浅学DES加密。

基本概念

DES加密是一种对称加密算法。

使用 \(56\) 位密钥和 \(64\) 位明文块进行加密。

DES加密分组大小为 64 位, 如果需要加密的明文长度不足64位，需要进行填充；如果明文长度超过64位，则需要使用分组模式进行分组加密。

本身不咋安全的加密算法，算是 AES 的前身?(但感觉没啥太大关联)

算法用到的几个置换表是定下的（打CTF可以轻微背板，但要防一下魔改）

加密步骤

1.初始置换（IP）与逆初始置换（IP⁻¹）

初始置换是对 64 位明文的位进行重新排列，不改变数据内容，仅打乱顺序。它是一个固定的置换表，与密钥无关。

58,50,42,34,26,18,10,2,
60,52,44,36,28,20,12,4,
62,54,46,38,30,22,14,6,
64,56,48,40,32,24,16,8,
57,49,41,33,25,17,9,1,
59,51,43,35,27,19,11,3,
61,53,45,37,29,21,13,5,
63,55,47,39,31,23,15,7

（CTF逆向题里可以当作DES加密标志，但大概率被魔改）

例如：输入的第 58 位变为输出的第 1 位，第 50 位变为第 2 位，依此类推。
逆初始置换（IP⁻¹）是 IP 的逆操作，用于在 16 轮迭代后恢复数据的原始位序。IP 和 IP⁻¹ 的组合满足：IP⁻¹(IP (X))=X。

这个操作其实是为了服务于早期硬件的字节对齐，算不上加密（所以看不懂也没事，划掉），。

2.子密钥生成

子密钥生成过程将 56 位有效密钥扩展为 16 个 48 位的子密钥（K₁~K₁₆），每轮迭代使用一个。

步骤 1：PC-1 置换（密钥置换选择 1）

首先对 64 位原始密钥进行 PC-1 置换，去掉 8 个奇偶校验位（第 8,16,24,32,40,48,56,64 位），得到 56 位有效密钥，并将其分为左右各 28 位的两部分：C₀（左 28 位）和 D₀（右 28 位）。

pc-1 置换表：

57,49,41,33,25,17,9,
1,58,50,42,34,26,18,
10,2,59,51,43,35,27,
19,11,3,60,52,44,36,
63,55,47,39,31,23,15,
7,62,54,46,38,30,22,
14,6,61,53,45,37,29,
21,13,5,28,20,12,4

步骤 2：循环左移
对 C₀和 D₀分别进行 16 轮循环左移，每轮左移的位数由下表决定：

轮数i	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16
左移位数	1	1	2	2	2	2	2	2	1	2	2	2	2	2	2	1

左移后得到 Cᵢ和 Dᵢ（i=1~16）。例如：C₁是 C₀左移 1 位的结果，C₃是 C₂左移 2 位的结果。

步骤 3：PC-2 置换（密钥置换选择 2）

将每轮的 Cᵢ和 Dᵢ拼接成 56 位，再通过 PC-2 置换压缩为 48 位，得到第 i 轮子密钥 Kᵢ。

PC-2置换表如下：

14,17,11,24,1,5,
3,28,15,6,21,10,
23,19,12,4,26,8,
16,7,27,20,13,2,
41,52,31,37,47,55,
30,40,51,45,33,48,
44,49,39,56,34,53,
46,42,50,36,29,32

3. 16轮 Feistel迭代

DES加密最核心的部分。

每轮迭代的输入是上一轮的左半部分 Lᵢ₋₁和右半部分 Rᵢ₋₁（各 32 位），输出为 Lᵢ和 Rᵢ

满足：

Lᵢ = Rᵢ₋₁
Rᵢ = Lᵢ₋₁ XOR F(Rᵢ₋₁, Kᵢ)

其中 F 是Feistel 函数，是 DES 中唯一的非线性变换，也是安全性（并非安全）的关键。

Feistal函数的详细变换

具体比较复杂，简单来说：

F 函数接收 32 位输入 R 和 48 位子密钥 K，输出 32 位结果。

流程大致如下：

上一轮输入：Lᵢ₋₁ (32位)        Rᵢ₋₁ (32位)
                |                |
                |                v
                |            [F函数] ← Kᵢ
                |                |
                +--------> [XOR] <--+
                |                |
                v                v
本轮输出：  Lᵢ = Rᵢ₋₁        Rᵢ = Lᵢ₋₁ XOR F(Rᵢ₋₁, Kᵢ)

具体步骤：

1.扩展置换（E 盒）

将 32 位 R 扩展为 48 位，目的是与 48 位子密钥进行异或运算，同时增加扩散性。

E 盒扩展表如下：

32,1,2,3,4,5,
4,5,6,7,8,9,
8,9,10,11,12,13,
12,13,14,15,16,17,
16,17,18,19,20,21,
20,21,22,23,24,25,
24,25,26,27,28,29,
28,29,30,31,32,1

