王 旭，陳永樂，王慶生，陳俊杰

（太原理工大學(xué)信息與計算機學(xué)院，山西晉中 030600）

0 概述

安全的密碼體制必須能夠抵御各種不同類型的攻擊。由于攻擊者主要關(guān)注如何通過密文獲取密鑰以及如何將密文恢復(fù)為明文，因此諸多以此為目的的攻擊方法常針對特定密碼體制而設(shè)計，其中，設(shè)計識別密文所用的加密算法是開展密碼分析的重要前提。

明文經(jīng)不同密碼體制加密后形成的密文數(shù)據(jù)并不能達(dá)到完全隨機，彼此間尚存有微小差異，對此，可通過提取表征密文信息的相關(guān)特征作為區(qū)分不同密文類別的依據(jù)。現(xiàn)階段研究主要利用機器學(xué)習(xí)方法和統(tǒng)計學(xué)方法對密文所用的加密算法進(jìn)行識別。相比于利用統(tǒng)計學(xué)方法，基于機器學(xué)習(xí)方法的識別方案設(shè)計思路清晰，適應(yīng)性強，并且可供利用的理論基礎(chǔ)豐富，是目前的主流研究方向。

文獻(xiàn)［1］借鑒文檔分類方法中的詞袋模型，以支持向量機為分類算法，研究針對DES、3DES、AES、RC5 和Blowfish 密碼體制的識別問題。文獻(xiàn)［2］借鑒信息檢索中的向量空間模型，通過合理構(gòu)建神經(jīng)網(wǎng)絡(luò)對MARS、RC6 和Twofish 等密碼體制進(jìn)行識別研究，但該方案受限于計算復(fù)雜度，僅可在密文數(shù)據(jù)量較小的情況下完成識別，推廣難度較大。文獻(xiàn)［3］結(jié)合統(tǒng)計學(xué)與機器學(xué)習(xí)方法，以NIST 發(fā)布的隨機性測試作為構(gòu)造密文特征的依據(jù)，即以密文隨機性度量值作為判斷密文相似性的標(biāo)準(zhǔn)，使用K-均值聚類算法對AES、DES、Camellia、SMS4 和3DES 密碼體制進(jìn)行識別研究。文獻(xiàn)［4］依據(jù)密碼學(xué)常識，提出一種基于隨機森林的分層識別方案，并初步給出一種密碼體制識別問題的定義系統(tǒng)，以助于對識別問題的形式化研究。

在現(xiàn)有研究中，所提取的特征基本為借鑒其他領(lǐng)域中有關(guān)識別任務(wù)中的所用特征，如文獻(xiàn)［1-2］借鑒文檔分類中所用相關(guān)特征（詞袋模型和向量空間模型），文獻(xiàn)［4-6］引入信息論的理論作為提取特征的方法，文獻(xiàn)［3-4，7］利用隨機性測試的方法提取密文特征。對于所用分類方法，文獻(xiàn)［1］選擇支持向量機作為提取密文特征后進(jìn)行分類的算法，并比較不同核函數(shù)情景下的識別情況，文獻(xiàn)［2，8-9］引入神經(jīng)網(wǎng)絡(luò)作為識別任務(wù)的分類模型，文獻(xiàn)［5］利用C4.5 算法構(gòu)建決策樹作為識別任務(wù)中的分類模型。為比較不同分類算法在識別任務(wù)中的優(yōu)劣，文獻(xiàn)［10-11］選擇樸素貝葉斯、支持向量機、神經(jīng)網(wǎng)絡(luò)等8 種常見分類算法對4 種分組密碼體制進(jìn)行識別，并對不同分類算法的識別性能進(jìn)行對比。為比較不同分組密碼工作模式下的識別情況，文獻(xiàn)［12-13］對利用CBC 和ECB 模式加密的密文數(shù)據(jù)進(jìn)行了研究。

