1. 项目概述为什么选择手搓DES如果你正在学习密码学或者对数据安全背后的原理感到好奇那么DESData Encryption Standard绝对是一个绕不开的里程碑。很多教材和教程一上来就甩给你一张复杂的流程图告诉你这里有16轮迭代那里有S盒替换、P盒置换还有一堆让人眼花缭乱的初始置换和逆初始置换表。结果往往是流程背得滚瓜烂熟但关上书脑子里只剩下一团乱麻完全不知道这些步骤是如何协同工作把一个明文变成密文的。这就是“死记硬背”的弊端。密码学尤其是对称加密其精髓在于理解每一步变换的“意图”和“效果”。DES作为一个经典的Feistel结构密码其设计思想非常精妙但仅靠文字描述和静态图表很难建立起直观的、动态的理解。所以我决定换一种方式用Python亲手实现一个完整的DES加密器。这不是为了造一个生产级的轮子事实上DES因其56位的短密钥已不再安全不应用于实际加密而是为了一个更重要的目的——通过代码的构建过程彻底搞懂DES的每一个细节。当你亲手写出S盒查询的函数当你调试P盒置换后比特位的变化当你看到一轮轮迭代如何逐步混淆和扩散数据时那些枯燥的表格和流程瞬间就变得鲜活、可理解了。这个项目特别适合有一定Python基础熟悉列表、字典、位运算的开发者以及对密码学原理感兴趣的任何人。我们不止步于“调用一个库”而是要深入到比特层面看看加密到底是怎么“炼”成的。接下来我们就从最核心的设计思路开始拆解。2. 核心思路拆解Feistel结构与DES的骨架在动手写代码之前我们必须先理解DES赖以运转的核心框架——Feistel网络。理解了这个结构DES的16轮迭代就不再是魔法而是一种清晰、对称且可逆的机械过程。2.1 Feistel网络的精妙之处Feistel结构的核心思想可以概括为“分而治之”和“迭代混淆”。它将输入的64位明文块分成左右两半各32位我们称之为L0和R0。然后进行多轮DES是16轮相同的操作每一轮的操作公式都极其简洁L[i] R[i-1]R[i] L[i-1] XOR F(R[i-1], K[i])这里的F函数是每一轮的核心也是加密安全性的关键我们稍后会详细剖析。K[i]是第i轮使用的48位子密钥。这个结构最精妙的地方在于它的可逆性。仔细观察公式要解密我们几乎不需要一个独立的“解密算法”只需要把子密钥的顺序倒过来使用即可。因为R[i-1] L[i]L[i-1] R[i] XOR F(L[i], K[i])注意这里L[i]就是上一轮的R[i-1]这意味着加密和解密可以使用几乎相同的代码逻辑只是子密钥的输入顺序相反。这大大简化了硬件和软件的实现。我们的Python实现也会充分利用这一点。2.2 DES的整体流程蓝图基于Feistel结构DES的完整流程可以分解为几个大的阶段我们的代码结构也将与之对应初始置换IP对输入的64位明文进行一个固定的比特位置换。这步没有密码学意义据说只是为了兼容早期硬件。16轮Feistel迭代这是加密的主体。每一轮都使用一个由主密钥生成的、不同的48位子密钥K[i]。32位交换16轮迭代后将最后得到的左半部分和右半部分交换一次。因为最后一轮结束后按照公式左右两部分没有交换而解密过程期望从交换后的状态开始所以这里需要补一次交换。逆初始置换IP⁻¹对交换后的64位数据再做一次置换它是初始置换的逆操作得到最终的64位密文。同时还有一个并行的、至关重要的过程子密钥生成。它接收一个64位的密钥其中8位是奇偶校验位实际有效为56位通过置换选择、循环左移、压缩置换等步骤生成16个48位的子密钥。我们的代码将围绕这几个模块来构建。理解了这个蓝图我们就可以开始填充具体的“血肉”了。3. 核心模块详解从比特操作到轮函数F实现DES本质上是在和比特串打交道。因此我们首先要建立一些基础的比特操作工具函数然后攻克最复杂的轮函数F(R, K)。3.1 基础工具函数比特世界的螺丝刀在Python中我们可以用整数来表示比特串用位运算,|,^,,来进行操作。但为了清晰我们定义一些更直观的函数。def text_to_bits(text): 将字符串转换为64位8字节整数列表不足补零。 # 每个字符转为其ASCII码的8位二进制表示 bits [] for char in text: bits.extend([int(b) for b in format(ord(char), 08b)]) # DES处理64位块所以我们需要分组。这里返回一个列表每个元素是一个64位整数。 # 简单起见假设输入是8字符正好64位。 if len(bits) ! 64: bits.extend([0] * (64 - len(bits))) # 补零 # 将比特列表转换为一个整数 block 0 for bit in bits: block (block 1) | bit return block def bits_to_text(block): 将64位整数转换回字符串仅处理可打印字符部分。 bits [(block i) 1 for i in range(63, -1, -1)] # 获取比特列表 chars [] for i in range(0, 64, 8): byte_bits bits[i:i8] byte_val 0 for bit in byte_bits: byte_val (byte_val 1) | bit if 32 byte_val 126: # 可打印ASCII范围 chars.append(chr(byte_val)) else: chars.append(.) # 非打印字符用点代替 return .join(chars).rstrip(\x00) def permute(block, permutation_table, input_bits): 通用置换函数。 