第11章 杂凑（hash）函数.pptVIP

第11章 杂凑（hash）函数 11.1 杂凑函数的定义 定义 11.1 一个函数族 称为强无碰撞压缩函数族，若下面两个条件成立。 （1）计算hn(x)是容易的，即存在一个多项式时间算法F，若F的输入为1n和 ，则其输出为hn(x) 。 （2）给定算法F要找两个不同的消息 ，使得 是困难的，即对每一个多项式时间概率算法M’，每一正多项式p(n)和一切充分大的n有 （11.1） 其中Un表示{0,1}n上的均匀分布随机变量。 定理 11.1 若一个函数族 为一强单向函数族，则它也是一个强无碰撞压缩函数族。反之，若函数族 为一强无碰撞压缩函数族，且对（充分大的）每个n及x∈{0,1}n，hn(x)的原象集 中至少包含两个原象，则它也是一个强单向函数族。 强无碰撞压缩函数族中的函数也称无碰撞压缩函数或单向压缩函数。 定义 11.2 一个强无碰撞杂凑函数是一个满足下列条件的函数h。 (1)h可应用于任意长的消息或文件； (2)h的值（杂凑值）是固定长的，但要足够长才能抵抗生日攻击。 (3)计算h的值h(x)是容易的，即h(x)是多项式时间可计算的； (4)给定算法h，要找两个不同的消息x1≠x2，使其杂凑值h(x1)=h(x2)是困难的（计算不可行的），即是由强无碰撞压缩函数族中的压缩函数所构造的（构造方法见后）。 11.2 无碰撞杂凑函数的构造方法 11.2.1 用单向压缩函数构造无碰撞杂凑函数的一般方法 设 为一单向压缩函数，其中l≥m+2为一选定的正整数。首先将输入h的消息 分为长l-m-1的组，记作 。若x的长|x|不能被l-m-1整除，则在xr后面添加d个0使n=|x|+d被l-m-1整除。不妨将x,0d仍记作x，使|xr|=l-m-1，再附加一个分组xr+1，它由d的二进数表示在其前面添加若干个0构成，使|xr+1|=l-m-1。杂凑函数h(x)的值由下面的迭代算法定义。 定理 11.2 杂凑函数和用来构造它的单向压缩函数有几乎同样的安全性。 11.2.2 用分组加密函数构造杂凑函数 Rabin方案 密码组链接方案 密钥链接方案 11.2.3 用候选单向函数构造杂凑函数 单向函数输出值链接方案 单向无爪函数输出值链接方案 9 MD5 算法逻辑 输入：任意长度的消息 输出：128位消息摘要 处理：以512位输入数据块为单位 MD5 (RFC 1321) developed by Ron Rivest at MIT in 90’s. 11 MD5算法描述 步骤1： 添加填充位(一个1 和若干个0)。在消息的最后添加适当的填充位使得数据位的长度满足length ? 448 mod 512。 步骤2： 添加长度。原始消息长度（二进制位的个数），用64位表示。 表示为L个512位的数据块：Y0,Y1,…,YL-1。其长度为L?512bits。令N=L?16,则长度 为N个32位的字。令M[0…N-1]表示以字为单位的消息表示。 12 MD5算法描述(Cont.) 步骤3：初始化MD缓冲区。一个128位MD缓冲区用以保存中间和最终散列函数的结果。它可以表示为4个32位的寄存器(A,B,C,D)。 寄存器初始化为以下的16进制值。 A = B = EFCDAB89 C = 98BADCFE D = 13 Word A: 01 23 45 67 Word B: 89 AB CD EF Word C: FE DC BA 98 Word D: 76 54 32 10 14 MD5算法描述(Cont.) 步骤4：处理消息块（512位 = 16个32位字）。一个压缩函数是本算法的核心(HMD5)。它包括4轮处理。四轮处理具有相似的结构,但每次使用不同的基本逻辑函数，记为F,G,H,I。每一轮以当前的512位数据块(Yq)和128位缓冲值ABCD作为输入，并修改缓冲值的内容。每次使用64元素表T[1…64]中的四分之一 T表，由sin 函数构造而成。T的第i个元素表示为T[i]，其值等于 232?abs(sin(i)),其中i是弧度。由于abs(sin(i))是一个0到1之间的数，T的每一个元素是一个可以表示成32位的整数。T表提供了随机化的32位模板，消除了在输入数据中的任何规律性的特征 15 T 表 16 MD5算法描述(Cont.) 步骤5：输出结果。所有L个512位数据块处理完毕后，最后的结果就是128位消息摘要。 CV0 = IV CVq+1 = SUM