1. 为什么密码学基础这章绕不开DES
1.1 考试定位：分组密码的“母本”
翻开《信息安全工程师教程》第二章，密码学基础与应用算是整本书里公式最密集、最容易让人劝退的一章。我自己的学习顺序是先啃完对称密码部分，再把非对称密码和哈希串起来看。其中DES算法出现的频率相当高，教材不仅给了完整的算法流程，还会在课后题里反复让你算初始置换、算S盒、算子密钥。刚开始我也觉得这东西又老又繁琐，56位密钥现在半天就能被暴力破解，学它还有什么意义？但实际学下来，DES的价值完全不在“还能不能用”，而在于它是一把理解所有分组密码的钥匙。
我建议每一位备考的朋友都把DES当作“母本”来学。原因很简单：后续你接触到的许多现代对称密码设计思路，几乎都能在DES身上找到影子——Feistel网络结构、轮函数、子密钥扩展、S盒非线性替换、雪崩效应，这些概念在DES里理解透了，再看其他算法会顺畅很多。而且考试是真会出题的，我记得往年真题里就有“计算DES第一轮子密钥”“判断S盒输出”这类小题，属于典型的“学的时候痛苦、考到了送分”的章节。
1.2 学DES之前要铺好的底子
在正式进入算法细节前，有几个前置概念必须先捋清楚，否则后面会越看越懵。
第一个是分组密码的基本工作方式。DES一次加密一个64位的数据块，用同一个密钥反复处理，这种“定长输入、定长输出”的加密方式就叫分组密码。加密时把明文分成一个个64位块，每个块独立经过算法变成64位密文块。这个概念看似简单，但很多人后面会在工作模式上栽跟头——比如ECB模式下相同明文块会得到相同密文块，这在实践里是很大的安全隐患。
第二个是位运算基础。DES的整个流程基本就是置换、异或、查表这三件事。你要熟悉二进制和十六进制的转换，要能快速读懂一张置换表。置换表长得很吓人，其实就是“把第几个位置上的位挪到第几个位置上去”，本质是一个位置映射。我见过不少同学在S盒上反复算错，原因不是不会查表，而是列的索引号数错了，这个我们后面专门讲。
第三个是密钥与奇偶校验位的关系。DES名义上是64位密钥，但每个字节的最后一位是奇偶校验位，真正参与运算的只有56位。教材上会写“有效密钥长度56位”，这句话要记住，考试爱考。密钥形如133457799BBCDFF1，每一字节的二进制里1的个数都是奇数，这就是有效奇偶校验。有些库在初始化时会做奇偶校验，密钥校验不过会直接报错，这个实操细节我们放到后面排查部分细说。
2. DES的整体设计思路：一个精妙的“换位加替位”机器
2.1 Feistel网络：加密还可以这样设计
DES的核心骨架是Feistel网络，这个结构在1973年由Horst Feistel提出。理解Feistel网络，我建议你先放下所有置换表，记住一个大框架：把一个64位块切成左右两半，左边32位叫L，右边32位叫R，每一轮做三件事——把R送进轮函数F处理，把处理结果和L异或，然后交换左右位置。
用公式表达就是：
Li = R(i-1) Ri = L(i-1) ⊕ F(R(i-1), Ki)这个结构最妙的地方在于：轮函数F可以完全不用是可逆函数，解密照样能进行。解密的时候只要从第16轮往第1轮倒着走，把子密钥的使用顺序反过来就行。我记得第一次看到这里时觉得特别神奇，因为一般直觉会认为加密函数必须可逆才能解密。Feistel网络通过“左右交换+异或”就把这个限制绕开了，这让设计者可以自由选择非常复杂的非线性函数来做轮函数，而不用操心怎么求它的逆。这个思想后来被广泛应用在很多密码算法里，学到这里的时候值得停下来多体会一下。
实际教材里DES的流程是这样的：64位明文先经过初始置换IP，分成L0和R0，然后做16轮Feistel迭代，第16轮结束后交换左右两半，最后经过逆置换IP⁻¹输出64位密文。教材顺序永远是“IP→16轮→交换→IP⁻¹”，这个顺序本身就是考点的重灾区，很多人会忘记最后一轮之后还要交换左右。
2.2 为什么是16轮：雪崩效应与工程折中
DES为什么要做16轮，而不是8轮或32轮？这背后有两个考量。一个是安全边际，另一个是工程可行性。
