6-消息认证
消息认证
• 攻击者如何用强力攻击方法攻击MAC？
假设：用户A和B通信时没有增加保密性实现，攻击者可以看到 明文， k > n (k为密钥长度位数，n为MAC长度位数) 给定：M1和MAC1， MAC1= CK1(M1) 密码分析员可以计算MACi = CKi(M1) 对所有可能的Ki，至少有一 个Ki保证产生 MACi = MAC1 注意：总共会产生2k个MAC结果，但只有2n< 2k个不同的MAC 值，因此，有若干个key将产生相同的MAC，而攻击者无法确 定哪一个是正确的key。 平均来说， 2k/2n= 2(k-n)个key将产生匹配的MAC，所以，攻击 者需要循环多次攻击，以确定K: 第一轮：给定 M1和MAC1= CK(M1)，对所有2k个key，计算 MACi = CKi(M1) ，匹配的数量 2(k-n) 第二轮：给定 M2和MAC2= CK(M2)，对所有2(k-n)个key，计算 MACi = CKi(M2) ，匹配的数量 2(k-2n)
散列函数的基本用法（a、b)
Provides confidentiality -- only A and B share K Provides authentication -- H(M) is cryptographically protected
Provides authentication -- H(M) is cryptographically protected
问题
• 若对相当长的文件通过签认证怎么办？如一 个合法文件有数兆字节长。自然按64比特分划 成一块一块，用相同的密钥独立地签每一个块。 然而，这样太慢。
解决办法
• 解决办法：引入可公开的密码散列函数(Hash function)。它将取任意长度的消息做自变量，结果产 生规定长度的消息摘要。[如，使用数字签名标准DSS， 消息摘要为160比特]，然后签名消息摘要。对数字签 名来说，散列函数h是这样使用的： 消息： x 任意长 消息摘要： Z=h(x) 160bits 签名： y=sigk(Z) 320 bits (签名一个消息摘要) • 验证签名:(x,y),其中y= sigk(h(x))，使用公开的散列函 数h，重构作Z =h(x)。然后Verk(y)=Z,来看Z=Z'
06_密码学基础(五)_消息认证和数字签名
密码学基础(五)
内容
消息认证
MAC 散列算法
MD5 SHA/SHA-1
数字签名
问题的提出
通信威胁： 1. 泄露：把消息内容发布给任何人或没有合法密钥的 进程 2. 流量分析：发现团体之间信息流的结构模式。在一 个面向连接的应用中，可以用来确定连接的频率和持 续时间长度 3. 伪造：从一个假冒信息源向网络中插入消息 4. 内容修改：消息内容被插入删除变换修改 5. 顺序修改：插入删除或重组消息序列 6. 时间修改：消息延迟或重放 7. 否认：接受者否认收到消息，发送者否认发送过消 息
认证编码的基本方法
认证编码的基本方法是要在发送的消息中引入多余度 ，使通过信道传送的可能序列集Y大于消息集X。 对于任何选定的编码规则，则(相应于某一特定密钥) ：发方从Y中选出用来代表消息的许用序列，即码字 收方根据编码规则唯一地确定出发方按此规则向他传 来的消息。 窜扰者由于不知道密钥，因而所伪造的假码字多是Y 中的禁用序列，收方将以很高的概率将其检测出来， 而被拒绝认证 系统设计者的任务是构造好的认证码 (Authentication Code),使接收者受骗概率极小化
注：若设E=1- e(-(k(k-1)/(2n)) ,可解出k的关于n、E 的函数，有
若略去-k项，有：k≈(n(ln(1/(1-E))×2)0.5； 若取E=0.5,我们估计：k≈1.17 n0.5 ≈n0.5 说明在集合X中，n0.5个随机元素散列的结果产 生一个碰撞的概率为50%!
