第6章公钥密码体系.ppt

消息鉴别和数字签名 杭州电子科技大学 安全的信息交换应满足的性质 基本概念 鉴别的目的 鉴别系统 消息利用鉴别函数产生一个鉴别符（鉴别符是一个根据消息计算出来的值），接收者通过鉴别符能够检验和证实消息的合法性、真实性和完整性 鉴别函数 MAC的基本用法 散列函数Hash Function H(M): 输入为任意长度的消息M; 输出为一个固定长度的散列值，称为消息摘要Message Digest）。散列函数又称为：哈希函数 散列函数的用途 消息的完整性检测 数字签名 使用Hash函数进行完整性检测的模型 HASH 函数H = h(M) 散列函数攻击分析 散列函数攻击的特点就是如何寻找一对或更多对消息产生碰撞的过程，评价的最好方法就是看一个攻击者找到一对碰撞消息所花的代价有多高。 攻击法： （１）强力攻击：生日攻击 （２）特殊攻击：根据散列函数的结构和代数性质。 生日悖论 生日悖论 相关问题 给定一个散列函数，输出m位的散列值H(x)，共有2m个可能的散列码，如果散列函数有k个随机输入，k为多大时，k个输入值中有一对碰撞即H(x1)＝H(x2)的概率大于0.5 K＝2m/2 输出为m位的散列函数生日攻击的算法复杂度为2m/2 Hash 算法直接设计 MD5 算法 消息鉴别没有解决的问题 数字签名 数字签名 RSA数字签名方案 RSA数字签名安全性分析 安全性依赖于大整数因子分解的困难性。 ElGamal数字签名体制 ElGamal在1985年提出，安全性基于求离散对数的困难性 代数知识 群：G,*为一个代数系统，若G是非空集合，*为G上的一个二元运算，且满足下列条件： 1)群运算*是封闭的。a,b属于 G，则 a+b 属于 G 2)群运算*是可结合的。 a,b,c属于G，则 a+(b+c)=(a+b)+c 3)存在单位元，使得所有a属于 G，满足e*a=a*e=a 4)对每一个元素a，存在逆元a-1使得 　　　　a*a-1=a-1*a=1 容易验证Z,+是群，Z,×是否为群， Z*p,*？ 设G,*为一个群，若G为有限集，则称G,*为有限群，若G为无限集，则称G,*为无限群。G中元素的个数称为群的阶，记为|G|。 设G,*为一个群，an=a*a*…*a，满足an＝e的最小正整数n称为a的阶 Z*5中2、3、4的阶？ 设G,*为一个群,若G中存在一个元素a，使得对群G中任意元素b都存在一个整数i，满足b＝ai，即群由a的幂组成，称该群为循环群。元素a称为G的一个生成元 Z*5是循环群，Z*p是循环群 ElGamal数字签名 ElGamal数字签名的安全性 1)安全性基于离散对数问题的困难性，若能求离散对数问题，则由公开密钥y及g可求出x 2)伪造签名时，面临求离散对数问题 * * 计算机安全与保密 １、与分组密码类似都使用了通用的迭代结构 ２、hash函数通用结构 由Merkle于1989年提出 Ron Rivest于1990年提出MD4