例如：输入的第 32 位变为输出的第 1 位，第 1 位变为第 2 位，依此类推。可以看到，每 4 位一组的首尾位会被重复，从而将 32 位扩展为 48 位。

步骤 2：与子密钥异或
将扩展后的 48 位数据与 48 位子密钥 Kᵢ进行按位异或运算。

步骤 3：S 盒代换（S-box）
这是 DES 中唯一的非线性操作，也是抵抗密码分析的核心。将异或后的 48 位数据分为 8 个 6 位的分组（B₁~B₈），每个分组输入一个对应的 S 盒（S₁~S₈），每个 S 盒输出 4 位，最终得到 32 位数据。

S 盒的工作原理：
对于 6 位输入 b₁b₂b₃b₄b₅b₆：
行号 = 2×b₁ + b₆（二进制转十进制，0~3）
列号 = 8×b₂ + 4×b₃ + 2×b₄ + b₅（二进制转十进制，0~15）
输出 = S 盒中对应行和列的数值（0~15，转换为 4 位二进制）

8 个 S 盒的内容（每个 S 盒是 4 行 16 列的表格）：

S1:
14,4,13,1,2,15,11,8,3,10,6,12,5,9,0,7,
0,15,7,4,14,2,13,1,10,6,12,11,9,5,3,8,
4,1,14,8,13,6,2,11,15,12,9,7,3,10,5,0,
15,12,8,2,4,9,1,7,5,11,3,14,10,0,6,13

S2:
15,1,8,14,6,11,3,4,9,7,2,13,12,0,5,10,
3,13,4,7,15,2,8,14,12,0,1,10,6,9,11,5,
0,14,7,11,10,4,13,1,5,8,12,6,9,3,2,15,
13,8,10,1,3,15,4,2,11,6,7,12,0,5,14,9

S3:
10,0,9,14,6,3,15,5,1,13,12,7,11,4,2,8,
13,7,0,9,3,4,6,10,2,8,5,14,12,11,15,1,
13,6,4,9,8,15,3,0,11,1,2,12,5,10,14,7,
1,10,13,0,6,9,8,7,4,15,14,3,11,5,2,12

S4:
7,13,14,3,0,6,9,10,1,2,8,5,11,12,4,15,
13,8,11,5,6,15,0,3,4,7,2,12,1,10,14,9,
10,6,9,0,12,11,7,13,15,1,3,14,5,2,8,4,
3,15,0,6,10,1,13,8,9,4,5,11,12,7,2,14

S5:
2,12,4,1,7,10,11,6,8,5,3,15,13,0,14,9,
14,11,2,12,4,7,13,1,5,0,15,10,3,9,8,6,
4,2,1,11,10,13,7,8,15,9,12,5,6,3,0,14,
11,8,12,7,1,14,2,13,6,15,0,9,10,4,5,3

S6:
12,1,10,15,9,2,6,8,0,13,3,4,14,7,5,11,
10,15,4,2,7,12,9,5,6,1,13,14,0,11,3,8,
9,14,15,5,2,8,12,3,7,0,4,10,1,13,11,6,
4,3,2,12,9,5,15,10,11,14,1,7,6,0,8,13

S7:
4,11,2,14,15,0,8,13,3,12,9,7,5,10,6,1,
13,0,11,7,4,9,1,10,14,3,5,12,2,15,8,6,
1,4,11,13,12,3,7,14,10,15,6,8,0,5,9,2,
6,11,13,8,1,4,10,7,9,5,0,15,14,2,3,12

S8:
13,2,8,4,6,15,11,1,10,9,3,14,5,0,12,7,
1,15,13,8,10,3,7,4,12,5,6,11,0,14,9,2,
7,11,4,1,9,12,14,2,0,6,10,13,15,3,5,8,
2,1,14,7,4,10,8,13,15,12,9,0,3,5,6,11

S 盒的设计原则：
每个 S 盒的输出不是输入的线性或仿射函数

改变输入的任意一位，输出至少有两位发生变化

对于任意输入差分，输出差分的概率尽可能均匀

步骤 4：P 盒置换

将 S 盒输出的 32 位数据进行 P 盒置换，进一步打乱位序，增强扩散性。

P盒置换表

16,7,20,21,
29,12,28,17,
1,15,23,26,
5,18,31,10,
2,8,24,14,
32,27,3,9,
19,13,30,6,
22,11,4,25

经过 P 盒置换后，得到 Feistel 函数 F 的最终 32 位输出。

4. 左右交换与逆初始置换

16 轮迭代结束后，得到 L₁₆和 R₁₆。此时需要进行一次左右交换，得到 (R₁₆, L₁₆)，然后将这 64 位数据输入逆初始置换 IP⁻¹，最终得到 64 位密文。