MAC算法的要求
条件：
攻击者知道MAC函数但不知道密钥K 已知M和CK(M)，要想构造M使得CK(M)=CK(M)在 计算上不可行 (计算上无碰撞) CK(M)均匀分布：随机选择M和M, Pr[CK(M) = CK(M)]=2-|MAC| f是M的一个变换(例如对某些位取反),那么, Pr[CK(M)= CK(f(M))]=2-|MAC|
短信认证流程
短信认证流程短信认证流程是指通过手机短信来验证用户的身份。
以下是一种常见的短信认证流程：1. 用户在手机应用或网站上输入手机号码，并选择短信认证作为身份验证方式。
2. 系统向第三方短信服务商发送请求，请求发送一条验证码短信到用户的手机号码上。
3. 第三方短信服务商收到请求后，生成一个随机的验证码并将其发送到用户的手机号码上。
4. 用户收到短信后，在手机应用或网站上输入收到的验证码。
5. 系统将用户输入的验证码与之前发送的验证码进行比对，如果一致，则认证通过；如果不一致，则认证失败。
6. 认证通过后，用户可以进一步进行操作，如注册账号、登录等。
值得注意的是，为了防止恶意攻击和滥用，一般会对短信认证设置一些限制，如验证码的有效期、每天发送验证码的次数等。
同时，为了确保短信的发送和接收的安全性，还可以使用加密技术、防止伪造等措施来保护用户的信息。
短信认证流程一般包括以下几个步骤：1. 提供手机号码：用户在需要进行短信认证的平台或应用上输入自己的手机号码。
2. 发送验证码：平台或应用将一条包含验证码的短信发送到用户提供的手机号码。
3. 输入验证码：用户收到短信后，在应用上输入收到的验证码。
4. 验证码验证：平台或应用将用户输入的验证码与发送的验证码进行比对，判断是否一致。
5. 认证成功/失败：根据验证码的验证结果，平台或应用会相应地给予用户验证成功或验证失败的信息反馈。
需要注意的是，在进行短信认证时，通常会有一定的时间限制要求，即验证码的有效时间，在超过该时间限制后，用户需要重新获取新的验证码进行认证。
此外，短信认证流程可能因实际应用的要求而有所不同，上述步骤仅是一种常见的流程示例。
大学课程《应用密码学》课后答案
答：密码编码系统通常有三种独立的分类方式： （1） 按照明文变换到密文的操作类型可分为代替和换位。
* 代替：即明文中的每个元素（比特、字母、比特组合或字母组合）被映射为另一个元 素。该操作主要达到非线性变换的目的。 * 换位：即明文中的元素被重新排列，这是一种线性变换，对它们的基本要求是不丢失 信息（即所有操作都是可逆的）。 （2） 按照所用的密钥数量多少可分为单密钥加密和双密钥加密。 * 单密钥加密：即发送者和接收者双方使用相同的密钥，该系统也称为对称加密、秘密 密钥加密或常规加密。 * 双密钥加密：即发送者和接收者各自使用一个不同的密钥，这两个密钥形成一个密钥 对，其中一个可以公开，称之为公钥，另一个必须为密钥持有人秘密保管，称之为私 钥。该系统也称为非对称加密或公钥加密。 （3） 按照明文被处理的方式不同可分为分组加密和流加密。 * 分组加密：一次处理一块（组）元素的输入，对每个输入块产生一个输出块。即一个 明文分组被当作一个整体来产生一个等长的密文分组输出，通常使用的是64位或128 位的分组大小。 * 流加密：也称为序列密码，即连续地处理输入元素，并随着该过程的进行，一次产生 一个元素的输出。即一次加密一个比特或一个字节。 2－7 网络安全模型和网络访问安全模型各适用于什么场合？
②多人通信时密钥组合的数量会出现爆炸性膨胀，使密钥分发更加复杂化， N 个人进 行两两通信，总共需要的密钥数为 C N = N ( N − 1) 2 。 ③通信双方必须统一密钥，才能发送保密的信息。如果发信者与收信人素不相识，这就 无法向对方发送秘密信息了。 ④除了密钥管理与分发问题， 对称密码算法还存在数字签名困难问题 （通信双方拥有同 样的消息，接收方可以伪造签名，发送方也可以否认发送过某消息） 。 非对称密码体制是加密密钥与解密密钥不同， 形成一个密钥对， 用其中一个密钥加密的 结果，可以用另一个密钥来解密的密码体制。非对称密码体制的优缺点： （1） 优点： ①网络中的每一个用户只需要保存自己的私有密钥， 则 N 个用户仅需产生 N
消息认证(Message Authentication)
Message Digest
目标：确保信息的完整性(Integrity) 特色： (1) 不需密钥 (2) 任意长信息输入，固定长摘要输出 (3) 找出两个不同的输入，使输出相同在计算上很难 常用系統： MD5 (RFC 1321) SHA-1 (FIPS 180-1)
Structure of Message Digest
Message authentication code
• Prerequisite: A and B shares a key K
– Can be a session key
• MAC: a short fixed-size data block, depending on the message M and the shared key K • MAC(K,M)=CK(M) • Sender: M||CK(M) • Receiver: on receiving M’|C’
HMAC的设计目标
• Hash函数不使用密钥，不能直接用于MAC • HMAC要求 –可不经修改使用现有hash函数 –其中嵌入的hash函数可易于替换为更快和更安 全的hash函数 –保持嵌入的hash函数的最初性能，不因适用于 HAMC而使其性能降低 –以简单方式使用和处理密钥 –在对嵌入的hash函数合理假设的基础上，易于 分析 HMAC用于认证时的密码强度
MD5不再安全!?