安全边际体现在雪崩效应上。雪崩效应是指：明文或密钥改变一个比特，密文应该有一半左右的比特发生变化。DES在经过5轮左右的时候，单个比特的变化就已经能扩散到整个块，16轮的设置留出了充足的冗余，让差分分析和线性分析这类攻击手段在当时的计算能力下变得极其困难。你可以做一个很直观的验证：手算或者用代码把同一个明文用同一把密钥加密，只改动其中一个比特，观察输出变化，会看到扩散非常明显。
工程可行性则和那个年代的计算资源有关。16轮迭代意味着要在16轮里分别完成扩展置换、子密钥异或、S盒替换、P盒置换，每多一轮就是多一整轮时序电路。设计者需要在安全性和硬件实现成本之间找平衡，16轮是当时综合评估下来的一个折中值。考试如果问你“DES为什么采用16轮”，你就从雪崩扩散和实现成本两个角度回答，答案基本不会丢分。
把整个流程框起来看，DES其实可以概括成三句话：用IP打乱输入，用16轮Feistel迭代做混淆和扩散，用IP⁻¹收尾。而混淆主要靠S盒完成，扩散主要靠P盒和扩展置换完成。
3. 逐环节拆解：从明文到密文每一步都讲透
3.1 初始置换IP与逆置换IP⁻¹
初始置换IP的作用是把64位明文按照一张固定的表重新排列顺序。表长这样：
58 50 42 34 26 18 10 2 60 52 44 36 28 20 12 4 62 54 46 38 30 22 14 6 64 56 48 40 32 24 16 8 57 49 41 33 25 17 9 1 59 51 43 35 27 19 11 3 61 53 45 37 29 21 13 5 63 55 47 39 31 23 15 7读法很简单：新序列的第1位取自原序列的第58位，第2位取自第50位，依此类推。这张表有一个规律——前四行取的全是偶数位，后四行取的全是奇数位。教材会给出IP之后的L0和R0，大多是直接给结果，但考试可能会让你算其中某一段，所以至少要知道怎么读表。
IP⁻¹是IP的逆表，作用是把经过16轮迭代后的结果恢复成“正常顺序”。它并不是IP表的反向排列，而是一张独立的表。很多初学者会想当然地以为把IP表倒过来读就是IP⁻¹，实际操作后发现对不上，原因就是没看清这是两张独立设计的表。这里有个实用的自检方法：如果你手头有完整IP和IP⁻¹表，可以任取一串64位数据，先做IP再做IP⁻¹，结果必须回到原始数据，完全可以当作一道练习题来验证自己有没有读错表。
3.2 轮函数F的第1步：32位扩展为48位
进入每一轮后，右边的32位R要被扩展成48位，才能和48位的子密钥做异或。扩展置换E表是这样的：
32 1 2 3 4 5 4 5 6 7 8 9 8 9 10 11 12 13 12 13 14 15 16 17 16 17 18 19 20 21 20 21 22 23 24 25 24 25 26 27 28 29 28 29 30 31 32 1看出规律没有？每组6位，中间4位来自原R中连续4位，首尾两位则“借用”相邻组的边界位。第1位复制的是第32位，最后1位复制的是第1位，相当于把32位的圆圈首尾相接以后做了重叠采样。这种设计不是随便来的，它让相邻位在后续S盒运算中产生交叉影响，是扩散效应的重要来源。
读表时要注意：这张表输出的是48位，每行6位，共8行。和前面IP表一样，表的数字是“取自原位置的编号”。我自己第一次做扩展置换时总犯一个毛病——先入为主地认为输出顺序是1到48，结果把表给读反了。实际上你只要盯住“第1个输出位来自原第32位”这一条，顺序就不会乱。
3.3 轮函数F的第2步：与子密钥异或
扩展后的48位结果要和这一轮的48位子密钥Ki做逐位异或。异或是一种很基础的位运算，规则就两条：相同为0，不同为1。这一步几乎没有什么理解难度，唯一的坑在于子密钥顺序。DES有16轮，每轮子密钥都不一样，如果你在手算时把K1用成了K2，无论后面算得多认真，结果必然全错。所以做这一步之前，先把子密钥生成流程走完整，确保手里拿到的确实是第i轮的Ki。
3.4 轮函数F的第3步：S盒替换——算法的灵魂