目前，較多識別密碼體制的研究基于多種密文特征和分類算法，但研究者較少探討不同特征對識別性能的影響，并且現(xiàn)有理論框架還有待進(jìn)一步完善。對此，本文提出一種新的密文特征提取方法，同時完善密碼體制識別問題的定義系統(tǒng)，給出提取密文特征的形式化描述。在此基礎(chǔ)上，結(jié)合特征選擇方法設(shè)計基于集成學(xué)習(xí)的密碼體制識別方案。比較特征不同的屬性對識別方案識別效果的影響，并且使用該方案分別對包含多種序列、分組和公鑰密碼體制的3 種具體識別情景進(jìn)行實驗。

1 密文特征建模

現(xiàn)有基于機器學(xué)習(xí)算法的密碼體制識別研究基本符合構(gòu)造新特征，即選擇新分類模型的簡單研究模式，但較少對該問題進(jìn)行更深入的探討，因此，利用現(xiàn)有研究成果難以做進(jìn)一步推進(jìn)。另一方面，鑒于密碼體制識別問題的理論基礎(chǔ)尚不完備。文獻(xiàn)［4］初步給出了密碼體制識別問題的定義系統(tǒng)，該定義系統(tǒng)有助于將識別問題規(guī)范化和形式化。但對于識別問題的進(jìn)一步深入研究，此理論框架仍稍顯單薄。首先，該定義系統(tǒng)僅對識別問題和識別方案進(jìn)行了形式化描述，但未涉及識別任務(wù)的主要難點，如密文特征提取和分類模型選擇等問題；其次，形式化識別問題和識別方案仍沒有改變先提出識別方案再將其統(tǒng)一于定義系統(tǒng)之下的流程，割裂了理論框架與方案設(shè)計間的關(guān)系；此外，利用識別問題和識別方案的形式化描述難以對各類識別方案的設(shè)計思路和彼此優(yōu)劣作出較完備的解釋，無法做到由理論指導(dǎo)實踐。

鑒于以上考量，本文基于文獻(xiàn)［4］識別問題的定義系統(tǒng)，對識別方案中提取密文特征的環(huán)節(jié)做形式化定義。

遵照文獻(xiàn)［4］密碼體制識別任務(wù)的定義系統(tǒng)，令F 表示密文文件，其可表示為由某類字符組成的有序集合，定義如下：

定義1（密文） 設(shè)有未知密碼體制的密文文件：

其中，ci表示密文文件的第i個字符，且ci可表示為不同類型的字符，現(xiàn)階段研究［3-5，10-11］多將密文表示為以比特或字節(jié)為基本字符ci的有序集合。

獲取密文后需要提取密文的特征，定義如下：

定義2（密文特征） 對未知密碼體制的密文文件提取特征，得到維數(shù)為d的特征向量：

可將提取密文特征的過程抽象為將密文文件F映射為特征vfea的過程，即Fea（F）→vfea，其中，F(xiàn)ea（）表示具體的特征提取過程或方法，如計算密文數(shù)據(jù)中各字符出現(xiàn)概率［4，6-7］、各字符熵或最大熵［4-5］等。

定義3（加工函數(shù)） 給定未知密碼體制的密文F，將密文映射為特征vfea過程中的計算方法稱為加工函數(shù)，記作f。計算各字符的概率、熵值或最大熵值等方法，均為不同種類的加工函數(shù)。

加工函數(shù)的輸入對象是密文數(shù)據(jù)。輸入的密文數(shù)據(jù)可以是密文依順序按固定長度分塊后的每一分塊，也可以是各分塊相同位置處字節(jié)或比特重新組合后的數(shù)據(jù)［4］。此外，還可將表示密文的字符分別組合，以每一類字符組合作為加工函數(shù)的輸入對象［5］。

定義4給定未知密碼體制的密文F 和加工函數(shù)f，令oper 表示加工函數(shù)輸入對象，即密文數(shù)據(jù)的組織形式。

定義5綜合以上定義系統(tǒng)，密碼體制識別方案中提取的密文特征可表示為四元組vfea=（C，f，oper，d）。其中：C 為密文數(shù)據(jù)的表示方式，如將密文F 表示為以比特或字節(jié)為單位的有序集合，并從中提取密文特征；f 表示將密文映射為特征的加工函數(shù)；oper 表示加工函數(shù)的輸入對象，即對密文數(shù)據(jù)的組織形式；d表示密文特征的維數(shù)。

