第08章 消息鉴别与数字签名
浅析手写签名和数字签名
星 旦 量
臣 匿圈 蕊
浅祈 手写签名和 数字签 名
文 ◎ 张 姗 姗 （ 鸡 文 理 学 院数 学 系 陕 西 宝 鸡 ） 宝
摘要 ：社会 的 网络化和信 息化 导致手 写 签名 已经 不能满足人 们的 需求 ，文章从 分析 手写 签名和数 字签名 的差异 入手 ，介绍 了数 字签名 的原理 、种类 及应用 ，并对 其应用前 景 作 了展 望 。 关 键 词 ： 手 写签 名 ；数 字 签 名 ；公 钥 密码 １ 引 言 ． 随 着 社 会 经 济 的 高 速 发 展 和 人 们 生 活 水 平 的 日益 提 高 ， 无 纸 化 办 公 的趋 势 越 来 越 明 显 ，人 们 动 笔 写 字 的 机 会 逐 步 减 少 。我 们 与 笔 、 纸 慢 慢 疏 远 开 来 ， 但 无 论 何 时 ， 总 有 几 个 字 无 法 “ 手 ” ， 那 就 是 手 写 签 名 。 一 个 释 附 加 在 文 件 上 的传 统 手 写 签 名 用 来 确 定 需 要 对 该 文 件 负 责 的 某 个 人 ， 日常 生 活 中 经 常 需 要 使 用 签 名 ， 例 如 签 合 同 、 从 银 行 取 钱 、 办 理 证 明等 等 。 由 于 互 联 网 络 的 广 泛 普 及 与 使 用 ， 越 来 越 多 的 个 人 、 商 业 组 织 、研 究 机 构 和 政 府 机构 都依赖于 网络进 行通信和 研究 工作 ，使 得 电子 文 档 将 逐 步 代 替 纸 质 的 文 件 成 为 信 息 交 流 的 主 体 。但 是 ， 网 络 上 的 不 可 靠 因 素 太 多 ，如 何 保 证 机 密 信 息 不 泄 露 ， 维 护 电 子 文 档及 计 算 机信 息 的安 全成 为 至 关 重 要 的 问 题，数字 签名技 术应运 而生 。数字签名 技术 ［］ 保 证 信 息 传 输 的保 密 性 、数 据 交 换 的 完 １是 整 性 、发 送 信 息 的 不 可 否 认 性 、 交 易 者 身 份 的 确 定 性 的 一 种 有 效 的 解 决 方 案 ， 是 电 子 政 务 、 电子 商 务 、 电 子 银 行 、 电子 证 券 等 系 统 必 备 的 关 键 性 技 术 。 它 能 够 在 网络 环 境 中 模 拟 并 替 代 日常 生 活 中 的 手 工 签 名 ， 有 许 多 传
报文鉴别与身份验证
26
SSL协议的应用 SSL协议的应用
利用IIS申请服务器证书的时候，IIS本身先产生 公私密钥对，并产生相应的证书申请信息，最后 把这个信息交给CA（该CA只能为Windows2000企 业CA或其他商业CA，Windows2000独立CA不能签 发服务器证书），由CA签发以后形成证书。其具 体步骤如下： 1）首先在操作系统2000中找到有关设置，方法有两 种。第一种，从控制面板中找到“管理工具”， 从这个文件夹中找到“Internet服务管理”并执行。 第二种，从“开始”菜单的“程序”菜单中执行 “管理工具”／“Internet管理工具”。这样就可 以将IIS的管理界面打开
识别 验证。
9
身份验证
识别是指要明确访问者是谁，识别信息一 般是非秘密的，如用户信用卡号、用户名、 身份证号码等； 验证是指在访问者声明自己的身份后，系 统对其身份进行验证，以防止假冒，验证 信息一般是秘密的，如用户信用卡的密码。
10
身份验证
身份验证的方法有口令验证、个人持证验 证、个人特征验证三种：
数字签名与认证技术
第3单元
1
认证技术
认证（authentication,也叫验证 也叫验证） 认证（authentication,也叫验证）就是验证用户