安全的杂凑函数在设计时必须满足两个要求
● ●
找到两个不同输入而得到相同的输出值在计算上是不可行的—— 抗碰撞
给定一输出值找出输入值在計算上是不可行的——单向性
2004年在Crypto會議，來自山東大學的王出一种可以快速找到碰撞的方法 受影响的算法—— MD5、HAVAL-128、MD4、RIPEMD SHA-0及減弱条件下的SHA-1不安全——在任何初始值下 用240次hash运算可以找出SHA-0的碰撞 SHA-1预计至2010年也会被破解
信息安全技术与实践习题答案完整
1、可用性、机密性、完整性、非否认性、真实性和可控性。
这6个属性是信息安全的基本属性，其具体含义如下（1）可用性（Availability）。
即使在突发事件下，依然能够保障数据和服务的正常使用，如网络攻击、计算机病毒感染、系统崩溃、战争破坏、自然灾害等。
（2）机密性（Confidentiality）。
能够确保敏感或机密数据的传输和存储不遭受未授权的浏览，甚至可以做到不暴露保密通信的事实。
（3）完整性（Integrity）。
能够保障被传输、接收或存储的数据是完整的和未被篡改的，在被篡改的情况下能够发现篡改的事实或者篡改的位置。
（4）非否认性（non-repudiation）。
能够保证信息系统的操作者或信息的处理者不能否认其行为或者处理结果，这可以防止参与某次操作或通信的一方事后否认该事件曾发生过。
（5）真实性（Authenticity）。
真实性也称可认证性，能够确保实体（如人、进程或系统）身份或信息、信息来源的真实性。
（6）可控性（Controllability）。
能够保证掌握和控制信息与信息系统的基本情况，可对信息和信息系统的使用实施可靠的授权、审计、责任认定、传播源追踪和监管等控制。
2、信息安全是一个古老而又年轻的科学技术领域。
纵观它的发展，可以划分为以下四个阶段：（1）通信安全发展时期：从古代至20世纪60年代中期，人们更关心信息在传输中的机密性。
（2）计算机安全发展时期：计算机安全发展时期跨越20世纪60年代中期至80年代中期。
（3）信息安全发展时期：随着信息技术应用越来越广泛和网络的普及，20世纪80年代中期至90年代中期，学术界、产业界和政府、军事部门等对信息和信息系统安全越来越重视，人们所关注的问题扩大到前面提到的信息安全的6个基本属性。
在这一时期，密码学、安全协议、计算机安全、安全评估和网络安全技术得到了较大发展，尤其是互联网的应用和发展大大促进了信息安全技术的发展与应用，因此，这个时期也可以称为网络安全发展时期。
第6章 消息认证和杂凑函数
图6.1 MAC的基本使用方式
2013-8-26源自•如果仅收发双方知道K，且B计算得到的 MAC与接收到的MAC一致，则这一系 统就实现了以下功能：
① 接收方相信发送方发来的消息未被篡改， 这是因为攻击者不知道密钥，所以不能够 在篡改消息后相应地篡改MAC，而如果仅 篡改消息，则接收方计算的新MAC将与收 到的MAC不同。 ② 接收方相信发送方不是冒充的，这是因为 除收发双方外再无其他人知道密钥，因此 其他人不可能对自己发送的消息计算出正 确的MAC。
2013-8-2
12
• 第1轮 已知M1、MAC1，其中 MAC1=CK(M1)。对所有2k个可能的密钥计算 MACi=CKi(M1)，得2k-n个可能的密钥。 • 第2轮 已知M2、MAC2，其中 MAC2=CK(M2)。对上一轮得到的2k-n个可能的 密钥计算MACi=CKi(M2)，得2k-2×n个可能的密 钥。 • 如此下去，如果k=αn，则上述攻击方式平均需 要α轮。例如，密钥长为80比特，MAC长为32 比特，则第1轮将产生大约248个可能密钥，第2 轮将产生216个可能的密钥，第3轮即可找出正 确的密钥。
2013-8-2
11
• 假定k>n，且敌手已得到M1和MAC1，其中 MAC1=CK1（M1），敌手对所有可能的密钥 值Ki求MACi=CKi(M1)，直到找到某个Ki使得 MACi=MAC1。由于不同的密钥个数为2k，因 此将产生2k个MAC，但其中仅有2n个不同， 由于2k>2n，所以有很多密钥（平均有2k/2n=2kn个）都可产生出正确的MAC ，而敌手无法知 1 道进行通信的两个用户用的是哪一个密钥，还 必须按以下方式重复上述攻击：
2013-8-2 17
消息认证的三种方法
消息认证的三种方法
消息认证的三种方法包括：
1. 密码认证：使用预先共享的密码或密钥来验证消息的完整性和真实性。
发送方使用密钥对消息进行加密，并将其与消息一起发送。
接收方使用相同的密钥对消息进行解密，并验证消息是否与发送方发送的密文匹配。
2. 数字签名认证：使用公钥密码学技术创建和验证数字签名来验消息的完整性、真实性和身份。
发送方使用其私钥对消息进行数字签名，然后将消息和签名一起发送。
接收方使用发送方的公钥来验证签名，以确保消息是由发送方提供且未被篡改的。
3. 消息认证码（MAC）认证：使用一个密钥和散列函数来创
