推算出来。而在大多数的对称算法中，加密密钥和解密密钥是相同的。所以也称这种加密算法为秘密密钥算法或单密钥算法。它要求发送方和接收方在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性对通信性至关重要。 b．特点分析 对称加密的优点在于算法实现后的效率高、速度快。 对称加密的缺点在于密钥的管理过于复杂。如果任何一对发送方和接收方都有他们各自商议的密钥的话，那么很明显，假设有N个用户进行对称加密通信，如果按照上述方法，则他们要产生N(N-1)把密钥，每一个用户要记住或保留N-1把密钥，当N很大时，记住是不可能的，而保留起来又会引起密钥泄漏可能性的增加。常用的对称加密算法有DES，DEA等。 B．非对称加密技术 a.描述 非对称加密（dissymmetrical encryption），有时又叫公开密钥算法（public key algorithm）。这种加密算法是这样设计的：用作加密的密钥不同于用作解密的密钥，而且解密密钥不能根据加密密钥计算出来（至少在合理假定的长时间内）。之所以又叫做公开密钥算法是由于加密密钥可以公开，即陌生人可以得到它并用来加密信息，但只有用相应的解密密钥才能解密信息。在这种加密算法中，加密密钥被叫做公开密钥（public key）,而解密密钥被叫做私有密钥（private key）。 b.特点分析 非对称加密的缺点在于算法实现后的效率低、速度慢。 非对称加密的优点在于用户不必记忆大量的提前商定好的密钥，因为发送方和接收方事先根本不必商定密钥，发放方只要可以得到可靠的接收方的公开密钥就可以给他发送信息了，而且即使双方根本互不相识。但为了保证可靠性，非对称加密算法需要一种与之相配合使用的公开密钥管理机制，这种公开密钥管理机制还要解决其他一些公开密钥所带来的问题。常用的非对称加密算法有RSA等。 (3) 关于密码技术 密码技术包括加密技术和密码分析技术，也即加密和解密技术两个方面。在一个新的加密算法的研发需要有相应的数学理论证明，证明这个算法的安全性有多高，同时还要从密码分析的角度对这个算法进行安全证明，说明这个算法对于所知的分析方法来说是有防范作用的。 三、对称加密算法分析 对称加密算法的分类 对称加密算法可以分成两类：一类为序列算法（stream algorithm）：一次只对明文中单个位（有时为字节）加密或解密运算。另一类为分组算法（block algorithm）：一次明文的一组固定长度的字节加密或解密运算。 现代计算机密码算法一般采用的都是分组算法，而且一般分组的长度为64位，之所以如此是由于这个长度大到足以防止分析破译，但又小到足以方便使用。 1．DES加密算法 （Data Encryption Standard ）
(1) 算法简介
1973 年 5 月 15 日，美国国家标准局 (NBS) 在“联邦注册”上发布了一条通知，征求密码算法，用于在传输和存储期间保护数据。IBM 提交了一个候选算法，它是 IBM 内部开发的，名为 LUCIFER。在美国国家安全局 (NSA) 的“指导”下完成了算法评估之后，在 1977 年 7 月 15 日，NBS 采纳了 LUCIFER 算法的修正版作为新的数据加密标准。
原先规定使用10年，但由于新的加密标准还没有完成，所以DES算法及其的变形算法一直广泛的应用于信息加密方面。 (2) 算法描述 (包括加密和解密)
Feistel结构（画图说明）。
DES 的工作方式：可怕的细节
DES 将消息分成 64 位（即 16 个十六进制数）一组进行加密。DES 使用“密钥”进行加密，从符号的角度来看，“密钥”的长度是 16 个十六进制数（或 64 位）。但是，由于某些原因（可能是因为 NSA 给 NBS 的“指引”），DES 算法中每逢第 8 位就被忽略。这造成密钥的实际大小变成 56 位。编码系统对“强行”或“野蛮”攻击的抵抗力与其密钥空间或者系统可能有多少密钥有直接关系。使用的位数越多转换出的密钥也越多。密钥越多，就意味着强行攻击中计算密钥空间中可能的密钥范围所需的时间就越长。从总长度中切除 8 位就会在很大程度上限制了密钥空间，这样系统就更容易受到破坏。
DES 是块加密算法。这表示它处理特定大小的纯文本块（通常是 64 位），然后返回相同大小的密码块。这样，64 位（每位不是 0 就是 1）有 264 种可能排列，DES 将生成其中的一种排列。每个 64 位的块都被分成 L、R 左右两块，每块 32 位。
DES 算法使用以下步骤：
1. 创建 16 个子密钥，每个长度是 48 位。根据指定的顺序或“表”置换 64 位的密钥。如果表中的第一项是 "27"，这表示原始密钥 K 中的第 27 位将变成置换后的密钥 K+ 的第一位。如果表的第二项是 36，则这表示原始密钥中的第 36 位将变成置换后密钥的第二位，以此类推。这是一个线性替换方法，它创建了一种线性排列。置换后的密钥中只出现了原始密钥中的 56 位。
2. 接着，将这个密钥分成左右两半，C0 和 D0，每一半 28 位。定义了 C0 和 D0 之后，创建 16 个 Cn 和 Dn 块，其中 1<=n<=16。每一对 Cn 和 Dn 块都通过使用标识“左移位”的表分别从前一对 Cn-1 和 Dn-1 形成，n = 1, 2, ..., 16，而“左移位”表说明了要对哪一位进行操作。在所有情况下，单一左移位表示这些位轮流向左移动一个位置。在一次左移位之后，28 个位置中的这些位分别是以前的第 2、3……28 位。
通过将另一个置换表应用于每一个 CnDn 连接对，从而形成密钥 Kn，1<=n<=16。每一对有 56 位，而置换表只使用其中的 48 位，因为每逢第 8 位都将被忽略。
3. 编码每个 64 位的数据块。
64 位的消息数据 M 有一个初始置换 IP。这将根据置换表重新排列这些位，置换表中的项按这些位的初始顺序描述了它们新的排列。我们以前见过这种线性表结构。