身份的合法性和用户间传递消息的完整性与真实 即当接收方收到发送方的报文时， 性。即当接收方收到发送方的报文时，接收方能 够验证收到的报文是真实的未被篡改的。 够验证收到的报文是真实的未被篡改的。 认证服务主要包括： 认证服务主要包括：
4
单向散列函数
散列函数要具有单向性， 散列函数要具有单向性 ， 则必须满足如下 特性： 给定M 很容易计算h 便于软硬件实现。 给定M，很容易计算h，便于软硬件实现。 给定h 根据H(M)=h反推M很难， 给定h，根据H(M)=h反推M很难，即有单向 性 给定M 找到另一 M 满足H(M)=H(M’ 很难。 给定 M ， 找到另一M’ 满足 H(M)=H(M’) 很难 。
七部分网络安全
2.4 数字签名
一个替代手写签名的数字签名必须满足以下三个 条件：
接收方通过文件中的签名能够鉴别发送方的身份。 发送方过后不能否认发送过签名的文件。 接收方不可能伪造文件的内容。
数字签名的生成：
发送方先计算报文的消息摘要，然后用自己的私钥加 密消息摘要，形成数字签名。
安全服务
用于增强信息系统安全性及信息传输安全性的服务 安全服务使用一种或多种安全机制来实现
1.1 安全攻击
被动攻击：
试图从系统中获取信息，但不影响系统资源。 两种类型：
偷听：为了获得正在传输的内容。 流量分析：为了从通信频度、消息长度等流量模式来推断通
信的性质。
对付被动攻击的最好方法是预防而不是检测，如可用 加密来保护正在传输的信息，通过制造一些虚假的流 量来防止流量分析。
上是不可能的。 要找到一对（x, y）满足H(y)=H(x)，在计算上是不可能的。
满足前四个特性的散列函数称为弱散列函数，满足所有五 个特性的散列函数称为强散列函数。
散列函数标准
目前使用最多的两种散列函数是：
MD5：接受任意长度的消息作为输入，输出128比特的消息摘要； 安全性较弱。
SHA-1：接受长度不超过264比特的输入消息，输出长度为160比特 的消息摘要；安全性较MD5高。
生成消息鉴别标签的三种方法：
发送方先计算报文的消息摘要，然后用与接收方共享的秘密密钥加密消 息摘要，形成消息鉴别标签。
发送方先计算报文的消息摘要，然后用发送方的私钥加密消息摘要。 （这实际上是数字签名）
发送方用一个加密散列函数（cryptographic hash function）来计算消息摘 要，即MD=H(KAB||m)。
【网络安全】网络安全之密码学
【⽹络安全】⽹络安全之密码学前⾔⼀、密码学概述现代密码技术及应⽤已经涵盖数据处理过程的各个环节，如数据加密、密码分析、数字签名、⾝份识别、零知识证明、秘密分享等。
通过以密码学为核⼼的理论与技术来保证数据的机密性、完整性、可⽤性等安全属性。
机密性指信息不泄漏给⾮授权的⽤户、实体或过程；完整性指数据未经授权不能被改变，即信息在存储或传输过程中保持不被偶然或蓄意的删除、修改、伪造、乱序、重放、插⼊等操作所破坏；可⽤性是保证信息和信息系统可被授权实体访问并按需求使⽤的特性，即当需要时应能存取所需的信息。
这三个性质俗称CIA。
除CIA外，其他安全属性还包括不可否认性、认证性等。
密码系统的保密性不依赖于对加密体制或算法的保密，⽽依赖于密钥。
⼆、密钥体制的分类根据加密密钥与解密密钥的关系，密码体制可分为对称密码体制和⾮对称密码体制。
对称密码体制也称单钥或私钥密码体制，其加密密钥和解密密钥相同，或实质上等同，即从⼀个易推倒出另⼀个。
常见的对称密钥算法包括DES、3DES、IDEA、 AES、RC4等。
⾮对称密码体制⼜称双钥或公钥密码体制，其加密密钥和解密密钥不同，从⼀个很难推出另⼀个。
其中，⼀个可以公开的密钥，称为公开密钥，简称公钥；另⼀个必须保密的密钥，称为私有密钥，简称私钥。
典型的公私钥密码算法有RSA、DSA、DH、ECC和EIGamal等。
