加密密钥等于脱密密钥，或者由一个可以轻易的计算出另一个的密码体制，称为单密钥密码体制，亦或称为对称密码体制或传统密码体制。其最具代表意义的当然属于DES密码体制了。

1、DES的设计背景

• 1973年5月 NBS(美国国家标准局)发布通告，征集一种加密算法
• 1974年8月 收到了IBM公司提交的算法
• 1976年11月 被推荐为联邦标准
• 1977年1月 发布
• 服役了20年

2、DES加密算法

$$\begin{gathered} 迭代型分组算法 \\ 分组长度/密钥长度：64bit \\ 有效密钥长度：56bit(8bit奇偶校验位) \\ 迭代圈数：16圈 \\ 圈密钥长度：48bit(即16圈中每一圈所要用到的密钥位数(bit)) \end{gathered}$$

形式化表达为：$DES(M)=I{P}^{-1}\circ T(16)\circ T(15)\circ ...\circ T(1)\circ IP(m)（由后向前运算）$
IP是初始置换，IP^-1是初始逆置换，T表示16组迭代圈函数。

图形化表达：

$前15圈的算法结构相同，16圈中每一圈都有不同的密钥值$

$$\begin{gathered} 由上图可知，前15圈模2加（亦或）后，左右进行了互换，而在第16圈则没有。 \\ 初始置换后，将64bit数据等分为2份32bit分别给予了L_0（Left）和R_0（Right） \end{gathered}$$

$2.1初始置换IP与逆初始置换I{P}^{-1}$

若某一位经过初始置换又经过了逆初始置换，则其位置并没有发生改变。即，IP和IP^-1互逆

如IP转换表中，第8位对应了数字2，即表示对应着第2位；
而在IP^-1转换表中，第二位对应了数字8，即表示对应着第8位；
此时正好又将位置转换了回去。$之前有提到过置换是一种古典密码$ 置换密码.
所以在设计置换表时可以参照此原则。

$2.2圈函数$

前15圈

右上角的$L_{i-1}$应该是$R_{i-1}$

• 本一圈的右部$R_{i-1}$ 直接作为下一圈的左部$L_i$ 进行后续的运算
• 本一圈的（左部$L_{i-1}$） 要与（经过 $f函数$ 的 $R_{i-1}$ 和本圈密钥$k_i$ 所得到的结果，$f(R_{i-1},k_i)$）进行模二加（亦或）运算之后作为下一圈的右部$R_i$ 进行后续的运算

$$\begin{gathered} 表达式为：(左部，右部)=(L_i,R_i)=(R_i,L_{i-1}⨁f(R_{i-1},k_i)) \\ ⨁模2加：0+0=0；0+1=1+0=1；1+1=0 \\ f(R_{i-1},k_i):表示在密钥k_i的影响下R_{i-1}的值。 \end{gathered}$$

第16圈

$(左部，右部)=(L_{16},R_{16})=(L_{15-1}⨁f(k_{16},R_{15-1}),R_{15})$
   \;
同前15圈相比，其左右部，一定意义上讲，没有发生交换。

• $$\begin{gathered} 这里的k_i是由64bit密钥产生的子密钥，k_i是48bit。 \\ DES的核心在于f(R_{i-1},k_i)函数的功能。f函数是将32bit的输入转化为32bit的输出。 \\ 其中涉及到了扩展和压缩。扩展是为了能和k_i进行模2加，压缩是为了最后要输出32bit \end{gathered}$$

$2.3f函数的构造$

$$\begin{gathered} f函数的内部构造: \\ E盒扩展； \\ E盒扩展后的值与圈密钥k进行模2加；（亦或运算） \\ S盒转换；（分为8个部分） \\ P盒变换； \end{gathered}$$
$图形化表示：$

$E盒扩展：$

将32bit扩展到48bit，先将32bit的字符分为8组，每一组的前后，分别添加上一个字符和下一个字符：
$$将\begin{array}{cccc}1& 2& 3& 4\\ 5& 6& 7& 8\\ 9& 10& 11& 12\\ 13& 14& 15& 16\\ & ......& & \\ 29& 30& 31& 32\end{array}⟹\begin{array}{cccccc}32& 1& 2& 3& 4& 5\\ 4& 5& 6& 7& 8& 9\\ 8& 9& 10& 11& 12& 13\\ 12& 13& 14& 15& 16& 17\\ ...& & ......& & & ...\\ 28& 29& 30& 31& 32& 1\end{array}$$
$$\begin{gathered} 如， \\ 在下标为1的字符前插入上一个字符。即，下标为32的字符； \\ 在下标为4的字符后插入下一个字符。即，下标为5的字符； \\ 在下标为32的字符后插入下一个字符。即，下标为1的字符； \\ 按照此规律扩展16bit。 \end{gathered}$$