block: 输入的整数。 permutation_table: 置换表列表内容是指定位的位置从1开始计数。 input_bits: 输入块的比特长度。 返回置换后的整数。 result 0 for pos in permutation_table: # 从原block中提取第pos位从左边最高位为1开始计 bit (block (input_bits - pos)) 1 result (result 1) | bit return resultpermute函数是DES的瑞士军刀IP置换、PC-1置换、P盒置换等等本质上都是调用这个函数只是传入的置换表不同。理解这个函数就理解了DES中所有“表格”的本质它们就是一个“索引映射器”告诉我们应该把原数据的第几位放到新数据的第几位。3.2 轮函数F(R, K)的完全拆解轮函数F是DES安全性的心脏它接受32位的右半部分R和48位的子密钥K输出一个32位的结果。它包含四个精密的步骤第1步扩展置换E盒将32位的R扩展为48位。扩展规则表E定义了输出48位中每一位对应输入32位中的哪一位。它有一个特点将输入的某些位重复使用。例如输入的第32位同时出现在输出的第1位和第47位。这样做的目的是为了在后续与子密钥K进行异或时能影响更多的S盒增强“扩散”效果。# 扩展置换表 E (48位) E_TABLE [ 32, 1, 2, 3, 4, 5, 4, 5, 6, 7, 8, 9, ... 28, 29, 30, 31, 32, 1 ] def expand(block_32): 将32位数据扩展为48位。 return permute(block_32, E_TABLE, 32)第2步与子密钥异或将扩展后的48位结果与48位的子密钥K[i]进行按位异或XOR操作。这是将密钥引入加密过程的步骤提供了“混淆”。def xor(a, b, bits): 对两个bits位长的整数进行异或。 return a ^ b # Python整数异或我们通过bits参数确保传入正确位宽的数据第3步S盒替换核心的非线性变换这是DES中最关键、最神秘的部分。上一步得到的48位结果被分成8组每组6位分别送入8个不同的S盒Substitution Box中。每个S盒是一个4行16列的查找表它接收6位输入输出4位。S盒的工作原理以S1为例输入的6位记为b1 b2 b3 b4 b5 b6。b1和b6组合成一个2位的行号0-3。b2 b3 b4 b5组合成一个4位的列号0-15。根据行号和列号在S1盒的表格中查找得到一个0-15的数字将其转换为4位二进制输出。# S盒示例S1 S1 [ [14, 4, 13, 1, 2, 15, 11, 8, 3, 10, 6, 12, 5, 9, 0, 7], [0, 15, 7, 4, 14, 2, 13, 1, 10, 6, 12, 11, 9, 5, 3, 8], [4, 1, 14, 8, 13, 6, 2, 11, 15, 12, 9, 7, 3, 10, 5, 0], [15, 12, 8, 2, 4, 9, 1, 7, 5, 11, 3, 14, 10, 0, 6, 13] ] def s_box_substitution(block_48): S盒替换48位输入32位输出。 output 0 # 8个S盒 s_boxes [S1, S2, S3, S4, S5, S6, S7, S8] for i in range(8): # 提取6位 six_bits (block_48 (42 - i*6)) 0x3F # 0x3F 0b111111 # 计算行和列 row ((six_bits 0x20) 4) | (six_bits 0x01) # 取头尾两位 col (six_bits 1) 0x0F # 取中间四位 # 查表 val s_boxes[i][row][col] # 合并输出 output (output 4) | val return outputS盒的设计是DES安全性的基石。它的非线性特性输出不随输入线性变化使得加密过程异常复杂能够有效抵抗差分密码分析等攻击。每个S盒都是经过精心设计的确保其具有良好的密码学性质。第4步P盒置换将S盒输出的32位结果通过一个固定的置换表P进行重新排列。这个置换的目的是将单个S盒的输出位快速地扩散到下一轮的不同位置使得多轮之后密文的每一位都依赖于明文的很多位和密钥的很多位这就是“扩散”效应。# P盒置换表 P_TABLE [ 16, 7, 20, 21, 29, 12, 28, 17, ... 22, 11, 4, 25 ] def p_box_permutation(block_32): P盒置换。 return permute(block_32, P_TABLE, 32)至此轮函数F就完成了。它通过扩展、异或、非线性替换和线性置换将密钥和明文数据充分混合。3.3 子密钥生成从一把钥匙到16把钥匙DES使用一个64位的密钥8字节但实际参与加密的只有56位每字节的第8位是奇偶校验位。子密钥生成过程如下置换选择1PC-1从64位密钥中选出56位有效位并进行一次置换。这56位被分成两个28位的半部分C0和D0。循环左移对于每一轮ii从1到16C(i-1)和D(i-1)分别进行循环左移。左移的位数由一个表规定第1、2、9、16轮左移1位其余轮左移2位。置换选择2PC-2将循环左移后的Ci和Di合并成56位再通过PC-2置换压缩并重排输出48位的子密钥K[i]。