DES 算法实现

完整代码可见：des.go
本文中使用 Go 语言作为实现语言，但是重点在于实现的思路，要换成别的语言也很容易。

DES 加密算法看上去非常复杂，但是实际上大部分内容都是重复的，要实现 DES 加密，实际上只需要完成 $4$ 部分代码即可：

• S盒
• P盒
• 子密钥生成
• 轮函数

S盒(S-box)

S盒全称是 substitution box ，在 DES 中用于实现置换操作，是唯一实现非线性的步骤，直接决定了算法的优劣

在这里，S盒将输入的 $48$ 比特数据转换为 $32$ 比特输出
输入的 $48$ 比特将会分为 $8$ 组，每组 $6$ 比特
将其中前两个比特取出，作为行序号；后四个比特取出作为列序号
接着，按照该组对应的S盒代换表，结合行序号和列序号查询对应的值，作为输出

由于代换表每一行最大为 $15$ ($0b1111$)，因此输出为 $4 \times 8=32$ 比特

比如：如果输入为 $0b111000$ ，则最后一组为 $0b111000$ ，则需要在最后一组 S 盒代换表中找到 $0b10$ 行 $0b1100$ 列，也即 $2$ 行 $12$ 列，查表可知为 $15$，因此将 $0b111000$ 替换为 $0b1111$

这里额外提一下一个相关的问题：S盒是如何设计的？
首先需要了解一下 DES 的历史。1972 年，（美国）国家标准局(NBS，现NIST)征集一个用于加密非机密敏感信息的加密标准，并在第二轮征集中，达成了初步共识。在征集意见过程中，DES 的设计者们针对 NSA 提出质疑，他们认为自己设计的S盒被 NSA 削弱（官方称较短的密钥长度仍能保证安全性），最终双方妥协在 $64$ 位和 $48$ 位中取 $56$ 位作为最终密钥长度
并且 S 盒的设计已经考虑到了可能的差分分析，并且已经选择了抵抗差分分析较好的作为标准（但是这里有没有被留下后门也是未曾可知的）

尽管 S 盒很复杂，但是其仍然是可逆的，对于固定的 S 盒，是可以有一个逆 S 盒存在

S盒实现代码

func sbox(input bits.Bits) (output bits.Bits) {
	// 48 bits
	// pos := 0
	for i := 0; i < 8; i++ {
		offset := i * 6
		row := input.Get(offset)*1 + input.Get(offset+5)*2
		col := input.Get(offset+1)*1 + input.Get(offset+2)*2 + input.Get(offset+3)*4 + input.Get(offset+4)*8
		v := bits.Bits(sp[7-i][row][col])
		output = output | (v << (i * 4))
	}
	// 32 bits
	return
}