使用函数 f 来生成一个 32 位的块，函数 f 对两个块进行操作，一个是 32 位的数据块，一个是 48 位的密钥 Kn，连续迭代 16 次，其中 1<=n<=16。用 + 表示 XOR 加法（逐位相加，模除 2）。然后，n 从 1 到 16，计算 Ln = Rn-1 Rn = Ln-1 + f(Rn-1,Kn)。即在每次迭代中，我们用前一结果的右边 32 位，并使它们成为当前步骤中的左边 32 位。对于当前步骤中的右边 32 位，我们用算法 f XOR 前一步骤中的左边 32 位。
要计算 f，首先将每一块 Rn-1 从 32 位扩展到 48 位。可以使用选择表来重复 Rn-1 中的一些位来完成这一操作。这个选择表的使用就成了函数 f。因此 f(Rn-1) 的输入块是 32 位，输出块是 48 位。f 的输出是 48 位，写成 8 块，每块 6 位，这是通过根据已知表按顺序选择输入中的位来实现的。
我们已经使用选择表将 Rn-1 从 32 位扩展成 48 位，并将结果 XOR 密钥 Kn。现在有 48 位，或者是 8 组，每组 6 位。每组中的 6 位现在将经历一次变换，该变换是算法的核心部分：在叫做“S 盒”的表中，我们将这些位当作地址使用。每组 6 位在不同的 S 盒中表示不同的地址。该地址中是一个 4 位数字，它将替换原来的 6 位。最终结果是 8 组，每组 6 位变换成 8 组，每组 4 位（S 盒的 4 位输出），总共 32 位。
f 计算的最后阶段是对 S 盒输出执行置换 P，以得到 f 的最终值。f 的形式是 f = P(S1(B1)S2(B2)...S8(B8))。置换 P 根据 32 位输入，在以上的过程中通过置换输入块中的位，生成 32 位输出。
解密只是加密的逆过程，使用以上相同的步骤，但要逆转应用子密钥的顺序。DES 算法是可逆的
(2) 算法的安全性分析
在知道一些明文和密文分组的条件下，从理论上讲很容易知道对DES进行一次穷举攻击的复杂程度：密钥的长度是56位，所以会有 种的可能的密钥。
在1993年的一年一度的世界密码大会上，加拿大北方电信公司贝尔实验室的 Michael Wiener 描述了如何构造一台专用的机器破译DES，该机器利用一种每秒能搜索5000万个密钥的专用芯片。而且此机器的扩展性很好，投入的经费越多则效率越高。用100万美元构造的机器平均3.5小时就可以破译密码。
如果不用专用的机器，破译DES也有其他的方法。在1994年的世界密码大会上，M.Matsui 提出一种攻克DES的新方法--"线性密码分析"法。它可使用平均 个明文及其密文，在12台HP9000/735工作站上用此方法的软件实现，花费50天时间完成对DES的攻击。
如前所述DES作为加密算法的标准已经二十多年了，可以说是一个很老的算法，而在新的加密算法的国际标准出现之前，许多DES的加固性改进算法仍有实用价值，在本文的3.4节详细的描述，同时考虑的以上所述DES的安全性已受到了威胁。
(4) 算法的变体 三重DES（TDEA），使用3个密钥，执行3次DES算法：
加密：C = Ek3[Dk2[Ek1[P]]] 解密：P = Dk1[Ek2[Dk3[C]]]
特点：安全性得到增强，但是速度变慢。
2.AES
自 20 世纪 70 年代以来一直广泛使用的“数据加密标准”(DES) 日益显出衰老的痕迹，而一种新的算法 -- Rijndael -- 正顺利地逐渐变成新标准。这里，Larry Loeb 详细说明了每一种算法，并提供了关于为什么会发生这种变化的内幕信息。
DES 算法是全世界最广泛使用的加密算法。最近，就在 2000 年 10 月，它在其初期就取得的硬件方面的优势已经阻碍了其发展，作为政府加密技术的基础，它已由“高级加密标准”(AES) 中包含的另一种加密算法代替了。AES 是指定的标准密码系统，未来将由政府和银行业用户使用。AES 用来实际编码数据的加密算法与以前的 DES 标准不同。我们将讨论这是如何发生的，以及 AES 中的 Rijndael 算法是如何取代 DES 的算法的。
“高级加密标准”成就
但直到 1997 年，美国国家标准技术局 (NIST) 才开始打着 AES 项目的旗帜征集其接任者。1997 年 4 月的一个 AES 研讨会宣布了以下 AES 成就的最初目标：
• 可供政府和商业使用的功能强大的加密算法
• 支持标准密码本方式
• 要明显比 DES 3 有效
• 密钥大小可变，这样就可在必要时增加安全性
• 以公正和公开的方式进行选择
• 可以公开定义
• 可以公开评估
AES 的草案中最低可接受要求和评估标准是：
A.1 AES 应该可以公开定义。
A.2 AES 应该是对称的块密码。
A.3 AES 应该设计成密钥长度可以根据需要增加。
A.4 AES 应该可以在硬件和软件中实现。
A.5 AES 应该 a) 可免费获得。
A.6 将根据以下要素评价符合上述要求的算法：
1. 安全性（密码分析所需的努力）
2. 计算效率
3. 内存需求
4. 硬件和软件可适用性
5. 简易性
6. 灵活性
7. 许可证需求（见上面的 A5）
Rijndael：AES 算法获胜者
1998年8月20日NIST召开了第一次AES侯选会议，并公布了15个AES侯选算法。经过一年的考察，MARS，RC6，Rijndael，Serpent，Twofish共5种算法通过了第二轮的选拔。2000 年 10 月，NIST 选择 Rijndael（发音为 "Rhine dale"）作为 AES 算法。它目前还不会代替 DES 3 成为政府日常加密的方法，因为它还须通过测试过程，“使用者”将在该测试过程后发表他们的看法。但相信它可以顺利过关。
Rijndael 是带有可变块长和可变密钥长度的迭代块密码。块长和密钥长度可以分别指定成 128、192 或 256 位。
Rijndael 中的某些操作是在字节级上定义的，字节表示有限字段 GF(28) 中的元素，一个字节中有 8 位。其它操作都根据 4 字节字定义。
加法照例对应于字节级的简单逐位 EXOR。
在多项式表示中，GF(28) 的乘法对应于多项式乘法模除阶数为 8 的不可约分二进制多项式。（如果一个多项式除了 1 和它本身之外没有其它约数，则称它为不可约分的。）对于 Rijndael，这个多项式叫做 m(x)，其中：m(x) = (x8 + x4 + x3 + x + 1) 或者十六进制表示为 '11B'。其结果是一个阶数低于 8 的二进制多项式。不像加法，它没有字节级的简单操作。