在定義5 中，識別方案提取的密文特征被表述為具有4 條屬性的四元組。以此密文特征模型為出發(fā)點，下文將通過實驗比較該四元組中各屬性對識別方案效果的影響。

2 密文特征及識別方案

2.1 特征對比

基于上文對密文特征的定義，本節(jié)通過實驗探究特征的不同屬性對識別準(zhǔn)確率的影響。

依照現(xiàn)有密碼體制識別方案，選擇AES、DES、3DES、RSA 和RC4 這五組包含分組、序列和公鑰的加密算法［14］作為待識別的密碼體制，并以KNN 分類算法作為實驗所用分類模型。根據(jù)密文表現(xiàn)形式、加工函數(shù)和特征維數(shù)等的不同，選擇文獻(xiàn)［3-5，10-11］中的多類特征進(jìn)行實驗，實驗的具體細(xì)節(jié)見本文第3 節(jié)。

從現(xiàn)有研究及密文特征的定義系統(tǒng)出發(fā)，此處實驗所選特征為vfea=（C，f，oper，d），其中，C 包含比特和字節(jié)兩種形式，即C=｛bit，Byte｝。選取熵、最大熵［15］、概率和隨機性測試［16］作為加工函數(shù)f 的待選項，即f=｛Entropy，Maxentropy，Probability，NIST｝。關(guān)于密文數(shù)據(jù)組織方式oper，此處選擇將密文依次序分塊、各分塊內(nèi)相同位置再組合和不同類型字符組合3 種方式。

圖1 所示為所選12 種特征的識別準(zhǔn)確率比較結(jié)果，其中，圖1（a）所示為選擇不同加工函數(shù)密文特征的識別準(zhǔn)確率曲線，圖1（b）所示為將密文分別表示為比特與字節(jié)的有序集合后不同維數(shù)特征的識別準(zhǔn)確率曲線。由圖1（a）可以看出，當(dāng)以字符出現(xiàn)頻率、熵、最大熵和隨機性測試作為提取密文特征的加工函數(shù)時，以最大熵與隨機性測試作為加工函數(shù)的特征表現(xiàn)最好。由圖1（b）可以看出，在加工函數(shù)與密文組織方式相同的情況下，比特類特征與字節(jié)類特征的識別準(zhǔn)確率差距不大，且不同維數(shù)特征間識別準(zhǔn)確率的差異不明顯。

圖1 不同密文特征屬性對識別性能的影響Fig.1 Influence of different attributes of ciphertext feature on recognition performance

通過分析圖1 可以發(fā)現(xiàn)：在密文特征的4 種屬性中，密文數(shù)據(jù)的字符形式C，即提取密文特征時表示密文數(shù)據(jù)的基本字符單位對識別準(zhǔn)確率的影響有限；密文特征的維數(shù)d對識別準(zhǔn)確率的影響有限；加工函數(shù)f 選擇計算各字符頻率的特征遠(yuǎn)不如以隨機性測試和信息熵為加工函數(shù)的特征，且以熵或最大熵作為加工函數(shù)的特征表現(xiàn)更穩(wěn)定，適應(yīng)性更好。此外，在提取密文特征時，對密文數(shù)據(jù)的不同組織方式也對識別效果有較大影響。

綜合以上分析，本文選擇以ASCII 表中的256 種字符作為表示密文數(shù)據(jù)的基本字符。對于密文數(shù)據(jù)的組織方式oper，此處選擇將表示密文數(shù)據(jù)的字符重新組合的方式，即把表示密文數(shù)據(jù)的256 個字符分為6 組字符組合，分別為所有字符、可見字符、大寫字母、小寫字母、數(shù)字以及字母和數(shù)字之外的字符。同時，以熵、最大熵和基尼系數(shù)等信息論中度量信息的不確定性及數(shù)據(jù)隨機性的方法作為提取密文特征的加工函數(shù)。3 種加工函數(shù)的計算方法如下：

對密文文件F，計算其中對應(yīng)上述6 組字符組合中每一組字符的熵、最大熵和基尼系數(shù)，并以6 組字符的計算結(jié)果作為密文文件F 的特征。在此基礎(chǔ)上，根據(jù)不同密碼體制識別情景構(gòu)造不同的字符組合方法。