异或得到的48位数据会进入8个S盒，每个S盒接收6位，输出4位，整体从48位压缩回32位。我用一个生活化的类比来理解S盒：它像一本只有编号、没有公式的查询手册，输入6位数字，翻到对应页数、对应行列，取出一个4位数字作为答案。整个DES里，S盒是唯一引入非线性操作的环节，安全性的根基就在这8张表里。
S盒的查表规则必须死记硬背：6位输入中，第1位和第6位拼成2位二进制数，作为行号；中间4位拼成4位二进制数，作为列号。举个例子，输入011000，第1位是0，第6位是0，拼接成00，行号就是0；中间四位是1100，换算成十进制是12，列号就是12。然后去S1表第0行第12列取值。S2到S8的查法完全一样。
S盒表本身不用背，考试通常会提供，或者只考某个S盒的前一两行。但你要会查、会换算。这里我提醒一个常见低级错误：行号列号都是从0开始编的，不是从1开始。数第12列的时候，要数到第13个数字才对，很多人就是在这里差一位，导致整个S盒输出全错。
D盒输出的32位数据是下一步P盒置换的输入。S盒的非线性非常关键，它让整个算法的输入输出关系无法用简单的线性方程描述，这正是抵御线性密码分析的核心手段。
3.5 轮函数F的第4步：P盒置换
S盒输出的32位会经过P盒置换，P表如下：
16 7 20 21 29 12 28 17 1 15 23 26 5 18 31 10 2 8 24 14 32 27 3 9 19 13 30 6 22 11 4 25P盒的作用是把S盒的输出位重新打散，让每一个S盒的输出位在下一轮能影响尽可能多的其他S盒。这就是扩散。P盒没有复杂的规则，就是纯粹的位置映射，照表操作即可。做完P盒置换，得到的就是轮函数F的最终输出，也就是前面公式里的F(R(i-1), Ki)，把它和左半部分L异或，再交换位置，一轮就完成了。
3.6 子密钥生成：64位密钥如何变出16个48位子密钥
子密钥生成流程在考试里出现的频率不比主流程低，流程一共四步：置换选择1（PC-1）、循环左移、置换选择2（PC-2）。
第一步PC-1把64位密钥压缩成56位。压缩方式是丢弃8个奇偶校验位（每个字节的第8位），然后按PC-1表重新排列。PC-1表通常长这样（只列前半段做示范）：
57 49 41 33 25 17 9 1 58 50 42 34 26 18 10 2 59 51 43 35 27 ...经过PC-1后得到56位，分成左右各28位，分别叫C0和D0。16轮迭代中，每一轮先把C和D各自循环左移一定位数，再把拼接后的56位送入PC-2，选出48位作为该轮子密钥。循环左移位数有固定规律：第1、2、9、16轮左移1位，其余轮次左移2位。这张“移位表”考试常考，一定要背下来，或者至少能现推：总共左移28位后回到起点，所以16轮加起来恰好移动28位。
PC-2是从56位中选48位。因为丢弃的是8位，密钥中的一些位置在子密钥里永远不会出现。这8个位置分别是9、18、22、25、35、38、43、54，有兴趣可以对照PC-2表数一遍，能帮你加深记忆。子密钥生成整体可以概括成“丢弃校验位、分组移位、压缩置换”，三步而已，并不复杂。
4. 手算第一轮：数据说话
4.1 准备数据
理论讲再多，不手算一遍等于白看。这里我用教材里的经典示例数据走一遍第一轮，让大家看到每步的中间结果是什么样。明文取0123456789ABCDEF，密钥取133457799BBCDFF1。
密钥133457799BBCDFF1转换成二进制是：
00010011 00110100 01010111 10011001 10111011 11001100 11011111 11110001这个密钥的每个字节都有奇数个1，满足DES奇偶校验要求。明文0123456789ABCDEF做初始置换IP后，得到：
L0 = CC00CCFF R0 = F0F0F0F04.2 IP置换
如果你对这个结果有疑问，可以自己拿IP表逐位核对一遍。比如原明文第1字节是01，二进制00000001，所以第1位是0、第2位是0……第58位落在第8字节EF的位置上，这个位正好是1，因此IP输出第1位是1。逐位算完全部64位之后，整理成32位一组，就会得到CC00CCFF和F0F0F0F0。第一次算的时候建议至少完整核对前8个输出位，后面就可以信任表格直接跳着抽检。