不使用 Feistel 结构！
在大多数加密算法中，轮回变换都使用着名的 Feistel 结构。在这个结构中，中间 State 的位部分通常不做更改调换到另一个位置。（这种线性结构的示例是我们在 DES 部分中讨论的那些表，即使用固定表的形式交换位。）Rijndael 的轮回变换不使用这个古老的 Feistel 结构。轮回变换由三个不同的可逆一致变换组成，叫做层。（“一致”在这里表示以类似方法处理 State 中的位。）
线性混合层保证了在多个轮回后的高度扩散。非线性层使用 S 盒的并行应用，该应用程序有期望的（因此是最佳的）最差非线性特性。S 盒是非线性的。依我看来，这就 DES 和 Rijndael 之间的密钥概念差异。密钥加法层是对中间 State 的轮回密钥 (Round Key) 的简单 EXOR，如以下所注。
Rijndael算法
加密算法
Rijndael算法是一个由可变数据块长和可变密钥长的迭代分组加密算法，数据块长和密钥长可分别为128，192或256比特。
数据块要经过多次数据变换操作，每一次变换操作产生一个中间结果，这个中间结果叫做状态。状态可表示为二维字节数组，它有4行，Nb列，且Nb等于数据块长除32。如表2-3所示。
a0,0 a0,1 a0,2 a0,3 a0,4 a0,5
a1,0 a1,1 a1,2 a1,3 a1,4 a1,5
a2,0 a2,1 a2,2 a2,3 a2,4 a2,5
a3,0 a3,1 a3,2 a3,3 a3,4 a3,5
数据块按a0,0 , a1,0 , a2,0 , a3,0 , a0,1 , a1,1 , a2,1 , a3,1 , a0,2…的顺序映射为状态中的字节。在加密操作结束时，密文按同样的顺序从状态中抽取。
密钥也可类似地表示为二维字节数组，它有4行，Nk列，且Nk等于密钥块长除32。算法变换的圈数Nr由Nb和Nk共同决定，具体值列在表2-4中。
表3-2 Nb和Nk决定的Nr的值
Nr Nb = 4 Nb = 6 Nb = 8
Nk = 4 10 12 14
Nk = 6 12 12 14
Nk = 8 14 14 14
3.2.1圈变换
加密算法的圈变换由4个不同的变换组成，定义成：
Round(State,RoundKey)
{
ByteSub(State);
ShiftRow(State);
MixColumn(State);
AddRoundKey(State,RoundKey); (EXORing a Round Key to the State)
}
加密算法的最后一圈变换与上面的略有不同，定义如下：
FinalRound(State,RoundKey)
{
ByteSub(State);
ShiftRow(State);
AddRoundKey(State,RoundKey);
}
ByteSub变换
ByteSub变换是作用在状态中每个字节上的一种非线形字节变换。这个S盒子是可逆的且由以下两部分组成：
把字节的值用它的乘法逆替代，其中‘00’的逆就是它自己。
经（1）处理后的字节值进行如下定义的仿射变换：
y0 1 1 1 1 1 0 0 0 x0 0
y1 0 1 1 1 1 1 0 0 x1 1
y2 0 0 1 1 1 1 1 0 x2 1
y3 0 0 0 1 1 1 1 1 x3 0
y4 = 1 0 0 0 1 1 1 1 x4 + 0
y5 1 1 0 0 0 1 1 1 x5 0
y6 1 1 1 0 0 0 1 1 x6 1
y7 1 1 1 1 0 0 0 1 x7 1
ShiftRow变换
在ShiftRow变换中，状态的后3行以不同的移位值循环右移，行1移C1字节，行2移C2字节，行3移C3字节。
移位值C1，C2和C3与加密块长Nb有关，具体列在表2-5中：
表3-3 不同块长的移位值
Nb C1 C2 C3
4 1 2 3
MixColumn变换
在MixColumn变换中，把状态中的每一列看作GF（28）上的多项式与一固定多项式c(x)相乘然后模多项式x4+1，其中c(x)为：
c(x) =‘03’x3 + ‘01’x2 + ‘01’x + ‘02’
圈密钥加法
在这个操作中，圈密钥被简单地使用异或操作按位应用到状态中。圈密钥通过密钥编制得到，圈密钥长等于数据块长Nb。
在这个表示法中，“函数”(Round, ByteSub, ShiftRow,...) 对那些被提供指针 (State, RoundKey) 的数组进行操作。ByteSub 变换是非线性字节交换，各自作用于每个 State 字节上。在 ShiftRow 中，State 的行按不同的偏移量循环移位。在 MixColumn 中，将 State 的列视为 GF(28) 多项式，然后乘以固定多项式 c( x ) 并模除 x4 + 1，其中 c( x ) = '03' x3 + '01' x2+ '01' x + '02'。这个多项式与 x4 + 1 互质，因此是可逆的。
轮回密钥通过密钥计划方式从密码密钥 (Cipher Key) 派生而出。它有两个组件：密钥扩展 (Key Expansion) 和轮回密钥选择 (Round Key Selection)。轮回密钥的总位数等于块长度乘以轮回次数加 1（例如，块长度等于 128 位，10 次轮回，那么就需要 1408 个轮回密钥位）。
密码密钥扩充成扩展密钥 (Expanded Key)。轮回密钥是通过以下方法从这个扩展密钥中派生的：第一个轮回密钥由前 Nb（Nb = 块长度）个字组成，第二个由接着的 Nb 个字组成，以此类推。
加密算法由以下部分组成：初始轮回密钥加法、Nr-1 个轮回和最后一个轮回。在伪 C 代码中：
Rijndael(State,CipherKey)
{
KeyExpansion(CipherKey,ExpandedKey);
AddRoundKey(State,ExpandedKey);
For( i=1 ; i<Nr ; i++ ) Round(State,ExpandedKey + Nb*i);
FinalRound(State,ExpandedKey + Nb*Nr).
