网络安全 单向散列函数

第3章 单向散列函数
散列函数h=H(M)的单向性： • 给定M，很容易计算h。 • 给定h，根据H(M)=h反推M很难。 • 给定M，要找到另一消息M'并满足H(M)=H(M')很难。 • 抗碰撞(Collision) ：要找到两个随机的消息M和M'，使 H(M)=H(M')满足很难。
第3章 单向散列函数
第3章 单向散列函数
4) 按512位的分组处理输入消息 进行四轮处理，每轮都以当前的正在处理的512比特分组Yq 和128比特缓冲值ABCD为输入，并更新缓冲内容CV。
Yq A B CV q C D 第 一 轮 第 二 轮 第 三 轮 第 四 轮 ＋ ＋ ＋ ＋ A B C D CV q＋1
第3章 单向散列函数 四轮处理，每一轮进行16次如下操作。
第3章 单向散列函数
5) 输出 由A、B、C、D四个寄存器的输出128位的消息摘要。
总体思想：基于输入Yq ，不断更新缓冲区，且更 新过程的运算足够复杂。
MD5算法的运算均为基本运算，比较容易实现且 速度很快。 代码和举例略。
第3章 单向散列函数
3.2 安全散列函数 安全散列函数(SHA)
3.2.1 算法 SHA (Secure Hash Algorithm) 安全散列算法，用于 数字签名标准DSS(Digital Signature Standard) 修改版SHA–1产生消息摘要的过程类似MD5：
第3章 单向散列函数
每次操作按如下步骤处理每个字块Mi：
//更新W0~79 (1) 把Mi分为16个字W0、W1、…、W15。 (2) for t =16 to 79 do let Wt =(Wt−3 XOR Wt−8 XOR Wt−14 XOR Wt−16)<<<1 //更新A~E (3) Let A =H0，B =H1，C =H2，D =H3，E =H4 (4) for t =0 to 79 do TEMP = (A<<<5)+ft (B, C, D)+E +Wt +Kt ; E =D; D =C; C =(B<<<30); B = A; A = TEMP; //更新H0~4 (5) Let H0 =H0 +A, H1 =H1 +B, H2 =H2 +C, H3 =H3 +D, H4 =H4 +E
常数个数：SHA-1指K，H作为IV可以是用户设置的密钥；MD5 指T[1..64] ，ABCD作为IV可以是用户设置的密钥。
第3章 单向散列函数
3.3 消息认证码 消息认证码(MAC)
MAC（消息认证码）：同时基于密钥与消息的散列 MAC=CK(M)
– M为可变长的消息 – K为通信双方共享的密钥 – C为单向散列函数
– 输入：长度小于264位的消息 – 输出：160位的消息摘要。
第3章 单向散列函数
填填填 L×512 bit＝N×32 bit K bit 消消
消消消消(K mod64) 2
100…0
512 bit Y 0 512 IV 160 H SHA CV 1 160
512 bit Y 1 512 HSHA … CV －1 L 160 …
512 bit Y －1 L 512 H SHA 160填消消位位
图3-5 SHA–1算法
第3章 单向散列函数 SHA–1的具体过程如下： 1) 填充消息 首先将消息填充为512位的整数倍，填充方法和MD5完全相同。
2) 初始化缓冲区 第一个缓冲区，五个32位的寄存器，标记为A、B、C、D、E； 第二个缓冲区，五个32位的寄存器，标记为H0、H1、H2、H3、 H4。（在运算之前，初始化{Hj}（IV）。） 此外： 标记为W0、W1、…、W79的80个32位缓冲区 单字的缓冲区TEMP。
第3章 单向散列函数
第三章 单向散列函数
散列： 将任意长度的消息M映射成一个固定长度m散列值h， h=H(M)，H：单向散列函数 散列的特点： 单向性 散列的应用： 不安全系统中，用户口令的保存（单向，不可逆，防泄密） 保密数据的认证（防伪造、篡改） 数字签名（ h=Hiv(M) ，iv=k|t ，防伪造、篡改、抵赖）
第3章 单向散列函数
3) 按512位的分组处理输入消息 主循环与MD5类似，包括四轮处理，每轮进行20 次操作，每次操作分别使用逻辑函数f0 、f1 、…、f79 （ fi的输入为三个32位字，输出为一个32位字）和常数 序列K0、K1、…、K79。 • Kt = 0x5A827999 • Kt = 0x6ED9EBA1 • Kt = 0x8F1BBCDC • Kt = 0xCA62C1D6 (0≤t≤19) (20≤t≤39) (40≤t≤59) (60≤t≤79)
