信息安全概论第11讲

计 算
A：
K
AB
B：
K
AB
计算
C EK
AB
( M H ( M ))
C
H (M )
C
计算
比较
（a）
N
N1 N
2
DK
AB
( C )
2
与
H (N1)
，
在图a所示的方式中，原发方A先对信息M计算Hash值H(M),然后将M||H(M)加密后发送给B， 用户B收到加密信息C’后，先解密，然后计算N1的Hash值，比较
ቤተ መጻሕፍቲ ባይዱ
4.2.2 消息鉴别码Mac
消息鉴别码（MAC）是在密钥的控制下，将消息映射到一个简短的定长数据分组。 将消息鉴别码附加到消息后，提供消息的完整性检测。设M是消息；F为密钥控 制的公开函数，F可以接受任意长度的输入，但输出为定长，通常称F为MAC函 数；K为通信方之间共享的密钥。则消息M的消息鉴别码为：
消 息 M KRA Hash 发 方A Sig(H(M)) 消 息 M KUA H(M) 收 方B 比较 H(M) 图4.8 使用数字签名机制实现消息鉴别 消 息 M Hash
发送方先利用公开的Hash函数对消息M进行变换，得到消息摘要；然后利用自己的私钥对消息摘要进行签名形成 数字签名Sig(H(M))；而后将签名附加在消息后发出。接收方收到消息后，先利用公开Hash函数对消息M进行变换，得 到消息摘要；然后利用发送方的公钥验证签名。如果验证通过，可以确定消息是可信的。 数字签名具有不可否认性、不可伪造的优点。
信息安全概论
第11讲
第4章 身份识别与消息鉴别
身份识别（identity authentication） 通信和数据系统的安全性常取决于能否正确 地验证通信或终端用户的个人身份，如机要重地的进入、自动提款机提款、密钥 分发以及各种资源系统的访问等都需要对用户的个人身份进行识别。 消息鉴别（message authentication） 信息来源的可靠性及完整性，需要有效的 消息鉴别来保证，如通过网络用户A 将消息M送给用户B， 这里的用户可能是个 人、机关团体、处理机等等，用户B 需要进行消息鉴别，确定收到的消息是否来 自A，而且还要确定消息的完整性。
-HMAC算法
HMAC
K
( M ) H[(K