}
如果已经预先执行了密钥扩展，则可以根据扩展密钥指定加密算法。
Rijndael(State,ExpandedKey)
{
AddRoundKey(State,ExpandedKey);
For( i=1 ; i<Nr ; i++ ) Round(State,ExpandedKey + Nb*i);
FinalRound(State,ExpandedKey + Nb*Nr);
}
由于 Rijndael 是可逆的，解密过程只是颠倒上述的步骤。
最后，开发者将仔细考虑如何集成这种安全性进展，使之成为继 Rijndael 之后又一个得到广泛使用的加密算法。AES 将很快应一般商业团体的要求取代 DES 成为标准，而该领域的发展进步无疑将追随其后。
3．IDEA加密算法 (1) 算法简介 IDEA算法是International Data Encryption Algorithmic 的缩写，意为国际数据加密算法。是由中国学者朱学嘉博士和着名密码学家James Massey 于1990年联合提出的，当时被叫作PES（Proposed Encryption Standard）算法，后为了加强抵抗差分密码分，经修改于1992年最后完成，并命名为IDEA算法。 (2) 算法描述 这个部分参见论文上的图 (3) 算法的安全性分析 安全性：IDEA的密钥长度是128位，比DES长了2倍多。所以如果用穷举强行攻击的话， 么，为了获得密钥需要 次搜索，如果可以设计一种每秒能搜索十亿把密钥的芯片，并且 采用十亿个芯片来并行处理的话，也要用上 年。而对于其他攻击方式来说，由于此算法 比较的新，在设计时已经考虑到了如差分攻击等密码分析的威胁，所以还未有关于有谁 发现了能比较成功的攻击IDEA方法的结果。从这点来看，IDEA还是很安全的。
4．总结
几种算法的性能对比
算法 密钥长度 分组长度 循环次数
DES 56 64 16
三重DES 112、168 64 48
AES 128、192、256 128 10、12、14
IDEA 128 64 8
速度：在200MHz的奔腾机上的对比。
C＋＋ DJGP(++pgcc101)
AES 30.2Mbps 68.275Mbps
DES(RSAREF) 10.6Mbps 16.7Mbps
3DES 4.4Mbps 7.3Mbps
Celeron 1GHz的机器上AES的速度,加密内存中的数据
128bits密钥：
C/C++ (Mbps) 汇编(Mbps)
Linux 2.4.7 93 170
Windows2K 107 154
256bits密钥：
C/C++ (Mbps) 汇编(Mbps)
Linux 2.4.7 76 148
Windows2K 92 135
安全性
1990年以来，特制的"DES Cracker"的机器可在几个小时内找出一个DES密钥。换句话说，通过测试所有可能的密钥值，此硬件可以确定用于加密信息的是哪个密钥。假设一台一秒内可找出DES密钥的机器(如，每秒试255个密钥)，如果用它来找出128-bit AES的密钥，大约需要149万亿年。
四、对称加密应用 在保密通信中的应用。（保密电话） 附加内容
安全哈希算法（SHA）
由NIST开发出来的。
此算法以最大长度不超过264位的消息为输入，生成160位的消息摘要输出。主要步骤：
1． 附加填充位
2． 附加长度
3． 初始化MD缓冲区，为160位的数据
A=67452301
B=EFCDAB89
C=89BADCFE
D=10325476
E=C3D2E1F0
4． 处理512位消息块，将缓冲虚数据和消息块共同计算出下一个输出
5． 输出160位摘要
此外还有其他哈希算法，如MD5（128位摘要），RIPEMD-160（160位摘要）等。
6. 加密基础知识二 非对称加密RSA算法和对称加密
上述过程中，出现了公钥(3233,17)和私钥(3233,2753)，这两组数字是怎么找出来的呢？参考 RSA算法原理（二）
首字母缩写说明：E是加密（Encryption）D是解密（Decryption）N是数字（Number）。
1.随机选择两个不相等的质数p和q。
alice选择了61和53。（实际应用中，这两个质数越大，就越难破解。）
2.计算p和q的乘积n。
n = 61×53 = 3233
n的长度就是密钥长度。3233写成二进制是110010100001，一共有12位，所以这个密钥就是12位。实际应用中，RSA密钥一般是1024位，重要场合则为2048位。
3.计算n的欧拉函数φ(n)。称作L
根据公式φ(n) = (p-1)(q-1)
alice算出φ(3233)等于60×52，即3120。
4.随机选择一个整数e，也就是公钥当中用来加密的那个数字
条件是1< e < φ(n)，且e与φ(n) 互质。
alice就在1到3120之间，随机选择了17。（实际应用中，常常选择65537。）
5.计算e对于φ(n)的模反元素d。也就是密钥当中用来解密的那个数字
所谓"模反元素"就是指有一个整数d，可以使得ed被φ(n)除的余数为1。ed ≡ 1 (mod φ(n))
alice找到了2753，即17*2753 mode 3120 = 1
