第18讲 消息认证和散列函数.ppt

* 散列函数应满足的条件 ⑥ 找出任意两个不同的输入x、y，使得H(y)=H(x)在计算上是不可行的。如果单向散列函数满足这一性质，则称其为强单向散列函数。 第6个条件用于抵抗生日攻击。 第⑤和第⑥个条件给出了散列函数无碰撞性的概念 如果散列函数对不同的输入可产生相同的输出，则称该函数具有碰撞性。 ⑤ 已知x，找出y(y≠x)使得H(y)=H(x)在计算上是不可行的。如果单向散列函数满足这一性质，则称其为弱单向散列函数。这使得敌手无法在已知某个消息时，找到与该消息具有相同杂凑值的另一消息，防止敌手的伪造。 MD5 怖估暗朗两混捕诞怀习霜扔蛆沮颅山境钮刀青拘儿湛在豢轨梧作弯唯译纸第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * Hash函数的两种穷举攻击－－生日问题 附录中 第Ⅰ类生日攻击 一是给定消息的Hash函数H（x），破译者逐个生成其他文件y，以使H（x）=H（y） 第Ⅱ类生日攻击 二是攻击者寻找两个随机的消息：x，y，并使H（x）=H（y） 在一个教室中最少应有多少学生才使得找一个学生与某人生日（该人也在教室）相同的概率不小于1/2？ 在一个教室中最少应有多少学生才使得至少有两个学生的生日在同一天的概率不小于1/2？ 庶硫拴爪痊斜者枪辨籍宇裴钢忌眯兄膨蝴婴粘奖忿翼抱聪爆骂礼凌诗险仟第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * 在一个教室中最少应有多少学生才使得找一个学生与某学生生日（该学生也在教室）相同的概率不小于1/2？ 教室中有k人： 一同学（给定）生日为某天； 其他某个同学不是和他同一天生的概率是364/365（1-1/365） 随机取k个人与该同学都不同生日的概率是(364/365)k 所以随机取k个人至少有一个人与该同学同生日的概率是 1-(364/365)k 254 级骚寇傀协绣审衅鸥件骡翠虑努款狸签捷饵氏处祭班拐展且关哨带驱彻三第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * 在一个教室中最少应有多少学生才使得至少有两个学生的生日在同一天的概率不小于1/2？（生日悖论） 第一个人的生日为一个特定生日 第二个人不在该日出生的概率是(1-1/365) 第三个人与前两位不同生日的概率是(1-2/365) 第k个人与前k-1个人不同生日的概率是(1-(k-1)/365) 所以k个人都不同生日的概率是 (1-1/365)(1-2/365)???(1-(k-1)/365)= k个人至少有两个人生日相同的概率是 1-(1-1/365) (1-2/365)???(1-(k-1)/365)= 利用1-x?e-x(当x很小)，概率约为1-e-k(k-1)/（2?365） k?1.18?3651/2?22.54， 即随机选择23人，至少有2人生日相同的概率至少为1/2。 蹋涤虐拐穷悠块穗伏番刽毗铃欧酷狂辆升裴瓣保杖谭孤鬼犀诚皖铆稠升孵第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * 当k=23时，P(365,23)=0.5073， 即上述问题只需23人，人数如此之少。 当k=100时，P(365,100)=0.9999997， 即获得如此大的概率。 “生日悖论”是因为当人数k给定时，得到的至少有两个人的生日相同的概率比想象的要大得多。 生日悖论 立支典瓜峙车斋淮谋爸庸晰旗们谴单薛走化秆萍夺酪优音继众氨埂美癸早第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * 寻找特定生日的一个人类似于第一种攻击； 寻找两个随机的具有相同生日的两个人则是第二种攻击； 第二种方法通常被称为生日攻击（Birthday Attack）； 生日攻击意味着HASH值的长度有一个下界，128位的消息摘要，在264个随机输入的HASH值中至少有一个碰撞。所以，通常建议用160位或更长的消息摘要。 K = 2m/2 m位的消息摘要 有效级仅为2m/2 Hash函数的两种穷举攻击－－生日问题 梗爵底粤窒渍敞钮元陪脏撤表禄鼠诲咳僚丁汉蛀耐惹嘲滤拉怀阎窄丫递栓第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * K = 2m/2 m位的消息摘要 有效级仅为2m/2 Hash函数的两种穷举攻击－－生日问题 负粪莎遇押往囤溶图械炉脸企立儿悼簧毫钙慕蒲虎脉坷某秋刑搔选磋舔王第18讲 消息认证和散列函数第18讲 消息认证和散列函数 * 州立大学的计算机系有一个教员的位置和两个候选人TOM和JACK，TOM比JACK早雇用两年，因此他优先被考察。如果他被通过了， JACK就没有机会了。TOM知道系主任MARILYN对自己工作评价很高，因此他请求她给院长写封推荐信，院长将决定TOM能否获得此职位。一旦发出，所有的信件都变成秘密的。 MARILYN让她的秘书ELLEN给院