第7讲 杂凑函数和数字签名
数字签名技术的实现原理及其安全性
数字签名技术的实现原理及其安全性随着信息技术的迅猛发展，数字化已经成为我们日常生活中不可或缺的一部分。
在这样一个数字时代中，对于数据的信任和保护已经成为我们不可回避的空前重要的问题。
这就需要一种既安全又可靠的机制来保证数字数据的完整性、真实性和不可抵赖性。
数字签名技术正是这种机制的最佳实践。
数字签名技术简介数字签名技术是一种通过特定的算法和数字证书的手段来实现数据防篡改的技术。
其基础原理是通过对原始数据进行哈希（摘要）处理，得到一个唯一的指纹（哈希值），然后使用私钥进行签名，将签名信息附加到数据之中，形成具有不可抵赖性的数字签名，从而保证数据的完整性和真实性。
数字签名技术的实现原理数字签名技术主要包括哈希算法和非对称加密算法两个部分。
其中哈希算法是对原始数据进行摘要处理，得到唯一的指纹，而非对称加密算法则是用私钥对哈希值进行加密得到签名信息，用公钥对签名信息进行解密得到哈希值，验证数据的完整性和真实性。
1. 哈希算法哈希算法是将任意长度的消息压缩成固定长度的消息摘要的一种方法，也称为杂凑函数，它可以将数据进行一次不可逆的转换，将任意长度的消息压缩成一个唯一的定长的摘要值，并具有如下特点：①哈希函数的输入可以是任意长度的消息，输出为固定长度的消息摘要；②输入消息不同得到的消息摘要也不同；③哈希计算具有单向性：从摘要值无法推算出原始数据；④哈希计算具有抗碰撞性：难以找到两个不同的数据使得它们的哈希值相同。
目前常用的哈希算法有MD5、SHA-1、SHA-2等。
在数字签名过程中，哈希算法主要用于计算原始数据的唯一指纹（哈希值）。
2. 非对称加密算法非对称加密算法又称为公钥加密算法，常用的有RSA、Elliptic Curve Cryptography（ECC）等。
它与对称加密算法的最大区别在于使用不同的密钥进行加密和解密，其中加密用的公钥可以公开，而解密用的私钥只有拥有者知道。
在数字签名过程中，私钥用于对哈希值进行加密生成签名信息，公钥用于对签名信息进行解密验证签名的合法性。
《现代密码学》期终考试试卷和答案
⋯⋯ 一．选择题 ⋯⋯ 1、关于密码学的讨论中，下列（D ）观点是不正确的。
⋯ ⋯ A 、密码学是研究与信息安全相关的方面如机密性、完整性、实体鉴别、抗否认等的综 ⋯⋯合技术 号 ⋯学⋯⋯B 、密码学的两大分支是密码编码学和密码分析学 ⋯⋯C 、密码并不是提供安全的单一的手段，而是一组技术⋯⋯ D 、密码学中存在一次一密的密码体制，它是绝对安全的 ⋯线 2、在以下古典密码体制中，属于置换密码的是（B ）。
名 ⋯姓 ⋯A 、移位密码B 、倒序密码⋯⋯⋯ C 、仿射密码 D 、PlayFair密码⋯⋯ 3、一个完整的密码体制，不包括以下（C ）要素。
⋯⋯ A 、明文空间 B 、密文空间⋯级 ⋯C 、数字签名D 、密钥空间班 ⋯⋯4、关于 DES 算法，除了（ C ）以外，下列描述 DES 算法子密钥产生过程是正确的。
⋯封⋯ A 、首先将 DES 算法所接受的输入密钥 K （ 64 位），去除奇偶校验位，得到56 位密钥（即经过 PC-1 置换，得到 56 位密钥） ⋯⋯ B 、在计算第 i 轮迭代所需的子密钥时，首先进行循环左移，循环左移的位数取决于 i 的值，这些经过循环移位的值作为下一次⋯⋯ 循环左移的输入 ⋯业⋯⋯C 、在计算第 i 轮迭代所需的子密钥时，首先进行循环左移，每轮循环左移的位数都相同，这些经过循环移位的值作为下一次专 ⋯循环左移的输入 ⋯ ⋯⋯D 、然后将每轮循环移位后的值经 PC-2 置换，所得到的置换结果即为第 i 轮所需的子密钥 Ki ⋯⋯ 5、2000 年 10 月 2 日， NIST 正式宣布将（ B ）候选算法作为高级数据加密标准，该算法是由两位比利时密码学者提出的。
⋯⋯ A 、MARS B 、Rijndael别 密系 ⋯C 、 TwofishD 、Bluefish⋯⋯⋯ *6 、根据所依据的数学难题，除了（A ）以外，公钥密码体制可以分为以下几类。
⋯⋯ A 、模幂运算问题 B 、大整数因子分解问题⋯⋯ C 、离散对数问题 D 、椭圆曲线离散对数问题⋯号⋯⋯7、密码学中的杂凑函数（Hash 函数）按照是否使用密钥分为两大类：带密钥的杂凑函数和不带密钥的杂凑函数，下面（C）编⋯是带密钥的杂凑函数。
数字签名技术
数字签名技术数字签名（又称公钥数字签名）是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。
它是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领域的技术来实现的，用于鉴别数字信息的方法。
一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。
数字签名是非对称密钥加密技术与数字摘要技术的应用。
数字签名原理数字签名的文件的完整性是很容易验证的（不需要骑缝章，骑缝签名，也不需要笔迹专家），而且数字签名具有不可抵赖性（不可否认性）。
简单地说，所谓数字签名就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。
这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据，防止被人(例如接收者)进行伪造。
它是对电子形式的消息进行签名的一种方法，一个签名消息能在一个通信网络中传输。
基于公钥密码体制和私钥密码体制都可以获得数字签名，主要是基于公钥密码体制的数字签名。
包括普通数字签名和特殊数字签名。
普通数字签名算法有RSA、ElGamal、Fiat-Shamir、Guillou- Quisquarter、Schnorr、Ong-Schnorr-Shamir数字签名算法、Des/DSA，椭圆曲线数字签名算法和有限自动机数字签名算法等。