def generate_subkeys(key_64): 生成16个48位的子密钥。 # PC-1置换得到56位有效密钥并分成C0, D0 key_56 permute(key_64, PC1_TABLE, 64) c (key_56 28) 0xFFFFFFF # 高28位 d key_56 0xFFFFFFF # 低28位 subkeys [] shift_schedule [1, 1, 2, 2, 2, 2, 2, 2, 1, 2, 2, 2, 2, 2, 2, 1] # 左移位数表 for shift in shift_schedule: # 循环左移 c ((c shift) | (c (28 - shift))) 0xFFFFFFF d ((d shift) | (d (28 - shift))) 0xFFFFFFF # 合并并PC-2置换 cd_56 (c 28) | d subkey permute(cd_56, PC2_TABLE, 56) subkeys.append(subkey) return subkeys注意解密时子密钥的使用顺序正好相反。即加密时用K1到K16解密时用K16到K1。这正是Feistel结构优雅的地方。4. 完整组装与调试让DES加密器跑起来有了所有的基础模块我们现在可以把它们像拼图一样组装起来形成一个完整的DES加密函数。4.1 加密函数的实现def des_encrypt(block_64, key_64): DES加密一个64位数据块。 # 1. 生成16个子密钥 subkeys generate_subkeys(key_64) # 2. 初始置换 IP block permute(block_64, IP_TABLE, 64) # 3. 分割成L0和R0 (各32位) l (block 32) 0xFFFFFFFF r block 0xFFFFFFFF # 4. 16轮Feistel迭代 for i in range(16): l_next r # 计算 F(R, K) expanded_r expand(r) # 扩展置换 xored expanded_r ^ subkeys[i] # 与子密钥异或 substituted s_box_substitution(xored) # S盒替换 f_result p_box_permutation(substituted) # P盒置换 r_next l ^ f_result # 新的右半部分 # 更新L和R准备下一轮 l, r l_next, r_next # 5. 32位交换 (最后一轮后L和R没有交换所以这里交换回来) combined (r 32) | l # 6. 逆初始置换 IP^-1 cipher_block permute(combined, IP_INV_TABLE, 64) return cipher_block4.2 解密函数的实现得益于Feistel结构解密函数与加密函数高度相似唯一的区别是子密钥的使用顺序。def des_decrypt(block_64, key_64): DES解密一个64位数据块。 subkeys generate_subkeys(key_64) # 解密时子密钥逆序使用 subkeys_rev subkeys[::-1] block permute(block_64, IP_TABLE, 64) l (block 32) 0xFFFFFFFF r block 0xFFFFFFFF for i in range(16): l_next r expanded_r expand(r) xored expanded_r ^ subkeys_rev[i] # 使用逆序的子密钥 substituted s_box_substitution(xored) f_result p_box_permutation(substituted) r_next l ^ f_result l, r l_next, r_next combined (r 32) | l plain_block permute(combined, IP_INV_TABLE, 64) return plain_block4.3 主函数与测试我们可以写一个简单的主函数来测试我们的DES实现。为了直观我们使用一个简单的8字符64位的明文和密钥。def main(): # 示例使用ASCII字符串正好8个字符 plaintext HelloDES key_text 8ByteKey print(f明文: {plaintext}) print(f密钥: {key_text}) # 转换为64位整数 plain_block text_to_bits(plaintext) key_block text_to_bits(key_text) print(f明文块 (十六进制): {plain_block:016X}) print(f密钥块 (十六进制): {key_block:016X}) # 加密 cipher_block des_encrypt(plain_block, key_block) print(f密文块 (十六进制): {cipher_block:016X}) print(f密文 (尝试解读): {bits_to_text(cipher_block)}) # 解密 decrypted_block des_decrypt(cipher_block, key_block) print(f解密块 (十六进制): {decrypted_block:016X}) print(f解密文本: {bits_to_text(decrypted_block)}) # 验证 if decrypted_block plain_block: print(✓ 加解密测试成功) else: print(✗ 加解密测试失败) if __name__ __main__: main()运行这个程序你应该能看到类似以下的输出这证明你的DES加密器基本工作正常明文: HelloDES 密钥: 8ByteKey 明文块 (十六进制): 48656C6C6F444553 密钥块 (十六进制): 38427974654B6579 密文块 (十六进制): 1A624D1CEC502B7A 密文 (尝试解读): .