分组密码

可逆只是功能要求，伪随机才是安全目标 ​

恒等映射 $E_K(x)=x$ 也可逆，却完全不隐藏输入。因此定义一个分组密码算法，还需要区分它是否满足所要求的安全性质。

常用目标是伪随机置换（PRP）：攻击者能够自行选择输入并观察输出，但难以区分自己访问的是随机密钥选出的 $E_K$，还是从全部 $b$ 位置换中均匀抽取的理想置换。比较对象是“随机选定、以后保持不变的一张置换”，不是每次查询都重新生成一个独立结果；同一输入被重复询问时，两种世界都应返回同一输出。[1]

更强的 strong PRP 模型允许攻击者同时查询正向和逆向 oracle，比较实际加密、解密与同一个理想置换及其逆。是否允许解密查询，改变了攻击者的能力，不能省略。

Luby–Rackoff 构造理路Feistel 网络与 Luby–Rackoff 定理Feistel network · Luby–Rackoff theorem用Feistel的可逆结构从PRF构造PRP，给出两轮与三轮的区分攻击，解释三轮正向安全和四轮双向安全的不同接口及生日项。把这个权限区别变成可检查的轮数差异：独立轮 PRF 的三轮 Feistel 可达正向 PRP 安全，允许逆查询时却有结构性攻击；四轮版本才具有相应的强 PRP 保证。安全界还包含随查询数平方增长的半块碰撞项。

伪随机函数理路伪随机函数Pseudorandom function · PRF由短密钥索引且对高效查询者不可与真随机函数区分的函数族。（PRF）的理想对象则是随机函数，允许不同输入发生碰撞。对 $q$ 个不同输入，随机函数出现碰撞的概率至多为 $q(q-1)/2^{b+1}$，而置换不会碰撞。这是 PRP/PRF switching 中生日尺度的来源：在适当查询模型下、$q\ll 2^{b/2}$ 时，两种理想对象可以很接近；它们仍不是同一个定义。

分组长度和密钥长度控制不同的东西 ​

AES 的分组长度固定为 $128$ 位，密钥长度可以是 $128$、$192$ 或 $256$ 位。因此 AES-256 的“256”是密钥长度，不是一次加密 $256$ 位数据。[2]

分组长度决定输入、输出空间的大小以及许多工作模式中的数据量界。密钥长度决定密钥空间规模，并影响穷举密钥的成本。增加密钥长度不会自动增加分组空间，也不会自动修复工作模式的错误使用。

AES 通过密钥扩展和若干轮可逆变换实现置换。理解接口时只需记住：单次 $E_K$ 的输入仍然恰好是一个分组。任意长度文件的分块、消息之间怎样避免重复、是否验证篡改，都不属于这个接口本身。

怎样从一个分组处理整条消息 ​

最直接的 ECB 方式对每个明文块分别计算 $C_i=E_K(M_i)$。其问题可以用一个等价式看清：

相同块的重复模式被原样暴露。即使底层置换达到理想 PRP 目标，这个事实也不会消失，因为任何置换都会保持“相等还是不相等”的关系。

CTR 模式改为加密一个个计数块，再与消息异或：

这里 $N$ 与计数器经过明确编码，合起来必须恰好占 $b$ 位。解密仍用同样的密钥流异或，并不需要调用 $D_K$。这样，一个固定长度的分组密码也能成为流式加密理路流密码Stream cipher以密钥、nonce 与流位置解释异或加密，区分计算伪随机性、密钥流复用、同步和认证。的构件；“流密码”与“分组密码”不是按整个应用能否流式处理来划分的。

关键条件是：同一密钥下，送入 $E_K$ 的完整计数块不能重复，既包括不同消息之间，也包括单条消息内部的计数器回绕。若同一密钥流块 $S$ 被用于两个明文块，就有

暴露两者的关系。这里的错误来自重复使用模式输入，不要求破解底层 AES。[1]

保密与认证需要不同的保证 ​

仅有可逆加密没有说明接收方怎样识别篡改。以 CTR 为例，把密文改为 $C\oplus \mathrm{\Delta }$，解密就得到 $M\oplus \mathrm{\Delta }$；攻击者甚至不必知道明文，也能施加这个确定的变化。

认证加密理路认证加密Authenticated encryption · AE同时提供机密性与密文完整性的对称加密接口和安全目标。进一步结合保密与完整性验证。描述一个实际方案时，应完整说明“分组密码＋工作模式＋密钥长度＋nonce/计数规则＋认证方式”，而不是只用“AES”代替整套协议。分组密码负责提供可逆的伪随机变换，工作模式负责把它组织成具有消息级保证的机制。

CMAC理路CMAC的末块认证CMAC · Cipher-based message authentication code · OMAC1用两个相关子密钥区分完整与填充末块，执行AES-CMAC标准向量，并说明裸CBC标签为何不能安全认证任意变长消息。用完整/填充末块的不同秘密掩码，把固定块置换组成变长消息认证。AES-GCM理路AES-GCM的计数加密与多项式认证AES-GCM · Galois/Counter Mode · GCM固定96位IV与128位标签，逐块计算GCM的CTR、GHASH和长度认证，并从重复IV的两个一块记录构造新鲜有效标签。进一步给出计数加密、GHASH和长度认证的逐块执行；AES-SIV理路AES-SIV的合成IV认证加密AES-SIV · Synthetic IV · SIV-AES · S2V把有边界的关联数据向量与明文认证成合成IV，再做CTR；执行两个RFC向量，并区分重复nonce的相等泄漏、认证与重放状态。则先认证关联数据向量与明文，再生成合成IV。三者分别规定输入、密钥分工和使用预算，不能仅凭“AES”名称互换。