2.2 特征選擇

在識別包含多種密碼體制的密文時，提取相同特征難以應(yīng)對密文數(shù)據(jù)間的多樣性，此處選擇以上述6 組字符集作為基礎(chǔ)，利用Relief 特征選擇算法［17］對每組字符集進(jìn)行字符選擇，在不同密碼體制識別情景中以不同字符集合作為提取密文特征的基礎(chǔ)。

其中，f（x）表示上文所提3 種信息熵類加工函數(shù)，表示去掉字符j 后，其余字符經(jīng)加工函數(shù)f（x）計算后的值，pl表示第l類樣本占總體樣本的比例，diff（a，b）表示a、b間的差值。

對每一組字符集，若去掉字符j 后，其與猜中近鄰的距離小于與其他各類別猜錯近鄰的距離，說明去掉字符j 后對分類有積極作用，則減小字符j 的權(quán)重；若去掉字符j 后，其與猜中近鄰的距離大于與其他各類別猜錯近鄰的距離，說明去掉字符j 后對分類有消極影響，則增加字符j 的權(quán)重。

在不同密碼體制識別情景下，以2.1 節(jié)中6 組字符集為基礎(chǔ)，利用式（4）的方法重新構(gòu)造各字符集，并根據(jù)新的字符組合，利用式（3）中的函數(shù)提取密文特征。

2.3 識別方案

在包含多種密碼體制的識別情景中，現(xiàn)有分階段識別方案對多種密碼體制劃分層次，通過減少各階段待識別密碼體制的數(shù)量，降低識別任務(wù)的難度［4，9］。但在識別方案不同階段均使用相同特征及分類模型，難以兼顧不同密碼體制識別情景間可能存在的差異。因此，本文在分階段識別方案設(shè)計思路的基礎(chǔ)上，選擇集成學(xué)習(xí)算法［18］作為識別方案中的分類模型。集成學(xué)習(xí)算法流程如圖2 所示。

圖2 集成學(xué)習(xí)算法流程Fig.2 Procedure of ensemble learning algorithm

在包含多種密碼體制的識別情景中，依據(jù)密碼學(xué)常識可將識別過程分為兩個階段，即識別出密文所用加密算法所屬序列、分組或公鑰密碼體制的類別，此處稱為密碼體制類別識別階段，以及完成識別出密文所用具體加密算法的任務(wù)，如在已知密文所用加密算法所屬類別為分組密碼后，進(jìn)一步識別出其所屬AES、DES 或3DES 等分組密碼加密算法。

在不同密碼體制識別情景中，待識別的密碼體制類別和具體算法間均存在差異，若選擇單一分類算法進(jìn)行訓(xùn)練，可能因誤選導(dǎo)致該分類算法的泛化性能不足，而結(jié)合多種分類學(xué)習(xí)算法作為個體學(xué)習(xí)器并集成的方式可降低此風(fēng)險。本文以集成學(xué)習(xí)算法作為分類學(xué)習(xí)器設(shè)計密碼體制識別方案，工作流程如圖3 所示。

在訓(xùn)練階段，首先對帶有密碼體制標(biāo)簽的密文數(shù)據(jù)（F，label）以2.2 節(jié)中的方法進(jìn)行特征選擇，得到在該識別情景下各字符的權(quán)重，然后根據(jù)各字符的權(quán)重重新提取密文特征，并將帶標(biāo)簽的密文特征（Fea，label）導(dǎo)入分類模型進(jìn)行訓(xùn)練。

在識別階段，首先提取密文類別特征fea0，利用訓(xùn)練好的分類模型識別出其所屬的密碼體制類別，然后根據(jù)所屬類別，進(jìn)一步提取可識別具體加密算法的密文特征feak并導(dǎo)入訓(xùn)練好的分類模型，最終輸出識別結(jié)果。