$M..P.z 解密块 (十六进制): 48656C6C6F444553 解密文本: HelloDES ✓ 加解密测试成功注意密文输出为乱码或不可打印字符是正常的因为加密过程已经彻底打乱了原始数据的比特模式。5. 关键问题排查与深度思考在实现和调试过程中你几乎一定会遇到各种问题。下面是我在“手搓”过程中踩过的坑和总结的经验这可能是比代码本身更有价值的部分。5.1 常见错误与调试技巧比特序问题这是最大的坑。DES标准文档中的比特编号通常是从左到右为1到64最高位为1。而我们在编程时整数在内存中通常是低位在右。我们的permute函数设计为从“逻辑左端”高位开始取位就是为了匹配标准。务必确保你的置换表、S盒的行列计算与你的比特提取逻辑一致。一个有效的调试方法是用已知的、简单的输入输出测试每个置换函数。例如用一个所有位为0仅第1位为1的输入测试IP置换看输出是否与标准表定义的位置一致。整数位宽溢出Python的整数没有固定位宽但DES要求严格限定在64位、48位、32位等。在进行移位或合并操作时一定要用掩码 0xFFFFFFFF等截断高位防止因符号扩展或无限位宽导致的数据污染。S盒查表错误S盒的行列计算很容易出错。记住行号由输入的第1位和第6位决定列号由中间4位决定。在代码中清晰地使用位掩码来提取这些位并打印中间结果进行验证。可以单独写一个测试函数输入一个6位数手动计算行列再与程序输出对比。子密钥生成错误确保PC-1置换后正确地分成了两个28位的部分C0和D0。循环左移时要使用28位的掩码0xFFFFFFF来确保移出的位从另一端正确补入。PC-2置换是从56位到48位注意输入位数参数是56。5.2 从DES理解现代密码学设计原则通过亲手实现DES你不仅能记住流程更能深刻体会到现代分组密码设计的核心思想混淆通过S盒的非线性变换和与密钥的异或操作使得密文与密钥之间的关系变得极其复杂无法从密文中推断出密钥。S盒是混淆的主要来源。扩散通过P盒置换、扩展置换E以及Feistel结构本身使得明文或密钥中一位的改变能够影响到密文中许多位的变化。这增加了密码的强度使得统计分析攻击变得困难。迭代结构单轮的变换强度有限。通过多轮迭代DES是16轮混淆和扩散的效果被指数级放大最终达到足够的安全性。每一轮都使用不同的子密钥进一步增加了复杂度。5.3 DES的局限性与AES的演进我们实现DES是为了学习而不是为了应用。DES最大的问题在于其56位的密钥长度。随着计算能力的飞速发展暴力破解56位密钥2^56种可能在当今已完全可行。因此DES在实际中已被更安全的AESAdvanced Encryption Standard所取代。AES如AES-128采用了更简洁的SPNSubstitution-Permutation Network结构而非Feistel结构。它同样包含字节替换类似S盒、行移位、列混合提供强扩散和轮密钥加等步骤。理解DES后你再去看AES的流程图会发现很多概念是相通的学习曲线会平缓很多。6. 项目扩展与实用化思考一个能工作的基础DES加密器已经完成但要让它更实用、更像一个学习工具还可以做以下扩展支持工作模式我们实现的是ECBElectronic Codebook模式即每个64位块独立加密。这在现实中是不安全的因为相同的明文块会产生相同的密文块会暴露数据模式。你可以尝试实现CBCCipher Block Chaining模式它需要一个初始化向量IV并且每个块的加密都依赖于前一个块的密文安全性更高。这能让你理解分组密码如何加密长于一个块的消息。处理任意长度文本我们的示例只处理了恰好64位8字节的数据。你需要实现一个填充方案比如PKCS#7来处理任意长度的数据。加密前填充到块大小的整数倍解密后去除填充。可视化调试工具这是最好的学习辅助。你可以用Python的tkinter或网页前端创建一个图形界面实时展示每一轮迭代后L和R的值、经过E盒扩展后的数据、与子密钥异或的结果、每个S盒的输入输出、P盒置换前后的对比等。亲眼看到比特如何流动和变化理解会深刻十倍。与标准库对比验证使用Python的pycryptodome或cryptography库中的DES实现用相同的密钥和明文进行加密对比输出结果是否完全一致。这是验证你手搓实现正确性的终极方法。探索差分分析理解了S盒和P盒的细节后你可以尝试去阅读一些关于差分密码分析攻击DES的简化介绍。你会真正明白为什么S盒的那些特定数字排列是为了抵抗这种强大的攻击而精心设计的。这会将你的理解从“如何实现”提升到“为何这样设计”的层面。手搓DES的过程就像拆解一台精密的机械钟表。一开始你看到的是一堆齿轮置换表和发条S盒。当你一步步把它们组装起来并看到指针开始走动成功加解密时你获得的不仅是一个能运行的程序更是一种对对称加密核心原理的、刻在肌肉记忆里的理解。以后再看到任何加密算法的流程图你都会有一种“哦这不过是另一种形式的S盒和P盒在跳舞”的自信。这才是这个项目最大的价值。
手搓DES加密器：Python实现与密码学原理深度解析