特殊数字签名有盲签名、代理签名、群签名、不可否认签名、公平盲签名、门限签名、具有消息恢复功能的签名等，它与具体应用环境密切相关。
显然，数字签名的应用涉及到法律问题，美国联邦政府基于有限域上的离散对数问题制定了自己的数字签名标准(DSS)。
数字签名特点每个人都有一对“钥匙”（数字身份），其中一个只有她/他本人知道（密钥），另一个公开的（公钥）。
签名的时候用密钥，验证签名的时候用公钥。
又因为任何人都可以落款声称她/他就是你，因此公钥必须向接受者信任的人（身份认证机构）来注册。
注册后身份认证机构给你发一数字证书。
Lecture07_杂凑算法与消息认证精讲
12:06
基于公钥密码体制：实现签名、 加密和认证
KRa M E EKRa(M) KUb E EKUb[EKRa(M)] KRb D EKRa(M) KUa D M
图7-13 公钥加密：机密性、认证和数字签名
特点：
– 提供机密性 – 数字签名 – 认证
缺点：
– 一次完整的通信需要执行公钥算法的加密、解密操作各两次
输入：最大长度为264位的消息； 输出：160位消息摘要； 处理：输入以512位数据块为单位处理；
12:06
SHA-1 算法逻辑
步骤1：添加填充位。使数据位的长度 448 mod 512 步骤2：添加长度。一个64位块，表示原始消息长度 步骤3：初始化MD缓冲区。160位，表示为5个32位的寄存器 (A,B,C,D,E)。初始化为： A = 67452301 B = EFCDAB89 C = 98BADCFE D = 10325476 E = C3D2E1F0 big-endian format
Step (0 t 19) (20 t 39) (40 t 59) (60 t 79)
SHA－1逻辑 函数的真值表
Function Name f1 = f(t,B,C,D) f2 = f(t,B,C,D) f3 = f(t,B,C,D) f4 = f(t,B,C,D)
B 0 0 0 0 1 1 1 1 C 0 0 1 1 0 0 1 1 D 0 1 0 1 0 1 0 1
12:06
双向认证协议
最常用的协议
该协议使得通信各方互相认证鉴别对方 的身份，然后交换会话密钥 认证的成功取决于：
– 声称者与它的密钥间绑定的证实
– 声称者基于随机数的数字签名的证实
密码学简介68891
（5）若明文字母为奇数个，则在明文的末端添加某个约 定好的字母作为填充。
例：密钥为monarchy，构造的字母矩阵 如下：
MON A R C HY BD E F G I/J K
L P QS T
U V WX Z
(3)按密钥决定的次序按列一次读出
14235 c r ypt ogr ap
密钥中字 母在英文 字母表中 出现的次 序为 14235
hyi s a
nappl
i edsc 故时：的C换r位yp加to密gria密p文hy为ies:a：nCapOnpHliNedIIscYciRenIcPeD.e密N钥P为AScPreSnCy
MD5的破解
2004年8月17日，美国加州圣巴巴拉的国际密码 学会议（Crypto’2004）上，来自中国山东大学 的王小云教授做了破译MD5、HAVAL-128、 MD4和RIPEMD算法的报告，公布了MD系列算 法的破解结果。
MD5密码算法，运算量达到2的80次方。即使采 用现在最快的巨型计算机，也要运算100万年以上 才能破解。但王小云和她的研究小组用普通的个人 电脑，几分钟内就可以找到有效结果。
个字母）
(1)若p1,p2在同一行，则对应的密文c1,c2分别是紧靠 p1 p2右端的字母。其中第一列被看作是最后一列的右方。
（2）若p1,p2在同一列，则对应的密文c1,c2分别是紧 靠p1 p2下方的字母。其中第一行被看作是最后一行的下 方。
（3）若p1,p2不在同一行也不在同一列，则对应的密文 c1,c2是由p1 p2确定的矩阵的其它两角的字母。且c1和 p1同行，c2和p2同行。
现代密码学(第五章)
一、杂凑函数
（单向性的准确解释：或许已经知道了许多对 (x*， y*)，满足y*=H(x*)；或许一个新的y确实存在 一个x满足y=H(x)；然而实际找到这样的x却很困 难，在计算上行不通。 无碰撞性的准确解释：或许已经知道了许多对 (x*， y*)，满足y*=H(x*)；或许确实存在(x1，x2)满 足： x1≠x2，H(x1)= H(x2)，实际找到这样的(x1，x2) 却很困难，在计算上行不通。 ）
201682728在上述方案中密文变成了消息m解密方程变成了签名方程sdm明文变成了签名值s加密方程变成了验证方程mes任何人只要拥有alice的公钥z都可以对签名消息ms进行验证
第五章：数字签名
一、杂凑函数 二、数字签名的基本概念 三、几种常用的数字签名 四、特殊用途的数字签名
2019/4/1
1
一、杂凑函数
2019/4/1
14
一、杂凑函数
Alice (1):y1=H(x1,r1) Bob
(2):y2=H(x2,r2) (5): (6): 验证 验证 是否 是否 (3):(x1,r1) y2= y1= H(x2,r2) H(x1,r1) (4):(x2,r2)
2019/4/1 15
一、杂凑函数
方案分析： Alice发送y1给Bob，Bob发送y2给Alice ，这叫做 承诺。 Alice发送(x1, r1)给Bob，Bob发送(x2, r2)给Alice ， 这叫做践诺。 当承诺值确定以后，无法改变践诺值。 当对方发送来了承诺值以后，己方无法计算出对 方的践诺值，因而无法“随机应变地”确定自 己的践诺值，以重合或避开对方的践诺值。 综上所述，杂凑函数阻止了双方作弊。
2019/4/1 6
信息安全概论习题之名词解释
