《通信保密与信息安全_教学课件_5》由会员分享，可在线阅读，更多相关《通信保密与信息安全_教学课件_5（102页珍藏版）》请在金锄头文库上搜索。
1、第五章 数据完整性技术,二O一O年秋季,通信保密与信息安全,国防科大电子科学与工程学院,2,本章目录,一、数据完整性技术概述二、基于对称密码的数据完整性技术1、密钥杂凑函数2、分组密码算法三、基于非对称密码的数据完整性技术1、数字签名2、无源识别的数据完整性,通信保密与信息安全,国防科大电子科学与工程学院,3,（1）引言,问题的由来被动攻击： 窃听、截取主动攻击：修改、伪造、重放目的：欺骗接收者，使其相信消息某种属性。需要一种安全机制：接收者可以验证消息 所声称的属性是真实的，并且是完整的。 数据完整性,5.1 数据完整性技术概述,Malice,通信保密与信息安全,国防科大电子科学与工程学院,
2、4,（2）数据完整性保护的定义,数据完整性保护 设Data为任意信息, Ke为编码密钥, Kv为与该编码密钥相匹配的验证密钥。Data的数据完整性保护字段由以下密码变换产生： 发送端篡改检测码的生成：MDC f(Ke, Data) 接收端篡改检测码的验证： g(Kv, Data, MDC)= T， 如果MDC = f(Ke, Data) F， 如果MDCf(Ke, Data),5.1 数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,5,（3）数据完整性保护与加解密,密码变换密钥参数关于消息的知识,5.1 数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,6
3、,（4）数据完整性保护系统,5.1 数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,7,检错通信系统,通信保密与信息安全,国防科大电子科学与工程学院,8,（5）数据完整性保护 vs. 检错码,工作原理本质上相同发送方通过编码为消息增加一些冗余作为“校验元”，并附加在消息后。接收方利用相应的解码规则，根据附加的“校验元”来检验消息的“正确性”。,5.1 数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,9,（5）数据完整性保护 vs. 检错码,目的不同检错码：检测因信道误差所导致的消息错误。数据完整性：检测因Malice的恶意操作所导致的消息修改。,5.1
4、数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,10,（5）数据完整性保护 vs. 检错码,冗余不同检错码：冗余增加了消息的相关性，防止一部分信息位错误导致全部信息位不可识别。数据完整性：校验元与消息内容具有强相关性，校验元在整个校验值空间中“均匀分布”，最大程度地降低攻击者伪造有效校验元的成功概率。,5.1 数据完整性技术概述,通信保密与信息安全,国防科大电子科学与工程学院,11,5.2 基于对称密码的数据完整性技术,在数据完整性的实现中，密码变换 f 和 g 是对称密码算法，因而 f = g ，并且Ke = Kv，表明Data与MDC的生成和验证采用相同的密码操作。对称
5、密码技术生成的MDC称为消息认证码MAC基于对称密码技术的数据完整性与消息认证的关系非常密切MAC：密钥杂凑函数 & 分组加密算法,通信保密与信息安全,国防科大电子科学与工程学院,12,（1）杂凑函数,Hash：杂凑函数 / 哈希函数 / 散列函数特点确定变换：将任意长比特串映射为定长比特串单向密码变换：从明文到密文的不可逆映射算法公开，不需要密钥雪崩效应,5.2 基于对称密码的数据完整性技术,通信保密与信息安全,国防科大电子科学与工程学院,13, 杂凑函数的性质,令 |h| 为杂凑函数 h 的输出长度。混合变换 对于任意长度的输入x，输出的杂凑值h(x)应当和0, 2|h|中均匀分布的二进制
6、串是不可区分的。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,14, 杂凑函数的性质,令 |h| 为杂凑函数 h 的输出长度。抗碰撞攻击 找两个输入x和y，满足xy，使得h(x) = h(y)，是不可行的。这要求h的输出空间足够大。|h|最小128，典型值160。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,15, 杂凑函数的性质,令 |h| 为杂凑函数 h 的输出长度。抗原像攻击 已知一个杂凑值h，找一个输入串x，使得h = h(x)，是不可行的。这同样要求 h 的输出空间足够大。,5.2
7、 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,16, 杂凑函数的性质,令 |h| 为杂凑函数 h 的输出长度。实用有效性 给定一个输入串x，h(x)的计算可以在关于x的长度规模的低阶多项式（理想情况是线性的，即一阶多项式）时间内完成。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,17, 杂凑函数的结构,H0=IV Hi=U(Hi-1,Mi) h(M)=V(Hk),r n,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,18, 杂凑函数在密码学中的应用,
8、保证传输数据的完整性,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,19, 杂凑函数在密码学中的应用,在数字签名中，用来产生“消息摘要”。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,20, 杂凑函数在密码学中的应用,在需要随机数的密码学应用中，杂凑函数被广泛地用做实用的伪随机函数。密钥协商：主体A和B将他们的随机种子Na和Nb作为杂凑函数输入，得到一个共享的密钥值认证协议：协议双方通过交换某些杂凑值来证实协议执行的完整性电子商务协议：博奕方式实现小额支付的聚集,5.2 基于对称密码的数据完整