$模2加$

就令经过E盒扩展后的48个2进制位逐一与密钥的48bit进行亦或运算。

$S盒代替$

将48bit转换为32bit

$S盒是唯一的非线性变换（非数学变换），其是DES中f函数的核心，S盒的好坏决定了该算法。$

$该S盒分为了8个子盒，对应着8张表(S_i)，每个表是4行16列，每个子盒的输入为6bit，输出为4bit$

先将输入的48bit分为8组6bit的数据对应于8个子盒，
$$\begin{gathered} 假定输入S_i盒的6个bit为b_1{b}_2{b}_3{b}_4{b}_5{b}_6（这里每一个b都是一个二进制位） \\ 另b_1{b}_6为十进制的n，令b_2{b}_3{b}_4{b}_5为十进制的m， \\ 在设计的表中找出对应的n行m列对应的数字，并转换为2进制作为本s_i盒的输出 \\ 下面有栗子： \end{gathered}$$

$$\begin{gathered} 栗子：如，向s_1盒中输入的6bit数为：101101 \\ {b}_1{b}_6为11，即十进制的3 \\ {b}_2{b}_3{b}_4{b}_5为0110，即十进制的6 \\ 在s_1中，第3行6列对应着数字1 \\ 所以最后的输出为0001 \\ 8组中每一个都会得到4bit的数据，最终会得到32bit的数据 \end{gathered}$$
$S盒作为DES的心脏，DES靠它实现非线性变换$

$P盒转换:$

其本质是一种置换
   \;
如原来的第1个bit被置换到第16个bit
该表格满足分组扩散与混乱原则。

3、密钥生成算法

加密的基本流程已经介绍完毕，那么如何将64bit的初始密钥生成16组48bit的圈密钥（子密钥）供每一圈使用呢？

$图形化表达为：$

$PC-1为，置换选择算法1（由64位筛选出56位）；$
$C和D是两个寄存器；$
$LS为移位运算（循环左移）$
$PC-2为，置换选择算法2（由58位选出48位的圈密钥）$

$置换选择1（PC-1）$

1. 抛去每个字节的最高位，即，第8，16，24，32，40，48，56，64位，只选择剩余的56位，被抛去的字节本来就是奇偶校验位。（用于验证完整性）
2. 将剩余的比特数，按照一定的规则，进行相应的置换。
3. 置换后，分别放在两个寄存器C和D中

置换规则：

如，将原来的第57bit换到第1位。置换后的前28bit放在C寄存器中，其余的放在D寄存器中。

$移位（LS）【两个28位密钥的寄存器循环左移】$

$$\begin{gathered} 规则： \\ 第1，2，9，16圈左移1位； \\ 其余都左移2位。 \end{gathered}$$

$L{S}_1、L{S}_2、L{S}_9、L{S}_{16}左移1位，其余L{S}_i左移2位$

$最后16圈左移结束后，移位数正好等于28$

$置换选择（PC-2）【由56位得到48位】$

按照此规则进行置换，同时去除了8位

4、脱密算法

DES的解密过程和DES加密完全类似，只不过将16圈的子密钥序列颠倒了一下，即，第一圈用$k_{16}$ 最后一圈用$k_1$。
$$\begin{gathered} 形式化表达为： \\ DE{S}^{-1}=I{P}^{-1}\circ T(1)\circ T(2)\circ ...\circ T(16)\circ IP(c)（由后向前运算） \end{gathered}$$

所以脱密的算法就在于圈密钥如何进行计算的

$圈函数的分解：$

一般地，圈函数可以表达为：$(左，右)=(x,y)=(y,x⨁f(y,k))$，第16圈显然不能用这个表示。
可将其看作两部分，

1. $(x,y)\to (x⨁f(y,k)，y)$，称为对合交换1。（Fesihel函数）
2. $(x⨁f(y,k)，y)\to (y,x⨁f(y,k))$，称为对合变换2。（左右块交换）【显然，第16圈并没有进行这一步骤】

$步骤一样，为了方便表示，我们将圈迭代看成3圈，最后一圈同第16圈一样,仅有对合变换1$

$可知，将C解密为M的过程为M加密为C的逆过程$

$将此3圈扩展为16圈即为DES的脱密过程$

总结

$最后附带一张手绘总结图$