建和验证MAC来验证消息的完整性和真实性。
发送方使用密
钥和散列函数对消息进行计算，并将生成的MAC与消息一起
发送。
接收方使用相同的密钥和散列函数对收到的消息进行计算，并验证计算出的MAC是否与发送方发送的MAC匹配。
这种方法还可以防止消息被篡改，因为即使消息的内容被轻微更改，计算出的MAC也会与发送方发送的MAC不匹配。
这些方法可以单独或结合使用，以提供更强的消息认证和安全性。
信息安全实际原理及具体应用第5章消息认证
消息认证码的基本用途
• 只提供消息认证，不提供保密性。（见前） • 提供消息认证和保密性：
A
B
MKC||KE KDCM KC 比较 1
2 2 EK2[M || CK1 (M )]
– 与消息认证码不同的是， hash码的产生过程中并不使用 密钥。
– Hash码是所有消息的函数，改变消息的任何一位或多位， 都会导致hash码的改变。
– Hash算法通常是公开的。 – 又称为：哈希函数、数字指纹（Digital finger print)、压
缩（Compression)函数、紧缩（Contraction ）函数、 数据鉴别码DAC（Data authentication code）、篡改 检验码MDC(Manipulation detection code)
• 平均来讲，若k=x*n，则需x次循环才能找到正确的密钥。 • 所以，用穷举法攻破MAC比攻破加密算法要困难得多。
对MAC的攻击—攻击算法
• 考虑下面的算法：
消息M=(X1‖X2‖…‖Xm)是由64比特长的分组Xi(i=1,…,m)链接而成 MAC算法是：
(M ) X1 X2 Xm
CK (M ) EK (M )
消息认证码用于认证
MMCKA比C 较
• A和B共享密钥K • A计算MAC=Ck(M),
• M和MAC一起发送
到B
• B对收到的M，计算 MAC，比较两个 MAC是否相同。
如果两个MAC相等，则：
1. 接收方可以相信消息未被修改，因为如果攻击者改变了消 息，由于不知道k，无法生成正确的MAC。
信息网络安全-第6章+消息认证和杂凑函数
网络安全—技术与实践（第2版）
刘建伟 王育民 编著
清华大学出版社
课件制作人声明
本课件总共有17个文件，版权属于刘建伟所 有，仅供选用此教材的教师和学生参考。 本课件严禁其他人员自行出版销售，或未经 作者允许用作其他社会上的培训课程。
这在计算上是不可行的。
6、抗碰撞Hash函数（CRHF）
定义2：抗碰撞的杂凑函数满足以下条件：
1. 变量x可以是任意长度，而h(x)值具有固定的n bi
ts (如128b...160b)长度。
2. 杂凑函数必须是单向的。 3. 杂凑函数抗碰撞：意味着很“难”找到两个不 同的消息 x 和 y ，杂凑后得到相同的值 h(x)=h(y) 。
发送者发送：m 接收者验证：h(m’)=h(m) ?
MDC数学表示
迭代Hash函数
信息 X 被分为 t 个分组： X1, X2, …, Xt（如必要，需填充补位padding） 计算：H0=IV, Hi=f(Xi, Hi-1), …，h(X)=g(Ht)
h为Hash函数，f为轮函数，g为输出变换
IV（Hash函数的部分）和padding（填充）将对安全 有重要影响。
六. 应用杂凑函数的基本方式
1. 既提供保密性，又提供消息认证
M H
||
E
D
M H(M)
H
比较
k Ek[M||H(M)]
k
六. 应用杂凑函数的基本方式
2. 仅仅提供消息认证
||
M H E
M
D k
H
比较
k
Ek[H(M)]
信息安全技术与实践习题答案(上)
1、可用性、机密性、完整性、非否认性、真实性和可控性。
这6个属性是信息安全的基本属性，其具体含义如下（1）可用性（Availability）。
即使在突发事件下，依然能够保障数据和服务的正常使用，如网络攻击、计算机病毒感染、系统崩溃、战争破坏、自然灾害等。
（2）机密性（Confidentiality）。
能够确保敏感或机密数据的传输和存储不遭受未授权的浏览，甚至可以做到不暴露保密通信的事实。
（3）完整性（Integrity）。
能够保障被传输、接收或存储的数据是完整的和未被篡改的，在被篡改的情况下能够发现篡改的事实或者篡改的位置。
（4）非否认性（non-repudiation）。
能够保证信息系统的操作者或信息的处理者不能否认其行为或者处理结果，这可以防止参与某次操作或通信的一方事后否认该事件曾发生过。
（5）真实性（Authenticity）。
真实性也称可认证性，能够确保实体（如人、进程或系统）身份或信息、信息来源的真实性。
（6）可控性（Controllability）。
能够保证掌握和控制信息与信息系统的基本情况，可对信息和信息系统的使用实施可靠的授权、审计、责任认定、传播源追踪和监管等控制。
2、信息安全是一个古老而又年轻的科学技术领域。
纵观它的发展，可以划分为以下四个阶段：（1）通信安全发展时期：从古代至20世纪60年代中期，人们更关心信息在传输中的机密性。