6.将n和e封装成公钥，n和d封装成私钥。
在alice的例子中，n=3233，e=17，d=2753，所以公钥就是 (3233,17)，私钥就是（3233, 2753）。
上述故事中，blob为了偷偷地传输移动位数6，使用了公钥做加密，即6^17 mode 3233 = 824。alice收到824之后，进行解密，即824^2753 mod 3233 = 6。也就是说，alice成功收到了blob使用的移动位数。
再来复习一下整个流程：
p=17,q=19
n = 17 19 = 323
L = 16 18 = 144
E = 5(E需要满足以下两个条件：1<E<144,E和144互质)
D = 29(D要满足两个条件，1<D<144,D mode 144 = 1)
假设某个需要传递123，则加密后：123^5 mode 323 = 225
接收者收到225后，进行解密，225^ 29 mode 323 = 123
回顾上面的密钥生成步骤，一共出现六个数字：
p
q
n
L即φ(n)
e
d
这六个数字之中，公钥用到了两个（n和e），其余四个数字都是不公开的。其中最关键的是d，因为n和d组成了私钥，一旦d泄漏，就等于私钥泄漏。那么，有无可能在已知n和e的情况下，推导出d？
（1）ed≡1 (mod φ(n))。只有知道e和φ(n)，才能算出d。
（2）φ(n)=(p-1)(q-1)。只有知道p和q，才能算出φ(n)。
（3）n=pq。只有将n因数分解，才能算出p和q。
结论：如果n可以被因数分解，d就可以算出，也就意味着私钥被破解。
可是，大整数的因数分解，是一件非常困难的事情。目前，除了暴力破解，还没有发现别的有效方法。维基网络这样写道："对极大整数做因数分解的难度决定了RSA算法的可靠性。换言之，对一极大整数做因数分解愈困难，RSA算法愈可靠。假如有人找到一种快速因数分解的算法，那么RSA的可靠性就会极度下降。但找到这样的算法的可能性是非常小的。今天只有短的RSA密钥才可能被暴力破解。到2008年为止，世界上还没有任何可靠的攻击RSA算法的方式。只要密钥长度足够长，用RSA加密的信息实际上是不能被解破的。"
然而，虽然RSA的安全性依赖于大数的因子分解，但并没有从理论上证明破译RSA的难度与大数分解难度等价。即RSA的重大缺陷是无法从理论上把握它的保密性能如何。此外，RSA的缺点还有：
A)产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。
B)分组长度太大，为保证安全性，n 至少也要 600bits以上，使运算代价很高，尤其是速度较慢，较对称密码算法慢几个数量级；且随着大数分解技术的发展，这个长度还在增加，不利于数据格式的标准化。因此， 使用RSA只能加密少量数据，大量的数据加密还要靠对称密码算法 。
加密和解密是自古就有技术了。经常看到侦探电影的桥段，勇敢又机智的主角，拿着一长串毫无意义的数字苦恼，忽然灵光一闪，翻出一本厚书，将第一个数字对应页码数，第二个数字对应行数，第三个数字对应那一行的某个词。数字变成了一串非常有意义的话：
Eat the beancurd with the peanut. Taste like the ham.
这种加密方法是将原来的某种信息按照某个规律打乱。某种打乱的方式就叫做密钥(cipher code)。发出信息的人根据密钥来给信息加密，而接收信息的人利用相同的密钥，来给信息解密。 就好像一个带锁的盒子。发送信息的人将信息放到盒子里，用钥匙锁上。而接受信息的人则用相同的钥匙打开。加密和解密用的是同一个密钥，这种加密称为对称加密（symmetric encryption）。
如果一对一的话，那么两人需要交换一个密钥。一对多的话，比如总部和多个特工的通信，依然可以使用同一套密钥。 但这种情况下，对手偷到一个密钥的话，就知道所有交流的信息了。 二战中盟军的情报战成果，很多都来自于破获这种对称加密的密钥。
为了更安全，总部需要给每个特工都设计一个不同的密钥。如果是FBI这样庞大的机构，恐怕很难维护这么多的密钥。在现代社会，每个人的信用卡信息都需要加密。一一设计密钥的话，银行怕是要跪了。
对称加密的薄弱之处在于给了太多人的钥匙。如果只给特工锁，而总部保有钥匙，那就容易了。特工将信息用锁锁到盒子里，谁也打不开，除非到总部用唯一的一把钥匙打开。只是这样的话，特工每次出门都要带上许多锁，太容易被识破身份了。总部老大想了想，干脆就把造锁的技术公开了。特工，或者任何其它人，可以就地取材，按照图纸造锁，但无法根据图纸造出钥匙。钥匙只有总部的那一把。
上面的关键是锁和钥匙工艺不同。知道了锁，并不能知道钥匙。这样，银行可以将“造锁”的方法公布给所有用户。 每个用户可以用锁来加密自己的信用卡信息。即使被别人窃听到，也不用担心：只有银行才有钥匙呢！这样一种加密算法叫做非对称加密(asymmetric encryption)。非对称加密的经典算法是RSA算法。它来自于数论与计算机计数的奇妙结合。