按明⽂的处理⽅式，可以将对称密码体制分为流密码和分组密码。
流密码也称为序列密码，是将明⽂消息按字符逐位地加密，连续的处理输⼊明⽂，即⼀次加密⼀个⽐特或⼀个字节。
分组密码是将明⽂按组分成固定长度的块，⽤同⼀密钥和算法对每⼀块加密，每个输⼊块加密后得到⼀个固定长度的密⽂输出块，典型的密码算法有DES、IDEA、AES、RC5、Twofish、CAST－256、MARS等。
三、密钥管理密码的种类繁多，⼀般可分为以下类型：初始密钥( primary key)，⼜称基本密钥(base key)，是由⽤户选定或系统分配的到的，可在较长的时间（相对会话密钥）内使⽤；会话密钥( session key)是通信双⽅在⼀次通话或交换数据时使⽤的密钥，可以由可信的密钥分发中⼼(KDC)分配，也可以由通信⽤户协商获得；密钥加密密钥(KEK)是对传输的会话或⽂件密钥进⾏加密的密钥；主机主密钥(host master key)是对密钥加密密钥进⾏加密的密钥，它⼀般保存在主机处理器中。
第5讲 消息认证
十进制移位加MAC算法
第 P1=9359354506
+ x2=5283586900
Q1=8217882178
+ x2=5283586900
二
轮
P1+x2=4642941406
Q1+x2=3501469078
+R(8)(P1+x2)=4294140646 +R(9)(Q1+x2)=5014690783 P2=8937082052 …. …. Q2=8516159861
第5讲
消息认证
1
5.1 基本概念
1. 报文鉴别（消息认证）的概念
消息认证（Message Authentication）
Message：消息、报文。
Authentication： 鉴别、认证。
认证：消息的接收者对消息进行的验证。
真实性：消息确实来自于其真正的发送者，而非假冒；
完整性：消息的内容没有被篡改。
设计MAC函数的要点
如果攻击者得到一个 M 及其对应的 MAC，那么他试图构造 一个消息 M’ 使得 MAC’ = MAC 在计算上应该是不可行的。 MAC 函数应是均匀分布的，即随机选择消息 M 和 M’， MAC = MAC’ 的概率应是 2-n，其中 n 是 MAC 的位数。 令 M’ 为 M 的某些已知变换，即：M’ = f (M)，应保证在这 种情况下，MAC = MAC’ 的概率为 2-n。
MAC ＝ CK（M）
MAC被附加在消息中传输，用于消息的合法性鉴别。
消息认证码用于认证
K MAC M C C
A和B共享密钥K A计算MAC=Ck(M),
比较
MAC
信息安全国家标准清单
GB/T 20519-2006
《信息安全技术公钥基础设施特定权限管理中心技术规范》
39.
GB/T 20520-2006
《信息安全技术公钥基础设施时间戳规范》
40.
GB/T 20987-2007
《信息安全技术网上证券交易系统信息安全保障评估准则》
41.
GB/T 18018-2007
《信息安全技术 路由器安全技术要求》
《信息技术 安全技术 实体鉴别 第3部分: 采用数字签名技术的机制》
57.
GB/T 15843.4-2008
《信息技术 安全技术 实体鉴别 第4部分: 采用密码校验函数的机制》
58.
GB/T 15852.1-2008
《信息技术 安全技术 消息鉴别码 第1部分：采用分组密码的机制》
59.
GB/T 17710-2008
《信息技术安全技术IT网络安全第4部分：远程接入的安全保护》
93.
GB/T 25068.5-2010
《信息技术安全技术IT网络安全第5部分：使用虚拟专用网的跨网通信安全保护》
94.
GB/T 25069-2010
《信息安全技术术语》
95.
GB/T 25070-2010
《信息安全技术 信息系统等级保护安全设计技术要求》
34.
