Triple DES：延长 DES 的生命周期

解决 DES 密钥长度过短问题的直接方法，是将其应用两次（双重 DES）：C = DES_K2(DES_K1(P))。使用两个 56 位密钥时，名义上的密钥空间为 2^112。

然而，中间相遇攻击彻底击垮了这一方案：使用全部 2^56 个 K1 值加密所有明文，使用全部 2^56 个 K2 值解密所有密文，然后寻找匹配的中间值。这种攻击只需要 2^56 的工作量和 2^56 的存储空间，因此双重 DES 并未比单重 DES 提供更高的安全性。

双密钥三重 DES 使用三次 DES 运算，但只有两个密钥：C = DES_K1(DES^-1_K2(DES_K1(P)))。采用 EDE（加密-解密-加密）顺序是为了向后兼容。

针对已知攻击，双密钥 3DES 的安全性约为 112 位，但中间相遇攻击会使其安全性有所降低。双密钥 3DES 仍用于许多传统银行和支付系统。

三密钥 3DES 使用三个相互独立的密钥 K1、K2、K3：C = DES_K3(DES^-1_K2(DES_K1(P)))。名义密钥长度为 3 x 56 = 168 位，但针对已知最佳攻击的有效安全强度约为 112 位。

三密钥 3DES 比双密钥 3DES 提供更高的安全性。在 3DES 本身被弃用之前，NIST SP 800-131A 等标准曾建议将其用于新应用。

三重 DES 的加密-解密-加密（EDE）结构并非任意设计。当 K1 = K2 = K3 时，中间的解密会抵消第一次加密，最后一次加密产生的结果就与单重 DES 相同。

这种与单重 DES 的向后兼容性对于逐步迁移至关重要。现有的 DES 硬件和软件可以在过渡期间与 3DES 系统互操作，而不会造成数据丢失。

将三个密钥设为相同值后，三重 DES 可以退化为单重 DES。这意味着 3DES 硬件可以使用同一套电路处理 DES 加密数据和 3DES 加密数据。

对于拥有数十亿美元规模 DES 基础设施的银行和支付系统而言，这一点尤其重要。3DES 支持逐步且向后兼容的迁移，无需同时更换所有设备。

尽管 3DES 已不再推荐用于新应用，但它仍广泛用于银行基础设施。EMV 芯片支付卡使用 3DES 进行卡片身份验证和交易密码运算。

SWIFT 银行间消息传递也使用 3DES 生成传统消息认证码。由于已部署的金融基础设施规模极其庞大，尽管 3DES 已被弃用，它仍将在实际系统中持续使用许多年。

NIST 于 2023 年通过 SP 800-131A 第 2 次修订正式弃用 3DES。现在所有 3DES 的使用都已被弃用，这意味着新系统不应使用 3DES，传统系统也应迁移 away from it。

推荐的替代方案是 AES。AES 速度更快，使用更大的分组（128 位，而不是 64 位），提供 128 位、192 位或 256 位密钥长度，并且目前没有已知的实际弱点。

2016 年发表的 Sweet32 演示了针对 HTTPS 中 3DES 的实际攻击。由于分组大小为 64 位，在处理 2^32 个分组（约 32GB 数据）后，CBC 模式中由生日悖论导致的碰撞会开始泄露有关明文的信息。

针对 HTTPS 会话时，Sweet32 在同一密钥下需要约 785GB 的流量；通过长时间运行的已认证会话即可实现这一条件。这种攻击促使浏览器优先采用 AES-GCM，并从默认密码套件中移除 3DES。

三重 DES 每个分组需要执行三次 DES 运算。DES 本身在现代硬件上速度较慢，因为它是为 20 世纪 70 年代的硬件设计的，其位运算模式不同于现代 CPU。

AES 专为软件效率而设计，并利用现代硬件提供的 AES-NI 指令，在软件中的速度是 3DES 的 10 到 100 倍。现代 Intel/AMD CPU 中的 AES-NI 每秒可以加密数 GB 数据，而 3DES 很难达到 100MB/s。

尽管使用了三次 DES 操作和更长的密钥，3DES 仍保留了 DES 的 64 位分组长度。分组长度是 Feistel 结构的基本参数；如果不重新设计算法，就无法更改它。

这个 64 位分组长度是 Sweet32 漏洞的根本原因。AES 的 128 位分组长度使生日攻击需要处理 2^64 个分组（约 18 EB），这在实践中从计算上不可行。

NIST SP 800-131A 提供了从 3DES 迁移到 AES 的详细指南。该指南建议使用 128 位、192 位或 256 位密钥的 AES，替代所有 3DES 使用场景，从 TLS 密码套件到存储数据加密。

这项迁移得到了良好支持：每个现代密码库和硬件平台都支持 AES，而且通常提供硬件加速。建议组织将这次迁移视为软件配置更新，而不是硬件更换项目。

三重 DES 旨在借助 EDE 结构延长 DES 的使用寿命。中间相遇攻击阻止了双重 DES 提供双倍安全性。使用相同密钥的 3DES 会退化为单 DES，从而实现向后兼容。

NIST 已于 2023 年弃用 3DES，原因是其存在 64 位分组长度漏洞（Sweet32），且与 AES 相比性能较差。作为遗留系统，它仍存在于银行业务和 EMV 基础设施中。