S盒代换表

// S盒代换表
sp = [][][]byte{
    {
        {14, 4, 13, 1, 2, 15, 11, 8, 3, 10, 6, 12, 5, 9, 0, 7},
        {0, 15, 7, 4, 14, 2, 13, 1, 10, 6, 12, 11, 9, 5, 3, 8},
        {4, 1, 14, 8, 13, 6, 2, 11, 15, 12, 9, 7, 3, 10, 5, 0},
        {15, 12, 8, 2, 4, 9, 1, 7, 5, 11, 3, 14, 10, 0, 6, 13},
    },
    {
        {15, 1, 8, 14, 6, 11, 3, 4, 9, 7, 2, 13, 12, 0, 5, 10},
        {3, 13, 4, 7, 15, 2, 8, 14, 12, 0, 1, 10, 6, 9, 11, 5},
        {0, 14, 7, 11, 10, 4, 13, 1, 5, 8, 12, 6, 9, 3, 2, 15},
        {13, 8, 10, 1, 3, 15, 4, 2, 11, 6, 7, 12, 0, 5, 14, 9},
    },
    {
        {10, 0, 9, 14, 6, 3, 15, 5, 1, 13, 12, 7, 11, 4, 2, 8},
        {13, 7, 0, 9, 3, 4, 6, 10, 2, 8, 5, 14, 12, 11, 15, 1},
        {13, 6, 4, 9, 8, 15, 3, 0, 11, 1, 2, 12, 5, 10, 14, 7},
        {1, 10, 13, 0, 6, 9, 8, 7, 4, 15, 14, 3, 11, 5, 2, 12},
    },
    {
        {7, 13, 14, 3, 0, 6, 9, 10, 1, 2, 8, 5, 11, 12, 4, 15},
        {13, 8, 11, 5, 6, 15, 0, 3, 4, 7, 2, 12, 1, 10, 14, 9},
        {10, 6, 9, 0, 12, 11, 7, 13, 15, 1, 3, 14, 5, 2, 8, 4},
        {3, 15, 0, 6, 10, 1, 13, 8, 9, 4, 5, 11, 12, 7, 2, 14},
    },
    {
        {2, 12, 4, 1, 7, 10, 11, 6, 8, 5, 3, 15, 13, 0, 14, 9},
        {14, 11, 2, 12, 4, 7, 13, 1, 5, 0, 15, 10, 3, 9, 8, 6},
        {4, 2, 1, 11, 10, 13, 7, 8, 15, 9, 12, 5, 6, 3, 0, 14},
        {11, 8, 12, 7, 1, 14, 2, 13, 6, 15, 0, 9, 10, 4, 5, 3},
    },
    {
        {12, 1, 10, 15, 9, 2, 6, 8, 0, 13, 3, 4, 14, 7, 5, 11},
        {10, 15, 4, 2, 7, 12, 9, 5, 6, 1, 13, 14, 0, 11, 3, 8},
        {9, 14, 15, 5, 2, 8, 12, 3, 7, 0, 4, 10, 1, 13, 11, 6},
        {4, 3, 2, 12, 9, 5, 15, 10, 11, 14, 1, 7, 6, 0, 8, 13},
    },
    {
        {4, 11, 2, 14, 15, 0, 8, 13, 3, 12, 9, 7, 5, 10, 6, 1},
        {13, 0, 11, 7, 4, 9, 1, 10, 14, 3, 5, 12, 2, 15, 8, 6},
        {1, 4, 11, 13, 12, 3, 7, 14, 10, 15, 6, 8, 0, 5, 9, 2},
        {6, 11, 13, 8, 1, 4, 10, 7, 9, 5, 0, 15, 14, 2, 3, 12},
    },
    {
        {13, 2, 8, 4, 6, 15, 11, 1, 10, 9, 3, 14, 5, 0, 12, 7},
        {1, 15, 13, 8, 10, 3, 7, 4, 12, 5, 6, 11, 0, 14, 9, 2},
        {7, 11, 4, 1, 9, 12, 14, 2, 0, 6, 10, 13, 15, 3, 5, 8},
        {2, 1, 14, 7, 4, 10, 8, 13, 15, 12, 9, 0, 3, 5, 6, 11},
    },
}

P盒(P-box)

P 盒全称为 permutation box。相对于 S 盒，P 盒则相对较为简单
P 盒有三种类型：

• 压缩性：输出位元数比输入少
• 扩张性：输出位元数比输入多
• 平直性：输出位元数等于输入位元数

对于 $p[5]=12$ ，其含义为将高至低第 $5$ 位的值放置到高至低 $12$ 位。
例如对于输入 $0b01110011$ ，置换表为 {2, 3, 4, 5, 6, 7, 8, 1}
则输出应为 $0b11100110$

通过 P 盒的置换，可以实现扩散功能，从而让明密文关系更难以分析

对于压缩性的 P 盒，由于输出的信息比输入的信息少，丢失了部分数据因此是不可逆的（但是，由于费斯妥密码的特性，尽管 P 盒不可逆导致了轮函数不可逆，但是仍然可以对 DES 进行解密操作）

P盒实现代码

// pbox P盒 置换盒
func pbox(input bits.Bits, key []int, inputLength int, outputLength int) (output bits.Bits) {
	for i := 0; i < len(key); i++ {
		v := input.Get(inputLength - key[i])
		output.SetValue(outputLength-i-1, v)
	}
	return
}

