何大可 彭代渊 唐小虎 何明星 梅其祥 现代密码学 第5章Hash函数与消息认证 20091110.pptVIP

现代密码学 彭代渊 信息科学与技术学院 dypeng@swjtu.edu.cn 2009.9-2010.1 现代密码学 Modern Cryptography 彭代渊 信息科学与技术学院 dypeng@swjtu.edu.cn 2009年11月 第5章 Hash函数与消息认证 5.1 Hash函数概述 5.1.1 Hash函数定义 数据安全 机密性 完整性 认证性 密码技术主要保证数据的机密性 Hash函数能保证数据的完整性和认证性 5.1.1 Hash函数定义 Hash函数定义：Hash函数是一个将任意长度的消息（message）映射成固定长度消息的函数。 5.1.1 Hash函数定义 Hash函数的碰撞（collision） 设x、x’是两个不同的消息，如果 h(x)=h(x’) 则称x和x’是Hash函数h的一个（对）碰撞. 5.1.1 Hash函数定义 Hash函数的分类 单向Hash函数（one?way） 给定一个Hash值y，如果寻找一个消息x，使得y=h (x)是计算上不可行的，则称h是单向Hash函数. 弱抗碰撞Hash函数（weakly collision?free） 任给一个消息x，如果寻找另一个不同的消息x’，使得h(x) =h(x’)是计算上不可行的，则称h是弱抗碰撞Hash函数. 强抗碰撞Hash函数 （strongly collision?free） 如果寻找两个不同的消息x和x’，使得h(x)=h(x’)是计算上不可行的，则称h是强抗碰撞Hash函数. 5.1.1 Hash函数定义 安全Hash函数h应具有以下性质： 对任意的消息x，计算h(x)是容易的； h是单向的； h是弱抗碰撞的，或是强抗碰撞的。 5.1 Hash函数概述 5.1.2 Hash函数的安全性 对Hash函数的攻击是指寻找一对碰撞消息的过程 生日悖论（birthday paradox） 生日问题：假设每个人的生日是等概率的，每年有365天，在k个人中至少有两个人的生日相同的概率大于1/2，问k最小应是多少？ k人生日都不同的概率是： 5.1.2 Hash函数的安全性 生日攻击法 生日悖论原理可以用于构造对Hash函数的攻击 设Hash函数值有n个比特，m是真消息，M是伪造的假消息，分别把消息m和M表示成r和R个变形的消息。消息与其变形消息具有不同的形式，但有相同的含义。将消息表示成变形消息的方法很多，例如增加空格、使用缩写、使用意义相同的单词、去掉不必要的单词等。 5.1.2 Hash函数的安全性 生日攻击法 分别把消息m和M表示成r和R个变形的消息 5.1.2 Hash函数的安全性 生日攻击法 计算真消息m的变形与假消息M的变形发生碰撞的概率 由于n比特长的散列值共有2n个，所以对于给定m的变形mi和M的变形Mj，mi与Mj不碰撞的概率是1-1/2n。由于M共有R个变形，所以M的全部变形都不与mi碰撞的概率是： 5.1.2 Hash函数的安全性 生日攻击法 中间相遇攻击（in-the-middle attack） 用于攻击一类具有特殊结构的Hash函数 分析Hash函数运算的中间值相等的概率 讨论一类利用加密变换构造的Hash函数 设加密体制为： 中间相遇攻击（in-the-middle attack） 用于攻击一类具有特殊结构的Hash函数 分析Hash函数运算的中间值相等的概率 讨论一类利用加密变换构造的Hash函数 5.1.2 Hash函数的安全性 5.1.2 Hash函数的安全性 5.1 Hash函数概述 5.1.3 Hash函数的迭代构造法 压缩函数（compression function） 5.1.3 Hash函数的迭代构造法 计算消息x的散列值h(x)的步骤 预处理: 用一个公开算法在消息x右方添加若干比特，得到比特串y，使 得y的长度为t的倍数。即有 y= x || pad(x) = y1 || y 2 || … || yr , 其中| yi|=t (i =1, 2,…, r)，pad(x)称为填充函数。典型的填充函数是先添加x长度| x|的值，再添加若干比特（例如0）。 迭代过程: 设H0=IV是一个长度为m的初始比特串，重复使用压缩函数f，依次计算 Hi= f (Hi?1|| yi) (i =1, 2,…, r). 输出变换: 设g: {0,1}m?{0,1