应用密码学 5 单向散列函数和消息认证.pptVIP

5.3 SHA-1算法 (2)消息扩展 消息填充后的消息是512位的整数倍，把它们划分成512比特的分组，对于每一个512比特的分组分割成16个字(32比特)。然后将这16个字用如下的扩展方式扩展成80个消息字。 扩展方式为： 对每个消息字 的32比特位分别标记为 5.3 SHA-1算法 (3)Hash迭代 SHA-1的迭代函数一共需要80步，分成四轮来实现，每轮20步，第j轮第i步的步函数如下。 其中： 5.3 SHA-1算法 链接变量的初始值 为：(ooxefcdab89，ox98badcfe， ooxc3d2e1f0)。 为常数，具体数值如下： 对每一信息分组进行80步运算，所有信息计算完之后，链接变量的值 即为Hash运算的结果。 5.3 SHA-1算法 5.3.2 SHA-1算法安全性 SHA-1产生160比特的杂凑值，它更能有效抵抗穷举攻击和生日攻击。2005年，王小云等首次提出了对完整SHA-1的碰撞攻击算法，该算法的计算复杂度低于穷举攻击的复杂度。随后，密码学者们对碰撞攻击中的各个环节进行了分析。BIHAME等人给出了SHA-0及低轮SHA-1的碰撞对。KAWAZOE M等研究者提出了对58轮SHA-1的代数攻击方法。目前，SHA-1的分析仍是密码学领域的研究热点之一。 5.3 SHA-1算法 5.3.3 SHA-1算法实现 我们以求字符串“abc”的SHA-1散列值为例来说明上面描述的过程。“abc”的二进制表示01100010 (1)填充消息 消息长24，先填充l位l，然后填充423位0，再用消息长24，即0000000 18填充。 (2)初始化 H0 = 0x6745 2301 H1 = 0xEFCDAB89 H2 = 0x98BADCFE H3 = 0H4 = 0xC3D2EIF0 5.3 SHA-1算法 (3)主循环 处理消息字块1(本例中只有1个字块)，分成16个字： W[0] W[1] W[2] W[3]W[4] W[5] W[6] W[7]W[8] W[9] W[10] W[11]W[12] W[13] W[14] W[15]＝000000018 然后根据3.3.1节中描述的过程计算。 (4)输出 消息摘要: A9993E36 4706816A BA3E2571 7850C26C 9CD0D89D 5.3 SHA-1算法 5.3.4 SHA-1与MD5的比较 根据各项特征，简要地说明它们之间的不同。 (1)安全性: SHA-1 所产生的摘要较MD5 长32 位。若两种散列函数在结构上没有任何问题的话， SHA-1比MD5 更安全。 (2)速度:两种方法都考虑了以32 位处理器为基础的系统结构，但SHA-1 的运算步骤较MD5 多了16 步，而且SHA-1记录单元的长度比MD5 多了32 位。因此若是以硬件来实现SHA-1，其速度大约较MD5 慢25%。 (3)简易性:两种方法都相当的简单，在实现上不需要很复杂的程序或是大量的存储空间，然而总体上来讲， SHA-1 每一步的操作都比MD5 简单。 特征项 SHA-1 MD5 Hash值长度 160bit 128bit 分组处理长度 512bit 512bit 步数 80(4×20) 64(4×16) 最大消息长度 ≤264bit 不限 非线性函数个性 3（第2、4轮相同） 4 常数个数 4 64 5.4 SM3算法 SM3密码杂凑算法适用于商用密码应用中的数字签名和验证，消息认证码的生成与验证以及随机数的生成，可满足多种密码应用的安全需求。此算法对输入长度小于2的64次方的比特消息，经过填充和迭代压缩，生成长度为256比特的杂凑值，其中使用了异或，模，模加，移位，与，或，非运算，由填充，迭代过程，消息扩展和压缩函数所构成。 （一）符号 ABCDEFGH：8个字寄存器或它们的值的串联 ：第 个消息分组 CF：压缩函数 FFj：布尔函数，随j的变化取不同的表达式 GGj：布尔函数，随j的变化取不同的表达式 IV：初始值，