（2）计算机安全发展时期：计算机安全发展时期跨越20世纪60年代中期至80年代中期。
（3）信息安全发展时期：随着信息技术应用越来越广泛和网络的普及，20世纪80年代中期至90年代中期，学术界、产业界和政府、军事部门等对信息和信息系统安全越来越重视，人们所关注的问题扩大到前面提到的信息安全的6个基本属性。
在这一时期，密码学、安全协议、计算机安全、安全评估和网络安全技术得到了较大发展，尤其是互联网的应用和发展大大促进了信息安全技术的发展与应用，因此，这个时期也可以称为网络安全发展时期。
举例说明消息认证的三种方法
举例说明消息认证的三种方法消息认证是确保消息的完整性、真实性和不可否认性的重要手段。
下面就来举例说明消息认证的三种方法。
第一种方法是基于密码的消息认证码。
它的步骤呢，就是发送方和接收方共享一个密钥，发送方利用这个密钥和要发送的消息计算出一个认证码，然后将消息和认证码一起发送给接收方。
接收方收到后，用同样的密钥和收到的消息计算出认证码，与接收到的认证码进行比较。
这其中要注意密钥的安全性，可不能轻易泄露呀！在这个过程中，只要密钥不被破解，那安全性可是相当高的呀，稳定性也很不错呢。
这种方法适用于很多场景，比如网络通信中对数据的认证。
想想看，要是没有它，那网络上的信息还不知道会乱成啥样呢！比如说在网上银行转账时，利用这种方法就能保证交易信息的准确无误，不会被篡改。
第二种方法是数字签名。
这就好像是给消息盖上一个独一无二的印章！发送方用自己的私钥对消息进行处理，得到数字签名，接收方用发送方的公钥来验证签名的真实性。
这里面的关键就是保护好私钥哦！这过程的安全性那是杠杠的，稳定性也没得说。
它的应用场景也很多呀，比如电子合同的签署，这多靠谱呀！就好像你签了一份重要合同，别人想假冒可没那么容易。
第三种方法是哈希函数。
发送方对消息计算哈希值，然后把消息和哈希值一起发送，接收方收到后重新计算哈希值进行比较。
这个简单又好用呢！注意哈希函数的选择要合适哦。
它的安全性和稳定性也不错呢。
常用于文件完整性的验证，你想想，下载一个大文件，用它来验证一下是不是完整的，多放心呀！就拿我们平时用的手机支付来说吧，这里面肯定用到了消息认证的方法呀，不然我们怎么能放心地付钱呢？正是因为有了这些可靠的消息认证方法，我们的信息安全和交易安全才有了保障呀！所以说呀，消息认证真的是太重要啦！消息认证就是我们信息世界的守护神呀，保护着我们的信息不被侵犯，让我们能安心地在信息的海洋里遨游！。
信息认证技术技术介绍
详细描述
在教育领域，信息认证技术用于在线教育平 台、数字化校园等场景。通过学生身份验证、 课程资源版权保护等技术手段，确保学生个 人信息的安全和教学资源的完整性。同时， 信息认证技术还用于保障在线考试的安全性， 如防止作弊和数据篡改等。
04
信息认证技术的挑战与未来发展
信息认证技术的安全挑战
01
02
信息认证技术技术介绍
• 信息认证技术概述 • 信息认证技术的分类 • 信息认证技术的应用场景 • 信息认证技术的挑战与未来发展 • 信息认证技术的实践案例
01
信息认证技术概述
信息认证技术的定义
信息认证技术是一种用于验证信息的 来源和完整性的技术，通过信息认证 技术可以确保信息的真实性和可信度 。
03
保护数据完整性
确保信息在传输和存储过 程中不被篡改或损坏，保 持数据的完整性和真实性。
防范恶意攻击
增强系统对各种恶意攻击 的防御能力，如网络钓鱼、 中间人攻击等，保障用户 信息安全。
防止信息泄露
严格控制信息的访问权限， 防止敏感信息被未经授权 的第三方获取和使用。
信息认证技术的隐私挑战
保护个人隐私
密码学应用
常见的基于密码的信息认证技术实践案例包括对称加密算法 （如AES、DES）、非对称加密算法（如RSA）、哈希函数 （如SHA-256）等。
密码学优势
密码学具有较高的安全性，能够提供可靠的加密和解密机 制，适用于敏感信息的保护和传输。
密码学挑战
密码学面临的主要挑战包括密钥管理、复杂度、性能和安 全性等方面，需要不断改进和优化。
无密码认证技术的发展
推动无密码认证技术的应用，降低因密码泄露带来的安全风险。
跨平台和跨域认证
简述消息认证的实现过程
简述消息认证的实现过程消息认证听起来可能有点儿高大上，但其实就是确保信息的可靠性和完整性。
想象一下，你在网上收到一封来自老友的邮件，内容可真是个劲爆消息，结果却发现是个骗子在搞鬼，真是让人气不打一处来。
为了防止这样的事情发生，消息认证就是我们的“护身符”。
它像个忠实的小卫士，时刻保护着我们的信息不被篡改。
消息认证得有个“密码”。
别担心，不是那种复杂到让人抓狂的密码。
实际上，现代的认证技术常常用到一种叫做“哈希函数”的东西。
这个小玩意儿就像一台神奇的机器，把你发出去的信息压缩成一串独一无二的字符。
比如说，你把“我今天买了一只猫”这句话放进去，它可能就会变成“a1b2c3d4”。
任何小小的改动都会导致结果天差地别，真是神奇吧！这就像是给每条消息贴上了个“身份证”。
