security - 为什么DES算法使用16轮？

Question

谁能告诉我为什么单个 DES（数据加密标准）算法使用 16 轮？

除了提高安全性之外，还有什么理由使用 16 发子弹？

Answer 1

我不知道具体为什么选择 16 号。但是，有人会推测，当时，密码分析会表明，基于性能权衡，16 轮提供了“足够”的安全性。也就是说，您的“更安全”声明是正确的。

请记住，更少的轮次意味着更容易进行暴力破解，因为在专用硬件中扩展管道所需的时间更少且成本更低。另一方面，更多的轮次确实使其更难破解，但它在整体上的计算成本更高。这意味着（尤其是在那些日子，记得 DES 可以追溯到 1970 年代）它更昂贵/更耗时 - 这也意味着“好人”（那些知道密钥并合法使用密码的人）。

因此，在性能和安全性之间找到“正确的平衡”总是很重要的。最常见的准则是“当密文被破解时，加密信息的价值已经下降到无关紧要的程度”。也就是说，由于越来越多的可用计算能力和不断下降的成本，加密永远不会永远保护数据，但它应该被设计为持续足够长的时间。

Answer 2

您将不得不询问设计师，但维基百科文章包含以下引用：

还提出了针对密码的减少轮次版本的攻击，即少于 16 轮次的 DES 版本。这样的分析可以深入了解安全需要多少轮次，以及完整版本保留了多少“安全边际”。差分线性密码分析是由 Langford 和 Hellman 在 1994 年提出的，将差分和线性密码分析组合成一个单一的攻击。攻击的增强版本可以用 215.8 个选择的明文破解 9 轮 DES，时间复杂度为 229.2（Biham 等人，2002）。

这对我来说表明 16 轮只是安全性和性能之间的权衡。

16 是 2 的幂这一事实也可以简化事情。