4.3对称密码技术.pptx

对称密码技术对称密码技术4.3对称密码技术原理1DES对称加密算法2IDEA算法3高级加密标准AES4现代现代密码算法不再依赖算法的保密，而是密码算法不再依赖算法的保密，而是把把算法和密钥分开。其中，密码算法可把把算法和密钥分开。其中，密码算法可以公开，但是密钥是保密的，密码系统的以公开，但是密钥是保密的，密码系统的安全性在于保持密钥的保密性。安全性在于保持密钥的保密性。如果加密密钥和解密密钥相同，或实质上如果加密密钥和解密密钥相同，或实质上等同（即从一个可以推出另外一个），我等同（即从一个可以推出另外一个），我们称其为对称密钥、私钥或单钥密码体制。们称其为对称密钥、私钥或单钥密码体制。对称密码技术又可分为对称密码技术又可分为分组密码分组密码和和序列密码序列密码两大类。两大类。分组加密分组加密:是指对一个个定长的数据块进行加密，数据块之间的关系不依赖于加密过程，即当两个数据块内容一样时，加密后所得到的密文也完全一样。序列加密序列加密:是指数据流的加密，加密过程带有反馈性，即前一个字节加密的结果作为后一字节加密的密钥。可见，流加密方式具有更强的安全性。加密和解密过程均采用同一把秘密钥匙（密钥）。Alice发送加密的信息给Bob的情况：（1）Alice和Bob协商用同一密码系统。（2）Alice和Bob协商同一密钥。（3）Alice用加密算法和选取的密钥加密她的明文信息，得到了密文信息。（4）Alice发送密文信息给Bob。（5）Bob用同样的算法和密钥解密密文，然后读它。利用对称密码体制通信利用对称密码体制通信4.3.1 对称密码技术原理在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。1949 Claude Shannon 提出了代换置换的思想，现代代换-移位乘积密码的基础S-P 基于两个经典密码技术:代换(S-box)置换(P-box)消息的混乱和扩散 代换/替代Substitution:制造混乱(confusion)，使得确定消息和密钥是怎样转换成密文的尝试变得困难。置换Transposition:重新排列消息中的字母，将消息或密钥外的信息扩散(diffusion)到整个密文，从而打破密文的结构特性。多阶段混合使用替代和置换加密能够多阶段混合使用替代和置换加密能够产生使密码分析极为困难的算法。产生使密码分析极为困难的算法。需要密码完全掩盖原始消息的统计特性一次一密钥的密码本掩盖了统计特性实际上 Shannon建议综合使用各种技术和原理以实现:扩散扩散 在大量的密文中消除明文的统计结构混乱混乱 使密文与密钥的关系尽可能复杂化对称密码系统的安全性依赖的因素加密算法必须是足够强的，仅仅基于密文本身去解密信息在实践上是不可能的；加密方法的安全性依赖于密钥的秘密性，而不是算法的秘密性。对称加密算法的优点算法公开；计算量小；加密速度快；加密效率高。对称加密算法的缺点密钥分发和管理困难；可扩展性差；只提供有限的安全。4.3.2DES对称加密算法 DES的产生1973年5月15日,NBS(National Security Agency)开始公开征集标准加密算法,并公布了它的设计要求:(1)算法必须提供高度的安全性(2)算法必须有详细的说明,并易于理解(3)算法的安全性取决于密钥,不依赖于算法(4)算法适用于所有用户(5)算法适用于不同应用场合(6)算法必须高效、经济(7)算法必须能被证实有效(8)算法必须是可出口的第三条商用密码技术属于国家秘密。国家对商用密码产品的科研、生产、销售和使用实行专控管理第六条商用密码的科研成果，由国家密码管理机构组织专家按照商用密码技术标准和技术规范审查、鉴定第七条商用密码产品由国家密码管理机构指定的单位生产。未经指定，任何单位或者个人不得生产商用密码产品商用密码管理条例DES的产生1974年8月27日,NBS开始第二次征集,IBM提交了算法LUCIFER，该算法由IBM的工程师在19711972年研制1975年3月17日,NBS公开了全部细节1976年,NBS指派了两个小组进行评价1976年11月23日，采纳为联邦标准，批准用于非军事场合的各种政府机构1977年1月15日,“数据加密标准”FIPS PUB 46发布 (DES,Data Encryption Standard)对称算法，加密和解密用的是同一种算法，只是加密和解密时所采用的密钥编排不同分组算法，以64-位为分组混乱和扩散的组合，一次加密或解密总共有16轮，也就是要完成一次加密（解密）过程，必须在明文（密文）分组上实施16次相同的组合技术 