费斯妥密码

Feistel网络最初在IBM的Lucifer密码中商业化，这种密码由霍斯特·费斯妥和Don Coppersmith于1973年设计。美国联邦政府在设计DES（基于Lucifer密码，由NSA进行修改）时采用了Feistel网络。像DES的其他组件一样，Feistel构造中的迭代特性使得在硬件中（特别是在设计DES时已有的硬件上）实现密码系统更容易。

许多现代及一些较旧的对称分组密码基于Feistel网络（例如GOST 28147-89分组密码），且密码学家已经深入研究了Feistel密码的结构和性质。具体而言，Michael Luby和Charles Rackoff分析了Feistel密码的构造，证明了如果轮函数是一个密码安全的伪随机函数，使用K_i作为种子，那么3轮足以使这种分组密码成为伪随机置换，而4轮可使它成为“强”伪随机置换（这意味着，对可以得到其逆排列谕示的攻击者，它仍然是伪随机的）[2]。

由于Luby和Rackoff的结果非常重要，Feistel密码有时也称为Luby-Rackoff分组密码。进一步的理论工作对其进行了推广，给出了更加精确的安全界限[3][4]。

令${\displaystyle {\rm {F}}}$为轮函数，并令${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$分别为轮${\displaystyle 0,1,\ldots ,n}$的子密钥。

基本操作如下：

将明文块拆分为两个等长的块，(${\displaystyle L_{0}}$, ${\displaystyle R_{0}}$)

对每轮${\displaystyle i=0,1,\dots ,n}$，计算

${\displaystyle L_{i+1}=R_{i}\,}$

${\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i}).}$

则密文为${\displaystyle (R_{n+1},L_{n+1})}$。

解密密文${\displaystyle (R_{n+1},L_{n+1})}$则通过计算${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1}\,}$

${\displaystyle L_{i}=R_{i+1}\oplus \operatorname {F} (L_{i+1},K_{i}).}$

则${\displaystyle (L_{0},R_{0})}$就是明文。

与代换-置换网络相比，Feistel模型的一个优点是轮函数${\displaystyle \operatorname {F} }$不必是可逆的。

右图显示了加密和解密的过程。注意解密时子密钥顺序反转，这是加密和解密之间的唯一区别。

Feistel或修改过的Feistel密码：

广义Feistel：

• 密码学
• 流密码
• 代换-置换网络
• 提升方案，用于离散小波变换，具有几乎相同的结构
• 保留格式加密
• 莱-马西方案