咱们得把这个“身份证”给老友。
可别用邮件直接发，谁知道这邮件里会不会夹杂一些恶意的东西。
我们通常会用一种叫做“数字签名”的方法来发送这串哈希值。
想象一下，你用一把专属的“钥匙”把哈希值锁上，只有你和老友有这个钥匙。
这样，即使有人在传递的过程中捣鬼，没这把钥匙的人也打不开，信息的完整性就得到了保证。
这一切的基础就是大家得有一个信任的系统。
比如说，假如老友的钥匙是伪造的，那就糟糕了。
为了避免这种情况，咱们可以借助一些信任的机构，类似于银行的公证。
就像买房子得有个靠谱的中介，消息认证也需要有个可信的“公信力”来支持。
这样大家都能放心，信息就能安全无虞地传递。
等老友收到你的消息，他先用自己的钥匙把“身份证”打开，拿出哈希值来，再用相同的哈希函数对收到的信息进行处理，看看能不能得到同样的结果。
哇，如果两个结果一致，那就说明消息在传递过程中没有被篡改，老友可以放心了。
这就像你和老友都有各自的手势，确认一下彼此的“身份”就没问题了。
说到这里，大家肯定想问，这个消息认证的过程真的就这么简单吗？当然不止这些，背后可是有一整套复杂的数学原理在支撑着。
虽然我们不必完全理解这些原理，但知道有这样的机制在就足够了。
消息认证与身份认证的方法课件-页 (一)
消息认证与身份认证的方法课件-页 (一)本篇文章将介绍“消息认证与身份认证的方法课件-页”，旨在帮助读者了解消息认证和身份认证的基本概念、相关技术和使用方法。
一、什么是消息认证和身份认证1. 消息认证消息认证是一种确定消息的真实性和完整性的过程。
通过消息认证，我们可以验证发送者是否是真实的，消息是否被篡改，并保证消息的机密性。
2. 身份认证身份认证是确认送信人身份的过程。
通过身份认证，我们可以保证通信双方的身份合法，确保通信的安全性和可靠性。
二、消息认证的方法1. MACMAC（Message Authentication Code）是一种对消息进行认证的算法，MAC算法能够保证消息的真实性和完整性，同时也能够验证发送者的身份。
常见的MAC算法有HMAC和CMAC。
2. 数字签名数字签名是一种对信息进行认证和验证的方法，通过RSA加密算法，发送方对消息进行签名，接收方验证签名以验证信息的真实性和完整性。
三、身份认证的方法1. 基于口令的身份认证用户通过输入用户名和密码进行身份认证，认证系统将用户名和密码进行匹配，如果匹配成功，则认为认证通过。
2. 基于公钥证书的身份认证基于公钥证书的身份认证是一种基于数字证书的身份认证方法，利用数字证书中公钥信息来验证用户身份。
数字证书中包含了用户公钥、用户身份和认证机构信息等信息，通过认证机构颁发的数字证书，可以确保用户的身份合法性和证书真实性。
3. 多因素身份认证多因素身份认证是一种基于多个身份认证因素进行身份验证的身份认证方法。
一般至少需要两个以上的认证因素，例如密码、生物特征等信息进行认证，以提高身份认证的安全性。
在信息时代，信息交互越来越频繁，消息认证和身份认证也显得越来越重要。
通过学习消息认证和身份认证的基本概念和相关技术，我们可以更好地保护信息安全和个人隐私，实现更加安全的网络通信。
消息认证的概念
消息认证的概念
消息认证是指通过特定的算法和方法，确保消息的完整性和可信性，以防止消息被篡改、伪造或替换。
认证机制可以验证消息的真实性和发送者的身份，并确认消息在传输过程中未被篡改。
消息认证的概念通常包括以下几个方面：
1. 数据完整性：认证机制使用哈希函数等算法，对消息进行计算和生成摘要，将该摘要附加到消息中。
接收者可以使用同样的算法计算摘要，比对发送者附加的摘要，以判断消息是否在传输过程中被篡改。
2. 数据源认证：认证机制使用数字签名等方法，发送者使用私钥来对消息进行签名，接收者使用对应的公钥来验证签名的有效性。
通过验证签名，接收者可以确认消息的来源和发送者的身份。
3. 重播攻击防护：认证机制可能使用时间戳或随机数等方法，防止重放攻击的发生。
接收者会检查消息的时间戳或随机数，确保消息不是之前发送的重复消息。
4. 防止伪造：认证机制使用加密算法或密钥交换协议等方法，确保通信的安全性，防止第三方伪造消息，窃听通信或篡改通信内容。
消息认证在保障通信安全性和防范网络攻击方面起着重要的作用。
它可以用于保护重要数据和信息的传输，确保消息的可信度和完整性。
信息系统安全理论与技术-信息安全 6-325
3、提供认证和数字签名
使用发方的私有密钥对消息摘要进行加密 A → B ： M || EKRa(H(M))
4、提供加密、认证和数字签名
使用对称加密方法进行加密 非对称加密 A → B ： Ek[M || EKRa(H(M))]
5、利用共享消息S提供认证
假定双方共享一个秘密值S，使用散列函数提 供认证，A → B ：M || H(M||S)
个固定长度的值作为认证标识
▪ 散列函数：一个公开函数将任意长度的消息
映射到一个固定长度的哈希值，作为认证标 识
对称加密－保密和鉴别
A与B共享密钥k
有一定的 结构
A : Ek (M ) B