密钥长度：56位，密钥通常表示为64位的数，但每个字节的第8位都用作奇偶校验，可以忽略 分组对称加密算法分组对称加密算法DESDES主要特点uDES的安全性不依赖于算法的保密，安全性仅以加密密钥的保密为基础；u提供高质量的数据保护，防止数据未经授权的泄露和未被察觉的修改；u具有足够的复杂性，使得破译非常困难；u容易实现，可以以软件或硬件形式出现；DES的应用1979年，美国银行协会批准使用1980年，美国国家标准局（ANSI）赞同DES作为私人使用的标准,称之为DEA（ANSI X.392）1983年，国际化标准组织ISO赞同DES作为国际标准，称之为DEA-1该标准规定每五年审查一次最近的一次评估是在1994年1月，已决定1998年12月以后，DES将不再作为联邦加密标准DES的具体应用领域u计算机网络通信u电子货币系统u保护用户文件u用户识别分组密码的一般设计原理分组密码是将明文消息编码表示后的数字（简称明文数字）序列，划分成长度为n的组（可看成长度为n的矢量），每组分别在密钥的控制下变换成等长的输出数字（简称密文数字）序列设计原则-混淆(confusion)混淆(confusion)：密文的统计特性与密钥的取值密文的统计特性与密钥的取值之间的关系尽量复杂 密码算法应当保证密钥、明文和密文的依赖关系相当复杂，混淆程度主要用非线性度来度量非线性度的概念最初由Pieprzyk等1988年引入，它是密码安全代换盒的主要设计准则之一，它决定了基于s盒的密码算法抗击Matsul线性分析的能力设计原则-扩散（Diffusion)扩散（Diffusion):明文的统计结构被扩散消失到密文的长程统计特性明文的统计结构被扩散消失到密文的长程统计特性 ,使得明文和密文之间的统计关系尽量复杂 密码算法应保证有语言多余度的明文的统计结构散射到相当长的一段统计中算法应使明文的简单结构和密文的简单结构之间不存在统计关系不同的加密函数之间不存在简单关系扩散程度通常用明文和密钥的雪崩特性（有时用扩散特性）来度量在相同明文条件下，密钥的1比特改变将根本改变密文在相同密钥条件下，明文的1比特改变也将根本改变密文根本改变，一般指改变整个密文块的一半比特实现原则软件实现软件实现使用子块和简单的运算。密码运算在子块上进行，要求子块的长度能自然地适应软件编程，如8、16、32比特等应尽量避免按比特置换，在子块上所进行的密码运算尽量采用易于软件实现的运算最好是用处理器的基本运算，如加法、乘法、移位等硬件实现硬件实现加密和解密的相似性，即加密和解密过程的不同应仅仅在密钥使用方式上，以便采用同样的器件来实现加密和解密，以节省费用和体积尽量采用标准的组件结构，以便能适应于在超大规模集成电路中实现DES算法的五个函数加密算法涉及五个函数：(1)初始置换IP(initial permutation)(2)复合(轮)函数fk1，它是由密钥K确定的，具有置换和替代的运算 (3)转换函数SW (4)复合(轮)函数fk2 (5)初始置换IP的逆置换IP-1加密算法的数学表示 加密算法的数学表式IP-1*fk2*SW*fk1*IP 或：密文=IP-1（fk2(SW(fk1(IP(明文)其中 K1=P8(移位(P10(密钥K)K2=P8(移位(移位(P10(密钥K)解密算法的数学表示：明文=IP-1（fk1(SW(fk2(IP(密文)第一步：变换明文。对给定的64位比特的明文X,首先通过一个置换IP表来重新排列X,从而构造出64位比特的X0，X0=IP（X）=L0R0，其中L0表示X0的前32位，R0表示X0的后32位。DES算法的实现步骤第二步：按照规则迭代。规则为：Li=Ri-1 Ri=Li-1异或f(Ri-1,Ki)(i=1,2,3,16)其中f表示一种置换，又盒置换构成，i是一些由密钥编排函数产生的比特块。第三步：对L16R16利用IP-1作逆置换，就得到密文y。