Data Encryption Standard（DES）是现代密码学史上最重要的对称加密算法之一。尽管其密钥长度过短已不再安全，但其结构思想深刻影响了后续算法（如 3DES、AES）。
本文将从底层结构、密码学原理、密钥调度机制、S 盒构造原理以及攻击路径，全方位解析 DES。
DES（Data Encryption Standard）数据加密标准 是一种早期的对称加密算法，由 IBM 设计并于 1977 年被美国 NIST（原美国国家标准局 NBS） 采纳为联邦标准。DES 曾经被广泛应用于政府、金融、电信等行业，但如今由于密钥长度太短已不再安全。DES 是 20 世纪的加密之王，今天已经彻底退休。
DES 的特点：
DES的基本参数：
| 属性 | 描述 |
|---|---|
| 分组大小 | 64 bit |
| 密钥长度 | 56 bit（输入密钥 64 bit，8 bit 用作奇偶校验位） |
| 结构 | Feistel 网络（16 轮） |
| 模式 | 支持 ECB、CBC、CFB、OFB 等模式 |
| 当前安全性 | 已不安全，可被暴力破解 |
DES的历史时间线：
| 年份 | 事件 | 结果 |
|---|---|---|
| 1977 | 成为美国联邦信息处理标准 FIPS 46 | |
| 1980s | 全球 ATM 机、银行卡、VPN 几乎全用 DES | |
| 1990s | UNIX 系统密码、PPTP VPN 都依赖 DES | |
| 1998 | DES Cracker（$250,000 机器）56 小时破解 | 证明暴力可行 |
| 1999 | distributed.net + EFF 22 小时破解 DES | 彻底暴露 56 位太短 |
| 2005 | 3DES 仍安全，但 NIST 宣布 DES 停止使用 | DES 正式退役 |
| 2008 | 公开演示 1 秒内暴力破解 56 位 DES（GPU） | 玩具级别 |
| 2025 | 单台 RTX 4090 可以在 0.0001 秒内破解 DES | 完全没有安全性 |
每轮做的事情如下：
最后一轮不交换，直接拼接成密文。
明文 64bit ──────────────────┐
├→ 16 轮加密 → 密文 64bit
密钥 56bit ─→ 子密钥生成 ──────┘
L₁₆ = R₁₅
R₁₆ = L₁₅ ⊕ f(R₁₅, K₁₆)
密文 = R₁₆ || L₁₆
举例：
明文： 0123456789ABCDEF
密钥： 133457799BBCDFF1
密文： 85E813540F0AB405 （加密后）
再解密： 0123456789ABCDEF （回到原文）
DES 采用 16 轮 Feistel 网络（Feistel Network）。Feistel 最大优势：
Feistel 结构如下：
L[i] = R[i-1]
R[i] = L[i-1] ⊕ F(R[i-1], K[i])
只要 F 函数能提供足够非线性，全局就能实现高度扩散（Diffusion）与混淆（Confusion）。
F 函数是 DES 的灵魂，包含三个关键步骤：
通过重复边界比特，将 32 位扩展为 48 位：
DES 包含 8 个 S 盒，每个 S 盒输入 6 位，输出 4 位。
S 盒设计是 DES 最关键的安全来源，其数学特性包括：
S 盒设计背后的秘密：
NSA 参与了 S 盒调整，使其具备强抗差分攻击能力。
1977 年时差分攻击尚未公开，因此当时被误解为“后门”，直到 1990 年 Biham 和 Shamir 公开差分攻击，才证明 NSA 是在 悄悄增强 DES 的安全性。
P 置换的作用：
DES 使用 64 位密钥（其中 8 位奇偶校验），实际有效密钥长度为 56 位。
密钥调度包括：
移动步数字典：
| 轮数 | 移动位数 |
|---|---|
| 1,2,9,16 | 1 |
| 其它 | 2 |
密钥调度的设计目标：
分组密码必须搭配模式使用：
| 模式 | 描述 | 是否安全 |
|---|---|---|
| ECB | 每块独立加密 | 否（明文结构可见） |
| CBC | 链式加密，每块依赖上块 | 是，推荐 |
| CFB | 类似流加密，可变分组 | 是 |
| OFB | 流加密模式，不依赖明文 | 是 |
| CTR | 计数器模式，性能好 | 是（现代最推荐） |
ECB 模式最大问题是：
同样的明文产生同样的密文 会暴露图像结构（著名的企鹅图示例）
DES 的实际安全性主要受限于：
2^56 ≈ 7.2 × 10^16 次尝试
现代硬件（FPGA/GPU/ASIC）数小时即可暴破。
攻击者研究明文差分与密文差分之间的关系以推测密钥。
DES 设计上能抗差分攻击是因为 S 盒具有明确的抗差分特性（NSA 的贡献）。
需要的明文量：
≈ 2^47 个明文（理论）
远超现实可获得的数目。
利用输入、输出与密钥之间的线性关系近似。
攻击复杂度：
≈ 2^43 个已知明文
仍然不现实。
DES 本身无法轻易被 MITM 攻击，但 3DES 可被降低到：
O(2^112) 理论复杂度（比暴力破解弱）
DES 最核心的安全问题是 56 位密钥太短。DES 密钥实际只有 56 bit，也就是大约 7.2 × 10^16 种组合。在 1998 年，EFF（电子前哨基金会）使用专用硬件在 56 小时内暴力破解 DES。现代 GPU / 分布式计算可以在 数分钟 ~ 数小时 内完成破解。因此，安全标准已淘汰 DES。NIST 在 2005 年明确宣布：停止使用 DES。