圖3 本文識別方案流程Fig.3 Procedure of the identification scheme proposed in this paper

3 實驗與結(jié)果分析

3.1 密文數(shù)據(jù)采集與實驗設(shè)置

為驗證本文方案的有效性并開展后續(xù)實驗，隨機選取Caltech-256 圖片庫中大小固定為512 KB 的1 000 張圖片作為實驗所用明文數(shù)據(jù)，以RC4、Salsa、AES、DES、3DES、Camellia、Blowfish、SMS4、IDEA和RSA 密碼體制為基礎(chǔ)，通過改變每種密碼體制的參數(shù)長度或工作模式等設(shè)置，擴展為36 種不同的密碼體制，并分別對1 000 張圖片進(jìn)行加密，得到共計36 000 個512 KB 的密文文件。有關(guān)各密碼體制的設(shè)置情況及實現(xiàn)方式如表1 所示，其中涉及各密碼體制的詳細(xì)介紹參見文獻(xiàn)［19-21］。

表1 密文數(shù)據(jù)采集使用的10 種密碼體制Table 1 Ten cryptosystems for ciphertext data collection

以下實驗以識別準(zhǔn)確率p作為評價識別方案效果的標(biāo)準(zhǔn)。在每組實驗中均對密文數(shù)據(jù)進(jìn)行十折交叉驗證，并以各次結(jié)果的平均值作為衡量識別效果的指標(biāo)。

3.2 密碼體制類別實驗

在包含多密碼體制的識別情景中，需要識別密文所用加密算法的類別。依據(jù)密碼學(xué)常識，首先將上述36 種密碼體制作為以下兩種識別情景分別進(jìn)行實驗：一種是將上述密碼體制分為對稱加密與非對稱加密類型2 類識別情景（簡稱兩類情景）；另一種是將其分為序列、分組及公鑰密碼體制3 類識別情景（簡稱三類情景）。為探究不同序列密碼及分組密碼中不同分組長度、工作模式等識別情景下的識別情況，從上述3 類密碼體制中各選出一部分組成新的密碼體制識別情景，具體如下：

在由式（5）～式（7）給出的3 種情景中，序列密碼RC4 和Salsa 通過選擇不同密鑰分別各擴展為4 種不同的密碼體制：情景1 中選取分組長度與工作模式均相同的6 種分組密碼（AES、DES 等）；情景2 中選取分組長度相同但工作模式不同的4 種分組密碼（SMS4）；情景3 中選取工作模式相同但分組長度不同的3 種密碼（AES）；公鑰密碼體制選取2種密鑰長度的RSA。

實驗利用2.2 節(jié)中的算法對各類具體識別情景進(jìn)行特征選擇，結(jié)果如圖4 所示。可以看出，在不同識別情景下，每種字符對識別任務(wù)的權(quán)重存在差異。因此，根據(jù)每種識別情景中的字符權(quán)重重新提取密文特征，實驗結(jié)果如表2 所示?？梢钥闯?，在兩類情景中基本可實現(xiàn)準(zhǔn)確識別，在三類情景中，識別準(zhǔn)確率也高于隨機分類的準(zhǔn)確率，在改變不同參數(shù)設(shè)置的3 種情景中，由于待識別密碼體制數(shù)量的減少，因此整體好于三類情景的情況，且熵與最大熵作為加工函數(shù)時要好于基尼系數(shù)。

圖4 不同識別情景下的字符權(quán)重Fig.4 Character weight under different recognition scenarios

表2 不同識別情景下的類別識別準(zhǔn)確率Table 2 Class recognition accuracy under different recognition scenarios %

3.3 加密算法識別

完成對密文所屬密碼體制類別的識別后，執(zhí)行對相同類別內(nèi)具體加密算法的識別任務(wù)。針對式（5）～式（7）給出的情景，對其中具體的加密算法進(jìn)行識別實驗，組成6 種識別情景。其中，序列1 對應(yīng)式（5）中的RC4，序列2 對應(yīng)式（7）中的Salsa，分組1～分組3 分別對應(yīng)式（5）～式（7）中的分組密碼設(shè)置，最后一種為識別公鑰的情景。圖5、圖6 分別表示以熵和最大熵為加工函數(shù)f 時，各具體識別情景中的字符權(quán)重。根據(jù)各識別情景中的字符權(quán)重重新提取密文特征，實驗結(jié)果如表3 所示?？梢钥闯觯罕疚姆桨冈谧R別公鑰密碼體制的情景中基本可達(dá)到準(zhǔn)確識別；在兩種序列密碼識別情景中最高識別準(zhǔn)確率分別為55%和48%；在3 種不同參數(shù)設(shè)置的分組密碼識別情景中最高準(zhǔn)確率分別為32.46%、41.20%和39.29%，均高于隨機分類的準(zhǔn)確率。利用十折交叉驗證過程中的結(jié)果進(jìn)行單樣本的T-檢驗，結(jié)果顯示，3 種分組密碼識別情景下的p-value 均小于9.93×10-9。實驗結(jié)果表明，在這3 種識別情景下，各最優(yōu)特征的識別準(zhǔn)確率顯著高于隨機識別的準(zhǔn)確率。