初始置换（IP）-16轮完全相同的运算-初始置换的逆（IP-1）每一轮DES：Li=Ri-1，Ri=Li-1 XOR f(Ri-1,Ki)Li-1 Ri-1F+Li RiKiFDES算法总体过程描述DES算法具体的描述 Li=Ri-1 Ri=Li-1 XOR f(Ri-1,Ki)明文明文IPL0R0fK1L1=R0R1=L0 f(R0,K1)fK2L2=R1R2=L1 f(R1,K2)L15=R14R15=L14 f(R14,K15)fR16=L15 f(R15,K16)L16=R15K16IP-1密文密文IP 重新排列输入数据比特 结构上很有规律(易于实现硬件加密)例如:IP=1 2 3 4 5 6 7 8 2 6 3 1 4 8 5 7IP-1=1 2 3 4 5 6 7 8 4 1 3 5 7 2 8 6易见易见IP-1(IP(X)=X 输入（64位）58 50 42 34 26 18 10 260 52 44 36 28 20 12 462 54 46 38 30 22 14 664 56 48 40 32 24 16 857 49 41 33 25 17 9 159 51 43 35 27 19 11 361 53 45 37 29 21 13 563 55 47 39 31 23 15 7输出（64位）L0（32位）R0（32位）置换码组 输入（64位）40 8 48 16 56 24 64 3239 7 47 15 55 23 63 3138 6 46 14 54 22 62 3037 5 45 13 53 21 61 2936 4 44 12 52 20 60 2835 3 43 11 51 19 59 2734 2 42 10 50 18 58 2633 1 41 9 49 17 57 25输出（64位）逆初始变换IP-1初始变换IP函数f的细节：数据右半部分通过扩展（expansion permutation）由32位扩展为48位，并通过一个异或操作与经过移位和置换的48位密钥结合，其结果通过8个S-盒（substitution box）将这48位替代成新的32位数据，再将其置换一次 长度为32的比特串R（32bits）作第一个输入，以长度为48的比特串K(48bits)作第二个输入。产生的输出为长度为32的位串。Li-1Ri-1密钥密钥移位移位移位移位压缩置换扩展置换S-盒代替P-盒置换盒置换LiRi密钥密钥扩展置换扩展置换EP盒置换盒置换S盒代替盒代替A32位位32 1 2 3 4 5 4 5 6 7 8 9 8 9 10 11 12 1312 13 14 15 16 1716 17 18 19 20 2120 21 22 23 24 2524 25 26 27 28 2928 29 30 31 32 1选择运算选择运算E选择运算E的结果48位位明文或密钥的细微变化将对密文产生很大的影响，特别地，明文或密钥的某一位发生变化会导致密文的很多位发生变化，这种现象就是雪崩效应。使得穷举试凑成为不可能DES的扩展置换使其具有很强的雪崩效应雪崩效应雪崩效应(1)把E函数的输出结果写成连续的8个6位串,B=B1B2B3B4B5B6B7B8(2)使用8个S盒，每个Sj是一个固定的416矩阵，它的元素取015的整数。给定长度为6的比特串，如Bj=b1b2b3b4b5b6计算Sj(Bj)如下：b1b6两个比特确定了Sj的行数,r(0=r=3);b2b3b4b5四个比特确定了Sj的列数c（0=c=15）。最后Sj(Bj)的值为S-盒矩阵Sj中r行c列的元素（r,c）,得Cj=Sj(Bj)。1234567891011121314151611441312151183106125907201574142131106121195383411481362111512973105041512824917511314100613 DES的核心是S盒，除此之外的计算都是线性的。S盒作为该密码体制的非线性组件对安全性至关重要。1976年美国NSA提出了下列几条S盒的设计准则：S盒的每一行是整数0，15的一个置换 没有一个S盒是它输入变量的线性函数改变S盒的一个输入位至少要引起两位的输出改变对任何一个S盒和任何一个输入X，S（X）和S(X001100）至少有两个比特不同对任何一个S盒，对任何一个输入对e,f属于0,1,S(X)S(X11ef00)对任何一个S盒，如果固定一个输入比特，来看一个固定输出比特的值，这个输出比特为0的输入数目将接近于这个输出比特为1的输入数目。S-盒1S-盒2S-盒3S-盒4S-盒5S-盒6S-盒7S-盒8S-盒的构造 原则：原则：S盒的每一位输出都不是输入的线性或仿射盒的每一位输出都不是输入的线性或仿射函数函数 仿射函数仿射函数 设设 f是是n元布尔函数元布尔函数,如果如果 都都有有则称则称f 是仿射函数是仿射函数;又若仿射函数满足又若仿射函数满足f(0)=0,则则 f 为为线性函数线性函数.等价定义等价定义:设设 f是是n元布尔函数元布尔函数,则则 f是仿射函数等是仿射函数等价于存在常数价于存在常数c1,c2,cn和和a使对所有使对所有x,都有都有此时此时,如果如果a=0,则则 f为线性函数为线性函数.