发布时间：2026/7/21 6:54:47
1. 项目概述为什么选择手搓DES如果你正在学习密码学或者对数据安全背后的原理感到好奇那么DESData Encryption Standard绝对是一个绕不开的里程碑。很多教材和教程一上来就甩给你一张复杂的流程图告诉你这里有16轮迭代那里有S盒替换、P盒置换还有一堆让人眼花缭乱的初始置换和逆初始置换表。结果往往是流程背得滚瓜烂熟但关上书脑子里只剩下一团乱麻完全不知道这些步骤是如何协同工作把一个明文变成密文的。这就是“死记硬背”的弊端。密码学尤其是对称加密其精髓在于理解每一步变换的“意图”和“效果”。DES作为一个经典的Feistel结构密码其设计思想非常精妙但仅靠文字描述和静态图表很难建立起直观的、动态的理解。所以我决定换一种方式用Python亲手实现一个完整的DES加密器。这不是为了造一个生产级的轮子事实上DES因其56位的短密钥已不再安全不应用于实际加密而是为了一个更重要的目的——通过代码的构建过程彻底搞懂DES的每一个细节。当你亲手写出S盒查询的函数当你调试P盒置换后比特位的变化当你看到一轮轮迭代如何逐步混淆和扩散数据时那些枯燥的表格和流程瞬间就变得鲜活、可理解了。这个项目特别适合有一定Python基础熟悉列表、字典、位运算的开发者以及对密码学原理感兴趣的任何人。我们不止步于“调用一个库”而是要深入到比特层面看看加密到底是怎么“炼”成的。接下来我们就从最核心的设计思路开始拆解。2. 核心思路拆解Feistel结构与DES的骨架在动手写代码之前我们必须先理解DES赖以运转的核心框架——Feistel网络。理解了这个结构DES的16轮迭代就不再是魔法而是一种清晰、对称且可逆的机械过程。2.1 Feistel网络的精妙之处Feistel结构的核心思想可以概括为“分而治之”和“迭代混淆”。它将输入的64位明文块分成左右两半各32位我们称之为L0和R0。然后进行多轮DES是16轮相同的操作每一轮的操作公式都极其简洁L[i] R[i-1]R[i] L[i-1] XOR F(R[i-1], K[i])这里的F函数是每一轮的核心也是加密安全性的关键我们稍后会详细剖析。K[i]是第i轮使用的48位子密钥。这个结构最精妙的地方在于它的可逆性。仔细观察公式要解密我们几乎不需要一个独立的“解密算法”只需要把子密钥的顺序倒过来使用即可。因为R[i-1] L[i]L[i-1] R[i] XOR F(L[i], K[i])注意这里L[i]就是上一轮的R[i-1]这意味着加密和解密可以使用几乎相同的代码逻辑只是子密钥的输入顺序相反。这大大简化了硬件和软件的实现。我们的Python实现也会充分利用这一点。2.2 DES的整体流程蓝图基于Feistel结构DES的完整流程可以分解为几个大的阶段我们的代码结构也将与之对应初始置换IP对输入的64位明文进行一个固定的比特位置换。这步没有密码学意义据说只是为了兼容早期硬件。16轮Feistel迭代这是加密的主体。每一轮都使用一个由主密钥生成的、不同的48位子密钥K[i]。32位交换16轮迭代后将最后得到的左半部分和右半部分交换一次。因为最后一轮结束后按照公式左右两部分没有交换而解密过程期望从交换后的状态开始所以这里需要补一次交换。逆初始置换IP⁻¹对交换后的64位数据再做一次置换它是初始置换的逆操作得到最终的64位密文。同时还有一个并行的、至关重要的过程子密钥生成。它接收一个64位的密钥其中8位是奇偶校验位实际有效为56位通过置换选择、循环左移、压缩置换等步骤生成16个48位的子密钥。我们的代码将围绕这几个模块来构建。理解了这个蓝图我们就可以开始填充具体的“血肉”了。3. 核心模块详解从比特操作到轮函数F实现DES本质上是在和比特串打交道。因此我们首先要建立一些基础的比特操作工具函数然后攻克最复杂的轮函数F(R, K)。3.1 基础工具函数比特世界的螺丝刀在Python中我们可以用整数来表示比特串用位运算,|,^,,来进行操作。但为了清晰我们定义一些更直观的函数。def text_to_bits(text): 将字符串转换为64位8字节整数列表不足补零。 # 每个字符转为其ASCII码的8位二进制表示 bits [] for char in text: bits.extend([int(b) for b in format(ord(char), 08b)]) # DES处理64位块所以我们需要分组。这里返回一个列表每个元素是一个64位整数。 # 简单起见假设输入是8字符正好64位。 if len(bits) ! 64: bits.extend([0] * (64 - len(bits))) # 补零 # 将比特列表转换为一个整数 block 0 for bit in bits: block (block 1) | bit return block def bits_to_text(block): 将64位整数转换回字符串仅处理可打印字符部分。 bits [(block i) 1 for i in range(63, -1, -1)] # 获取比特列表 chars [] for i in range(0, 64, 8): byte_bits bits[i:i8] byte_val 0 for bit in byte_bits: byte_val (byte_val 1) | bit if 32 byte_val 126: # 可打印ASCII范围 chars.append(chr(byte_val)) else: chars.append(.) # 非打印字符用点代替 return .join(chars).rstrip(\x00) def permute(block, permutation_table, input_bits): 通用置换函数。 