第12章 散列算法和MAC算法

=ROTR28(a)⊕ROTR34(a)⊕ROTR39(a)
512 e 1
= ROTR14(e) ⊕ROTR18(e) ⊕ROTR41(e)
ROTRn(x):对64比特的变量x循环右移n比特
Wt: 64比特字，从当前的512比特输入分组导出 Kt: 64比特附加常数 +： 模264加
前16个Wt直接取自当前分组的16个字。余下 的值按如下方式导出：
（3）HMAC和CMAC的作用是什么？与散 列函数比较有什么不同。简述它们产生 的机理。
（4）SHA-512中使用的基本算术和逻辑运 算是什么？
如果单向散列函数满足这一性质，则称其 是抗弱碰撞的。
6)找出任意两个不同的输入x、y，使得 H(x)=H(y)在计算上是不可行的。如果单向 散列函数满足这一性质，则称其是抗强碰撞
的。
典型的安全散列函数的总体结构：
散列函数将输入消息分为L个固定长度的分组， 每一分组长为b位，最后一个分组不足b位时需 要将其填充为b位，最后一个分组包含输入的 总长度。
• 步骤3：初始化散列缓冲区。散列函数的中间 结果和最终结果保存于512比特的缓冲区中， 缓冲区用8个64比特的寄存器（a,b,c,d,e,f,g,h） 表示，并将这些寄存器初始化为下列64比特的 整数：
a=6A09E667F3BCC908
e=510E527FADE682D1
b=BB67AE8584CAA73B
散列函数中重复使用了压缩函数f，它的输入是前 一步中得出的n位结果（称为链接变量）和一 个b位分组，输出为一个n位分组。链接变量的 初值由算法在开始时指定，其终值即为散列值， 通常b>n，因此成为压缩。散列函数可归纳如 下：
CV0=IV=初始n位值
CVi=f(CVi-1,Yi-1) 1≤i≤L
H(M)=CVL
道认证机制抗密码分析的强度。
12.3.2 HMAC算法
• K+： 为使K为b位长而在K左边填充0后所 得的结果。
• ipad: 00110110(十六进制数36)重复b/8次的 结果。
• opad: 01011100(十六进制数5C) 重复b/8次 的结果。
当密钥不变时，可以进行预处理。
12.4 CMAC
)+Maj(a,b,c)
a= T1 +T2
b=a
c=b
d=c
e=d+ T1 f=e
g=f
h=g
其中： t : 步骤数，0≤t≤79 Ch(e,f,g)= (e AND f)⊕(NOT e AND g) Maj(a,b,c)= (a AND b)⊕(a AND c) ⊕(b AND c)
512 a 0
12.1.1 SHA-512逻辑原理
这个过程包含下列步骤：
• 步骤1：附加填充位。填充消息使其长度模 1024与896同余，即使消息已经满足上述长 度要求，仍然需要进行填充，因此填充位 数在1到1024之间。填充由一个1和后续的0 组成。
• 步骤228比特的无符号整 数，它包含填充前消息的长度。
Wt=σ1512(Wt-2)+Wt-7+σ0512 (Wt-15)+ Wt-16 其中：
σ0512 (x) = ROTR1(x) ⊕ROTR8(x)⊕SHR7(x) σ1512(x)= ROTR19(x) ⊕ROTR61(x)⊕SHR6(x) SHRn(x): 对64比特变量x向左移动n位，右边
填充0
12.1安全散列算法
安全散列算法（SHA）是由美国标准与技术协会 （NIST）设计，并于1993年作为联邦信息处 理标准（FIPS 180）发布，修订版于1995年 发布（FIPS 180-1），通常称之为SHA-1.
SHA-1产生160比特的散列值。2002年，NIST 发布了修订版2，FIPS180-2，其中给出了三种 新的SHA版本，散列值长度依次为256，384 和512比特。分别称为SHA-256，SHA-384， SHA-512。这些新的版本和SHA-1具有相同的 基础结构，使用了相同的模算术和二元逻辑运 算。2005年，NIST宣布了逐步废除SHA-1的 意图，到2010年，逐步转而依赖SHA的其他版 本。
根据条件和一个常数进行异或运算得到，其中
常数依赖于分组的大小。第二个子密钥是采用
相同的方式从第一个子密钥导出。
对于长度为64或128的分组，需要
R64=059 11011 R128=012010000111
思考题：
（1）散列函数的作用是什么？散列函数应 满足什么条件？
（2）散列函数MD5、SHA-1、SHA-256、 SHA-384、SHA-512、Whirlpool的输入 和输出各为多少bit?