仿射函数的缺点仿射函数的缺点:(1)输入与输出之间的代数关系太简单输入与输出之间的代数关系太简单;(2)输入的变化与输出的变化之间的代数关系输入的变化与输出的变化之间的代数关系太简单太简单.仿射函数的优点仿射函数的优点:实现简单实现简单S-盒设计标准设计标准S盒的每一位输出都不是输入的线性或仿射函数。S盒的输入发生1比特变化，输出至少有2比特发生变化。当固定S盒的1位输入时，S盒的每一位输出中0和1的个数尽可能平衡。S-盒的作用盒的作用 S盒是DES算法中唯一的非线性唯一的非线性变换变换，S盒实现了局部的混乱和扩散；这种局部的混乱和扩散通过E盒和P盒并借助于多次迭代实现了整个密码算法的混乱和扩散 S盒只要稍有改变，其密码强度就会大大降低，因此，不要试图改变一个密码算法中的任何细节 如何全面准确地度量S-盒的密码强度和设计有效的S-盒是分组密码设计和分析中的难题置换p-盒的构造P置换的目的是提供雪崩效应K是长度为64的位串，其中56位是密钥，8位是奇偶校验（为了检错），在密钥编排的计算中，这些校验位可略去。给定64位的密钥K，放弃奇偶校验位（8，16，64）并根据固定置换PC-1来排列K中剩下的位。PC-1(K)=C0D0其中C0由PC-1（K）的前28位组成；D0由后28位组成。对1=i=16，计算Ci=LSi(Ci-1)Di=LSi(Di-1)LSi表示循环左移2或1个位置，取决于i的值。i=1,2,9和16 时移1个位置，否则移2位置。Ki=PC-2(CiDi),PC-2为固定置换DES中的子密钥的生成密钥置换算法的构造准则设计目标：子密钥的统计独立性和灵活性实现简单速度不存在简单关系：给定两个有某种关系的种子密钥,能预测它们轮子密钥之间的关系种子密钥的所有比特对每个子密钥比特的影响大致相同从一些子密钥比特获得其他的子密钥比特在计算上是难的没有弱密钥57,49,41,33,25,17,9,C Half 1,58,50,42,34,26,18,10,2,59,51,43,35,27,19,11,3,60,52,44,36,63,55,47,39,31,23,15,D Half 7,62,54,46,38,30,22,14,6,61,53,45,37,29,21,13,5,28,20,12,4 14,17,11,24,1,5,C half 14,17,11,24,1,5,C half 3,28,15,6,21,10,(bits 1-28)3,28,15,6,21,10,(bits 1-28)23,19,12,4,26,8,23,19,12,4,26,8,16,7,27,20,13,2,16,7,27,20,13,2,41,52,31,37,47,55,D half 41,52,31,37,47,55,D half 30,40,51,45,33,48,(bits 29-56)30,40,51,45,33,48,(bits 29-56)44,49,39,56,34,53,44,49,39,56,34,53,46,42,50,36,29,32 46,42,50,36,29,32 密钥置换密钥置换2：PC2预置初始值外部提供64比特密钥构造16个密钥向量外部提供64比特明文从X求出 L(0),R(0)置迭代计数器i=1，迭代i求扩展函数E，从R(i-1)得出E(R(i-1)加密用K(i),解密用K(17-i).将上两步结果模二加，结果为48比特A构成S盒，得出32比特向量B利用置换函数P置换B，导出P(B)P(B)与L(i-1)相加，得出R(i)定义L(i)=R(i-1)迭代计数器i+1计数器=16,迭代，否则产生输出。已知明文m=computer，密钥k=program，用ASCII码表示为：m=01100011 01101111 01101101 01110000 01110101 01110100 01100101 01110010k=01110000 01110010 01101111 01100111 01110010 01100001 01101101因为k只有56位，必须插入第8，16，24，32，40，48，56，64位奇偶校验位，合成64位。而这8位对加密过程没有影响。