block: 输入的整数。 permutation_table: 置换表列表内容是指定位的位置从1开始计数。 input_bits: 输入块的比特长度。 返回置换后的整数。 result 0 for pos in permutation_table: # 从原block中提取第pos位从左边最高位为1开始计 bit (block (input_bits - pos)) 1 result (result 1) | bit return resultpermute函数是DES的瑞士军刀IP置换、PC-1置换、P盒置换等等本质上都是调用这个函数只是传入的置换表不同。理解这个函数就理解了DES中所有“表格”的本质它们就是一个“索引映射器”告诉我们应该把原数据的第几位放到新数据的第几位。3.2 轮函数F(R, K)的完全拆解轮函数F是DES安全性的心脏它接受32位的右半部分R和48位的子密钥K输出一个32位的结果。它包含四个精密的步骤第1步扩展置换E盒将32位的R扩展为48位。扩展规则表E定义了输出48位中每一位对应输入32位中的哪一位。它有一个特点将输入的某些位重复使用。例如输入的第32位同时出现在输出的第1位和第47位。这样做的目的是为了在后续与子密钥K进行异或时能影响更多的S盒增强“扩散”效果。# 扩展置换表 E (48位) E_TABLE [ 32, 1, 2, 3, 4, 5, 4, 5, 6, 7, 8, 9, ... 28, 29, 30, 31, 32, 1 ] def expand(block_32): 将32位数据扩展为48位。 return permute(block_32, E_TABLE, 32)第2步与子密钥异或将扩展后的48位结果与48位的子密钥K[i]进行按位异或XOR操作。这是将密钥引入加密过程的步骤提供了“混淆”。def xor(a, b, bits): 对两个bits位长的整数进行异或。 return a ^ b # Python整数异或我们通过bits参数确保传入正确位宽的数据第3步S盒替换核心的非线性变换这是DES中最关键、最神秘的部分。上一步得到的48位结果被分成8组每组6位分别送入8个不同的S盒Substitution Box中。每个S盒是一个4行16列的查找表它接收6位输入输出4位。S盒的工作原理以S1为例输入的6位记为b1 b2 b3 b4 b5 b6。b1和b6组合成一个2位的行号0-3。b2 b3 b4 b5组合成一个4位的列号0-15。根据行号和列号在S1盒的表格中查找得到一个0-15的数字将其转换为4位二进制输出。# S盒示例S1 S1 [ [14, 4, 13, 1, 2, 15, 11, 8, 3, 10, 6, 12, 5, 9, 0, 7], [0, 15, 7, 4, 14, 2, 13, 1, 10, 6, 12, 11, 9, 5, 3, 8], [4, 1, 14, 8, 13, 6, 2, 11, 15, 12, 9, 7, 3, 10, 5, 0], [15, 12, 8, 2, 4, 9, 1, 7, 5, 11, 3, 14, 10, 0, 6, 13] ] def s_box_substitution(block_48): S盒替换48位输入32位输出。 output 0 # 8个S盒 s_boxes [S1, S2, S3, S4, S5, S6, S7, S8] for i in range(8): # 提取6位 six_bits (block_48 (42 - i*6)) 0x3F # 0x3F 0b111111 # 计算行和列 row ((six_bits 0x20) 4) | (six_bits 0x01) # 取头尾两位 col (six_bits 1) 0x0F # 取中间四位 # 查表 val s_boxes[i][row][col] # 合并输出 output (output 4) | val return outputS盒的设计是DES安全性的基石。它的非线性特性输出不随输入线性变化使得加密过程异常复杂能够有效抵抗差分密码分析等攻击。每个S盒都是经过精心设计的确保其具有良好的密码学性质。第4步P盒置换将S盒输出的32位结果通过一个固定的置换表P进行重新排列。这个置换的目的是将单个S盒的输出位快速地扩散到下一轮的不同位置使得多轮之后密文的每一位都依赖于明文的很多位和密钥的很多位这就是“扩散”效应。# P盒置换表 P_TABLE [ 16, 7, 20, 21, 29, 12, 28, 17, ... 22, 11, 4, 25 ] def p_box_permutation(block_32): P盒置换。 return permute(block_32, P_TABLE, 32)至此轮函数F就完成了。它通过扩展、异或、非线性替换和线性置换将密钥和明文数据充分混合。3.3 子密钥生成从一把钥匙到16把钥匙DES使用一个64位的密钥8字节但实际参与加密的只有56位每字节的第8位是奇偶校验位。子密钥生成过程如下置换选择1PC-1从64位密钥中选出56位有效位并进行一次置换。这56位被分成两个28位的半部分C0和D0。循环左移对于每一轮ii从1到16C(i-1)和D(i-1)分别进行循环左移。左移的位数由一个表规定第1、2、9、16轮左移1位其余轮左移2位。置换选择2PC-2将循环左移后的Ci和Di合并成56位再通过PC-2置换压缩并重排输出48位的子密钥K[i]。