1976年，两位美国计算机学家Whitfield Diffie 和 Martin Hellman，提出了一种崭新构思，可以在不直接传递密钥的情况下，完成解密。这被称为"Diffie-Hellman密钥交换算法"。这个算法启发了其他科学家。人们认识到，加密和解密可以使用不同的规则，只要这两种规则之间存在某种对应关系即可，这样就避免了直接传递密钥。这种新的加密模式被称为"非对称加密算法"。
1977年，三位数学家Rivest、Shamir 和 Adleman 设计了一种算法，可以实现非对称加密。这种算法用他们三个人的名字命名，叫做RSA算法。从那时直到现在，RSA算法一直是最广为使用的"非对称加密算法"。毫不夸张地说，只要有计算机网络的地方，就有RSA算法。
1.能“撞”上的保险箱（非对称/公钥加密体制，Asymmetric / Public Key Encryption）
数据加密解密和门锁很像。最开始的时候，人们只想到了那种只能用钥匙“锁”数据的锁。如果在自己的电脑上自己加密数据，当然可以用最开始这种门锁的形式啦，方便快捷，简单易用有木有。
但是我们现在是通信时代啊，双方都想做安全的通信怎么办呢？如果也用这种方法，通信就好像互相发送密码保险箱一样…而且双方必须都有钥匙才能进行加密和解密。也就是说，两个人都拿着保险箱的钥匙，你把数据放进去，用钥匙锁上发给我。我用同样的钥匙把保险箱打开，再把我的数据锁进保险箱，发送给你。
这样看起来好像没什么问题。但是，这里面 最大的问题是：我们两个怎么弄到同一个保险箱的同一个钥匙呢？ 好像仅有的办法就是我们两个一起去买个保险箱，然后一人拿一把钥匙，以后就用这个保险箱了。可是，现代通信社会，绝大多数情况下别说一起去买保险箱了，连见个面都难，这怎么办啊？
于是，人们想到了“撞门”的方法。我这有个可以“撞上”的保险箱，你那里自己也买一个这样的保险箱。通信最开始，我把保险箱打开，就这么开着把保险箱发给你。你把数据放进去以后，把保险箱“撞”上发给我。撞上以后，除了我以外，谁都打不开保险箱了。这就是RSA了，公开的保险箱就是公钥，但是我有私钥，我才能打开。
2.数字签名
这种锁看起来好像很不错，但是锁在运输的过程中有这么一个严重的问题：你怎么确定你收到的开着的保险箱就是我发来的呢？对于一个聪明人，他完全可以这么干：
(a)装作运输工人。我现在把我开着的保险箱运给对方。运输工人自己也弄这么一个保险箱，运输的时候把保险箱换成他做的。
(b)对方收到保险箱后，没法知道这个保险箱是我最初发过去的，还是运输工人替换的。对方把数据放进去，把保险箱撞上。
(c)运输工人往回运的时候，用自己的钥匙打开自己的保险箱，把数据拿走。然后复印也好，伪造也好，弄出一份数据，把这份数据放进我的保险箱，撞上，然后发给我。
从我的角度，从对方的角度，都会觉得这数据传输过程没问题。但是，运输工人成功拿到了数据，整个过程还是不安全的，大概的过程是这样：
这怎么办啊？这个问题的本质原因是，人们没办法获知，保险箱到底是“我”做的，还是运输工人做的。那干脆，我们都别做保险箱了，让权威机构做保险箱，然后在每个保险箱上用特殊的工具刻上一个编号。对方收到保险箱的时候，在权威机构的“公告栏”上查一下编号，要是和保险箱上的编号一样，我就知道这个保险箱是“我”的，就安心把数据放进去。大概过程是这样的：
如何做出刻上编号，而且编号没法修改的保险箱呢？这涉及到了公钥体制中的另一个问题：数字签名。
要知道，刻字这种事情吧，谁都能干，所以想做出只能自己刻字，还没法让别人修改的保险箱确实有点难度。那么怎么办呢？这其实困扰了人们很长的时间。直到有一天，人们发现：我们不一定非要在保险箱上刻规规矩矩的字，我们干脆在保险箱上刻手写名字好了。而且，刻字有点麻烦，干脆我们在上面弄张纸，让人直接在上面写，简单不费事。具体做法是，我们在保险箱上嵌进去一张纸，然后每个出产的保险箱都让权威机构的CEO签上自己的名字。然后，CEO把自己的签名公开在权威机构的“公告栏”上面。比如这个CEO就叫“学酥”，那么整个流程差不多是这个样子：
这个方法的本质原理是，每个人都能够通过笔迹看出保险箱上的字是不是学酥CEO签的。但是呢，这个字体是学酥CEO唯一的字体。别人很难模仿。如果模仿我们就能自己分辨出来了。要是实在分辨不出来呢，我们就请一个笔迹专家来分辨。这不是很好嘛。这个在密码学上就是数字签名。
上面这个签字的方法虽然好，但是还有一个比较蛋疼的问题。因为签字的样子是公开的，一个聪明人可以把公开的签字影印一份，自己造个保险箱，然后把这个影印的字也嵌进去。这样一来，这个聪明人也可以造一个相同签字的保险箱了。解决这个问题一个非常简单的方法就是在看保险箱上的签名时，不光看字体本身，还要看字体是不是和公开的字体完全一样。要是完全一样，就可以考虑这个签名可能是影印出来的。甚至，还要考察字体是不是和其他保险柜上的字体一模一样。因为聪明人为了欺骗大家，可能不影印公开的签名，而影印其他保险箱上的签名。这种解决方法虽然简单，但是验证签名的时候麻烦了一些。麻烦的地方在于我不仅需要对比保险箱上的签名是否与公开的笔迹一样，还需要对比得到的签名是否与公开的笔迹完全一样，乃至是否和所有发布的保险箱上的签名完全一样。有没有什么更好的方法呢？