B : Dk (M )，查看M是否为有意义的明文
公钥加密－鉴别和签名
A
B
• 提供鉴别和签名
－仅A有KR
可进行加密
接收者可以确信消息M未被改变。 接收者可以确信消息来自所声称的发送者。
加密和认证
A B:E k2[M || Ck1(M)]
• 提供鉴别 －仅A和B共享密钥k1
• 提供保密 －仅A和B共享密钥k 2
消息加密保密性和消息认证真实性
加密代价大（公钥算法代价更大） MAC函数类似
于加密函数，但不需要可逆性。因此在数学上比加密 算法被攻击的弱点要少
MD5算法
▪ 输入：任意长度的报文 ▪ 输入分组长度：512 bit ▪ 填充消息使得其长度恰为比512的倍数小64位
的数。填充方法是附加一个1在消息后面，然 后是满足要求的多个0，最后是64位的消息长 度（填充前）
▪ 输出：128 bit 报文
密码学领域重大发现：山东大 学王小云教授成功破解MD5
MD5就是这样一个在国内外有着广泛的应 用的杂凑函数算法，它曾一度被认为是非 常安全的。然而，王小云教授发现，可以 很快的找到MD5的“碰撞”，就是两个文 件可以产生相同的“指纹”。这意味着， 当你在网络上使用电子签名签署一份合同 后，还可能找到另外一份具有相同签名但 内容迥异的合同，这样两份合同的真伪thentication and
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
从消息 块导出 常量
SHA-1算法结论
SHA-1使用big-endian 抵抗生日攻击: 160位hash值 没有发现两个不同的512-bit块,它们在 SHA-1计算下产生相同的“hash” 速度慢于MD5 安全性优于MD5
RIPEMD-160简介
欧洲RIPE项目的结果 RIPEMD为128位 更新后成为RIPEMD-160 基础是MD5 算法
Hash函数的基本用途（a）
M
H
||
E
D
M
H
Compare
K
Ek2[ M || H(M) ]
K
H(M)
Hash函数的基本用途（b）
M
H
E
||
M
D
H
Compare
K
Ek(H(M))
K
不要求保密，处理代价小
Hash函数的基本用途（c）
M
H
E
||
M
D
H
Compare
KRa私钥
EkRa(H(M))
KUa
最后一个CVi为hash值
hash函数模型图
Y0 b
IV= CV0
Y1
b b n
CV1
YL-1
n n
n
f
f
n
CVL-1
f
CVL
IV = initial value 初始值 CV = chaining value 链接值 Yi = ith input block (第i 个输入数据块) f = compression algorithm (压缩算法） n = length of hash code (散列码的长度) b = length of input block(输入块的长度)
接收方必须能够识别错误
2. MAC：一个公开函数，加上一个密钥产 生一个固定长度的值作为认证标识 3. Hash function：一个公开函数将任意长 度的消息映射到一个固定长度的散列值， 作为认证标识
Message Authentication Code
使用一个双方共享的秘密密钥生成一个固定大小 的小数据块，并加入到消息中，称MAC，或密码 校验和(cryptographic checksum) 用户A和用户B，共享密钥K，对于消息M， MAC=CK(M) 如果接收方计算的MAC与收到的MAC匹配，则
数字签名机制
Hash函数的基本用途（d）
M
H
||
E
E
D
M
H
D Compare
K
KRa 私钥
K
Ek[ M || EkRa(H(M)) ] EkRa(H(M))
KRa
常用，保密并且数字签名
Hash函数的基本用途（e）
S
M
||
M
||
H
Compare
||
S
H
H(M || S )
不使用加密函数，但是s为双方共享秘密值，不传送
Secure Hash Algorithm简介
1992年NIST制定了SHA(128位) 1993年SHA成为标准 1994年修改产生SHA-1(160位) 1995年SHA-1成为新的标准 SHA-1要求输入消息长度<264 SHA-1的摘要长度为160位 基础是MD4
第二步
把结果分割为512位的块：Y0,Y1,…YL-1
第三步
初始化MD buffer，128位常量(4个字)，进入循环迭代，共L次 每次：一个输入128位，另一个输入512位，结果输出128位，用
于下一轮输入
第四步
最后一步的输出即为散列结果128位
MD5的每一步运算示意图
对策：Hash值足够长，64-〉128-〉160-〉256
hash函数通用模型
由Merkle于1989年提出 几乎被所有hash算法采用 具体做法:
把原始消息M分成一些固定长度的块Yi
最后一块padding并使其包含消息M的长度
设定初始值CV0 压缩函数f, CVi=f(CVi-1,Yi-1)