def generate_subkeys(key_64): 生成16个48位的子密钥。 # PC-1置换得到56位有效密钥并分成C0, D0 key_56 permute(key_64, PC1_TABLE, 64) c (key_56 28) 0xFFFFFFF # 高28位 d key_56 0xFFFFFFF # 低28位 subkeys [] shift_schedule [1, 1, 2, 2, 2, 2, 2, 2, 1, 2, 2, 2, 2, 2, 2, 1] # 左移位数表 for shift in shift_schedule: # 循环左移 c ((c shift) | (c (28 - shift))) 0xFFFFFFF d ((d shift) | (d (28 - shift))) 0xFFFFFFF # 合并并PC-2置换 cd_56 (c 28) | d subkey permute(cd_56, PC2_TABLE, 56) subkeys.append(subkey) return subkeys注意解密时子密钥的使用顺序正好相反。即加密时用K1到K16解密时用K16到K1。这正是Feistel结构优雅的地方。4. 完整组装与调试让DES加密器跑起来有了所有的基础模块我们现在可以把它们像拼图一样组装起来形成一个完整的DES加密函数。4.1 加密函数的实现def des_encrypt(block_64, key_64): DES加密一个64位数据块。 # 1. 生成16个子密钥 subkeys generate_subkeys(key_64) # 2. 初始置换 IP block permute(block_64, IP_TABLE, 64) # 3. 分割成L0和R0 (各32位) l (block 32) 0xFFFFFFFF r block 0xFFFFFFFF # 4. 16轮Feistel迭代 for i in range(16): l_next r # 计算 F(R, K) expanded_r expand(r) # 扩展置换 xored expanded_r ^ subkeys[i] # 与子密钥异或 substituted s_box_substitution(xored) # S盒替换 f_result p_box_permutation(substituted) # P盒置换 r_next l ^ f_result # 新的右半部分 # 更新L和R准备下一轮 l, r l_next, r_next # 5. 32位交换 (最后一轮后L和R没有交换所以这里交换回来) combined (r 32) | l # 6. 逆初始置换 IP^-1 cipher_block permute(combined, IP_INV_TABLE, 64) return cipher_block4.2 解密函数的实现得益于Feistel结构解密函数与加密函数高度相似唯一的区别是子密钥的使用顺序。def des_decrypt(block_64, key_64): DES解密一个64位数据块。 subkeys generate_subkeys(key_64) # 解密时子密钥逆序使用 subkeys_rev subkeys[::-1] block permute(block_64, IP_TABLE, 64) l (block 32) 0xFFFFFFFF r block 0xFFFFFFFF for i in range(16): l_next r expanded_r expand(r) xored expanded_r ^ subkeys_rev[i] # 使用逆序的子密钥 substituted s_box_substitution(xored) f_result p_box_permutation(substituted) r_next l ^ f_result l, r l_next, r_next combined (r 32) | l plain_block permute(combined, IP_INV_TABLE, 64) return plain_block4.3 主函数与测试我们可以写一个简单的主函数来测试我们的DES实现。为了直观我们使用一个简单的8字符64位的明文和密钥。def main(): # 示例使用ASCII字符串正好8个字符 plaintext HelloDES key_text 8ByteKey print(f明文: {plaintext}) print(f密钥: {key_text}) # 转换为64位整数 plain_block text_to_bits(plaintext) key_block text_to_bits(key_text) print(f明文块 (十六进制): {plain_block:016X}) print(f密钥块 (十六进制): {key_block:016X}) # 加密 cipher_block des_encrypt(plain_block, key_block) print(f密文块 (十六进制): {cipher_block:016X}) print(f密文 (尝试解读): {bits_to_text(cipher_block)}) # 解密 decrypted_block des_decrypt(cipher_block, key_block) print(f解密块 (十六进制): {decrypted_block:016X}) print(f解密文本: {bits_to_text(decrypted_block)}) # 验证 if decrypted_block plain_block: print(✓ 加解密测试成功) else: print(✗ 加解密测试失败) if __name__ __main__: main()运行这个程序你应该能看到类似以下的输出这证明你的DES加密器基本工作正常明文: HelloDES 密钥: 8ByteKey 明文块 (十六进制): 48656C6C6F444553 密钥块 (十六进制): 38427974654B6579 密文块 (十六进制): 1A624D1CEC502B7A 密文 (尝试解读): .