m经过IP置换后得到L0=11111111 10111000 01110110 01010111R0=00000000 11111111 00000110 10000011密钥k通过PC-1得到C0=11101100 10011001 00011011 1011D0=10110100 01011000 10001110 0110再各自左移一位，通过PC-2得到48位k1=00111101 10001111 11001101 00110111 00111111 00000110R0（32位）经E作用膨胀为48位，10000000 00010111 11111110 10000000 11010100 00000110再和k1作异或运算得到（分成8组）101111 011001 100000 110011 101101 111110 101101 001110通过S盒后输出位32比特，01110110 00110100 00100110 10100001S盒的输出又经过P置换得到01000100 00100000 10011110 10011111这时：所所以以，第第一一趟趟的的结结果果是是：00000000 11111111 00000110 10000011 10111011 10011000 11101000 11001000 数据加密数据加密如此，迭代16次以后，得到密文：01011000 10101000 01000001 10111000 01101001 11111110 10101110 00110011明文或密钥每改变一位，都会对结果密文产生剧烈的影响。任意改变一位，其结果大致有将近一半的位发生了变化。数据加密数据加密DES的设计使得解密就是重复加密的步骤以相反的顺序使用各轮加密密钥(K16,K15 K1)注意开始和最后的置换数据解密数据解密实际安全性定义考虑攻击所需的时间和数据量才能准确估计算法的强度，为此可将攻击按计算复杂度进行分类p数据复杂度数据复杂度(Data complexity)即实施攻击所必须的外部输入数即实施攻击所必须的外部输入数据量，以分组长度据量，以分组长度n为单位，记为为单位，记为Cdp处理复杂度处理复杂度(Proceessing complexity)即实施攻击所花费的时间，即实施攻击所花费的时间，以加密次数为单位，记为以加密次数为单位，记为Cp 显然，攻击的复杂度显然，攻击的复杂度Ca=max(Cd，Cp).在选择明文攻击下目前对在选择明文攻击下目前对DES的差分攻击的最好结果是的差分攻击的最好结果是1.强力攻击在唯密文攻击唯密文攻击下，密码分析者依次试用密钥空间中的所有密钥解译一个或多个截获的密文，直至得到一个或多个有意义的明文块在已知已知(选择选择)明文明文攻击下，密码分析者试用密钥空间中的所有可能的密钥对一个已知明文加密，将加密结果同该明文相应的已知密文比较，直至二者相符，然后再用其它几个已知明密文对已知明密文对来验证该密钥的正确性强力攻击适用于任何分组密码DES密钥攻击 56比特的密钥长度不足以抵御穷举式 256 10171977年，Diffie和Hellman已建议制造一个每秒能测试100万个密钥的VLSI芯片。每秒测试100万个密钥的机器大约需要一天就可以搜索整个密钥空间。他们估计制造这样的机器大约需要2000万美元在CRYPTO93上，Session和Wiener给出了一个非常详细的密钥搜索机器的设计方案，这个机器基于并行运算的密钥搜索芯片，所以16次加密能同时完成。花费10万美元，平均用1.5天左右就可找到DES密钥美国克罗拉多洲的程序员Verser从1997年2月18日起，用了96天时间，在Internet上数万名志愿者的协同工作下，成功地找到了DES的密钥，赢得了悬赏的1万美元1998年7月电子前沿基金会（EFF）使用一台25万美圆的电脑在56小时内破译了56比特密钥的DES1999年1月RSA数据安全会议期间，电子前沿基金会用22小时15分钟就宣告破解了一个DES的密钥2.差分攻击也称差分分析，是一种选择明文攻击方法，也称差分分析，是一种选择明文攻击方法，最早由以色列密码学家最早由以色列密码学家Eli Eli BihamBiham和和Adi ShamirAdi Shamir于于19901990年提出年提出该方法充分利用了明文对的特殊差分对输出密文对差分的影响，通过分该方法充分利用了明文对的特殊差分对输出密文对差分的影响，通过分析某个析某个(些些)最大概率差分来确定可能密钥的概率并找出最可能的密钥最大概率差分来确定可能密钥的概率并找出最可能的密钥差分分析是目前用于分组密码的最强有力的攻击方法之一，成功地用于差分分析是目前用于分组密码的最强有力的攻击方法之一，成功地用于攻击攻击DES的复杂度为的复杂度为Ca 2473.线性攻击是一种已知明文攻击方法，最早由Matsui在1993年提出该攻击利用了明文、密文和密钥的若干位之间的线性关系。在对DES的线性攻击下，这种线性关系可以通过组合各轮的线性关系而得到(假定各轮子密钥相互独立).