2.3认证.pptVIP

2.3 认证 2.3.1 站点认证 2.3.2 报文认证 2.3.3 身份认证 2.3.1 站点认证 2.3.1.1 单向认证 传统密码 2.3.1.1 单向认证 公开密钥密码 2.3.1.1 双向认证 传统密码 2.3.1.1 双向认证 公钥密码 2.3.2 报文认证 报文源认证 传统密码 A?B: E(IDA||M, KS) 问题：B收到后如何验证？ 公钥密码 A?B:D(IDA||M, KdA) 问题：B收到后如何验证？ 2.3.2 报文认证（续） 报文宿认证 传统密码 A?B: E(IDB||M, KS) 问题：B收到后如何验证？ 公钥密码 A?B:E(IDB||M, KeB) 问题：B收到后如何验证？ 基于KDC的认证 Wide-Mouth Frog协议 Yahalom协议 2.3.2 报文内容认证 2.3.2.1 报文加密 2.3.2.2 消息认证码（MAC） 2.3.2.3 hash函数 2.3.2.1 报文加密 传统密码 A→B:E(M, K) 公钥密码 A→B:D(M, KdA) 问题：接收者无法对解密之后的明文的合法性判别 2.3.2.1消息认证码（MAC） 是消息内容和秘密钥的公开函数，输出固定长度的短数据块附加在愿消息后。 2.3.2.3 hash函数 Hash函数的定义 Hash函数是将任意长度的报文映射成一个较短的定长输出报文的函数. 如下形式: h = H(M), M是变长的报文,h是定长的Hash值. Hash函数的目的是为文件、报文或其它的分组数据产生“数字指纹”. Hash的基本用途 (a) A-B: Ek(M || H(M) ) 提供保密(仅A和B共享K) 提供认证(加密保护 H(M) ) (b) A-B: M || Ek( H(M) ) 提供认证(加密保护 H(M) ) (c) A- B: M || EKRa( H(M) ) 提供认证和数字签名(加密保护 H(M) ,且仅A能生成EKRa( H(M) ) Hash的基本用途（续） (d) A-B: Ek(M || EKRa( H(M) ) ) 提供认证和数字签名 提供保密(仅A和B共享K) (e)A-B: M || H(M || S) 提供认证(S是通信双方共享的一个秘密值, 仅A和B共享S) (f)A-B: Ek(M || H(M || S )) 提供认证和数字签名(仅A和B共享S) 提供保密(仅A和B共享K) Hash函数的需求 H能用于任何大小的数据分组; H产生定长输出; 对任意给定的x, H(x)要相对易于计算,使得软硬件实现都实际可行; 对任意给定的码h, 寻求x使得H(x)=h在计算上是不可行的(单向性); 任意给定分组x, 寻求不等于x的y, 使得H(y)= H(x)在计算上不可行(弱抗攻击性); 寻求对任何的(x,y)对使得H(x)=H(y)在计算上不可行(强抗攻击性); 生日攻击(基于生日悖论） 在k个人中，找一个与某人生日相同的人的概率超过0.5时，只需k183； 而在此人群中，至少有两个人生日相同的概率超过0.5，只需k23。 安全Hash算法的一般结构 MD5 算法 输入：任意长度的消息 输出：128位消息摘要 处理：以512位输入数据块为单位 MD5 (RFC 1321) was developed by Ron Rivest (“R” of the RSA )at MIT in 90’s. MD5算法描述 步骤1：添加填充位(一个1 和若干个0)。在消息的最后添加适当的填充位使得数据位的长度满足length ? 448 mod 512。 步骤2：添加长度。原始消息长度（二进制位的个数），用64位表示。如果长度超过264位，则仅取最低64位，即mod 264。 到此为止，我们已经得到一个512位的整倍数长度的新的消息。可以表示为L个512位的数据块：Y0,Y1,…,YL-1。其长度为L?512bits。令N=L?16,则长度为N个32位的字。令M[0…N-1]表示以字为单位的消息表示。 MD5算法描述（续） 步骤3：初始化MD缓冲区。一个128位MD缓冲区用以保存中间和最终Hash函数的结果。它可以表示为4个32位的寄存器(A,B,C,D)。 寄存器初始化为以下的16进制值。 A = B = EFCDAB89 C = 98BADCFE D = MD5算法描述（续） 上述值的存储方式为(低字节放在低地址)： MD5算法描述（续） 步骤4：处理消息块（512位 = 16个32位字）。压缩函数是本算法的核心(HMD5)。它包括4轮处理。四轮处理具有相似的结构,但每次使用不同的基本逻辑函数，记为F,G,H,