三、名词解释题：1、数字证书？答：数字证书是一种权威性的电子文文件,由权威公正的第三方机构，即CA中心签发的证书。
它以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。
2、防火墙？P181答：防火墙是置于两个网络之间的一组构件或一个系统，具有以下属性：(1)防火墙是不同网络或网络安全域之间信息流通过的唯一出入口，所有双向数据流必须经过它；(2)只有被授权的合法数据，即防火墙系统中安全策略允许的资料，才可以通过；(3)该系统应具有很高的抗攻击能力，自身能不受各种攻击的影响。
3、数字签名技术？答：4、入侵检测？P157答：入侵检测(Intrusion Detection)是对入侵行为的发觉。
它从计算机网络或或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
5、分组密码？P22答：分组密码是将明文消息编码后表示的数字(简称明文数字)序列x0,x1,x2,…，划分成长度为n的组x=(x0,x1,x2,…xn-1)(可看成长度为n的向量)，每组分别在密钥k=(k0,k1,k2,…kn-1)，其加密函数是E：Vn×K→Vn，Vn是n维向量空间，K为密钥空间。
6、序列密码答：序列密码也称为流密码(Stream Cipher)，它是对称密码算法的一种。
流密码对明文加解密时不进行分组，而是按位进行加解密。
流密码的基本思想是利用密钥k产生一个密钥流：z=z0z1…，并使用如下规则加密明文串x=x0x1x2…，y=y0y1y2…=ez0(x0)ez1(x1)ez2(x2)…。
密钥流由密钥流发生器f产生：zi=f(k，σi)，这里的σi是加密器中的存储元件(内存)在时刻i的状态，f是由密钥k和σi产生的函数。
7、DES？P26答：DES，Data Encryption Standard，数据加密标准，是分组长度为64比特的分组密码算法，密钥长度也是64比特，其中每8比特有一位奇偶校验位，因此有效密钥长度是56比特。
现代密码学教学大纲
现代密码学教学大纲现代密码学是网络空间安全的核心基础。
通过本门课程的学习，能够了解现代密码学基本理论，掌握现代密码学基本技术，理解各类密码算法的应用场景和相关的安全需求，培养信息安全意识，掌握安全需求分析的方法，并了解现代密码学的未来发展方向。
课程概述本课程共分为9章，第1章概述，介绍密码学的基本概念、密码学的发展简史和古典密码算法。
第2章到第6章是按照密码算法的设计思路和功能不同来划分，分别是流密码、分组密码、公钥密码、杂凑函数、数字签名，第7章密码协议主要介绍Diffie-Hellman密钥交换和Shamir秘密分享方案，更复杂的一些密码协议可在后续“网络安全协议”课程中学习。
第8章将介绍可证明安全理论的初步知识。
第9章将介绍一些密码学研究的前沿方向，比如属性基加密、全同态加密、后量子密码学等。
授课目标1、掌握分析保密通信系统中安全需求分析的方法。
2、理解密码学的基本概念、基本原理和一些典型的密码算法的原理。
3、理解各类密码算法的应用场景和相关的安全需求。
课程大纲第一章概述1.1 密码学的基本概念1.2 中国古代密码艺术1.3 外国古代密码艺术1.4 密码学发展简史1.5 密码分析学1.6 古典密码算法第一章单元测试第一章单元作业第二章流密码2.1 流密码的基本概念2.2 有限状态自动机2.3 二元序列的伪随机性2.4 线性反馈移位寄存器2.5 m-序列2.6 m-序列的伪随机性2.7 m-序列的安全性2.8 非线性序列12.9 非线性序列22.10 A5流密码算法第二章单元测验第二章单元作业第三章分组密码3.1 分组密码的基本概念3.2 SP网络3.3 Feiste密码l结构3.4 DES算法简介3.5 DES轮函数及密钥编排3.6 DES的安全性3.7 3DES3.8 分组密码的工作模式（上）3.9 分组密码的工作模式（下）3.10 有限域基础3.11 AES算法简介3.12 AES的轮函数3.13 AES的密钥编码及伪代码3.14 SM4算法第三章单元测验第三章单元作业第四章公钥密码4.1 公钥密码的基本概念4.2 完全剩余系4.3 简化剩余系4.4 欧拉定理4.5 RSA加密算法4.6 群的概念4.7 循环群4.8 ElGamal加密4.9 实数域上的椭圆曲线4.10 有限域上的椭圆曲线4.11 椭圆曲线密码学第四章单元测验第四章单元作业第五章Hash函数5.1 Hash概念和基本要求5.2 生日攻击5.3 SHA-1算法第五章单元测验第六章数字签名6.1 数字签名的基本概念6.2 RSA签名算法6.3 ElGamal签名算法6.4 DSS签名算法6.5 ElGamal类签名算法6.6 特殊性质的签名算法第六章单元测验第七章密码协议7.1 Diffie-Hellman 密钥交换7.2 Shamir 秘密分享第七章单元测验第八章可证明安全8.1 Boneh-Franklin身份基加密算法第九章密码学的新方向9.1 属性基加密9.2 全同态加密9.3 后量子密码学预备知识信息安全数学基础、线性代数、信息安全导论参考资料1．现代密码学（第四版），杨波，清华大学出版社，2017。
保密技术及管理期末知识点汇总
《保密技术管理》期末考试范围知识点总结第一章绪论一、保密技术概念是指保护秘密信息安全，避免秘密信息失窃和泄漏的所有相关保障性技术。
从广义上讲，指所有避免秘密信息泄漏的技术。
这里所说的秘密信息不单单指国家秘密，还可以指商业秘密、工作秘密，乃至个人隐私。
二、保密技术与信息安全技术关系（1）保密技术与信息安全技术具有一路的核心内容，即确保信息保密性。
（2）保密技术与信息安全技术在安全需求、保护对象和保护品级等方面不尽相同，发展至今成为既彼此关联，又各自独立的两门技术学科。
（3）总之，保密技术与信息安全技术既有一路的基础性技术，也有彼此不能覆盖的技术领域，保密的目标有赖于二者一路的基础支撑和保障作用。