| 算法 | 有效密钥长度 | 安全性 |
|---|---|---|
| DES | 56 bit | 不安全 |
| 3DES | 112 bit | 勉强安全 |
| AES-128 | 128 bit | 高度安全 |
由于 DES 的 56 位密钥空间无法抵御现代暴力破解，为了兼容老系统而不重新设计硬件架构，NIST 在 1998 年推出了 3DES（Triple DES） 作为过渡算法。
3DES 的核心思想很简单：
重复执行 DES 三次（加密→解密→加密），扩展有效密钥长度，提高安全性。
C = E(K1, E(K2, E(K3, M)))
C = E(K1, D(K2, E(K1, M)))
特点：
中间使用解密是为了 兼容旧的单 DES 系统
当 K1 = K2 = K3 时，3DES 与 DES 完全兼容
大部分标准（如 TLS、IPSec）都选 EDE 模式
C = E(K1, D(K2, E(K1, M)))
为什么？因为：
| 模式 | 标称密钥长度 | 实际安全性 | 原因 |
|---|---|---|---|
| 3-key 3DES | 168 bit | ~112 bit | MITM 攻击 |
| 2-key 3DES | 112 bit | ~80–112 bit | 更弱 |
| 单 DES | 56 bit | 56 bit | 已不可用 |
虽然 168 bit 听上去很强，但由于 中间相遇攻击（Meet-in-the-Middle），实际复杂度被大幅降低。
以 2-key EDE 为例：
C = E(K1, D(K2, E(K1, M)))
攻击者可以：
攻击复杂度：
时间：2^112 → 2^56 + 2^56
存储：2^56
因此：
2-key 3DES 的有效安全性约等价于 112 bit，而非 168 bit。
对 3-key 3DES 也存在削弱，但仍远强于单 DES。
由于 3DES 存在以下问题：
NIST SP 800-131A 明确：
浏览器（Chrome、Firefox）在 TLS 中已移除 3DES 支持。
尽管被淘汰，3DES 仍在某些领域使用：
原因：
许多上世纪末的设备固件仍内置 DES 流程。
例如：
| 特性 | 3DES | AES |
|---|---|---|
| 设计结构 | Feistel 网络 | SPN 结构 |
| 分组长度 | 64 bit | 128 bit |
| 密钥长度 | 112/168 bit | 128/192/256 bit |
| 安全性 | 较弱 | 强、高性能 |
| 速度 | 慢 | 快（数倍） |
| 标准地位 | 过渡方案 | 当前主流 |
NIST 在 2001 年正式宣布：
AES 完全替代 DES / 3DES。
尽管 3DES 提升了安全性，但由于其运行速度慢（需要执行 3 次 DES 运算）且块大小仍是 64 位，它的效率并不高。
在 2001 年，美国政府正式用 AES (Advanced Encryption Standard) 取代了 DES 和 3DES。AES 采用全新的 Rijndael 算法，密钥长度更长（128、192 或 256 位），分组大小为 128 位，运行速度更快，成为了当前对称加密的全球标准。
AES 完全放弃 Feistel 结构，采用:
| 用途 | 推荐算法 | 理由 |
|---|---|---|
| 银行、金融系统 | AES-256-GCM | 国际标准，硬件加速支持 |
| VPN、HTTPS | AES-256-GCM / ChaCha20 | 速度快、安全 |
| 磁盘加密 | AES-256-XTS | BitLocker、LUKS 标准 |
| 嵌入式/物联网 | ChaCha20-Poly1305 | 不依赖硬件 AES，抗侧信道更好 |
| 兼容老系统 | 3DES（仅过渡！） | 比 DES 强，但也即将被禁用 |
虽然 DES 已老旧，但其结构可带来启发：
不需要可逆 S 盒，仍可构造可逆的整体加密过程。
每轮密钥可预测但非常复杂，便于硬件流水线。
from Crypto.Cipher import DES
import binascii
key = b'12345678' # 8字节
cipher = DES.new(key, DES.MODE_ECB)
data = b'hello123' # 必须8字节对齐
encrypted = cipher.encrypt(data)
print(binascii.hexlify(encrypted))
注意：不要在生产中使用 DES！
在线DES加密工具：DES加密解密
在线3DES加密工具：3DES加密解密
Q1：3DES 是不是 DES 的加强版？还能用吗？
A：3DES = DES 加密 → DES 解密 → DES 加密（有效密钥 168 位），目前勉强安全，但极慢。NIST 2023 年底已禁止新系统使用 3DES，2030 年完全禁用。
Q2：我看到某些设备还在用 DES，是漏洞吗？
A：是的！属于高危漏洞，可直接被暴力破解，建议立刻升级。
Q3：DES 解密和加密一样吗？
A：是的！子密钥反序使用即可，加密解密共用同一算法（Feistel 结构特性）。
虽然 DES 已退出主流，但其影响深远：
DES 是密码学史上里程碑式的设计，它的每一部分都值得深入研究。