此时攻击者希望找到一个等式使得该等式在密钥空间上成立的概率使得该等式在密钥空间上成立的概率p pl l ，且且|p pl l-|最大最大线性攻击N个已知明密文对的线性攻击如下:1.对所有明文p和密文c，令T表示上式左边为0的次数2.若 ，猜测 ，否则猜测 线性分析是攻击分组密码的另一个最强有力的方法，成功地用于攻击DES的复杂度为4.相关密钥攻击类似于差分分析，该方法利用密钥差分来攻击分组密码，这是因为Biham证明了许多分组密码的密钥编许多分组密码的密钥编排算法明显保持了密钥间的关系排算法明显保持了密钥间的关系这种方法与密码体制的轮数和加密函数无关DES算法数学上的复杂度也就是它的密钥强度。弱密钥:k(1)=k(2)=k(16)存在4种：64bit 0101010101010101 1F1F1F1F1F1F1F1F E0E0E0E0E0E0E0E0 FEFEFEFEFEFEFEFE半弱密钥只产生两种不同的内部密钥，每种出现8次。条件：1）寄存器C（或D）：01010101 或 10101010 2）另一寄存器D（或C）：00000000，11111111，01010101，或10101010说明：弱密钥和半弱密钥并不构成对算法保密性的威胁。5.中间相遇攻击这是一种适用于多重加密下的已知明文已知明文攻击.对DES来说，这种攻击方法需要256次加密，256个存贮记录针对DES密钥短的问题，Tuchman研制了80位的密钥，以及在DES的基础上采用三重DES和双密钥加密的方法。三重DES（或称3DES）方法的强度大约和112比特的密钥强度相当。这种方法用两个密钥对明文进行三次运算。具体过程如图所示:3.三重DES三重加密的思想在两个不同密钥作用下将加解密算法交叉使用，三重加密的思想在两个不同密钥作用下将加解密算法交叉使用，即即设两个密钥两个密钥K1和和K2，其算法步骤如下：，其算法步骤如下：（1）用密钥）用密钥K1进行进行DES加密加密（2）用）用K2对步骤对步骤1的结果进行的结果进行DES解密解密（3）用步骤）用步骤2的结果使用密钥的结果使用密钥K1进行进行DES加密。加密。如此一来，其效果相当于将密钥长度加倍如此一来，其效果相当于将密钥长度加倍。n尽管三重加密在二重加密基础上安全性有所改善，但由于仅使用两尽管三重加密在二重加密基础上安全性有所改善，但由于仅使用两个密钥，使得攻击的复杂度并没有达到三倍于原算法的效果个密钥，使得攻击的复杂度并没有达到三倍于原算法的效果nMerkle和和Hellman提出了一种提出了一种”时空折衷方法时空折衷方法”，可以用，可以用2l l-1次加密和次加密和2l l个存贮记录即可破译三重加密，这里个存贮记录即可破译三重加密，这里l为单个算法的密钥长度为单个算法的密钥长度4.3.3 IDEA算法 国际数据加密算法IDEA是瑞士的著名学者提出的。它在1990年正式公布并在以后得到增强。这种算法是在DES算法的基础上发展出来的，类似于三重DES。它也是对64bit大小的数据块加密的分组加密算法，密钥长度为128位，它基于“相异代数群上的混合运算”设计思想算法，用硬件和软件实现都很容易，且比DES在实现上快得多。IDEA自问世以来，已经历了大量的验证，对密码分析具有很强的抵抗能力，在多种商业产品中被使用。IDEA的密钥为128位，这么长的密钥在今后若干年内应该是安全的。IDEA算法也是一种数据块加密算法，它设计了一系列加密轮次，每轮加密都使用从完整的加密密钥中生成的一个子密钥。与DES的不同处在于，它采用软件实现和采用硬件实现同样快速。4.3.4 高级加密标准AES AES（高级加密标准）是美国联邦政府采用的商业及政府数据加密标准，预计将在未来几十年里代替DES在各个领域中得到广泛应用。AES提供128位密钥，128位AES的加密强度是56位DES加密强度的1021倍还多。假设可以制造一部可以在1秒内破解DES密码的机器，那么使用这台机器破解一个128位AES密码需要大约149万亿年的时间。1998年美国召开第一次AES候选会议，并公布了15个AES候选算法。经过一年的考察，MAPRS、RC6、Rijndael、Serpent、Twofish共5种算法通过了第二轮的筛选，2000年10月，确定Rijndael作为AES算法。Rijndael是带有可变块长和可变密钥长度的迭代块密码算法，块长和密钥长度可以分别指定为128、192或256位,对应的轮数是10、12、14。几种对称加密算法都在不同的场合得到具体的应用，具体的比较如表所示：