4.3 第一轮F函数完整计算
先算子密钥K1。密钥经过PC-1后得到C0和D0：
C0 = 1111000011001100101010101111 D0 = 0101010101100110011110001111第1轮循环左移1位，得到：
C1 = 1110000110011001010101011111 D1 = 1010101011001100111100011110C1和D1拼接成56位，经过PC-2选出48位，得到第一轮子密钥：
K1 = 000110 110000 001011 101111 111111 000111 000001 110010接着对R0做扩展置换。R0 =F0F0F0F0，32位展开后：
11110000 11110000 11110000 11110000经过E表扩展成48位：
E(R0) = 011110 100001 011110 100001 011110 100001 011110 100001和K1逐位异或：
E(R0) = 011110 100001 011110 100001 011110 100001 011110 100001 K1 = 000110 110000 001011 101111 111111 000111 000001 110010 XOR = 011000 010001 010101 001110 100001 100110 011111 010011现在把这48位分成8组，每组6位，依次送进S1到S8。第一组011000：首位和末位是00，行号0；中间四位1100是12，列号12。查S1表第0行第12列，得到5，二进制0101。其余各组照此办理，最终8个S盒输出拼接为：
0101 1001 1100 1010 1011 0101 0110 0101把32位结果经过P盒置换，得到这一轮F函数的输出：
f(R0, K1) = 00100001 01011001 11101101 11101010最后更新左右两半：
L1 = R0 = F0F0F0F0 R1 = L0 ⊕ f(R0, K1) = CC00CCFF ⊕ 00100001 01011001 11101101 11101010 = ED5921154.4 用自己的方式验证结果
手算最怕算错了还不知道。我建议你准备两种验证手段。第一种是代码验证。用Python的加密库可以一键对拍，比如：
from Crypto.Cipher import DES key = bytes.fromhex('133457799BBCDFF1') plain = bytes.fromhex('0123456789ABCDEF') cipher = DES.new(key, DES.MODE_ECB) print(cipher.encrypt(plain).hex())上面这组经典数据跑完16轮之后，最终密文是85e813540f0ab405。如果你的手算结果能一步一步对到第一轮，再拿代码验证整个流程，说明思路是对的。
第二种验证方式是“反向检查”。DES解密是加密的逆过程，用同一个密钥解密密文必须还原回明文。如果解不出来，那肯定不是解密写错了，而是加密过程的某一轮算错了。这个思路特别适合排查那种“看起来每一步都对、最终结果就是不对”的诡异问题。
5. 常见错误与排查技巧
5.1 手算最容易踩的坑
我在手算DES第一轮的时候，前前后后错了三次，每次都是不同原因。整理一下最典型的三个坑。
第一个是行号和列号数错。S盒的行号列号从0开始，导致查表时数数字容易偏一位。保险做法是先把输入6位拆出来，明确写下“行=xx，列=yy”，再动笔查表，不要直接在脑子里换算。
第二个是把E表和P表的位置编号理解反了。E表和P表里的数字都是“取自原输入的位置”，不是“输出要放到的位置”。我知道有个同学用P表做置换时，把“第16位放到输出第1位”写成了“第1位放到输出第16位”，结果前两步还对，后面全乱。正确理解：表的第n个数字表示输出第n位来自输入的哪个位置。