opad) H[(K

ipad) M ]]
1. 在K的左边填充0以产生bbit长的K＋； 2. 将K＋与ipad按位异或产生bbit长的Si； 3. 将M 附加在Si后； 4. 将上一步产生的数据输入Hash函数，输出H(Si‖M)； 5. 将K＋与opad按位异或产生bbit长的So； 6. 将第（4）步产生的H(Si‖M)填充到bbit长后，附加在So后； 7. 将上一步产生的数据输入Hash函数，输出结果HMACK(M)。
H (N1) N 2 ?
若相同，则该信息是可信的。
N DK (C )
AB
M || C
计 算
A：
K
AB
B：
K
AB
计算
C EK
( H ( M ))
AB
M || C
M || C
计算
M
N DK
AB
(C 、 H ( M ) )
比较
（b）
N
与 H (M )
，
图b所示的方式中，唯一的不同是A只加密信息M的Hash值H(M),这样的做法类似于后面 要讲的消息鉴别码方式，只保证消息的完整性，不提供保密性。
-HMAC算法
K＋ ipad bbit Si IV K＋ opad bbit So IV nbit Hash nbit HMACK(M) HMAC算法结构框图 Y1 nbit bbit Y2 Hash nbit H(Si‖M) 填充到bbit bbit Yl - 1
HMAC算法由Bellare 等人在1996年提出， 1997年在RFC-2104 中发布，之后成为事 实上的Internet标准， 包括IPsec协议在内 的一些安全协议都采 用了HMAC算法。 HMAC算法的基本思 想是：利用基于密钥 的Hash函数构造 MAC。
4.2.1基于对称加密的鉴别
B ：
假定只有通信双方A和B共享有密钥 K AB 息。
AB
, M 为A欲发送给B的有意义的合法信
A将M 用密钥 K 加密后再发给B，如图4.4所示，在对信息提供保密性的同时也 提供完整性的鉴别。
A： K
AB
B：K
AB
C M D K (C ) AB
M C E K (M ) AB
4.2.4 无条件安全鉴别码
前面介绍的消息鉴别在基于计算复杂性的假设下是安全的，即它的安全是建立在攻击者计算能力有限的假设基础之 上。本节介绍的鉴别码是与计算无关，不基于任何假设，考虑概率意义下的安全性。因此称为无条件安全鉴别码。即使 攻击者拥有无限的计算能力，他也无法百分之百做到假冒和篡改。 假冒是指攻击者在没有截获到发方A发出任何消息的情况下，向收方B发送虚假消息，以期望B相信消息来自于A； 篡改是指攻击者在只截获到发方A发给一条合法信息M后，对消息M修改得M’将M’发给B，以期望B相信M’是由A发 出的。 在无条件安全鉴别码方案中，收发双方制定编码方案后，秘密约定一个编码规则。对于攻击者来说，即使他知道通 信双方使用的编码方案，也无法做到百分之百攻击成功。这是由于原发方用于发送的信息序列在编码方案中是均匀分布 的，所以在攻击者看来总是随机的，使得他无法确定用于攻击的信息序列。下面用一个简单的例子来说明。
图4.4 基于对称加密的鉴别
A ：
计 算
使用加密函数加密消息时，其安全性一般取决于密钥的长度。如果加密函数没有 其他弱点可以利用的话，攻击者只能使用穷搜索的方法测试所有的密钥。假设密 1 钥长度为k bit，则攻击者平均进行的测试次数为 2 k次。特别地，对于唯密文攻击 来说，攻击者只知道密文，需要用所有可能的密钥对密文执行解密，直到得到有 意义的明文。 MAC函数类似于加密函数，不同的是MAC函数不需要可逆，而加密函数必须是 可逆的。因此， MAC函数比加密函数更容易构造。
4.2.4 无条件安全鉴别码
设原始的消息集为｛0，1｝，所有可能的信息序列有四种，分别为00、01、10、11（每个信息序列的第一位代表 消息），四个不同编码规则为R0、R1、R2、R3。编码方案如下：
00 R0 R1 0 0 01 10 1 1 11
R2
R3
0
0
1
1
其中，在某一编码规则中，空白处对应的信息序列，表示该信息序列在该编码规则下不存在，即当双方约定使用该 编码规则后，该信息序列不是原发方用于发送的序列。例如当使用编码规则R1时，收方只有收到信息序列00或11，才 认为该信息序列是由原发方发出的。 考虑假冒攻击的情形。假如攻击者想假冒发方A，发送消息0给B。按照编码方案，他可以选择信息序列00或01来发 送，00序列只在编码规则R0，R1下存在，01序列只在编码规则R2，R3下存在，由于他不知道双方约定的编码规则， 无论他选择哪一个，假冒成功的概率只有50％。 再看篡改攻击的情形。当双方约定的编码规则为R0时，A想发消息1给B，用于发送的消息序列为10；攻击者从10 序列可以判断出A和B约定的编码规则为R0或R2，他对原始消息进行篡改，将消息1改为消息0时，同时需要对传输的信 息序列修改，但是，将信息序列改为00或01中哪一个呢？他无法用计算来确定，只好随机的选一个，因此篡改成功的 概率也只有50％。 从上面的分析可以看出，在无条件安全鉴别码方案下，无论攻击者拥有多强的计算能力，攻击成功的概率均达不到 百分之百。
思考
什么是消息鉴别码？分析消息鉴别码与无条件安全鉴别码的异同。
消 息
收 方 F K 比较
M
M K F
MACM
M
MACM
MACM
图4.6 使用消息鉴别码实现消息鉴别
4.2.2 消息鉴别码Mac
的长度为n bit时，函数输出有2n种可能，其可能的输入消息个数远远大于2n，假设密钥长度为 k bit，则可能的密钥个数为2k。现假设k > n，来看看攻击者已知明文消息M及其MAC，如何利用穷搜索攻 击获得密钥。 对应2k个密钥，攻击者可计算与M相应的2k个MAC，由于MAC函数的输出只有2n种可能，且2k > 2n， 则平均有2k-n个密钥可以对同一M产生相同的MAC。攻击者此时无法确定哪一个密钥是通信双方使用的。 为了确定正确的密钥，攻击者必须得到更多的消息及其由该密钥生成的MAC，然后重复进行上述的穷搜 索攻击。利用概率论知识作出下列估计，第一轮后可以确定2k-n个可能的密钥，第二轮后可以确定2k-2n个 可能的密钥，依此类推。攻击者大约需要k / n轮穷搜索，才可以得到正确的密钥。计算量之大，使得从 穷搜索攻击的角度来看，MAC函数不易破解。
MAC
M
FK ( M )
1. 消息是完整的没有被篡改。因为只有收发方知道密钥，攻击者篡改消息 后，无法得到与篡改后的消息相应的消息鉴别码； 2. 消息出自声称的原发方，不是冒充的。因为只有收发方知道密钥，攻击 者无法对自己发送的消息产生相应的消息鉴别码。
4.2.2 消息鉴别码Mac
消 息 发 方 消 息
4.2.3 数字签名机制
在基于对称密码算法的身份识别和消息鉴别码方案中，通信双方需要共享一个秘密值，这是建立在双方互相忠实、 信任的基础上。但在现实生活中，这样的基础在利益面前是很脆弱的。来看一个投资商和他的经纪人之间的例子， 当投资商想投资某个股票时，他会发消息指示他的经纪人去购买该股票，为了保证消息的可信度，他们之间约定 使用前面介绍的消息鉴别。当投资商发现股票一直在亏损时，他可以向经纪人耍赖，否认让经纪人购买股票的消 息是他发的，而说是经纪人自己编造的，让经纪人负责赔偿。在这种情况下，由于经纪人和投资商享有同样的秘 密值，无法证明该消息真正出自投资商还是经纪人。同样，在经纪人私自挪用投资商的资金后，也可以伪造一个 投资商的授权消息。当使用数字签名机制进行消息鉴别时，可以解决该例子中出现的问题。 使用基于公钥密码的数字签名实现消息鉴别（见3.5节）的过程如图4.8所示。