3、保密技术发展历程第一阶段：通信保密发展时期（20世纪40年代-70年代）第二阶段：计算机及网络保密发展时期（20世纪80年代-90年代）第三阶段：信息保障与全方位保障技术阶段（20世纪90年代以后）4、保密技术分类（从信息安全的角度）物理安全保密技术：防窃听、防窃照、防复印、信息清除、涉密物品管控等平台安全保密技术：身份辨别、信息认证、访问控制等数据安全保密技术：加密、容灾恢复、信息隐藏、数据备份等通信安全保密技术：猝发通信、通信干扰等网络安全保密技术：防火墙、入侵检测系统、网络隔离等五、保密技术体系框架（文字描述，不用画图）（1）保密技术可以按照技术对保密的支撑作用和功能特点划分成保密防护技术和保密检查技术两大类，直接表现了保密技术的对抗性特点。
同时组成体系框架图中的最底层。
（2）保密技术可以按照应用对象进一步细分，划分为网络保密技术、通信保密技术、物理安全保密技术、TEMPEST、保密检测技术。
在体系框架图中的组成保密防护技术和保密检查技术的上一层。
（3）网络保密技术和通信保密技术都以密码技术、信息隐藏技术作为基础技术，同时网络保密技术还包括身份认证、访问控制、监控审计、边界防护和主机安全等技术。
通信保密技术可以划分为有线通信保密技术和无线通信保密技术。
杂凑函数 散列函数
杂凑函数（散列函数）1. 定义杂凑函数（Hash Function），也称为散列函数，是一种将任意大小的数据映射到固定大小的数据的函数。
它将输入数据通过一系列的计算操作，转换成一个固定长度的输出，通常称为散列值或哈希值。
杂凑函数是密码学、数据完整性校验、数据索引等领域中重要的基础工具。
2. 用途杂凑函数有广泛的应用，主要包括以下几个方面：2.1 数据完整性校验杂凑函数可以用于验证数据的完整性，即通过计算数据的散列值，然后与预先保存的正确散列值进行比对，来判断数据是否被篡改。
这在网络传输、文件存储等场景中非常重要，可以有效防止数据被篡改而不被察觉。
2.2 数据唯一标识杂凑函数可以将数据映射为唯一的散列值。
由于散列值的长度固定，可以大大减小数据的存储空间。
在数据索引、数据库中，可以使用散列值作为数据的唯一标识，提高数据的查询和存储效率。
2.3 密码学杂凑函数在密码学中有重要的应用。
比如，密码存储时通常不会直接保存明文密码，而是将密码的散列值保存在数据库中。
当用户登录时，输入的密码经过散列计算后与数据库中的散列值进行比对，以验证用户的身份。
2.4 数据分片杂凑函数可以将数据按照一定的规则进行分片，将大规模数据分散存储在不同的节点上。
这样可以提高数据的并行处理能力和分布式存储系统的可扩展性。
3. 工作方式杂凑函数的工作方式主要包括两个方面：输入处理和输出生成。
3.1 输入处理杂凑函数接受一个任意长度的输入数据，并经过一系列的计算操作将其转换为固定长度的中间结果。
常见的输入处理操作包括：•消息扩展：将输入数据进行填充，使其长度满足计算要求。
常见的填充方式有补零、补位数等。
•消息分块：将输入数据按照固定长度进行划分，得到多个块。
每个块独立处理，可以提高计算效率。
•迭代计算：对每个数据块进行迭代计算，将当前数据块的计算结果作为下一个数据块的输入，直到处理完所有数据块。
3.2 输出生成经过输入处理后，杂凑函数会生成一个固定长度的输出，即散列值或哈希值。
杂凑函数 散列函数
杂凑函数散列函数杂凑函数（hash function）是密码学和计算机科学中的重要概念，它是一种将任意长度的数据映射为固定长度的数据序列的函数。
它能够将输入数据通过运算转换为二进制序列，使得相同的输入始终生成相同的输出。
杂凑函数被广泛应用于数据完整性校验、密码学安全性等领域。
首先，让我们来了解一下杂凑函数的主要特点。
杂凑函数具有单向性，即从输出推导输入几乎是不可能的。
这意味着无法通过已知的杂凑值来计算出原始输入值，从而确保了数据的安全性。
此外，杂凑函数还具有高度的散列性，即对输入的微小变化会产生明显不同的输出。
这使得杂凑函数在数据完整性校验中非常有用，例如在校验文件的完整性时，通过计算文件的杂凑值，可以轻松检测到文件是否被修改过。
杂凑函数还具有确定性，即相同的输入始终对应相同的输出。
这保证了数据的一致性，使得杂凑函数在密码学领域中得到广泛应用。
例如，在用户密码存储中，通常存储的并不是用户的原始密码，而是其杂凑值。
当用户输入密码进行验证时，系统将计算输入密码的杂凑值，并与存储的杂凑值进行比对，从而验证用户身份。
在实际应用中，选择合适的杂凑函数至关重要。
一个好的杂凑函数应该具备高度的扩散性和混乱性，即微小的输入变化应该能够导致输出的巨大变化。
此外，杂凑函数还应该能够抵抗碰撞攻击，即找到两个不同的输入，使得它们的杂凑值相同。
这需要杂凑函数具有足够的安全性和随机性。
目前，常用的杂凑函数有许多，例如MD5、SHA-1、SHA-256等。
但是，由于计算机算力的快速提升，一些传统的杂凑函数已经被发现存在一些安全问题。
因此，研究人员不断提出新的杂凑函数，以满足日益增长的安全需求。
总结来说，杂凑函数是一种重要的密码学工具，它能够将任意长度的数据映射为固定长度的数据序列，并具备单向性、高度散列性和确定性等特点。
在数据完整性校验、密码学安全性等领域具有广泛应用。
为了确保数据的安全性，选择合适的杂凑函数至关重要。
研究人员将继续努力提出更加安全和高效的杂凑函数，以满足不断增长的安全需求。
消息认证和杂凑函数课件
MAC算法的安全性基于哈希函数的不可逆性和加密 算法的强度。
MAC算法可以防止消息被篡改、伪造和重放攻击， 因为任何对消息的修改都会导致MAC标签验证失败 。
04
杂凑函数的实现
Hale Waihona Puke MD5杂凑算法摘要长度
MD5算法生成的摘要长度 为128位。
输入