当然有，人们想到了一个比较好的方法。那就是，学酥CEO签字的时候吧，不光把名字签上，还得带上签字得日期，或者带上这个保险箱的编号。这样一来，每一个保险箱上的签字就唯一了，这个签字是学酥CEO的签名+学酥CEO写上的时间或者编号。这样一来，就算有人伪造，也只能伪造用过的保险箱。这个问题就彻底解决了。这个过程大概是这么个样子：
3 造价问题（密钥封装机制，Key Encapsulation Mechanism）
解决了上面的各种问题，我们要考虑考虑成本了… 这种能“撞”门的保险箱虽然好，但是这种锁造价一般来说要比普通的锁要高，而且锁生产时间也会变长。在密码学中，对于同样“结实”的锁，能“撞”门的锁的造价一般来说是普通锁的上千倍。同时，能“撞”门的锁一般来说只能安装在小的保险柜里面。毕竟，这么复杂的锁，装起来很费事啊！而普通锁安装在多大的保险柜上面都可以呢。如果两个人想传输大量数据的话，用一个大的保险柜比用一堆小的保险柜慢慢传要好的多呀。怎么解决这个问题呢？人们又想出了一个非常棒的方法：我们把两种锁结合起来。能“撞”上的保险柜里面放一个普通锁的钥匙。然后造一个用普通的保险柜来锁大量的数据。这样一来，我们相当于用能“撞”上的保险柜发一个钥匙过去。对方收到两个保险柜后，先用自己的钥匙把小保险柜打开，取出钥匙。然后在用这个钥匙开大的保险柜。这样做更棒的一个地方在于，既然对方得到了一个钥匙，后续再通信的时候，我们就不再需要能“撞”上的保险柜了啊，在以后一定时间内就用普通保险柜就好了，方便快捷嘛。
以下参考 数字签名、数字证书、SSL、https是什么关系？
4.数字签名（Digital Signature）
数据在浏览器和服务器之间传输时，有可能在传输过程中被冒充的盗贼把内容替换了，那么如何保证数据是真实服务器发送的而不被调包呢，同时如何保证传输的数据没有被人篡改呢，要解决这两个问题就必须用到数字签名，数字签名就如同日常生活的中的签名一样，一旦在合同书上落下了你的大名，从法律意义上就确定是你本人签的字儿，这是任何人都没法仿造的，因为这是你专有的手迹，任何人是造不出来的。那么在计算机中的数字签名怎么回事呢？数字签名就是用于验证传输的内容是不是真实服务器发送的数据，发送的数据有没有被篡改过，它就干这两件事，是非对称加密的一种应用场景。不过他是反过来用私钥来加密，通过与之配对的公钥来解密。
第一步：服务端把报文经过Hash处理后生成摘要信息Digest，摘要信息使用私钥private-key加密之后就生成签名，服务器把签名连同报文一起发送给客户端。
第二步：客户端接收到数据后，把签名提取出来用public-key解密，如果能正常的解密出来Digest2，那么就能确认是对方发的。
第三步：客户端把报文Text提取出来做同样的Hash处理，得到的摘要信息Digest1，再与之前解密出来的Digist2对比，如果两者相等，就表示内容没有被篡改，否则内容就是被人改过了。因为只要文本内容哪怕有任何一点点改动都会Hash出一个完全不一样的摘要信息出来。
5.数字证书（Certificate Authority）
数字证书简称CA，它由权威机构给某网站颁发的一种认可凭证，这个凭证是被大家（浏览器）所认可的，为什么需要用数字证书呢，难道有了数字签名还不够安全吗？有这样一种情况，就是浏览器无法确定所有的真实服务器是不是真的是真实的，举一个简单的例子：A厂家给你们家安装锁，同时把钥匙也交给你，只要钥匙能打开锁，你就可以确定钥匙和锁是配对的，如果有人把钥匙换了或者把锁换了，你是打不开门的，你就知道肯定被窃取了，但是如果有人把锁和钥匙替换成另一套表面看起来差不多的，但质量差很多的，虽然钥匙和锁配套，但是你却不能确定这是否真的是A厂家给你的，那么这时候，你可以找质检部门来检验一下，这套锁是不是真的来自于A厂家，质检部门是权威机构，他说的话是可以被公众认可的（呵呵）。
同样的， 因为如果有人（张三）用自己的公钥把真实服务器发送给浏览器的公钥替换了，于是张三用自己的私钥执行相同的步骤对文本Hash、数字签名，最后得到的结果都没什么问题，但事实上浏览器看到的东西却不是真实服务器给的，而是被张三从里到外（公钥到私钥）换了一通。那么如何保证你现在使用的公钥就是真实服务器发给你的呢？我们就用数字证书来解决这个问题。数字证书一般由数字证书认证机构（Certificate Authority）颁发，证书里面包含了真实服务器的公钥和网站的一些其他信息，数字证书机构用自己的私钥加密后发给浏览器，浏览器使用数字证书机构的公钥解密后得到真实服务器的公钥。这个过程是建立在被大家所认可的证书机构之上得到的公钥，所以这是一种安全的方式。
常见的对称加密算法有DES、3DES、AES、RC5、RC6。非对称加密算法应用非常广泛，如SSH,
HTTPS, TLS，电子证书，电子签名，电子身份证等等。
参考 DES/3DES/AES区别
7. 什么是AES算法
加密算法分为单向加密和双向加密。
单向加密 包括 MD5 ， SHA 等摘要算法。单向加密算法是不可逆的，也就是无法将加密后的数据恢复成原始数据，除非采取碰撞攻击和穷举的方式。像是银行账户密码的存储，一般采用的就是单向加密的方式。
双向加密 是可逆的，存在密文的密钥，持有密文的一方可以根据密钥解密得到原始明文，一般用于发送方和接收方都能通过密钥获取明文的情况。双向加密包括对称加密和非对称加密。对称加密包括 DES 加密， AES 加密等，非对称加密包括 RSA 加密， ECC 加密。
