第3章 信息认证技术

第3章 信息认证技术
S3：对每个分组Mi进行压缩处理HMD5。 HMD5是算法核心。HMD5内部有4轮处理 过程。每轮处理结构一样，但使用的位逻辑 函数不同，分别表示为F、G、H、I。每轮处 理的输入是当前正在处理的512位分组、128 位缓冲区(A、B、C、D)的当前值和常量表T 中四分之一的常数，即分别为T[1..16]、 T[17…32]、T[33…48]、T[49...64]。第4轮处 理的输出再与第1轮的输入CVq按照4个32位 字进行模232相加，结果即为压缩函数HMD5对 当前512位分组的输出。 常量表T=T[1,…64]中各元素： T[i]=int(232×abs(sin(i)))，为32位整型数。 T作为予置的常数表，其作用是随机化32位整 型量，消除输入数据的规律性。 压缩函数HMD5每轮处理细节由对128位缓冲 区 (A 、 B 、 C 、 D) 的 16 步迭代构成，每一步运 算如下： a←B+CLS(s,A+g(B,C,D)+X[k]+T[i])) 其中， + 为模 232 加法， CLS(s,w) 是对 32 位字 w 循环左移s位。位逻辑函数g分别取F、G、H、 I之一，X[k]=M[q×16+k]，即消息的第q个分 组中第k个32位字(k=1,2,..16)。
消息M 消息M
Internet
EK(H(M)) EK(H(M))
消息M
H
H(M)
Match?
H
H(M)
加密 E(· )
解密 D(· )
H(M)
• 基本思想
– 输入任意长度的消息M，产生固定长度的数据 输出。
向hash函数输入一任意长度的信息M时，hash函数 将输出一固定长度为m的散列值h。即：
h = H(M)
第3章 信息认证技术
3.2 哈希函数
性质：
固定长度输出散列值h。
给定M，很容易计算h。
给定h，根据H(M)＝h计算M很难。 给定M，找到另一消息M’，满足H(M)＝H(M’)，在计 算上是不可行的---弱抗碰撞性。 对于任意两个不同的消息 M ≠M’，它们的散列值不 可能相同---强抗碰撞性。 注：碰撞性是指对于两个不同的消息M和M’ ，如果它们的 摘要值相同，则发生了碰撞。
– MD5以512位分组来处理输入的信息，每一分组又被划分为16个32 位子分组，经过了一系列的处理后，算法的输出由四个32位分组组 成，将这四个32位分组级联后生成128位散列值。
MD5产生消息摘要的过程
第3章 信息认证技术 MD5算法实现逻辑由4个步骤组成：
S1：消息分组与填充。 （1）将输入信息M按顺序每512位一组进行分组： M = M1，M2，…，Mn-1，Mn （2）将信息M的Mn长度填充为448位。 当Mn长度L（bit为单位） < 448时，在信息Mn后加一个“1”，然后再填充 447-L个“0”，使最后的信息Mn长度为448位。 当Mn长度L > 448时，在信息Mn后加一个“1”，然后再填充512-L+447个 “0”，使最后的信息Mn长度为512位，Mn+1长度为448位 最后一个分组的后64位为M的位长度（低字节优先）。 S2：缓冲区初始化。
MD5算法使用128位缓冲区存放处理过程的中间结果和最后的消息摘要值。这 128位缓冲分为4个32位逻辑寄存器A、B、C、D。每个寄存器以Little-Endian存 放数据，其初始值为： A=0x1234567，B=0x89abcdef，C=0xfedcba98，D=0x7543210 这四个32位变量被称为链接变量，它们始终参与运算并形成最终的散列值。
第3章 信息认证技术
MD5算法的核心处理HMD5中重复进行位逻辑运算 F、G、 H、I，使得最终输出的摘要中每一位与输入消息中所有位相 关，因此达到很好的混淆效果。 MD5在数据处理中广泛使用。
例如：
用户口令可以用 MD5码值秘密存储。当用户输入口令时 先转换为对应MD5码值，在和系统保存的密码MD5值进行比较 (Linux)。这样系统在未知用户口令的情况下即可实现对口令 的验证，同时用户口令对于系统管理员也是未知的。
第3章 信息认证技术
安全散列函数的一般结构
与分组对称密码的CBC模式非常相似。函数的输入M被分为b位的L个分 组Y0,Y1,..YL-1，以及n位链接变量初值V0，通常b>n。 反复调用压缩函数f： Vi=f(Yi-1,Vi-1) ，i=1,2,..L。f输出Vi仍然是n位。 M的散列值H(M, V0)=VL 算法的核心是压缩函数f 在对M的分组中，最后一组YL-1不足b位时填充0或者1将其补足。通常还 将M的长度填充到最后一个分组中。
第3章 信息认证技术
3.2.3 SHA-1算法