MD5算法的输入为一个消 息。
处理过程
MD5算法首先将消息填充 至长度为512位，然后通 过一系列的压缩函数和模 运算，最终得到128位的 消息摘要。
THANK YOU
感谢观看
密码存储
杂凑函数可以将密码转化为固定 长度的摘要值，方便存储和比较
，同时保护密码的安全性。
数据完整性校验
杂凑函数可以用于数据完整性校 验，通过计算数据的哈希值并与 事先存储的哈希值进行比较，判
断数据是否被篡改。
数字签名
杂凑函数可以用于生成数字签名 ，用于鉴别消息的发送者身份并
防止消息被篡改。
消息认证和杂凑函数在物联网中的应用
03
消息认证码的生成
MAC算法的原理
消息认证码（MAC）是一种基于密钥的认证方法，用于验证消息的完整 性和真实性。
MAC算法基于哈希函数和对称加密算法，其中哈希函数用于生成固定长 度的摘要，对称加密算法用于加密消息和MAC标签。
MAC算法原理包括三个主要步骤：密钥生成、消息处理和MAC标签验证 。
应用
MD5广泛应用于数据完整 性验证和密码存储等领域 。
SHA-1杂凑算法
摘要长度 SHA-1算法生成的摘要长度为 160位。
应用 SHA-1广泛应用于数据完整性验 证和密码存储等领域，且在安全 性上比MD5更高。
输入 SHA-1算法的输入为一个消息。
杂凑函数 散列函数 -回复
杂凑函数散列函数-回复什么是杂凑函数和散列函数？它们有什么不同之处？在现实生活中，我们如何使用它们来保障数据的安全性和完整性？杂凑函数和散列函数是密码学中常用的两种概念。
杂凑函数，也被称为哈希函数，是一种将任意长度的输入映射成固定长度输出的函数。
而散列函数，是一种将输入按特定规则转换为固定长度输出的函数。
虽然它们在概念上类似，但在一些细节上有所不同。
一、杂凑函数杂凑函数的作用是将任意长度的输入转换为固定长度的输出，常见的输出长度有128位、256位等。
它的一大特点是，对于相同的输入，输出的结果也是相同的。
即使输入中只有最小的改动，输出结果也会发生很大的变化。
这使得杂凑函数在数据完整性验证、密码校验等方面具有重要的作用。
杂凑函数的设计要求具备以下特性：1. 独特性：每个不同的输入应产生唯一的输出，确保了数据的独一性。
2. 不可逆性：根据输出结果无法逆推出原始输入，保护了数据的安全性。
3. 雪崩效应：即原始输入的微小变动会引起输出结果的巨大变化。
在实际应用中，杂凑函数常被用于密码校验、数字签名、数据完整性验证等场景。
比如，我们常见的MD5、SHA-1、SHA-256等算法就是用于生成杂凑值的算法。
在密码校验中，系统会将用户输入的密码与预存储的密码进行杂凑计算，对比其结果是否一致，从而判断用户密码是否正确。
二、散列函数散列函数也是一种将输入映射成固定长度的输出，但与杂凑函数相比，散列函数更注重将输入分散在输出空间中，以减少冲突。
假设输入空间为无限大，而输出空间为有限大，散列函数的目标是尽可能均匀地将输入分布到输出空间，以避免碰撞。
散列函数的设计要求具备以下特性：1. 均匀性：将输入映射到输出空间中的每个值的概率相等。
2. 易计算性：计算散列函数的时间复杂度应该尽可能低，以提高效率。
3. 隐蔽性：根据输出结果无法推断出输入的信息，保护了数据的安全性。
在实际应用中，散列函数常被用于数据存储和查找。
比如，哈希表（Hash Table）是一种常见的数据结构，它使用散列函数将键映射为对应的数值，以实现高效的数据存储和查找。
杂凑函数 散列函数
杂凑函数散列函数一、杂凑函数杂凑函数是一种将任意长度的输入数据（也称为关键字）转换为固定长度的输出数据的方法。
输出数据的长度通常被称为散列值的位数。
由于杂凑函数在处理大量数据时，可以将数据分布到固定长度的散列表中，因此它们在密码学、数据压缩、数据存储等领域得到了广泛应用。
1. 杂凑函数的原理杂凑函数的基本原理是将输入数据通过一系列复杂的数学运算，生成一个散列值。
这些数学运算通常包括哈希函数、压缩函数、置换函数等。
杂凑函数的输出结果应该是散列值，而不是具体的数据，因此其输出结果通常无法直接与输入数据建立一一对应的关系。
2. 杂凑函数的性能指标性能指标主要包括散列值的位数、碰撞率、负载因子等。
散列值的位数决定了输出的散列值可以表示的长度，对于某些应用来说，过短的位数可能会导致数据无法有效存储或检索。
碰撞率是指两个不同的输入数据生成相同散列值的情况，负载因子则是指散列表中存储的键值对数量与散列表容量的比值。
3. 常见杂凑函数算法常见的杂凑函数算法包括MD5、SHA-1、SHA-256等。
这些算法均采用了特定的数学运算方法，如乘法、位移、异或等操作，生成散列值。
此外，这些算法通常还提供了碰撞检测机制，以保证输出的散列值是唯一的。
二、散列函数散列函数是一种将任意长度的数据转换为固定长度的数据的函数，但与杂凑函数不同的是，散列函数通常要求在已知输出结果的情况下，能够通过输入数据重新得到输出结果，而不需要进行其他复杂的数学运算。
散列函数在密码学中具有重要的应用价值，例如哈希链的构建、数字签名等。
1. 散列函数的性能指标散列函数的性能指标主要包括碰撞率、单向性、计算复杂度等。
碰撞率是指两个不同的输入数据产生相同散列值的情况，单向性是指无法从散列值反推出原始输入数据，计算复杂度则是指生成散列值所需的时间和空间。
2. 常见散列函数算法常见的散列函数算法包括MD4、SHA-0、SHA-3等。
这些算法在计算过程中采用了多种不同的技术手段，如特殊的哈希函数结构、位运算等操作，以实现高效的散列计算。
分布式杂凑算法
分布式杂凑算法随着互联网的快速发展和用户数据的快速增长，数据安全成为一个日益重要的问题。
分布式杂凑算法作为一种保障数据安全的重要工具，正在被广泛应用。
本文将介绍分布式杂凑算法的基本原理、应用场景以及其优缺点。
一、基本原理分布式杂凑算法是一种将数据转化为固定长度哈希值的算法。