GB/T 20281-2006
《信息安全技术防火墙技术要求和测试评价方法》
35.
GB/T 20282-2006
《信息安全技术信息系统安全工程管理要求》
36.
GB/Z 20283-2006
《信息安全技术保护轮廓和安全目标的产生指南》
37.
GB/T 20518-2006
《信息安全技术 公钥基础设施 数字证书格式》
密码学sec-chap09.10
24
2019/1/19
散列函数算法
简单的算法（在模式匹配中有用） 安全的散列算法
MD5 SHA1
2019/1/19
பைடு நூலகம்
认证与数字签名
25
散列函数
简单的散列函数（异或方式） 每个分组按比特异或: Ci = bi1bi2 …... bim 其中, Ci是第i个比特的散列码,1in; m是输入的n比特分组数; bij是第j分组的第i比特; (简单的奇偶校验) 针对应用中的可预测数据格式,提出如下 改进方案:
认证与数字签名
7
不提供签名
2019/1/19
报文加密提供认证(Cont.)
公开密钥加密
发送方用自己的私钥加密报文,接收方用发
送方的公钥解密(与对称密钥加密原理相 同,需要某种特定报文结构).该方案不提供 加密.
发送方先用自己的密钥加密以提供认证,然
后使用接收方公钥加密提供保密性.缺点是 效率不高.
2019/1/19
认证与数字签名
19
散列函数
散列函数
散列函数是将任意长度的报文映射成一个较 短的定长输出报文的函数. 如下形式: h = H(M), M是变长的报文,h是定 长的散列值. 散列函数的目的是为文件、报文或其它的分 组数据产生“数字指纹”（缩微图）.
2019/1/19
认证与数字签名
D
M
B方
KUa (3) 公钥加密：机密性，可认证和签名
认证与数字签名
11
报文认证码(MAC)
认证码(MAC,也称密码检验和)
对选定报文,使用一个密钥,产生一个短小的定 长数据分组,称认证码,并将它附加在报文中,提 供认证功能. (MAC = Ck(M) ,其中M是可变长的 报文, K是共享密钥,Ck(M)是定长的认证码.)
第7讲 数字签名与身份认证(刘)
基于仲裁的数字签名--对称密钥加密方式(2)
特征：
X 与 Y 之间共享密钥 Kxy 。
签名的构成：IDx 和消息密文的散列码用 Kxa 加密。
签名的验证：A 解密签名，用散列码验证消息。 A 只能验证消息的密文，而不能读取其内容。 A 将来自 X 的所有信息加上时间戳并用 Kay 加密后发送给Y 。
a,b∈GF(p),a和b确定了椭圆曲线；G为循环子群E1 的生成元， n为素数且为生成元G的阶，G和n确定了循环子群E1。 y2=x3+ax+b mod p
利用椭圆曲线密码实现数字签名
d为用户的私钥，公开钥为Q点，Q=dG 。 1、产生签名 选择一个随机数k，k∈{1,2,·,n-1}； · · 计算点R（x R ,y R）=kG，并记 r= x R ； 利用保密的解密钥d计算： s＝(m－dr)k-1 mod n ； 以<r,s>作为消息m的签名，并以<m, r, s>的形式传输或存储。
数字签名算法（ DSA ）
设计基础基于离散对数的计算。
三个p、q、g 作为全局公开的密钥分量：
p是一个素数，其长度在512比特到1024比特之间，可以 对p进行更精确的描述：p是素数，且满足2L-1 ≤ p ≤ 2L（其 中512≤ L ≤1024，且L是64的倍数）； q是一个长度在160为素数，且q是p-1的一个素因子，即 2159 ≤ p ≤ 2160，且(p-1) mod q = 0；
所以U（xU, yU）=(m –dr)-1 k （mG- rQ）
=(m –dr)-1 （mkG- krdG）= (m –dr)-1 (mR- rdR)
信息安全概论习题之名词解释