• SHA(Secure Hash Algorithm)是美国国家标 准与技术研究所（NIST）提出，于1993年作 为联邦信息处理标准（FIPS 180）发布的， 1995年又发布了其修订版（FIPS 180-1）， 通常称为SHA-1。 • 与 MD5 相比，SHA-1 生成 160 位的消息摘 要，执行速度有所降低，却被认为更安全。 明文消息的最大长度可达到264位。
SHA-1的非线性函数
第3章 信息认证技术
3.2.3 SHA-1算法
• 对512位的消息进行处理，将其从16个32位的消 息分组变成80个32位的消息分组。
• 用到的80对常数： M t Wt (M t 3 M t 8 M t 14 M t 16) 1
0 x5a827999 0 x6ed 9eba1 Kt 0 x8 f 1bbcdc 0 xca62c1d 6
3.2.3 SHA-1算法
( X Y ) (( X ) Z ) X Y Z f t ( X ,Y , Z ) ( X Y ) ( X Z ) (Y Z )) X Y Z 0 t 19 20 t 39 40 t 59 60 t 79
当t 0, 1, ...,15 当t 16, 17, ... ， 79
0 t 19 20 t 39 40 t 59 60 t 79
第3章 信息认证技术
3.2.3 SHA-1算法
a b
非线性函数
<<<5
a b c d
<<<30
c d e + + +
e
+
Wt
Kt
第3章 信息认证技术
第三章 信息认证技术
• 3.1 概述 • 3.2 哈希函数 • 3.3 消息认证技术 • 3.4 数字签名 • 3.5 身份认证
第3章 信息认证技术
3.1 概述
• 在网络通信和电子商务中很容易发生如下问题。
1．否认，发送信息的一方不承认自己发送过某一信息。 2．伪造，接收方伪造一份文件，并声称它来自某发送方 的。 3．冒充，网络上的某个用户冒充另一个用户接收或发送 信息。 用数字签名（Digital Signature） 4．篡改，信息在网络传输过程中已被篡改，或接收方对 可以有效地解决这些问题。数字签名 收到的信息进行篡改。 就是主要用于对数字信息进行的签名， 以防止信息被伪造或篡改等。
第3章 信息认证技术
3.1 概述
• 一个安全的认证系统应满足以下条件： （1）合法的接收者能够检验所接收消息的合法性和 真实性。 （2）合法的发送方对所发送的消息无法进行否认。
（3）除了合法的发送方之外，任何人都无法伪造、 篡改消息。
第3章 信息认证技术
3.2 哈希函数
• 哈希函数，单向散列函数
SHA-1 散列值长度 消息大小 160 <264 SHA-256 256 <264 SHA-384 384 <2128 SHA-512 512 <2128
分组大小
字长 步数
512
32 80
512
32 80
1024
64 80
1024
64 80
第3章 信息认证技术
3.3 消息认证技术
• 网络传输过程中信息保密性的要求： (1)对敏感的数据进行加密，即使别人截获文件也无法得到 真实内容。 (2)保证数据的完整性，防止截获人对数据进行篡改。 (3)对数据和信息的来源进行验证，以确保发信人的身份。 • 消息认证是指使合法的接收方能够检验消息是否真实的方法。 检验内容包括验证通信的双方和验证消息内容是否伪造或遭 篡改。
512位分组的压缩处理HMD5
HMD5中每步的逻辑运算
第3章 信息认证技术 位逻辑运算函数F、G、H、I定义如下： F(x,y,z)=(x&y)|((~x)&z) G(x,y,z)=(x&z)|(y&(~ z)) H(x,y,z)=x⊕y⊕z I(x,y,z)=z⊕(y&(~ z)) 上图中ρ j(i)表示各轮处理中使用16个32位字的不同次序（j=2,3,4）。 其中第1轮按照初始次序；第2、3、4轮按照下式对(1,2,..16)进行置换： ρ 2(i)=（1+5*i）mod 16 ρ 3(i)=（5+3*i）mod 16 ρ 4(i)= (7*i) mod 16 S4：将消息M的L个分组处理完毕，最后一个分组处理的输出即为消息M的摘 要。因此，第3、4步可以总结为： CV0=V1 CVq+1=CVq+RFI(Yq,RFH(Yq, RFG(Yq, RFF(Yq, CVq)))) q=1,2,..(L-1) MD= CVL 其中RFX()为与位逻辑函数X结合的轮处理过程(X=F、G、H、I)，+为对应32 位字模232加法。V1取缓冲区(A、B、C、D)的初值。
第3章 信息认证技术
3.2.3 SHA-1算法
• 与MD5算法类似，SHA-1算法也需要对消息进行填充补位。