它能够将任意长度的数据输入，经过运算后输出固定长度的哈希值。
分布式杂凑算法具备以下特点：1. 具有唯一性：对于不同的输入数据，其输出结果应当是唯一的。
2. 不可逆性：通过哈希值无法还原出原始数据。
3. 高效性：对于大量数据的处理，分布式杂凑算法能够高效运行。
二、应用场景1. 文件完整性校验：通过计算文件的哈希值，可以对文件的完整性进行校验。
当文件在传输或存储过程中被篡改时，其哈希值将发生变化，从而可以及时发现并纠正问题。
2. 数字签名：利用分布式杂凑算法生成的哈希值，可以为文件或数据生成数字签名。
数字签名能够确保数据的真实性、完整性和不可抵赖性。
3. 分布式存储系统：在分布式存储系统中，采用分布式杂凑算法可以确保数据的分布均匀性，提高数据的访问速度和可靠性。
4. 区块链：分布式杂凑算法在区块链中有重要应用。
通过哈希值将区块与前一个区块链接起来，确保区块链的不可篡改性和真实性。
三、优缺点1. 优点：a. 安全性高：分布式杂凑算法通过将数据转化为哈希值，保证了数据的安全性和不可逆性。
b. 提高效率：分布式杂凑算法通过哈希值将数据压缩为固定长度，减少了数据的存储空间和传输成本。
c. 分布式处理：分布式杂凑算法可以并行地处理大量数据，提高了系统的处理速度和性能。
2. 缺点：a. 冲突概率：由于哈希值的固定长度限制，不同的输入数据可能会产生相同的哈希值，这种情况被称为冲突。
尽管冲突概率很小，但仍有可能发生。
b. 不可逆性：分布式杂凑算法是单向的，无法通过哈希值还原出原始数据。
这对于某些应用场景可能会带来一定的不便。
综上所述，分布式杂凑算法作为一种保障数据安全性的重要工具，在各个领域得到了广泛的应用。
第7讲 数字签字
常用的数字签字
Schnorr签字体制。C. Schnorr于1989年提出。 签字体制。 签字体制 (1) 系统参数 p, q：大素数，q|p-1，q大于等于160 比特，p大 于等于 1024 比特，保证Zp中解离散对数困难； g：Zp*中元素，且gq≡1 mod p； x：用户密钥1<x<q； y：用户公钥y≡gx mod p。 H: {0,1}*→Z q ，密码学杂凑函数 消息空间M=Zp*，签字空间S=Zp*×Zq； pk={(p,q,g,y)；sk=x
数字签字基本概念
签字方案的安全性
不可伪造性：获得系统公开参数后，伪造一个消息m的 不可伪造性 有效签字S是困难的。 适应性选择消息攻击下的存在不可伪造性： 适应性选择消息攻击下的存在不可伪造性
1. 2. 3.
给予攻击者公开参数， 攻击者适应性选择消息m让签字机给自己签字 然后攻击者伪造一个新消息m1的有效签字S1是困难的， 其中攻击者没让签字机对消息m1签字。
常用的数字签字
4. DSS签字体制。DSS (Digital Signature Standard) 签字体制。 签字体制 签字标准是1991年8月由美国NIST公布、1994年 5月19日正式公布，1994年12月1日正式采用的美 国联邦信息处理标准。其中，采用了前面介绍的 SHA，其安全性基于解离散对数困难性，它是在 ElGamal和Schnorr (1991)两个方案基础上设计的 DSS中所采用的算法简记为DSA(Digital Signature Algorithm)。此算法由D. W. Kravitz设 计。这类签字标准具有较大的兼容性和适用性， 已成为网中安全体系的基本构件之一。
常用的数字签字
(2) 签字过程：给定消息m，签字方进行下述工作。 签字过程：
哈希函数和数字签名
问题的提出懂得一点公钥密码基础知识的人都知道，发信息的人用自己的私钥对所发信息进行加密( Encryption )，接收信息者用发信者的公钥来解密( Decryption )，就可以保证信息的真实性、完整性和不可否认性。
（注：这里提到的加密、解密是指密码运算，其目的并非信息保密。
）那么，我们也可以笼统地说，以上方法就已经达到了数字签名的目的。
因为首先，私钥是发信者唯一持有的，别的任何人不可能制造出这份密文来，所以可以相信这份密文以及对应的明文不是伪造的（当然，发信者身份的确定还要通过数字证书来保证）；出于同样原因，发信者也不能抵赖、否认自己曾经发过这份信息；另外，信息在传输当中不可能被篡改，因为如果有人试图篡改，密文就解不出来。
这样，用私钥加密，公钥解密的技术方法就可以代替传统签名、盖章，保证了信息的真实性、完整性和不可否认性。
但是，这样做在实际使用中却存在一个问题：要发的信息可能很长，非对称密码又比较复杂，运算量大，而为了保证安全，私钥通常保存在USB Key或IC卡中，加密运算也是在Key或卡中进行。
一般来说，小小的USB Key或IC卡中的微处理器都做得比较简单而处理能力较弱，这样，加密所用的时间就会很长而导致无法实用。
另外，即使对于网站服务器而言，虽然它的处理能力很强，但服务器要同时处理许许多多签名加密的事情，也同样存在着加密耗时长系统效率低的问题。
有没有解决这个问题的办法呢？有的，常用的方法是使用哈希函数。
什么是哈希函数哈希（Hash）函数在中文中有很多译名，有些人根据Hash的英文原意译为“散列函数”或“杂凑函数”，有些人干脆把它音译为“哈希函数”，还有些人根据Hash函数的功能译为“压缩函数”、“消息摘要函数”、“指纹函数”、“单向散列函数”等等。
1、Hash算法是把任意长度的输入数据经过算法压缩，输出一个尺寸小了很多的固定长度的数据，即哈希值。
哈希值也称为输入数据的数字指纹（Digital Fingerprint）或消息摘要（Message Digest）等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第6讲 杂凑算法和数字签名 讲
主 要 内 容 一、杂凑函数的概念和基本安全要求 二、MD5杂凑算法 三、数字签名