三、名词解释题：1、数字证书？答：数字证书是一种权威性的电子文文件,由权威公正的第三方机构，即CA中心签发的证书。
它以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。
2、防火墙？P181答：防火墙是置于两个网络之间的一组构件或一个系统，具有以下属性：(1)防火墙是不同网络或网络安全域之间信息流通过的唯一出入口，所有双向数据流必须经过它；(2)只有被授权的合法数据，即防火墙系统中安全策略允许的资料，才可以通过；(3)该系统应具有很高的抗攻击能力，自身能不受各种攻击的影响。
3、数字签名技术？答：4、入侵检测？P157答：入侵检测(Intrusion Detection)是对入侵行为的发觉。
它从计算机网络或或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
5、分组密码？P22答：分组密码是将明文消息编码后表示的数字(简称明文数字)序列x0,x1,x2,…，划分成长度为n的组x=(x0,x1,x2,…xn-1)(可看成长度为n的向量)，每组分别在密钥k=(k0,k1,k2,…kn-1)，其加密函数是E：Vn×K→Vn，Vn是n维向量空间，K为密钥空间。
6、序列密码答：序列密码也称为流密码(Stream Cipher)，它是对称密码算法的一种。
流密码对明文加解密时不进行分组，而是按位进行加解密。
流密码的基本思想是利用密钥k产生一个密钥流：z=z0z1…，并使用如下规则加密明文串x=x0x1x2…，y=y0y1y2…=ez0(x0)ez1(x1)ez2(x2)…。
密钥流由密钥流发生器f产生：zi=f(k，σi)，这里的σi是加密器中的存储元件(内存)在时刻i的状态，f是由密钥k和σi产生的函数。
7、DES？P26答：DES，Data Encryption Standard，数据加密标准，是分组长度为64比特的分组密码算法，密钥长度也是64比特，其中每8比特有一位奇偶校验位，因此有效密钥长度是56比特。
浅析数字签名
源事后不可否认以防其抵赖 ； 一般还使用加密技术保护信息的机密性 ， 以 防截听攻击 ； 加人流水号等技术， 可防止重放攻击。特别是其身份鉴别 、 数 据完整性和不可抵赖性在 电子商务 、 电子政务等领域 有很重要的作用 。
从数据签名的结果 与明文是否一致来划分 ，目前 的数字签名体制可 以归结为两类 ： 一是确定性数字签名 ． 明文与签名是一一对应的 ， 即同一个
Ｐ和 ｑ 是强素数 ； ｑ ｐ和 之差要大 ， 两者之值很接 近时， 是很 容易分 如果 ｎ 解 的；ｐ １ ７ （ — ） （ 一 ）ｌ ｑ Ｉ的公 因子要小 ， ｆ ｌ 这个 限定是为 了抵 御重复加 密的攻 击， 也称 为迭代攻击 ； 和 ｑ 足够大 ， ｐ 要 这是为 了使 分解 ｎ 在计算 上不可 行。 由于该 函数 的单 向性 ， 要计算 出最大素数的积是十分容易的 ， 但是要
收稿 日期 ：０ ８ １— ０ ２ ０ — ０ １
浅斩数字签名
邓 斐
（ 西安翻译学院外 国语学 院， 陕西西安 ，１ １５ ７００ ） 摘 要： 论述 了公 钥密码机 制实现数 字签 名的技 术原理 ， 并在此基 础上探讨 了几种著
名的数字签名算法 ， 分析 了 目前我 国数 字签名的发展现状及前景。
解密来完成认证。Ｒ Ａ算法可 以简单的叙述为 ： Ｓ 加密 Ｃ 肥 ｍｏ ＝ ｄｎ 解密 肘＝ ０ｍｏ ｄｎ 式 中：＝ 口 ｎ ｐ 是个非常大 的两素数之积 。 选取 ｎ 要遵循这样几个条件 ：
证 券等系统必备 的关键性技术 ， 日常 的电子邮件 中也经常使用 ， 当 在 是
前 信息化建设 中的关键安全机制之一 。 它能够在 网络ห้องสมุดไป่ตู้境 中模拟 Ｅ常生 ｔ
函数 ， 产生重要 数据。它要求消息长度小于 ２４ ， 出的散列值长度为 ６ 输 ｂ