512 bit Y1 512 H MD5 … CV －1 L 128 …
512 bit Y －1 L 512 H MD5 128填消消位位
图3-2 MD5算法
第3章 单向散列函数 MD5算法包括以下五个步骤：
1) 附加填充位 填充消息，使其长度为一个比512的倍数小64位的数 （消息长度用64位表示）。 填充方法：在消息后面填充一位1，然后填充所需数 量的0。 2) 附加长度 将原消息长度的64位表示附加在填充后的消息后面。 3) 初始化MD缓冲区 初始化用于计算消息摘要的128位缓冲区。这个缓冲 区由四个32位寄存器A、B、C、D表示。
H：可选的散列函数 K：密钥 t：输出长度 Opad、 ipad：常数 || ：字符串连接 B：计算消息摘要时输入块的字节长度(如对于SHA-1, B = 64)
HMAC算法可以和任何散列函数H结合使用。
第3章 单向散列函数 具体操作步骤如下： (1) 如果K的长度等于B，设置K0 = K并跳转到第(4)步。 (2) 如果K的长度大于B，对K求散列值：K0 = H(K)。 (3) 如果K的长度小于B，在K的左边附加0得到B字节的K0。 (4) 执行K0 XOR ipad。 (5) 将数据text附加在第(4)步结果的后面：(K0 XOR ipad) || text (6) 将H应用于第(5)步的结果：H((K0 XOR ipad) || text) (7) 执行K0 XOR opad。 (8) 把第(6)步的结果附加在第(7)步的结果后面： (K0 XOR opad) || H((K0 XOR ipad) || text) (9) 将H应用于第(8)步的结果： H[(K0 XOR opad) || H((K0 XOR ipad) || text)] (10) 选择第(9)步结果的最左边t字节作为MAC。
第3章 单向散列函数
ipad
Si
text
HASH L字字 t bit
K 0 opad B字字
S0
HASH
MAC(text) t
图3-7 HMAC结构
消消消消1
消消消消2
…
消消消消n
填填填
IV
压压 非非
压压 非非
…
压压 非非
非非函
图3-1 单向散列函数工作模式
第3章 单向散列函数
单向散列函数是建立在压缩函数之上的（不保真压缩） 1. 输入：消息分组和前一分组的输出(对第一个压缩函数， 其输入为消息分组1和初始化向量IV) 2. 输出：到该点的所有分组的散列，即分组M1 ~Mi的散 列为 hi= H(Mi, hi−1) 3. 该散列值和下一轮的消息分组一起作为压缩函数下一 轮的输入 4. 最后一压缩函数的输出就是整个消息的散列
第3章 单向散列函数
4) 输出 在处理完Mn 后，输出H0 、H1 、H2 、H3 、H4 级联为 160位的消息摘要。
第3章 单向散列函数
3.2.3 SHA–1与MD5的比较
SHA-1 Hash值长度 分组处理长 步数 最大消息长 非线性函数 常数个数 160 bit 512 bit 80(4×20) ≤264 bit 3(第2、4轮相同) 4 MD5 128 bit 512 bit 64(4×16) 不限 4 64
第3章 单向散列函数
3.1 MD5算法
3.1.1 算法 输入：任章 单向散列函数
填填填
L×512 bit＝N×32 bit K bit
消消消消(K mod64) 2
消消
100…0
512 bit Y 0 512 IV 128 H MD5 CV 1 128
a b c d 非非非非非 ＋ ＋ ＋ <<<s ＋ a M j T[i] b c d
四轮处理所使用的非线性函数（逻辑函数，使用与、或、反、异或运算） 不同。 表T[1..64]，T[i]=232×abs(sin(i))，i的单位为弧度；s固定给出 Mj ：32位（a、b、c、d均32位），M1…M16=Yq（ 512位的输入消息）
• 为拥有共享密钥的双方在通信中验证消息的完整性 • 为单个用户验证他的文件是否被改动
第3章 单向散列函数
源源A
目目源B Ⅱ
M K
M
C
比比
K C CK(M)
第3章 单向散列函数
HMAC（Keyed-Hash Message Authentication Code）：用一 个秘密密钥来产生和验证某消息的MAC MAC(text)t = HMAC(K, text)t = H((K0 XOR opad ) || H((K0 XOR ipad) || text))t