一、 杂凑函数的概念和基本安全需求 杂凑函数又称为Hash函数、报文摘要 函数、 杂凑函数又称为 函数 函数、散列函数等。 函数、散列函数等。其目的是将任意长度的 报文m都压缩成指定长度的数据 都压缩成指定长度的数据H(m) 报文 都压缩成指定长度的数据 H(m)又称为 的指纹，代表了消息 的 又称为m的指纹 又称为 的指纹，代表了消息m的 身份。如下图所示: 身份。如下图所示 杂凑函数H 杂凑函数H 报文 报文摘要 长度是固定的，与 报文的长度无关
成功率分析： 成功率分析： 定理1 定理 设杂凑值为n比特且N远小于2n,则 碰撞攻击的成功率近似为 2 N 是存储复杂性 − n+1 攻击能力 1− 1− e 2 和计算复杂性 特别地，当 N = 2 n+1 时，碰撞攻击的成功率近 1 似为 −1
表S={(mk, H(mk)): 碰撞攻击算法的性能指标 k = 1,2,…, N}的规 模
1− e ≈ 1−
2.718
= 1 − 0.368 ≈ 0.632
特例：如果n = 64,则 N≈1.4×232 = 5.6G ，此时碰撞数的安全界限
如果对抗穷举攻击的能力的密钥长度的安 全界限为 n 比特，则对抗碰撞攻击的杂凑算法 的杂凑值的比特数的安全界限应为 2n 。
对杂凑函数的碰撞攻击算法 Step1 随机选取N个报文m1,m2,…, mN; Step2 以这N个报文作为杂凑函数的输入, 计算出相应的杂凑值,得到集合 S={(mk, H(mk)): k = 1,2,…, N} Step3 根据H(mk)的大小，对集合S利用快 速排序算法重新排序。 在排序过程中，如果找到了使H(mk)= H(mt) 的两个不同元mk和mt，就将(mk,mt)作为 结果输出，算法终止；如果找不到，就报告 碰撞攻击失败，算法终止。
杂凑函数技术----优缺点 优缺点
由于报文摘要不包含 不包含报文持有者的秘密 不包含 信息，故杂凑函数的： 优点: 任何人都可对报文的“指纹”进行检验 优点 ； 缺点: 掌握报文的人都可生成报文的“指纹” 缺点 上述缺点导致当将报文及其指纹放在一 报文及其指纹放在一 起时，只能检验出对报文无意的修改，不能 杂凑函数H 检验出有意的篡改或伪造。 H 杂凑函数 报文 报文摘要
MD5 算法第一步: 消息填充 目的:使MD强化后报文长度是512的整数倍 目的 方法：设原始报文x的长度是 比特. 的长度是L比特 方法：设原始报文 的长度是 比特 (1) 求出d≥0，使得L+1+d+64是512的倍数； (2) 在原始报文x后面先添加一个1， 然后添加d个0， 最后将消息的长度L用64比特表示，加在最后。
MD5使用的编码变换 使用的编码变换 面向32字设计----全部采用32位字的运算 • 逐位与运算：x y • 逐位模2加运算： x ⊕ y • 逐位或运算：x y • 逐位取补运算： x • 模232位加运算：x + y • 循环左移s位: x <<< 四个密码变换: 四个密码变换: s (1) 控选函数 : f ( X , Y , Z ) = ( X ∧ Y ) ∨ ( X ∧ Z )
t 365 × 364 × L × (365 − 19) = ∏ (1 − ) p= 20 365 365 t =0 20×19 1 1 − −1.041 < = = 0.368 ≈ e 365 = e e 2.718
19
20个人中至少有两人生日相同的概率是 个人中至少有两人生日相同的概率是0.632 个人中至少有两人生日相同的概率是
A = 0 x67452301, B = 0 xefcdab89, C = 0 x98badcfe, D = 0 x10325476
记M = M[0]M[1]…M[N-1]是M的32位字表示。
MD5 的主算法
DM模型 模型
圈函数模型: Hi = h(Hi-1,Mi) ⊕ Hi-1.其中 i-1=(A,B,C,D), 其中H 其中 h由round1,round2,round3和round4组成 组成. 由 和 组成 具体过程:对i=0至N/16-1,依次执行以下步骤： 具体过程
在实际上求不出 理论方法：穷举攻击
杂凑函数的安全性要求(续 杂凑函数的安全性要求 续1) (2) 强无碰撞性 强无碰撞性. 从计算量上讲，求出， 从计算量上讲，求出，或者以不可忽略的 概率求出，具有相同杂凑值H(m1) = H(m2)的 概率求出，具有相同杂凑值 的 两份报文m 是不可行的。 两份报文 1和m2是不可行的。 报文 m1 报文摘要 报文 m2 理论方法：(1)穷举攻击----固定一个，穷举另一个 (2)碰撞攻击 ---- 两个一起“穷举”
S={(mk, H(mk)): 碰撞攻击算法的性能指标 k = 1,2,…, N} 算法所需的存储量: 算法所需的存储量 需要存储表S，以便进 行快速排序，故存储复杂性是表S的规模O(N) 算法所需的计算量： 算法所需的计算量： (1) 该算法生成集合S的计算量是计算N次 杂凑函数； (2) 对集合S快速排序并找出全部碰撞的计 算量为 |N|log2|N| 次比较。 故总的计算量为 N + |N|log2|N| = O(N)
一、杂凑函数的概念和基本安全需求(续) 杂凑函数的概念和基本安全需求 续 杂凑函数的用途: 杂凑函数的用途 (1) 完整性检验 利用二元对 完整性检验----利用二元对 利用二元对(m, H(m))的 的 不可更改性实现。 不可更改性实现。 此时， 的变化. 此时，m 的变化将导致 H(m)的变化 的变化 (2) 提供文件的指纹.用于数字签名。 提供文件的指纹 用于数字签名。 用于数字签名 只要H(m)不可替换 就保证 不可能再更改 不可替换,就保证 只要 不可替换 就保证m不可能再更改 (3) 将杂凑值作为密钥，从而压缩掉密钥的 将杂凑值作为密钥， 冗余度; 冗余度 (4) 伪随机数生成 伪随机数生成.
