Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 29192——轻量级密码标准系列（信息安全技术）
Information technology — Security techniques — Lightweight cryptography（ISO/IEC 29192 系列）
🔐 BS ISO/IEC 29192 系列是 BSI 对国际标准 ISO/IEC 29192 的英国实施版本，规定了信息安全技术——轻量级密码（Lightweight cryptography）。该系列由 BSI 技术委员会 IST/33（IT 安全技术）归口，针对资源受限的嵌入式与物联网设备，定义低开销的加密算法、安全要求与相关机制，是 RFID 标签、传感器节点、智能仪表、可穿戴设备与智能卡等信息安全保护的重要标准支撑。与传统密码算法相比，轻量级密码在保证可接受安全强度的前提下，显著降低对芯片面积、内存、能耗与时延的占用，从而使”处处加密”在成本受限的硬件上成为可能。
💡 物联网与嵌入式设备往往仅有极小的芯片面积、内存与能耗预算，传统密码算法难以承受。轻量级密码以更小的实现开销提供可接受的安全强度，是”物联安全”的基础设施之一，也是欧盟与各国数据保护法规落地到硬件层的重要技术前提。
一、系列概述与背景 📌
随着物联网、RFID、智能卡与工业传感网络的普及，大量设备需要在极低资源条件下保护数据的机密性、完整性与真实性。ISO/IEC 29192 系列于 2012 年起陆续发布，定义了轻量级密码的约束类别、安全要求与具体算法实现。BSI 将其作为英国国家标准实施，形成 BS ISO/IEC 29192 系列，供英国及全球电子制造、安全芯片设计、公用事业与交通行业引用。
系列各分部结构清晰、分工明确：第 1 分部规定总体要求与约束分类，第 2 分部规定分组密码（block ciphers），第 3 分部规定流密码（stream ciphers），第 4、5 分部进一步补充相关算法与机制。各分部共同为资源受限环境提供完整、可验证、可互操作的轻量级密码方案，并通过对象标识符（OID）、测试向量与特性分析保证跨厂商实现的兼容性与可测试性。
⚠️ 本批次的 BS ISO/IEC 29192-4:2013+A1:2016 与 BS ISO/IEC 29192-5:2016 为扫描版本，文中相关内容依据公开领域知识概括撰写，具体算法参数与条款以 BSI 官方发布版本为准。
二、系列构成与技术要点 📋
| 标准号 | 分部标题 | 发布时间 | 主要技术内容 |
|---|---|---|---|
| BS ISO/IEC 29192-1:2012 | 总体要求（General） | 2012 | 约束类别（芯片面积、能耗、程序代码与 RAM、带宽、执行时间）、安全与分类要求 |
| BS ISO/IEC 29192-2:2012 | 分组密码（Block ciphers） | 2012 | 64 位分组密码 PRESENT、128 位分组密码 CLEFIA，含对象标识、测试向量与特性分析 |
| BS ISO/IEC 29192-3:2012 | 流密码（Stream ciphers） | 2012 | 流密码通用模型（同步密钥流生成器、输出函数）与 Enocoro-128v2、Enocoro-80 密钥流生成器 |
| BS ISO/IEC 29192-4:2013+A1:2016 | （补充分部，扫描版） | 2013/2016 | 依据公开领域知识概括，涉及相关算法或认证机制 |
| BS ISO/IEC 29192-5:2016 | （补充分部，扫描版） | 2016 | 依据公开领域知识概括，涉及轻量级密码补充算法或应用 |
💡 约束类别是轻量级密码的”设计边界”：芯片面积、能耗、程序/内存大小、通信带宽与执行时间共同界定了可接受的实现开销，也是算法选择、安全强度与成本三者权衡的依据。
三、约束分类与安全要求（第 1 分部）📏
第 1 分部明确定义了轻量级密码必须面对的约束类别：芯片面积（chip area，决定硅成本与集成能力）、能耗（energy consumption，决定电池寿命与热预算）、程序代码与 RAM 大小（决定固件体积与存储成本）、通信带宽（决定无线信道利用率）与执行时间（决定实时性与吞吐）。同时，该分部规定了安全要求与分类要求，给出算法强度、密钥长度与实现安全之间的映射原则，为后续分部算法选择提供统一判据。设计人员应根据目标平台的具体资源画像，在约束类别之间找到最适合的平衡点。