9、性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,21, 对杂凑函数的攻击,生日攻击对任意的函数 f :XY，其中Y包含n个元素。在已知概率 的条件下，为了发生碰撞仅需计算 k 个函数值。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,22, 对杂凑函数的攻击,生日攻击生日悖论：使k个人中至少有两个人生日相同的概率大于1/2的最小k值为,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,23, 对杂凑函数的攻击,生日攻击：对一个输出大小为n的杂凑函数，只需计算大约n1/2个函数值，就
10、能以一个不可忽略的概率发现一个碰撞。（ ）生日攻击说明，杂凑函数的2|h|/2个随机杂凑值足以使攻击者以不可忽略的概率得到一个碰撞。杂凑函数不是真正的随机函数，所需计算的函数值更少。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,24,生日攻击,消息- 杂凑值对： (m1, h(m1), (m2, h(m2), 生日攻击即通过计算找到消息mi和mj，满 足mimj , h(mi)=h(mj)。为使生日攻击对攻击者有益，mi和mj应当包含一些有意义的子消息。,通信保密与信息安全,国防科大电子科学与工程学院,25,生日攻击,例：假如一个要进行杂凑的
11、消息M = Price，Goods_Description，R 生日攻击就要使m = Price_1，Goods_Description，rm = Price_2，Goods_Description，r 找到 rr ，使得h(m) = h(m)。,通信保密与信息安全,国防科大电子科学与工程学院,26,生日攻击,生日攻击给出了杂凑函数输出空间大小的下界：2|h|/2SHA-1、RIPEMD-160：|h|=160，抗生日攻击的强度为280。MD5：|h|=128， 抗生日攻击的强度为264。,通信保密与信息安全,国防科大电子科学与工程学院,27, MD5,Message Digest：消息摘要1
12、990年，欧洲密码年会，Ronald Rivest提出MD41992年4月，公布MD4（RFC 1320, 1321）的改进， 称为MD5,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,28,（5.1）MD5算法特点,主要应用在数字签名前进行安全压缩直接构造，不基于任何假设和密码体制速度快，除了加法，没有大的运算简单紧凑，没有较大的数据结构（如替换表等）和复杂的程序,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,29,（5.2）MD5算法结构,迭代型散列函数输入：512比特整数倍的明文（512
13、bits分为16个32 bits的子块）输出：4个32 bits密文块，级联成128 bits的Hash值,5.2 基于对称密码的数据完整性技术 杂凑函数,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,30,（5.3）MD5算法步骤,附加填充比特：对K bits消息填充，使得填充后消息的长度为512的倍数减64（留出的 64 比特备第 2 步使用）。填充的比特数： 1 512 填充方式：第1位为1，其后各位皆为 0,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,31,（5.3）MD5算法步骤,附
14、加填充比特：例：设消息为“abc”（ASCII码）,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,32,（5.3）MD5算法步骤,附加消息的长度：用步骤 1 留出的 64 比特以Little-endian存储方式表示消息被填充前的长度 K。Little-endian方式：按数据最低有效位（字节）优先的顺序存储数据。相反方式称Big-endian。如果消息长度大于264，则以264 为模数取模。,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,33,（5.3）MD5算法步骤,附加填充比特：例：设消息
15、为“abc”（ASCII码）,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,34,（5.3）MD5算法步骤,1和2步执行完后, 消息的长度为L512bits 将消息按 512 bits分组： Y0，Y1，YL-1 每一分组又可表示为 16 个 32 bits长的字，这样消息中的总字数为 N = L16，因此消息又可按字表示为 M0, M1, , MN-1,5.2 基于对称密码的数据完整性技术 杂凑函数,通信保密与信息安全,国防科大电子科学与工程学院,35,（5.3）MD5算法步骤,对缓冲区初始化：算法使用128 bits长的缓冲区存储中间结果和最终杂凑值，缓冲区可表示为4 个32 bits长的寄存器（A, B, C, D）, 初值IV为： A = 01234567 B = 89ABCDEF C = FEDCBA98 D = 76543210每个寄存器都以Little-endian方式存储数据： A=67452301 B=EFCDAB89 C=98BADCFE D=10325476,