3. DM杂凑函数模型 杂凑函数模型(Davies--Meyer方案 方案) 杂凑函数模型 方案 圈函数为 Hi = h(Hi-1, Mi) ⊕ Hi-1 Hi-1 函数h 初值H0： 是固定的常数 Mi 被杂凑的消息必 须经过MD强化 强化! 须经过 强化
⊕
Hi 特例：取 h(Hi-1, Mi) = DESMi(Hi-1) 此时：消息是56比特为一块 杂凑值是64比特 比特为一块， 此时：消息是 比特为一块，杂凑值是 比特
// N/16是512比特块的个数 Step1 执行X[0]←M[16i], X[1]←M[16i+1],…, X[15]←M[16i+15] // 16是512比特块中32位字的个数,一次处理16个32比特块 Step2 暂存(A,B,C D),即执行: AA←A, BB←B,CC←C,DD←D Step3 执行: (A,B,C D) ← Round1(A,B,C D,X[0],…, X[15]) Step4 执行: (A,B,C D) ← Round2(A,B,C D,X[0],…, X[15]) Step5 执行: (A,B,C D) ← Round3(A,B,C D,X[0],…, X[15]) Step7 执行: (A,B,C D) ← Round4(A,B,C D,X[0],…, X[15]) Step6 执行: (A,B,C D) ← (A,B,C D) +(AA,BB,CC, DD)
杂凑函数的安全性要求 (1) 单向性（第一原像不可求）. 单向性（第一原像不可求） 给出一个杂凑值 z，从计算量上讲，求出 ，从计算量上讲， 一个m，或者以不可忽略的概率求出一个m 一个 ，或者以不可忽略的概率求出一个 ， 成立是不可行的。 使得 H(m) = z 成立是不可行的。 报文 m 杂凑函数H 杂凑函数H 报文摘要
二、基于分组密码设计的杂凑函数 1. MD强化技术 强化技术(Merkle-Damaard强化 强化) 强化技术 强化 将消息M = (M1,M2,…,Mn)的最后一个分 组Mn设置为“真正消息”的长度，这个过程 称为MD强化。
2. 迭代型杂凑函数 一个迭代杂凑函数H(H0,M)是由一个容易 计算的函数h(x,y)确定的一个杂凑函数H,其中 h: {0,1}m× :{0,1}t →{0,1}m 杂凑函数对给定的初始值H0, 递归地计算 Hi=h(Hi-1,Mi),从而将报文M = (M1,M2,…,Mn)杂 凑到杂凑值Hn。 特别地,选取h=E(x,k)是一个安全的分组密 码,则当将消息经MD强化后,就得到一个安全的 杂凑函数。 新的报文块M 新的报文块 i的输入 被杂凑的消息必 位置是密钥的位置! 位置是密钥的位置 须经过MD强化 强化! 须经过 强化
对杂凑函数的基本攻击方法----碰撞攻击 对杂凑函数的基本攻击方法 碰撞攻击 目的: 构造报文m 和报文m 使得H(m1)=H(m2) 目的 构造报文 1和报文 2使得 生日悖论:20个人的生日互不相同的概率是多少? 生日悖论 个人的生日互不相同的概率是多少 是20/365吗? 错! 吗 正确答案是: 正确答案是
三、MD5算法 算法 MD4 是Ron Rivest 于1990年设计的，MD5 是MD4的改进形式。二者的设计思想思想相似。 MD5的特点： 对任意长度的输入，都产生128位的输出； 其安全性不依赖于任何假设，适合高速实现。
三、MD5算法 算法 MD5的安全分析现状： 2004年夏，山东大学的王小云宣布找到使 MD5的杂凑值相同的两个报文，这两个报文的 差是一个特殊的值，但没有公开构造方法。 之后，王小云教授公布了她的方法。人们 后来发现，找出MD5的一个碰撞在PC机是非常 容易的事情。 由于能产生碰撞的报文未必有实际的意义， 而且按王小云的方法构造的两个报文都不能人 为地控制，因而该攻击并不对MD5造成实际的 威胁。
ti是232×abs((sin i)) 的整数部分. 函数Round 1的结构 的结构: 函数 的结构 用 [a b c d i s t] 表示运算 a ←(b+[a + f(b,c,d) + M[i]+ti)] <<< s). (仅替换a) 则Round1依次执行下述16层运算: f (b, c, d ) = (b ∧ c) ∨ (b ∧ d ) (执行完左边8列,再 执行右边8列)