四、分组密码：PRESENT 与 CLEFIA（第 2 分部）🔧
4.1 64 位分组密码 PRESENT
PRESENT 是面向极低资源场景的 64 位分组密码，采用替换-置换网络（SPN）结构，硬件实现尤为紧凑，非常适合 RFID 标签、传感器节点等芯片面积受限的场景。标准在正文中给出算法结构、密钥调度与轮变换的完整定义，并在附件中提供对象标识符（OID）、测试向量与实现特性分析，便于工程师验证实现正确性。
4.2 128 位分组密码 CLEFIA
CLEFIA 是 128 位分组密码，支持 128/192/256 位密钥，采用广义 Feistel 结构，兼顾软件与硬件实现效率，安全强度更高，适合需要更强保护的场景。标准同样给出完整算法定义、OID 与测试向量，确保不同厂商实现之间可以互操作并接受第三方验证。
🚨 安全要点：轻量级密码以更小开销换取”够用”的安全强度，并非绝对安全。选用时应根据威胁模型、资源预算与数据敏感性综合评估，避免在敏感金融或身份认证场景中过度依赖低强度方案，并严格按标准定义的密钥长度与使用边界实施。
五、流密码：Enocoro 系列（第 3 分部）🌊
第 3 分部首先规定流密码的通用模型：同步密钥流生成器（synchronous keystream generators）、输出函数及其工作条件，为后续专用生成器奠定统一框架；随后规定 Enocoro-128v2 与 Enocoro-80 两个专用密钥流生成器。流密码按位或按字节产生密钥流，处理延迟低、吞吐高，适用于需要高速、低延迟且资源受限的数据保护场景，如实时传感器通信、无线仪表上行链路与短帧加密。
六、工程实践应用 🛠️
- 🔍 RFID 与智能卡：在极小芯片面积内实现数据加密与实体认证，支撑门禁、票务与物流追溯。
- 🔧 物联网传感器：以低能耗密码保护遥测数据与节点通信，延长电池寿命。
- 📊 智能仪表：保障表计数据与密钥管理的机密性、完整性，满足计量计费合规要求。
- 📋 可穿戴设备：在有限内存与续航条件下提供隐私保护，兼顾用户体验。
- 🛰️ 工业无线与车联网：以低时延流密码保护短帧控制报文，满足实时性要求。
✅ 轻量级密码为资源受限设备提供了可实现的加密手段，支撑物联网数据保护与隐私合规，是智能硬件安全设计的重要基石；配合标准附件的测试向量进行验证，可显著降低实现缺陷风险。
七、常见问题解答 ❓
❓ 问：为什么需要”轻量级”密码？
答：大量嵌入式与物联网设备资源（芯片面积、内存、能耗）极其有限，传统密码难以承载；轻量级密码以较低开销提供可接受的安全强度，使加密在成本受限硬件上成为可能。
答：大量嵌入式与物联网设备资源（芯片面积、内存、能耗）极其有限，传统密码难以承载；轻量级密码以较低开销提供可接受的安全强度，使加密在成本受限硬件上成为可能。
❓ 问：PRESENT 与 CLEFIA 有什么不同？
答：PRESENT 为 64 位分组密码，硬件实现更紧凑、开销更低；CLEFIA 为 128 位分组密码，支持更长的密钥且安全强度更高，适合需要更强保护的场景。
答：PRESENT 为 64 位分组密码，硬件实现更紧凑、开销更低；CLEFIA 为 128 位分组密码，支持更长的密钥且安全强度更高，适合需要更强保护的场景。
❓ 问：流密码适合哪些场景？
答：流密码（如 Enocoro 系列）适合需要高速、低延迟且资源受限的数据保护，如传感器节点、短帧控制报文与实时通信加密。
答：流密码（如 Enocoro 系列）适合需要高速、低延迟且资源受限的数据保护，如传感器节点、短帧控制报文与实时通信加密。
❓ 问：如何选择轻量级密码算法？
答：应根据威胁模型、资源预算与数据敏感性综合权衡，参考标准规定的约束类别与安全要求，必要时评估实现开销、算法强度与测试向量验证结果。
答：应根据威胁模型、资源预算与数据敏感性综合权衡，参考标准规定的约束类别与安全要求，必要时评估实现开销、算法强度与测试向量验证结果。
🔍 问：标准附带的 OID 与测试向量有什么用途？
答：OID 用于在系统中唯一标识算法以支持互操作与密钥管理；测试向量用于验证实现正确性，是轻量级密码工程落地中的必备工具。
答：OID 用于在系统中唯一标识算法以支持互操作与密钥管理；测试向量用于验证实现正确性，是轻量级密码工程落地中的必备工具。
