H2-MAC-MD5的等价密钥恢复攻击.docVIP

  H2-MAC-MD5 的等价密钥恢复攻击# 王薇* （山东大学计算机科学与技术学院，济南 250101） 5 10 15 20 25 30 35 40 2 2 2 于 HMAC-MD5 区分器和比特探测技术，筛选可能满足特殊伪碰撞路线的中间链接变量，即等 价密钥，并恢复其数值，导致选择性伪造。即在不知道密钥的前提下，敌手可伪造消息 M0||M* 97 次 MAC 查询，远低于选择性伪造攻击的理想复杂度。 2 中图分类号：TN918.3 Equivalent Key Recovery Attack on H2-MAC Instantiated with MD5 WANG Wei (School of Computer Science and Technology, Shandong University, JiNan 250101) Abstract: H2-MAC was proposed by Kan Yasuda in Information Security Conference (ISC) 2009, which is similar with HMAC except that the outer key is omitted, and gets rid of the disadvantage of the key management. This paper presents the first equivalent key recovery attack on H2-MAC-MD5, which conduces to a selective forgery attack directly, while there only is a distinguishing attack for HMAC-MD5. Based on the distinguisher of HMAC-MD5, a pair of intermediate chaining variables, i.e., the equivalent keys, is detected which fulfils the specific conditions on the initial variables of the pseudo-collision. Then the inner key recovery attack on HMAC-MD5 is adopted to recover the equivalent key. Consequently, the adversary can process the selective forgery attack by computing the valid MAC value of M0||M* effortlessly, where M0 is a fixed one-block message, and M* can be any bit strings. The complexity of the attack is about 297 queries, which is much lower than the ideal complexity of the selective forgery. 2 selective forgery 0 引言 消息认证码（Message Authentication Code，MAC）是带密钥的杂凑函数，输入为密钥 K 和任意长度的消息 M，输出为固定长度的标签值。消息认证码常用于保证数据完整性和进 行消息源认证，现已被广泛应用于各类 Internet 协议，如 SSL/TLS、SSH、IPsec 等。 HMAC 是目前国际通用的 MAC 标准之一[1]。HMAC 用到两个密钥——内部密钥与外部 密钥，故在计算 MAC 值时需两次访问种子密钥，为密钥管理带来不便。 H2-MAC 是 Kan Yasuda 在 ISC 2009 上提出的一种新型密钥前缀 MAC 结构[2]。H2-MAC 与 HMAC 非常类似，不同之处仅在于 H2-MAC 用固定的常数 IV 代替 HMAC 的外部密钥， 从而计算最终 MAC 值时只访问一次种子密钥，在保持 HMAC 优势的基础上，简化密钥管 理。但是，需进一步考察外部密钥对 MAC 安全性的影响。 本文考察 HMAC 结构和 H2-MAC 结构分别用当前广泛使用的杂凑函数实例化后的安全 基金项目：高等学校博士学科点专项科研基金项目（20100131120015），国家自然科学基金项目， 山东大