信息安全专题讲座-08.ppt

第八章 信息认证和散列函数（Message Authentication and Hash Functions) 1 信息认证 网络系统安全要考虑两个方面。一方面，用密码保护传 送的信息使其不被破译；另一方面，就是防止对手对系统进 行主动攻击，如伪造，篡改信息等。认证（authentication） 则是防止主动攻击的重要技术，它对于开放的网络中的各种 信息系统的安全性有重要作用。认证的主要目的有二： 第一，验证信息的发送者是真正的，而不是冒充的，此 为信源识别； 第二，验证信息的完整性，在传送或存储过 程中未被篡改，重放或延迟等。 保密和认证同时是信息系统安全的两个方面，但它们 是两个不同属性的问题，认证不能自动提供保密性，而 保密性也不能自然提供认证功能。一个纯认证系统的模 型如下图所示： 窜扰者 信宿 信源 认证编码器 认证译码器 信道 安全信道 密钥源 在这个系统中的发送者通过一个公开的无扰信道将消息 送给接收者，接收者不仅想收到消息本身，而且还要验证消 息是否来自合法的发送者及消息是否经过篡改。系统中的密 码分析者不仅要截收和破译信道中传送的密报，而且可伪造 密文送给接收者进行欺诈，将其称为系统的窜扰者(tamper) 更加合适。实际认证系统可能还要防止收方、发方之间的相 互欺诈。 上述标出的认证编码器和认证译码器可抽象为认证函数。 一个安全的认证系统，首先要选好恰当的认证函数，然后在 此基础上，给出合理的认证协议(Authentication Protocol)。 2 认证函数（Authentication Functions) 可用来做认证的函数分为三类： (1) 信息加密函数(Message encryption) 用完整信息的密文作为对信息的认证。 (2) 信息认证码MAC(Message Authentication Code) 是对信源消息的一个编码函数。 (3) 散列函数(Hash Function) 是一个公开的函数，它将任意长的信息映射成一个固定长度的信息。 对于（1），用信息加密函数作认证的方式，教材 P239-242，给出明白的叙述。信息加密函数分二种，一种 是常规的对称密钥加密函数，另一种是公开密钥的双密 钥加密函数。下图的通信双方是，用户A为发信方，用户 B为接收方。用户B接收到信息后，通过解密来判决信息 是否来自A，信息是否是完整的，有无窜扰。 信源 信宿 M E Ek(M) D M A方 B方 k k Dk(Ek(M)) (a) 常规加密：具有机密性，可认证 KUb(B方的公钥) M E EKUb(M) D M A方 B方 DkRb (b) 公钥加密：具有机密性 M E EkRa(M) D M A方 B方 KRa KUa (c) 公钥加密：认证和签名 M E EkRa(M) E EKUb(EkRa(M)) A方 KRa KUb D EkRa(M) D M B方 KRb KUa (d) 公钥加密：机密性，可认证和签名 对于（2），信息认证码(MAC) 设S为通信中的发方A发送的所有可能的信源集合。 为了达到防窜扰的目的，发方A和收方B设计一个编码法 则。发方A根据这个法则对信源S进行编码，信源经编码 后成为消息，M表示所有可能的消息集合。发方A通信时， 发送的是消息。用简单的例子说明：设S={0,1}, M={00,01,10,11}, 定义四个不同的编码法则e0,e1,e2,e3: 00 01 10 11 e0 0 1 e1 0 1 e2 0 1 e3 0 1 这样就构成一个认证码MAC。发方A和收方B在通信前先 秘密约定使用的编码法则。例如，若决定采用e0，则以 发送消息00代表信源0；发送消息10代表信源1，我们称 消息00和10在e0之下是合法的。而消息01和11在e0之下不 合法，收方将拒收这二个消息。 信息的认证和保密是不同的两个方面，一个认证码 可具有保密功能，也可没有保密功能。 认证编码的基本方法是要在发送的消息中引入多余 度，使通过信道传送的可能序列集Y大于消息集X。对于 任何选定的编码规则(相应于某一特定密钥):发方从Y中选 出用来代表消息的许用序列，即码字；收方根据编码规 则唯一地确定出发方按此规则向他传来的消息。窜扰者 由于不知道密钥，因而