$M..P.z 解密块 (十六进制): 48656C6C6F444553 解密文本: HelloDES ✓ 加解密测试成功注意密文输出为乱码或不可打印字符是正常的因为加密过程已经彻底打乱了原始数据的比特模式。5. 关键问题排查与深度思考在实现和调试过程中你几乎一定会遇到各种问题。下面是我在“手搓”过程中踩过的坑和总结的经验这可能是比代码本身更有价值的部分。5.1 常见错误与调试技巧比特序问题这是最大的坑。DES标准文档中的比特编号通常是从左到右为1到64最高位为1。而我们在编程时整数在内存中通常是低位在右。我们的permute函数设计为从“逻辑左端”高位开始取位就是为了匹配标准。务必确保你的置换表、S盒的行列计算与你的比特提取逻辑一致。一个有效的调试方法是用已知的、简单的输入输出测试每个置换函数。例如用一个所有位为0仅第1位为1的输入测试IP置换看输出是否与标准表定义的位置一致。整数位宽溢出Python的整数没有固定位宽但DES要求严格限定在64位、48位、32位等。在进行移位或合并操作时一定要用掩码 0xFFFFFFFF等截断高位防止因符号扩展或无限位宽导致的数据污染。S盒查表错误S盒的行列计算很容易出错。记住行号由输入的第1位和第6位决定列号由中间4位决定。在代码中清晰地使用位掩码来提取这些位并打印中间结果进行验证。可以单独写一个测试函数输入一个6位数手动计算行列再与程序输出对比。子密钥生成错误确保PC-1置换后正确地分成了两个28位的部分C0和D0。循环左移时要使用28位的掩码0xFFFFFFF来确保移出的位从另一端正确补入。PC-2置换是从56位到48位注意输入位数参数是56。5.2 从DES理解现代密码学设计原则通过亲手实现DES你不仅能记住流程更能深刻体会到现代分组密码设计的核心思想混淆通过S盒的非线性变换和与密钥的异或操作使得密文与密钥之间的关系变得极其复杂无法从密文中推断出密钥。S盒是混淆的主要来源。扩散通过P盒置换、扩展置换E以及Feistel结构本身使得明文或密钥中一位的改变能够影响到密文中许多位的变化。这增加了密码的强度使得统计分析攻击变得困难。迭代结构单轮的变换强度有限。通过多轮迭代DES是16轮混淆和扩散的效果被指数级放大最终达到足够的安全性。每一轮都使用不同的子密钥进一步增加了复杂度。5.3 DES的局限性与AES的演进我们实现DES是为了学习而不是为了应用。DES最大的问题在于其56位的密钥长度。随着计算能力的飞速发展暴力破解56位密钥2^56种可能在当今已完全可行。因此DES在实际中已被更安全的AESAdvanced Encryption Standard所取代。AES如AES-128采用了更简洁的SPNSubstitution-Permutation Network结构而非Feistel结构。它同样包含字节替换类似S盒、行移位、列混合提供强扩散和轮密钥加等步骤。理解DES后你再去看AES的流程图会发现很多概念是相通的学习曲线会平缓很多。6. 项目扩展与实用化思考一个能工作的基础DES加密器已经完成但要让它更实用、更像一个学习工具还可以做以下扩展支持工作模式我们实现的是ECBElectronic Codebook模式即每个64位块独立加密。这在现实中是不安全的因为相同的明文块会产生相同的密文块会暴露数据模式。你可以尝试实现CBCCipher Block Chaining模式它需要一个初始化向量IV并且每个块的加密都依赖于前一个块的密文安全性更高。这能让你理解分组密码如何加密长于一个块的消息。处理任意长度文本我们的示例只处理了恰好64位8字节的数据。你需要实现一个填充方案比如PKCS#7来处理任意长度的数据。加密前填充到块大小的整数倍解密后去除填充。可视化调试工具这是最好的学习辅助。你可以用Python的tkinter或网页前端创建一个图形界面实时展示每一轮迭代后L和R的值、经过E盒扩展后的数据、与子密钥异或的结果、每个S盒的输入输出、P盒置换前后的对比等。亲眼看到比特如何流动和变化理解会深刻十倍。与标准库对比验证使用Python的pycryptodome或cryptography库中的DES实现用相同的密钥和明文进行加密对比输出结果是否完全一致。这是验证你手搓实现正确性的终极方法。探索差分分析理解了S盒和P盒的细节后你可以尝试去阅读一些关于差分密码分析攻击DES的简化介绍。你会真正明白为什么S盒的那些特定数字排列是为了抵抗这种强大的攻击而精心设计的。这会将你的理解从“如何实现”提升到“为何这样设计”的层面。手搓DES的过程就像拆解一台精密的机械钟表。一开始你看到的是一堆齿轮置换表和发条S盒。当你一步步把它们组装起来并看到指针开始走动成功加解密时你获得的不仅是一个能运行的程序更是一种对对称加密核心原理的、刻在肌肉记忆里的理解。以后再看到任何加密算法的流程图你都会有一种“哦这不过是另一种形式的S盒和P盒在跳舞”的自信。这才是这个项目最大的价值。