圖5 不同識別情景下的熵權(quán)重Fig.5 Entropy weight under different recognition scenarios

圖6 不同識別情景下的最大熵權(quán)重Fig.6 Maximum entropy weight under different recognition scenarios

表3 不同識別情景下的識別準(zhǔn)確率Table 3 Recognition accuracy under different recognition scenarios %

3.4 整體評價

對本文方案在由式（5）～式（7）給出的3 種情景中的整體識別效果進(jìn)行分析。每種情景的總體識別準(zhǔn)確率計算公式如下：

其中，P表示總體的準(zhǔn)確率，pc和p1～p3分別表示識別密碼體制類別階段和識別各類別中每種具體加密算法的準(zhǔn)確率，相應(yīng)地，k1～k3表示每類密文樣本占總樣本的比例。

實驗以不區(qū)分具體識別情景均提取相同密文特征的文獻(xiàn)［4］識別方案作為對比方案，并選擇其中表現(xiàn)較好的3 種特征進(jìn)行識別實驗。文獻(xiàn)［4］方案與本文方案的識別結(jié)果比較如表4 所示?？梢钥闯觯涸诓粎^(qū)分識別情景的文獻(xiàn)［4］方案中，密文特征以熵作為加工函數(shù)的識別效果整體優(yōu)于以計算概率作為加工函數(shù)的特征，但在3 種識別情景中的差異不大；在區(qū)分識別情景的本文方案中，不同識別情景間表現(xiàn)最好的特征存在差異，但以熵和最大熵為加工函數(shù)的特征整體表現(xiàn)更好；本文方案準(zhǔn)確率整體上優(yōu)于文獻(xiàn)［4］方案，但在不同識別情景中，提升效果存在差異，在3 種識別情景下最優(yōu)識別準(zhǔn)確率分別提升6.41%、10.03%和11.40%。

表4 本文方案與文獻(xiàn)［4］方案的識別準(zhǔn)確率比較Table 4 Comparison of identification accuracy between the scheme proposed in this paper and the one in literature［4］ %

為進(jìn)一步檢驗兩種方案識別結(jié)果的差異，對上述3 種情景中各最優(yōu)特征間的識別準(zhǔn)確率進(jìn)行兩獨立樣本T-檢驗，結(jié)果顯示，3 種情景下的p-value 分別為2.24×10-10、1.16×10-11和3.46×10-15，表明在統(tǒng)計學(xué)意義下本文方案的提升效果明顯。

4 結(jié)束語

本文對密碼體制識別問題進(jìn)行探討，并以現(xiàn)有理論框架為基礎(chǔ)，對識別方案中提取的密文特征進(jìn)行建模。為分析識別方案所用密文特征對識別結(jié)果的影響，從特征模型出發(fā)，提取12 種密文特征進(jìn)行對比實驗，結(jié)果表明，在提取密文特征時，密文數(shù)據(jù)的組織方式及所用的加工函數(shù)這兩種因素對識別方案識別效果的影響較大。為此，在本文方案中加入特征選擇的環(huán)節(jié)，并重新設(shè)計了提取密文特征的方法。運用該方法對包含多種密碼體制的3 類不同識別情景進(jìn)行實驗，結(jié)果表明，與不區(qū)分識別情景均采用相同密文特征的識別方案相比，本文方案在包含多種密碼體制的識別情景中具有更顯著的優(yōu)勢。下一步將研究多種加密算法的原理及性能差異，同時探究其他密文組織方式和加工函數(shù)在識別問題中的應(yīng)用。