Serpent加解密工具

Serpent 是由 Ross Anderson（剑桥）、Eli Biham（以色列理工）和 Lars Knudsen（丹麦技术大学）设计的对称分组密码。1998 年提交给 NIST AES 竞赛，最终获得亚军——在所有五个决赛作品中获得最高安全评级后，以第二名输给 Rijndael（现 AES）。其替换-置换网络通过 32 个完整轮次处理 128 位分组，比 AES-128 的 10 轮多三倍，提供了从未被任何已发表攻击减少过的安全裕度。

Serpent 在 32 轮中以轮询方式应用 8 个不同的 4 位到 4 位 S 盒，每个 S 盒恰好出现四次。所有 S 盒均通过穷举搜索选择，以优化抗差分和线性密码分析能力。密码的参考实现使用比特切片技术：32 个并行块的每个位位置占用一个 32 位 CPU 寄存器，允许通过同时对 32 个寄存器进行逻辑操作来处理一个块的所有 128 位。

NIST 评估委员会指出 Serpent 提供了最高的安全可信度，但 Rijndael 在通用硬件上的卓越吞吐量是决定性因素。竞赛结束后，Bruce Schneier 和 John Kelsey 得出结论：“如果安全是唯一标准，Serpent 将是明确的选择。”当需要最大安全裕度且性能是次要考虑因素时，Serpent 仍然是首选替代方案。

主要特点

• 32 轮 SP 网络：是 AES-128（10 轮）的三倍，AES-256（14 轮）的两倍多，提供五个 AES 决赛作品中最大的安全裕度——最佳公开攻击只能到达 32 轮中的 12 轮
• 比特切片 S 盒评估：所有 128 位通过 32 位硬件上的 32 个寄存器操作处理，实现无内存查找的纯 CPU 寄存器执行，对缓存计时侧信道攻击免疫
• 八个优化 S 盒：每个 4 位到 4 位 S 盒通过穷举搜索选择，最大化抗差分和线性密码分析能力；每个 S 盒按顺序轮换在 32 轮中恰好出现 4 次
• 密钥编排通过扩展密钥材料的线性反馈派生 132 个四位子密钥，确保每个输出位在每轮密钥注入后代数依赖于每个输入密钥位
• 完整三密钥长度支持：128、192 和 256 位密钥使用相同的 32 轮结构——较短的密钥在编排扩展前填充到 256 位，为所有模式提供统一的安全分析

加密模式说明

• CBC: Serpent 的 CBC 模式——128 位块在每次 32 轮 SP 网络传递前与前一密文异或。与 64 位分组密码不同，Serpent 的 128 位分组消除了 Sweet32 式生日攻击：碰撞阈值为 2⁶⁴ 块（约 2³² ZB），远超任何实际数据量。根据策略需求更换密钥，而非分组生日界。
• ECB: Serpent 的 ECB 模式——每个 128 位（16 字节）块使用相同派生子密钥独立通过 32 轮 SP 网络处理。当明文中出现相同的 128 位块时，ECB 会暴露模式信息。仅用于密钥包装或格式保留测试等单块操作。
• CFB: Serpent 的 CFB 模式——32 轮块函数对运行中的密文状态（从 IV 开始）加密，输出与明文异或生成密文。128 位分组消除 Sweet32；适合 Serpent 最大安全裕度值得其吞吐量成本的流式协议。
• OFB: Serpent 的 OFB 模式——块函数对反馈寄存器（IV 初始化）独立于明文进行迭代，产生确定性密钥流。128 位分组大小下对 Sweet32 安全。密钥流周期为 2¹²⁸ 块；来自生日界的实用重新生成密钥约束可忽略不计。

AES竞赛背景

Serpent 在 1999 年 NIST AES 竞赛最终评估中获得最高安全裕度评级，委员会指出在五个决赛作品（Serpent、AES/Rijndael、Twofish、RC6、MARS）中是最保守的设计。

Rijndael 被选为 AES 主要因为性能：在通用硬件上吞吐量高 2-3 倍，更适合 8 位智能卡（AES S 盒 GF(2⁸) 代数结构），在受限环境中更易高效实现。

Kelsey 和 Schneier 的竞赛后分析证实 Serpent 的 32 轮设计提供了比其他决赛作品更大的安全裕度，并且在竞赛期间和之后 Serpent 中没有出现任何架构弱点。

安全建议

• 完整 32 轮 Serpent 没有发表过多项式时间攻击。最佳已发表攻击（Dunkelman、Kelsey、Lucks、Biham，2011，飞旋镖/矩形）：以 2¹²² 复杂度达到 32 轮中的 12 轮，远超 128 位 Serpent 的 2¹²⁸ 暴力破解。20 轮的安全裕度从未受到任何已知技术的威胁。
• Serpent 的 S 盒经穷举验证，具有抗差分密码分析（所有输入/输出对上最优差分分支数）和线性密码分析（最大线性近似偏差最小化）的能力。设计决策在 AES 提交文档中完整发布，支持独立验证。
• 比特切片实现对缓存计时侧信道攻击提供强大防护：不使用查找表，所有操作均为 32 位寄存器上的纯寄存器 XOR/AND/OR/NOT 逻辑。这种常数时间特性在受限环境中越来越有价值，因为 AES S 盒的 AES-NI 指令并非普遍可用。
• 对于吞吐量足够的应用（如文件加密、离线存档、长期密钥材料），Serpent-256-CBC 或 Serpent-256-CTR 提供任何已发表分组密码中最广为认可的安全裕度。对于高吞吐量网络加密，AES-256-GCM 配合 AES-NI 通常更受青睐，尽管轮数较少。

使用场景

• 高安全性存档加密：Serpent-256 用于解密密钥可能使用数十年的长期加密存档——Serpent 的大安全裕度比 AES 更保守地对冲未来对称密码分析的进步
• 缓存计时侧信道安全：AES-NI 不可用且基于查找表的 AES S 盒操作存在计时泄露风险的嵌入式系统（HSM、智能卡、微控制器）——Serpent 比特切片只需逻辑寄存器
• 密码算法多样性：多密码加密容器（如 VeraCrypt 级联）中 Serpent 与 AES 和 Twofish 组合，使任何单一密码的破解不会破坏整个加密方案
• 学术和 AES 后研究参考：Serpent 完整公布的 AES 提交文档、穷举 S 盒选择标准和 25 年以上未被破解的密码分析记录，使其成为 SP 网络密码设计研究的标准参考实现

参考资料

• NIST AES竞赛文档
• 维基百科 - Serpent密码
• Anderson、Biham和Knudsen的原始Serpent论文