4. DES 算法：数据加密标准

DES（Data Encryption Standard）是密码学史上最具影响力的对称分组密码算法之一。1977 年由美国国家标准局（NIST 前身）正式采纳为联邦标准，奠定了现代分组密码设计的基石。DES 使用 56 位密钥对 64 位数据块进行加密，核心结构为 16 轮 Feistel 网络。

4.1 算法总体流程

DES 加密过程分为三个主要阶段：初始置换（IP）、16 轮 Feistel 迭代、逆初始置换（IP^-1）。下图展示了 DES 的完整加密流水线：

4.2 初始置换与逆初始置换

IP 置换将 64 位明文按固定置换表重新排列，IP^-1 为其逆操作。这两个置换与密码强度无关，仅用于简化硬件布线。

4.3 16 轮 Feistel 结构与轮函数

DES 的核心是 16 轮 Feistel 迭代。每轮使用 48 位子密钥对右半块（32 位）进行轮函数 F 处理，再与左半块异或。轮函数 F 包含四个步骤：

1. 扩展置换（E 盒）：将 32 位右半块扩展为 48 位，增加冗余和扩散性。
2. 异或子密钥：48 位扩展结果与 48 位子密钥 Kᵢ 逐位异或。
3. S 盒替换：将 48 位数据分为 8 组，每组 6 位输入对应 4 位输出。8 个 S 盒（S₁~S₈）是 DES 唯一的非线性组件，提供密码强度核心保障。
4. P 盒置换：32 位 S 盒输出按固定置换表重新排列，增强比特扩散。

4.4 S 盒与 P 盒详解

下表列出 8 个 S 盒的基本参数：

P 盒置换将 32 位输入按固定映射重新排列，确保每个 S 盒的输出比特扩散到下一轮多个 S 盒的输入中。P 盒置换表（十进制索引，1-based）：

P 盒置换表（32 位输出顺序）：
16, 7, 20, 21, 29, 12, 28, 17,
 1, 15, 23, 26,  5, 18, 31, 10,
 2,  8, 24, 14, 32, 27,  3,  9,
19, 13, 30,  6, 22, 11,  4, 25

4.5 密钥调度算法

DES 使用 64 位密钥（含 8 位奇偶校验位，有效密钥长度 56 位），通过密钥调度生成 16 个 48 位子密钥。流程如下：

1. PC-1 置换：去除 8 位奇偶校验位，将 56 位密钥分为 C₀（28 位）和 D₀（28 位）。
2. 循环左移：每轮对 Cᵢ 和 Dᵢ 分别循环左移 1 位或 2 位（第 1、2、9、16 轮左移 1 位，其余左移 2 位）。
3. PC-2 置换：从 56 位（Cᵢ + Dᵢ）中选择 48 位作为子密钥 Kᵢ。

4.6 3DES（三重 DES）

由于 DES 的 56 位密钥已不满足安全需求，3DES 通过级联三次 DES 操作提升安全性。最常用的模式为 EDE（Encrypt-Decrypt-Encrypt）：

3DES-EDE 加密：C = E_{K₃}(D_{K₂}(E_{K₁}(P)))
3DES-EDE 解密：P = D_{K₁}(E_{K₂}(D_{K₃}(C)))

3DES 支持三种密钥选项：

4.7 DES 的安全性与局限性

DES 在密码学历史上具有里程碑意义，但现代视角下存在明显不足：

• 密钥长度过短：56 位密钥在 1999 年已被 EFF 的 Deep Crack 在 22 小时内暴力破解。现代 FPGA/ASIC 集群可在数分钟内完成穷举。
• 分组大小不足：64 位分组在 CBC/CTR 等模式下，约 2³² 分组后碰撞概率达到 50%，易受 Sweet32 等攻击。
• 互补性缺陷：DES 具有互补性质：E_K(P) = C 时，E_¬K(¬P) = ¬C，可将暴力搜索空间减半。
• S 盒设计未公开：S 盒设计准则直到 1990 年代才部分公开，早期引发对后门的担忧（后续分析表明 S 盒对差分密码分析有最优抵抗性）。
• 弱密钥与半弱密钥：存在 4 个弱密钥（子密钥全相同）和 12 个半弱密钥（成对出现），使用时应排除。

下表总结 DES 的主要参数与安全指标：