第18讲 消息认证和散列函数.pptVIP

* 散列函数应满足的条件 ⑥ 找出任意两个不同的输入x、y，使得H(y)=H(x)在计算上是不可行的。如果单向散列函数满足这一性质，则称其为强单向散列函数。 第6个条件用于抵抗生日攻击。 第⑤和第⑥个条件给出了散列函数无碰撞性的概念 如果散列函数对不同的输入可产生相同的输出，则称该函数具有碰撞性。 ⑤ 已知x，找出y(y≠x)使得H(y)=H(x)在计算上是不可行的。如果单向散列函数满足这一性质，则称其为弱单向散列函数。这使得敌手无法在已知某个消息时，找到与该消息具有相同杂凑值的另一消息，防止敌手的伪造。 MD5 * Hash函数的两种穷举攻击－－生日问题 附录中 第Ⅰ类生日攻击 一是给定消息的Hash函数H（x），破译者逐个生成其他文件y，以使H（x）=H（y） 第Ⅱ类生日攻击 二是攻击者寻找两个随机的消息：x，y，并使H（x）=H（y） 在一个教室中最少应有多少学生才使得找一个学生与某人生日（该人也在教室）相同的概率不小于1/2？ 在一个教室中最少应有多少学生才使得至少有两个学生的生日在同一天的概率不小于1/2？ * 在一个教室中最少应有多少学生才使得找一个学生与某学生生日（该学生也在教室）相同的概率不小于1/2？ 教室中有k人： 一同学（给定）生日为某天； 其他某个同学不是和他同一天生的概率是364/365（1-1/365） 随机取k个人与该同学都不同生日的概率是(364/365)k 所以随机取k个人至少有一个人与该同学同生日的概率是 1-(364/365)k 254 * 在一个教室中最少应有多少学生才使得至少有两个学生的生日在同一天的概率不小于1/2？（生日悖论） 第一个人的生日为一个特定生日 第二个人不在该日出生的概率是(1-1/365) 第三个人与前两位不同生日的概率是(1-2/365) 第k个人与前k-1个人不同生日的概率是(1-(k-1)/365) 所以k个人都不同生日的概率是 (1-1/365)(1-2/365)???(1-(k-1)/365)= k个人至少有两个人生日相同的概率是 1-(1-1/365) (1-2/365)???(1-(k-1)/365)= 利用1-x?e-x(当x很小)，概率约为1-e-k(k-1)/（2?365） k?1.18?3651/2?22.54， 即随机选择23人，至少有2人生日相同的概率至少为1/2。 * 当k=23时，P(365,23)=0.5073， 即上述问题只需23人，人数如此之少。 当k=100时，P(365,100)=0.9999997， 即获得如此大的概率。 “生日悖论”是因为当人数k给定时，得到的至少有两个人的生日相同的概率比想象的要大得多。 生日悖论 * 寻找特定生日的一个人类似于第一种攻击； 寻找两个随机的具有相同生日的两个人则是第二种攻击； 第二种方法通常被称为生日攻击（Birthday Attack）； 生日攻击意味着HASH值的长度有一个下界，128位的消息摘要，在264个随机输入的HASH值中至少有一个碰撞。所以，通常建议用160位或更长的消息摘要。 K = 2m/2 m位的消息摘要 有效级仅为2m/2 Hash函数的两种穷举攻击－－生日问题 * K = 2m/2 m位的消息摘要 有效级仅为2m/2 Hash函数的两种穷举攻击－－生日问题 * 州立大学的计算机系有一个教员的位置和两个候选人TOM和JACK，TOM比JACK早雇用两年，因此他优先被考察。如果他被通过了， JACK就没有机会了。TOM知道系主任MARILYN对自己工作评价很高，因此他请求她给院长写封推荐信，院长将决定TOM能否获得此职位。一旦发出，所有的信件都变成秘密的。 MARILYN让她的秘书ELLEN给院长写封信，并简要地叙述了信的内容。当信完成后，MANRILYN检查一下，计算并签署64比特的摘要，然后把它发给院长。ELLEN随后用电子邮件把信发走。 * ELLEN以具有32个括号选项的形式写这封信 The [letter| message] is to give my [honest|frank] opinion of Prof. Tom Wilson,who is [a candidate|up] for tenure [now|this year],I [have known|worked with] Tom for [about|almost] six years. He is [outstanding |excellent ] researcher well known in his [field| area]. He is a [highly | greatly] [respected| admired] teacher