7第七章Hash函数

第一轮：F(X,Y,Z) = (X∧Y)∨((¬X)∧Z) 第二轮：G(X,Y,Z) = (X∧Z)∨(Y∧(¬Z)) 第三轮：H(X,Y,Z) = X⊕Y⊕Z 第四轮：I(X,Y,Z) = Y⊕(X∨(¬Z))
M[k] =第q个512-bits数据块的第k个字 T[i] = T盒的第i个32-bits字 (T[i]=232×abs(sin(i)))
Hash函数构造
• • • • • • 基于分组密码 用候选单向函数构造Hash函数 矩阵单向函数 基于胞元自动机的算法 以有限域中元素的指数运算构造 用流密码构造
14
基于分组密码的Hash函数构造
M1 M2 Mn
IV
块加密
⊕
块加密
⊕
...
块加密
⊕
H
15
基于分组密码的Hash函数构造
Mi ⊕ ⊕
12
Hash函数构造
• 例1: 假设n是一个大整数. 设h (m)=m (mod n) 是介于0到n-1之间的一个整数 • 例2: 明文: “Go now” G 01000111 o 01101111 n 01101110 o 01101111 w 01110111 01011110 • 不行
13
36
T的取值
T(i) T[1] T[2] T[3] T[4] T[5] T[6] T[7] T[8] T[9] T[10] T[11] T[12] T[13] T[14] T[15] T[16] 值 D76AA478 E8C7B756 242070DB C1BDCEEE F57C0FAF 4787C62A A8304613 FD469501 698098D8 8B44F7AF FFFF5BB1 895CD7BE 6B901122 FD987193 A679438E 49B40821 T(i) T[17] T[18] T[19] T[20] T[21] T[22] T[23] T[24] T[25] T[26] T[27] T[28] T[29] T[30] T[31] T[32] 值
第七章 Hash函数
• • • • • 认证 密码学的Hash 密码学的Hash构造 Hash函数的攻击 散列算法
1
安全目标
• 保密性: – 怎样保持明文的秘密性，使得明文只能被某些 人阅读？ – 用加密的方法 • 完整性: – 怎样确定一列信号在产生后没有被篡改？ – 用什么方法？
2
认证
• Is a procedure to verify that received message come from the alleged source and have not been altered
“I, Alice, owe Bob $2.”, EKRA[H (M)]
• Bob发给Judge:
“I, Alice, owe Bob $200000000000.”, EKRA[H (M)]
• 法官证实EKUA [ EKRA[H (M)]] = H(“I, Alice, owe Bob $200000000000.”) 使Alice付款
10
第七章 Hash函数
• • • • • 认证 密码学的Hash 密码学的Hash构造 Hash函数的攻击 散列算法
11
Hash定义
• 定义：一个强无碰撞Hash函数是一个满足下列条 件的函数h: 1) 压缩 – h: Σ* → Σn
• 多对一映射
2) 容易计算 3) 单向 – 给定y, 求m使得h(m)=y在计算上不可行 4) 给定算法h，要找两个不同的消息x1≠x2,使其 Hash值h(x1)=(x2)是困难的
3
Naïve Idea
Alice Oscar Bob
• Alice 用密钥K加密消息 • Oscar 不知道K • 但是, Oscar能修改密文 – Bob能收到什么?
4
加密 (明文 + Hash)
散列码提供了消息结构
MAC
5
Hash函数应用
• • • • • • 认证 软件完整性 数字签名 保护口令文件 时间戳 证书
6
第七章 Hash函数
• • • • • 认证 密码学的Hash 密码学的Hash构造 Hash函数的攻击 散列算法
7
一个用Hash的例子
• Alice想给Bob发送一条消息“I owe you” • Bob可以向法官出示消息来迫使Alice付清欠款
Bob I owe you I owe you Judge
32
第一轮
迭代 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 M M[1] M[2] M[3] M[4] M[5] M[6] M[7] M[8] M[9] M[10] M[11] M[12] M[13] M[14] M[15] M[16] s 7 12 17 22 7 12 17 22 7 12 17 22 7 12 17 22 T T[1] T[2] T[3] T[4] T[5] T[6] T[7] T[8] T[9] T[10] T[11] T[12] T[13] T[14] T[15] T[16]
17
用候选单向函数构造Hash函数
• 例1: RSA函数f(N,e): hi=(hi-1+mi)e mod N, (i=1,...,t) • 例2: 背包法: 令M1,...,Ms是二元消息数字, A=(a1,..., as)是一背包向量，ai∈[1,N] H(M)=M1a1+...+Msas mod N
34
第三轮
迭代 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 M M[6] M[9] M[12] M[15] M[2] M[5] M[8] M[11] M[14] M[1] M[4] M[7] M[10] M[13] M[16] M[3] s 4 11 16 23 4 11 16 23 4 11 16 23 4 11 16 23 T T[33] T[34] T[35] T[36] T[37] T[38] T[39] T[40] T[41] T[42] T[43] T[44] T[45] T[46] T[47] T[48]
28
Yq
4轮
512-bit Message A B
CVq C
128
512
D
F,T[1…16],M[i] 16 steps A B C D
G,T[17…32],M[ρ2i] 16 steps A B C D
HMD5
A
H,T[33…48],M[ρ3i] 16 steps B C D
I,T[49…64],M[ρ4i] 16 steps
CV0=IV= initial n-bit value CVi=f(CVi-1, Yi-1) (1 ≤ i ≤ L) H(M) = CVL
25
MD5
L×512 bits=N ×32bits K bits Message
padding (1 to 512 bits)
100…0
Length of Message
· 攻击具有分组链接结构的Hash函数
- 差分攻击
· 攻击基于分组加密函数构造的Hash函数
- 修正分组攻击
· 攻击基于模算术的Hash函数
21
结论
• Hash值的长度必须足够大，以便使得生日 攻击不能成功 • MD5的Hash长度为128位，M=264；SHA-1 的Hash长度为160位，则M=280
24
Hash 算法的结构
Y0 b n CV0 IV = CV = Yi = f = n = b = f b n CV1 f n Y1 b f n CVL-1 n CVL YL-1
Initial Vector Chain Vector The ith Message Block Compress Function Hash Value Length Block Length
(K mod 264)
512 bits
512 bits
512 bits
512 bits
Y0
512 128 128
Y1
512 128
Yq
512 128
YL-1
512
IV
HMD5
CV1
HMD5
CVq
HMD5
CVL-1
128-bit digest
HMD5
26
填充举例
• 例：消息由 704位组成，则在其末尾添加 256位（1后面跟255个0），消息扩展到 960位 • 将消息的原始长度缩减为mod 264 ，例： 704位=1011000000位，将这个数书写为64 位（在开始位置添加54个0） • 最后结果是一个具有1024位的消息
35
第四轮
迭代 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 M M[1] M[8] M[15] M[6] M[13] M[4] M[11] M[2] M[9] M[16] M[7] M[14] M[5] M[12] M[3] M[10] s 6 10 15 21 6 10 15 21 6 10 15 21 6 10 15 21 T T[49] T[50] T[51] T[52] T[53] T[54] T[55] T[56] T[57] T[58] T[59] T[60] T[61] T[62] T[63] T[64]
27
MD5 细节
• Step 1) 填充消息: 10...0, 使消息长度等于448 mod 512 • Step 2) 添加明文长度(64位) • Step 3) 初始化4个字(128 bits)的寄存器(A, B, C, D) A = 67452301 B = EFCDAB89 C = 98BADCFE D = 10325476 • Step 4) 消息由512-bits 数据块(Y0,Y1,…,YL-1)处理 4 轮，每轮16次迭代