AES 算法全称 Advanced Encryption Standard ,是 DES 算法的替代者，也是当今最流行的对称加密算法之一。
要想学习AES算法，首先要弄清楚三个基本的概念：密钥、填充、模式。
密钥是 AES 算法实现加密和解密的根本。对称加密算法之所以对称，是因为这类算法对明文的加密和解密需要使用同一个密钥。
AES支持三种长度的密钥：
128位，192位，256位
平时大家所说的AES128，AES192，AES256，实际上就是指的AES算法对不同长度密钥的使用。从安全性来看，AES256安全性最高。从性能来看，AES128性能最高。本质原因是它们的加密处理轮数不同。
要想了解填充的概念，我们先要了解AES的分组加密特性。AES算法在对明文加密的时候，并不是把整个明文一股脑加密成一整段密文，而是把明文拆分成一个个独立的明文块，每一个明文块长度128bit。
这些明文块经过AES加密器的复杂处理，生成一个个独立的密文块，这些密文块拼接在一起，就是最终的AES加密结果。
但是这里涉及到一个问题：
假如一段明文长度是192bit，如果按每128bit一个明文块来拆分的话，第二个明文块只有64bit，不足128bit。这时候怎么办呢？就需要对明文块进行填充（Padding）。AES在不同的语言实现中有许多不同的填充算法，我们只举出集中典型的填充来介绍一下。
不做任何填充，但是要求明文必须是16字节的整数倍。
如果明文块少于16个字节（128bit），在明文块末尾补足相应数量的字符，且每个字节的值等于缺少的字符数。
比如明文：{1,2,3,4,5,a,b,c,d,e},缺少6个字节，则补全为{1,2,3,4,5,a,b,c,d,e,6,6,6,6,6,6}
如果明文块少于16个字节（128bit），在明文块末尾补足相应数量的字节，最后一个字符值等于缺少的字符数，其他字符填充随机数。
比如明文：{1,2,3,4,5,a,b,c,d,e},缺少6个字节，则可能补全为{1,2,3,4,5,a,b,c,d,e,5,c,3,G,$,6}
需要注意的是，如果在AES加密的时候使用了某一种填充方式，解密的时候也必须采用同样的填充方式。
AES的工作模式，体现在把明文块加密成密文块的处理过程中。AES加密算法提供了五种不同的工作模式：
ECB、CBC、CTR、CFB、OFB
模式之间的主题思想是近似的，在处理细节上有一些差别。我们这一期只介绍各个模式的基本定义。
电码本模式 Electronic Codebook Book
密码分组链接模式 CipherBlock Chaining
计算器模式 Counter
密码反馈模式 CipherFeedBack
输出反馈模式 OutputFeedBack
如果在AES加密的时候使用了某一种工作模式，解密的时候也必须采用同样的工作模式。
AES加密主要包括两个步骤： 密钥扩展 和 明文加密 。
密钥扩展过程说明（密钥为16字节）：
函数g的流程说明：
轮常量（Rcon）是一个字，最右边三个字节总为0。因此字与Rcon相异或，其结果只是与该字最左的那个字节相异或。每轮的轮常量不同，定位为Rcon[j] = (RC[j], 0, 0, 0)。（RC是一维数组）
RC生成函数：RC[1] = 1, RC[j] = 2 * RC[j – 1]。
因为16字节密钥的只进行10轮的扩展，所以最后生成的RC[j]的值按16进制表示为：
十轮的密钥扩展后，就能生成44个字大小的扩展密钥。扩展后的密钥将用于AES对明文的加密过程。
S盒是16×16个字节组成的矩阵，行列的索引值分别从0开始，到十六进制的F结束，每个字节的范围为（00-FF）。
进行字节代替的时候，把状态中的每个字节分为高4位和低4位。高4位作为行值，低4位作为列值，以这些行列值作为索引从S盒的对应位置取出元素作为输出，如下图所示：
S盒的构造方式如下：
（1） 按字节值得升序逐行初始化S盒。在行y列x的字节值是{yx}。
（2） 把S盒中的每个字节映射为它在有限域GF中的逆;{00}映射为它自身{00}。
（3） 把S盒中的每个字节的8个构成位记为(b7, b6, b5, b4, b3, b2, b1)。对S盒的每个字节的每个位做如下的变换：
ci指的是值为{63}的字节c的第i位。
解密过程逆字节代替使用的是逆S盒，构造方式为
字节d={05}。
逆向行移位将状态中后三行执行相反方向的移位操作，如第二行向右循环移动一个字节，其他行类似。
要注意，图示的矩阵的乘法和加法都是定义在GF(2^8)上的。
逆向列混淆原理如下：
轮密钥加后的分组再进行一次轮密钥加就能恢复原值.所以，只要经过密钥扩展和明文加密，就能将明文加密成密文，进行解密的时候，只需要进行逆向变换即可。
图[AES加密算法的流程]中还需要注意，明文输入到输入状态后，需要进行一轮的轮密钥加，对输入状态进行初始化。 前9轮的加密过程，都需要进行字节替代、行移位、列混淆和轮密钥加，但是第10轮则不再需要进行列混淆。
进行解密的时候，需要进行逆向字节替代，逆向行移位、逆向列混淆和轮密钥加。