第三个是忘记最后一轮之后还要交换左右。DES第16轮结束后，先把L16和R16交换，再送进IP⁻¹。这个“交换”在教材流程图里特别显眼，但手算时经常被忽略，原因是你前面15轮都在反复交换，最后一步反而想不起来了。把这个动作写进自己的口诀里：“16轮结束，先换位，再逆置换。”
5.2 代码验证时的常见问题
用代码验证DES时，最常遇到的是密钥报错。Python的pycryptodome库在创建DES对象时，如果密钥奇偶校验不正确，可能抛出异常或者自动忽略校验位，不同版本行为还不一样。如果遇到类似的“Invalid key”提示，先检查密钥是不是16个十六进制字符、每个字节是否满足奇偶校验，不要一上来就怀疑算法写错了。
还有一个代码层面的坑是输入长度。DES一次处理8字节，ECB模式下明文长度必须是8的倍数，否则要自己补位。很多初学者拿一段长度不是8倍数的文本直接加密，结果到处报错或者得到莫名其妙的结果，其实和算法本身没关系。CBC模式也要求输入是块长度的整数倍，常见的解决方式是用PKCS7填充。
5.3 考试答题的避坑清单
结合我刷题和模拟考的经验，整理一个简短的答题检查清单：
- 字节和位的顺序。DES教材里的位序往往是从左到右、从高位到低位，和某些实现里的“低位在前”不同。考试手算时，以教材的位序为准，不要混用。
- 子密钥编号。题目让算第5轮的子密钥，就先把前4轮的左移位数加起来，别直接拿第1轮子密钥去顶替。
- 十六进制转二进制时每个字符要补足4位。
9写成1001，不能只写1001和把B写成1011时漏位，这类错误特别隐蔽。 - IP和IP⁻¹表不要混用。两表看起来相似，实际位置映射完全不同，考试时如果给了附表，看清楚题目让你用哪张。
6. 从DES到现实：安全评价与学习建议
6.1 为什么今天还要学DES
学完整个算法流程后，有必要回头审视一个现实问题：56位密钥在现代计算能力面前已经不安全了。1998年就有专用设备能在几十小时内暴力破解DES密钥，如今用普通算力配合云上资源，穷举56位密钥也不再是天文数字。所以现实系统里，单重DES基本被淘汰，取而代之的是三重DES（3DES）和AES。
3DES的本质是“用DES算法做三次加密”，常表现为加密-解密-加密（EDE）的结构：先用K1加密，再用K2解密，再用K3加密。这里的“解密”不是要还原明文，而是为了兼容旧的单重DES——如果K1=K2=K3，3DES就退化成了DES。这个设计非常巧妙，兼顾了向后兼容性和安全性，也是考试里经常延伸考察的点。
但即使DES本身已被淘汰，它的学习价值依然很高。理解DES的Feistel结构，是理解很多现代分组密码设计思路的基础；理解S盒非线性查表，是理解抗攻击设计的第一步；理解子密钥扩展，是理解“用复杂推导从一把主密钥衍生出多把子密钥”这一通用思想的入门课。再加上信息安全工程师考试明确要求掌握DES的原理和计算流程，这部分内容无论如何都不能跳过。
6.2 学习顺序与资料选择
如果让我重新安排一次学习顺序，我会建议这样推进：先花半小时把Feistel框架图看懂，不纠结具体置换表；再对照教材逐张表走一遍完整加密流程，手算第一轮；然后用代码对拍验证第一轮结果；最后再回头看安全性和工作模式。千万不要一上来就背8张S盒，没有任何必要，考试给了表让你查，你要练的是查得快、查得准。
资料方面，教材是主线，但有些外部资源非常有帮助。比如原始标准的示例数据（就是4.1节那组经典的明文和密钥），很多教程和工具都基于它做演示，拿来当对拍标准特别合适。另外可以找一个支持手动分步演示的DES计算小工具，输入明文和密钥，它会把IP、每轮L/R、每个子密钥都列出来，对于排查手算错误非常有效。我自己的经验是：这种工具不要拿来替代手算，而是在手算完一轮之后做对照，效果最好。
最后再分享一个实用的小技巧：把DES的16轮左移位数编成一句话——“1、1、2、2、2、2、2、2、1、2、2、2、2、2、2、1”，每天默写一遍，坚持三天基本就记住了。类似的，IP表前四行偶数位、后四行奇数位这个规律也可以当作记忆锚点。考试时这些细节不一定考，但真考到了，别人还在翻表，你直接写答案的感觉很爽。