P盒置换表

// 初始置换
ip = []int{
    58, 50, 42, 34, 26, 18, 10, 2,
    60, 52, 44, 36, 28, 20, 12, 4,
    62, 54, 46, 38, 30, 22, 14, 6,
    64, 56, 48, 40, 32, 24, 16, 8,
    57, 49, 41, 33, 25, 17, 9, 1,
    59, 51, 43, 35, 27, 19, 11, 3,
    61, 53, 45, 37, 29, 21, 13, 5,
    63, 55, 47, 39, 31, 23, 15, 7,
}
// 轮函数拓展置换
ep = []int{
    32, 1, 2, 3, 4, 5,
    4, 5, 6, 7, 8, 9,
    8, 9, 10, 11, 12, 13,
    12, 13, 14, 15, 16, 17,
    16, 17, 18, 19, 20, 21,
    20, 21, 22, 23, 24, 25,
    24, 25, 26, 27, 28, 29,
    28, 29, 30, 31, 32, 1,
}
// 轮函数普通置换
pp = []int{
    16, 7, 20, 21,
    29, 12, 28, 17,
    1, 15, 23, 26,
    5, 18, 31, 10,
    2, 8, 24, 14,
    32, 27, 3, 9,
    19, 13, 30, 6,
    22, 11, 4, 25,
}
// 子密钥置换表1
pc1 = []int{
    57, 49, 41, 33, 25, 17, 9,
    1, 58, 50, 42, 34, 26, 18,
    10, 2, 59, 51, 43, 35, 27,
    19, 11, 3, 60, 52, 44, 36,
    63, 55, 47, 39, 31, 23, 15,
    7, 62, 54, 46, 38, 30, 22,
    14, 6, 61, 53, 45, 37, 29,
    21, 13, 5, 28, 20, 12, 4,
}
// 子密钥置换表2
pc2 = []int{
    14, 17, 11, 24, 1, 5,
    3, 28, 15, 6, 21, 10,
    23, 19, 12, 4, 26, 8,
    16, 7, 27, 20, 13, 2,
    41, 52, 31, 37, 47, 55,
    30, 40, 51, 45, 33, 48,
    44, 49, 39, 56, 34, 53,
    46, 42, 50, 36, 29, 32,
}

子密钥生成

子密钥生成将会根据输入的 $64$ 位，生成循环轮数数目的子密钥

这里首先会对输入密钥进行PC1置换，得到 $56$ 位密钥（扔掉用于校验的 $8$ 位）
而后将 $56$ 位密钥分为 $2$ 组 $28$ 位密钥

接着循环循环轮数次($16$ 次)，每次会对 $28$ 位密钥分别进行循环左移
循环左移后的结果拼接起来并进行PC2置换即为第 $i$ 个子密钥

接下面则继续对 $28$ 位密钥进行循环移位，生成其他密钥

这里，左移的位数也是固定的

// 子密钥左移位数
keyMove = []int{
    1, 1, 2, 2, 2, 2, 2, 2,
    1, 2, 2, 2, 2, 2, 2, 1,
}

子密钥生成实现代码

func getSubKey(key bits.Bits) (output []bits.Bits) {
	output = make([]bits.Bits, 16)

	// key 64 bit
	temp := pbox(key, pc1, 64, 56) // 56 bits

	C := temp.Mask(28)         // 28 bits
	D := (temp >> 28).Mask(28) // 28 bits

	for i := 0; i < 16; i++ {
		C = C.LeftLoop(keyMove[i], 28)
		D = D.LeftLoop(keyMove[i], 28)

		output[i] = ((D << 28) | C)              // 56 bits
		output[i] = pbox(output[i], pc2, 56, 48) // 48 bits
	}

	return
}

轮函数

轮函数是 DES 的安全性的关键。并且由于费斯妥密码的特性，轮函数不需要可逆，即可用同一函数实现加解密

在 DES 中，轮函数的输入为 $32$ 位，首先进行EP拓展置换，拓展为 $48$ 位，将其与该轮子密钥异或，接着对其进行 S 盒运算重新压缩成 $32$ 位，并最后进行PP置换作为结果

轮函数实现代码

func f(input bits.Bits, key bits.Bits) (output bits.Bits) {
	output = input                    // 32 bits
	output = pbox(output, ep, 32, 48) // 48 bits
	output = output ^ key             // 48 bits
	output = sbox(output)             // 32 bits
	output = pbox(output, pp, 32, 32) // 32 bits
	return
}

DES主函数

在所有操作执行前，首先进行IP置换（实际上这里没有什么必须的意义）
将 $64$ 位明文分割成 $2$ 组 $32$ 位明文，并按照费斯妥密码的要求，执行交换异或执行轮函数
在完成 $16$ 轮轮函数后，拼合两部分，并执行逆IP置换，输出密文

主函数实现代码

func DES(input bits.Bits, key bits.Bits) (output bits.Bits) {
	var temp bits.Bits
	L := make([]bits.Bits, 2)
	R := make([]bits.Bits, 2)

	output = pbox(input, ip, 64, 64)

	L[0] = (output >> 32).Mask(32) // 32 bits
	R[0] = output.Mask(32)         // 32 bits

	keys := getSubKey(key) // 48 bits

	for i := 0; i < runCount; i++ {
		this := i & 1
		next := (i ^ 1) & 1

		temp = f(R[this], keys[i]) // 32 bits

		L[next] = R[this]
		R[next] = temp ^ L[this]
	}
	output = (R[runCount&1] << 32) | L[runCount&1] // 64 bits
	output = pbox(output, inverse(ip), 64, 64)
	return
}