RC5加密算法

RC5是由罗纳德·L·里维斯特（RSA算法中的"R"）于1994年设计的一种对称分组密码算法。它的特点是参数可调（可变的分组大小、密钥长度和轮数），结构简单，主要依赖数据依赖的循环移位操作来提供安全性。下面我们以RC5-32/12/16为例（32位字长、12轮、16字节密钥）详细讲解其加密过程。

1. 算法参数与密钥扩展

RC5的核心参数包括：

• 字长w：每个数据块的字位数（常用32位，即4字节）。
• 轮数r：加密循环次数（通常12轮）。
• 密钥长度b：用户密钥的字节数（例如16字节）。

密钥扩展步骤：

1. 转换密钥为字数组L：
   将b字节的密钥按w位（32位）分组，存入数组L。例如16字节密钥可分成4个32位字（小端序存储）：

   密钥字节: [K0, K1, ..., K15]  
   L[0] = K0|K1|K2|K3, L[1] = K4|K5|K6|K7, ...（小端序）
   

2. 初始化魔数数组S：
   定义数组S[0..2r+1]（共2r+2个32位字），使用幻数P_w和Q_w（基于自然常数e和黄金比例）初始化：

   P_w = 0xB7E15163, Q_w = 0x9E3779B9  
   S[0] = P_w  
   for i=1 to 2r+1:  
       S[i] = S[i-1] + Q_w
   

3. 混合密钥到S数组：
   通过三轮循环（次数取3×max(2r+2, len(L))）将L混入S：

   i = j = 0  
   A = B = 0  
   for k=1 to 3*(2r+2):  
       A = S[i] = (S[i] + A + B) <<< 3  
       B = L[j] = (L[j] + A + B) <<< (A+B)  
       i = (i+1) mod (2r+2)  
       j = (j+1) mod len(L)
   

   最终得到扩展密钥S[]用于加密。

2. 加密过程

假设明文为两个w位字（A和B），加密步骤如下：

1. 初始白化：

   A = A + S[0]  
   B = B + S[1]
   

2. r轮循环（示例为12轮）：
   每轮包含两次数据依赖的循环移位：

   for i=1 to r:  
       A = ((A ⊕ B) <<< B) + S[2*i]  
       B = ((B ⊕ A) <<< A) + S[2*i+1]
   

   这里<<<表示循环左移，移位数由另一个字的低log₂(w)位决定（例如w=32时取B的低5位）。

3. 输出密文：
   最终（A, B）即为密文。

3. 解密过程

解密是加密的逆过程，需反向执行轮操作：

1. 初始化：
   密文（A, B）直接进入轮循环。

2. r轮逆循环：

   for i=r down to 1:  
       B = ((B - S[2*i+1]) >>> A) ⊕ A  
       A = ((A - S[2*i]) >>> B) ⊕ B
   

   注意：>>>为循环右移，移位数同样由另一字的低log₂(w)位决定。

3. 去除白化：

   B = B - S[1]  
   A = A - S[0]
   

   恢复原始明文（A, B）。

4. 安全性关键点

• 数据依赖移位：移位数由当前数据值动态决定，抵抗线性/差分分析。
• 可调参数：增加轮数可提升安全性（但会降低效率）。
• 密钥扩展：通过充分混合避免弱密钥。

实例演示（简化版）

假设w=32, r=2，密钥为0x00..00（16字节），明文（0x00000000, 0x00000000）：

1. 密钥扩展后得到S[0]..S[5]。
2. 加密：
   • 白化：A=0+S[0], B=0+S[1]
   • 第1轮：A=((A⊕B)<<<B)+S[2], B=((B⊕A)<<<A)+S[3]
   • 第2轮：类似操作后输出密文。

通过这种结构，RC5在简单性与安全性之间取得了平衡，曾被用于早期SSL/TLS等协议。