接收者可以确信消息M未被改变 接收者可以确信消息来自所声称的发送者 如果消息中含有序列号，则可以保证正确的消息顺序
MAC函数类似于加密函数，但不需要可逆性。因 此在数学上比加密算法被攻击的弱点要少
MAC应用方式（1） 消息认证
M
||
M
C
Compare
C K
Ck(M)
K
缺点
MAC应用方式（2） 消息认证和保密性：明文相关
输入：任意长度的消息
输出：长度为160位的消息摘要 处理：以512位数据块为单位
RIPEMD-160的压缩函数
HMAC简介
MAC可用块加密算法产生 MAC算法速度慢 加密算法出口受限制 hash函数可用来构造MAC
HMAC为其中之一
HMAC示意图
HMAC的定义与特征
Hash函数的基本用途（f）
M || H
S
||
E
D
M
S
||
H
Compare
K
K
*
H(M || S )
*
Ek[ M || H(M || S) ]
Hash问题
Hash值冲突会有什么问题？ Hash的用途 会这样的冲突吗？ 能定制这样的冲突吗？
生日攻击理论基础
理论基础
若k1.182m/22m/2, 则k个在[1,2m]的随机数
网络信息安全 消息认证
计算机学院 信息安全教研室 张伟
消息认证
在网络通信中，攻击方法
泄密：透露消息给没有密钥的实体 传输分析：分析通信模式，连接频率、时间，消息的
数量和大小 伪装：欺诈消息，伪装发送或应答 内容修改： 顺序修改： 计时修改：消息重放或者延迟 发送方否认： 接收方否认：
中有两个数相等的概率不低于0.5 若k0.83n1/2,两个在[1,n]的k个随机数集合 有交集的概率不小于0.5
因此，当Hash算法选用N位的Hash值时，两 组消息（选择k＝2N/2）中有一对消息产生 相同Hash值的概率超过0.5 264 -- 263 -- 232
•Letter1：
生日攻击例子
to introduce
you to to you Mr. --
This Letter is I am writing Alfred •Letter2： P. --
Barton,
......
......
Letter2与Letter1中的信含义不同。各自组合出2k封信件， 然后在两个组中找到两封hash值相同的信！
消息认证
消息认证 (报文鉴别)
对收到的消息进行验证，证明确实是来自声称
的发送方，并且没有被修改过。 如果在消息中加入时间及顺序信息，则可以完 成对时间和顺序的认证 数字签名是一种认证手段，其中的一些方法可 以用来抗发送方的否认攻击。
消息认证的三种方式
1. Message encryption：用整个消息的密 文作为认证标识
SHA-1算法
结构与MD5类似 第一步：pading
与MD5相同，补齐到512的倍数
第二步
分块
第三步
初始化MD buffer，160位常量(5个字)
进入循环，160输入+512输入-〉160输出
第四步
最后的输出为SHA-1的结果
压缩函数
每一轮中20步的每一步运算结构
MD5使用little-endian 生日攻击模式+64位可计算 128位hash 值太短 MD5不是足够安全的
Dobbertin在1996年找到了两个不同的512-bit
块,它们在MD5计算下产生相同的hash 至今还没有真正找到两个不同的消息,它们的 MD5的hash相等
可使用将来的更加安全和更加快速的hash算法
保持原始hash算法的性能 密钥的使用简单
与hash函数有同等的安全性
问题
1. 2. 3. 4. 5. 6. 7. 8. 消息认证是为了对付那些攻击？ 消息认证或数字签名有哪两层功能？ 产生消息认证有哪些方法？ MAC和Hash函数之间的区别是什么？ 为了攻击MAC算法，需要恢复密码吗？ 安全的Hash函数需要的特性是什么？ 抗弱碰撞和抗强碰撞之间的区别是什么？ 了解MD4 MD5 SHA HMAC？
MAC算法的要求
条件：
攻击者知道MAC函数但不知道密钥K
要求：
已知M和CK(M)，要想构造M使得
CK(M)=CK(M)在计算上不可行 (计算上无碰撞) CK(M)均匀分布：随机选择M和M, Pr[CK(M) = CK(M)]=2-|MAC| f是M的一个变换(例如对某些位取反),那么, Pr[CK(M)= CK(f(M))]=2-|MAC|
MAC需要对全部数据进行加密
MAC速度慢
Hash是一种直接产生认证码的方法
没有密钥 消息中任何一位的改变会导致Hash码的改变
Hash函数: h=H(x), 要求:
散列算法是公开的 不同的报文不能产生相同的散列码 H(x)能够快速计算 对于任意报文无法预知它的散列码 无法根据散列码倒推报文 可作用于任何尺寸数据且均产生定长输出
MAC based on DES
ANSI标准(X9.17) 即为CBC模式结构，初始向 量为0 该方法适用于其他加密算法
算法：
M=(X1,X2,…,Xt) M1=EK(X1) Mj+1=EK(Xj+1Mj), 1j<t MAC= Mt