• 步骤5：输出。所有的N个1024比特分组都处 理完以后，从第N阶段输出的是512比特的消 息摘要。
Ho=IV Hi=SUM 64(Hi-1,abcdefghi) MD=HN
12.1.2 SHA-512轮函数
T1=h+Ch(e,f,g)+(1512e )+Wt+Kt
T2=(
512 a 0
1）函数的输入可以是任意长。 2）函数的输出是固定长，如MD5输出128bit， SHA-1输出160 bit。具有压缩性。 3）已知X，求H(x)较为容易，可用硬件或软件实 现。 4）已知h，求使得H(x)=h的x在计算上是不可行 的，这一性质称为函数的单向性，称H(x)为单向 散列函数。
5)已知x，找出y(y≠x)使得H(y)=H(x)在计算上 是不可行的。
第12章 散列算法和MAC算法
消息认证是用来验证消息完整性的一种机制 或服务。消息认证确保收到的数据确实和发 送时的一样（即没有修改、插入、删除或重 放），且发送方声称的身份是真实有效的。 产生消息认证符的函数分为如下三类： 1. 消息加密：整个消息的密文作为认证符。 2. 消息认证码（MAC）:它是消息和密钥的函 数，它产生定长的值，以该值作为认证符。 目前有两种MAC：HMAC和CMAC 3. 散列函数：它是将任意长的消息映射为定长 的散列值的函数，以该散列值作为认证符。 目前主要有：MD5，SHA-1，SHA256， SHA-384，SHA-512，Whirlpool 等。
在数字签名方案中也要用到散列函数。对需 要签名的消息用一个函数，产生一个固定 长度的消息摘要（Message Digest），最 后对消息摘要进行签名，得到确定长度的 签名消息。
散列（hash）函数也称为杂凑值或消息摘要。
散列函数应满足的条件：
散列函数的目的是为需认证的数据产生一 个“指纹”。为了能够实现对数据的认 证，散列函数应满足以下条件：
1.当消息长度是分组长度b的n倍时。
2.当消息长度不是分组长度b的n倍时。
两个n比特的密钥由k比特的加密密钥按如下方式 导出：
L=E（K，0n）
K1=L.x
注：L左移一位
K2=L.x2=(L.x).x
注：L左移二位
首先将分组密码应用到一个全0分组上。第一个
子密钥从所得密文导出，即先左移一位，并且
f=9B05688C2B3E6C1F
c=3C6EF372FE94F82B
g=1F83D9ABFB41BD6B
d=A54FF53A5F1D36F1
h=5BE0CD19137E2179
• 步骤4：以1024比特的分组（16个字）为单位 处理消息。算法的核心是具有80轮运算的模块。 每 由 一 表一 当 轮 示轮 前 还 轮， 被 使 数如 处 用 。理附这t，的加些使的常1用0常数2一4数如比个下K特6t4，获消比其得息特中：分的0前组值≤t8≤MW07i个导t9，，素出该用数。值来取每 三次根，取小数部分的前64比特。
CMAC也称为CBC-MAC（密文分组链接消息认证码）。这 种基于密文的MAC在政府和工业界广泛采用。这种认证算 法仅能处理固定长度为nm的消息，其中n 密文分组的长度， m是一个固定的正整数。
Black和Rogaway证明了这种限制可以使用三个密钥来克服： 一个密钥长为k，用在密文分组链接的每一步，两个长度 为n的密钥，其中k是密钥长度，n为密文分组长度。Iwata 和Kurosawa又优化了该构造，使得两个n比特的密钥可以 从加密密钥导出，而不是单独提供。这种优化已经被 NIST采用作为基于密文消息认证码（CMAC）运算模式， 对于AES，3DES适用。
SHA-1
消息摘要 160 长度
消息长度 <264
SHA-256 SHA-384 SHA-512
256
384
512
<264
<2128
<2128
分组长度 512
512
1024
1024
字长度 32 步骤数 80 安全性 80
32
64
64
64
80
80
128
192
256
１.所有的长度以比特为单位 ２.安全性是指对输了长度为n比特散列函数的生日攻击产生碰撞的工作量大约为2n/2
12.3.1 HMAC设计目标
• 不必修改而直接使用现有的hash函数。特别地， 很容易免费得到软件上执行速度较快的散列函数 及其代码。
• 如果找到或者需要更快或更安全的hash函数，应 能很容易地替代原来嵌入的hash函数。
• 应保持hash函数的原有性能。 • 对密钥的使用和处理应较简单。 • 如果已知嵌入的hash函数的强度，则完全可以知
SHA-1输入为小于264比特长的任意消息，分为512 比特长的分组，最终输出为160比特。
SHA-256、SHA-384、SHA-512的情况见上表。
12.3.1 HMAC设计目标
目前已经提出了许多方案将密钥加到现有的 散列函数中。HMAC（RFC 2104）是最受 支持的方案，它是IP安全里必须实现的 MAC方案，并且在其他Internet协议中也使 用了HMAC。HMAC也已作为FIPS标准发 布（FIPS 198）.