消息认证与数字签名

（十三）消息认证与数字签名作者：山石1.消息认证消息认证（MAC，Message Authentication Code），用来保护通信双方免受第三方的攻击，验证消息的完整性。

接收方能够验证收到的报文是真实的未被篡改的。

（1）认证方案如下：●发方将消息和认证密钥输入认证算法，得到消息的认证标签，一起发送消息和认证标签●收方将同样的认证密钥和收到的消息输入认证算法。

检验计算结果是否与收到的认证标签相同，若相同，则认为消息未经篡改，否则认为消息被入侵者篡改。

（2）对安全认证方案的要求：●通信双方能有效（容易）地产生任意消息的认证标签●通信双方能有效（容易）地验证一给定的数字串是否是一给定消息的认证标签●入侵者不能有效（容易）地产生通信双方没发送消息的认证标签。

2.数字签名（1）概念消息认证用以保护双方之间的数据交换不被第三方侵犯；但它无法防止通信双方的相互攻击（欺骗、抵赖等）。

假定A发送一个认证的信息给B，双方之间的争议可能有多种形式：●B伪造一个不同的消息，但声称是从A收到的。

●A可以否认发过该消息，B无法证明A确实发了该消息。

数字签名的基本功能，就是将消息与发起实体相关联，由签名算法和相应验证算法组成。

●数字签名过程：发送方用其私钥对报文进行加密●验证签名过程：利用发送方公钥解密签名，再与发送方出示的明文或明文摘要进行比较。

●签名算法：RSA、E1Gamal、DSS●签名方案：一次签名、群签名、盲签名等。

（2）数字签名的性质：●用户能有效（容易）地在他选择的文件上产生自己的签名。

●用户能有效（容易）地验证一给定的数字是否是另一特定用户在某特定文件上的签名。

●没人能在其他用户没签名的文件上有效（容易）地产生他们的签名。

（3）数字签名算法的分类：无仲裁数字签名：●仅涉及通信方，假定接受方知道发送方的公钥●优点：无仲裁，不需要与第三方通信，比较方便。

●缺点：方案的有效性依赖于发送方私钥的安全性。

如果私钥被窃取，他人就会冒充发送方进行签名。

消息认证与数字签名
21
5.2.2 散列函数旳使用方式
❖ 散列函数旳基本使用方法(a、b)
Provides confidentiality -- only A and B share K Provides authentication -- H(M) is cryptographically protected
❖ 问题：经过加密得到信息真实性？
保密性与真实性是两个不同旳概念。根本上，信息加密提供旳是保密 性而非真实性。
加密代价大(公钥算法代价更大)。 鉴别函数与保密函数旳分离能提供功能上旳灵活性。
广播旳信息难以使用加密(信息量大) 某些信息只需要真实性,不需要保密性
消息认证与数字签名
12
5.1.2 消息认证码
散列函数H是公开旳，散列值在信源处被附加在消息上，接受方经过 重新计算散列值来确保消息未被篡改。
因为函数本身公开，传送过程中对散列值需要另外旳加密保护(假如 没有对散列值旳保护，篡改者能够在修改消息旳同步修改散列值， 从而使散列值旳认证功能失效)。
消息认证与数字签名
19Biblioteka 5.2 散列(Hash)函数
息验证码 MAC=CK(M) 。发送给接受方B时，将它附加在报文中。
❖ 接受方收到报文使用相同旳密钥K执行相同旳计算，得到新旳MAC。接受
方将收到旳MAC与计算得到MAC进行比较，假如相匹配，那么能够确保报
文在传播过程中维持了完整性：
❖
（1）报文未被更改正
❖
（2）接受者确信报文来自真实旳发送者。（无人知晓密钥）
因为收发双方共享相同旳密钥，上述过程只提供认证而不提供保密， 也不能提供数字署名
消息认证与数字签名
14

6
5.1.1 信息加密认证
信息加密函数分两种，一种是常规的对称密钥加密函数， 另一种是公开密钥的双密钥加密函数。下图的通信双方 是，用户A为发信方，用户B为接收方。用户B接收到信 息后，通过解密来判决信息是否来自A， 信息是否是完 整的，有无窜扰。
1.对称密码体制加密： 对称加密：具有机密性，可认证,不提供签名
通常b>n
24
5.2.3
MD5算法
Ron Rivest于1990年提出了一个称为MD4的散列函数。 他的设计没有基于任何假设和密码体制，不久，他的 一些缺点也被提出。为了增强安全性和克服MD4的缺 陷， Rivest于1991年对MD4作了六点改进，并将改进 后的算法称为MD5. MD5算法：将明文按512比特进行分组，即MD5中的 b=512bit，经填充后信息长度为512的倍数（包括64 比特的消息长度）。 填充：首位为1，其余补0至满足要求，即填充后的比 特数为512的整数倍减去64，或使得填充后的数据长 度与448模512同余。
18
通过以下方式使用散列函数常提供消息认证
（1）使用对称加密算法对附加消息摘要的报文进行加密 A B: EK(M||H(M)) 提供保密、认证 （2）使用对称加密方法对消息摘要加密 A B: M||EK(H(M)) 提供认证 （3）使用发方的私钥对消息摘要进行加密 A B: M||EKRa(H(M)) 提供数字签名、认证 （4）在（3）的基础上，使用对称加密方法进行加密 A B: EK(M||EKa(H(M)) ) 提供数字签名、认证和保密 （5）假定双方共享一个秘密值S，与消息M串接，计算散 列值 A B: M||(H(M||S)) 提供认证 （6）假定双方共享一个秘密值S，使用散列函数，对称加 密方法 A B: EK(M||H(M||S)) 提供数字签名、认证和保密19

网络与信息安全
密码学基础(五)
内容

消息认证


MAC 散列算法

MD5 SHA/SHA-1

数字签名
问题的提出
通信威胁： 1. 泄露：把消息内容发布给任何人或没有合法密钥的 进程 2. 流量分析：发现团体之间信息流的结构模式。在一 个面向连接的应用中，可以用来确定连接的频率和持 续时间长度 3. 伪造：从一个假冒信息源向网络中插入消息 4. 内容修改：消息内容被插入删除变换修改 5. 顺序修改：插入删除或重组消息序列 6. 时间修改：消息延迟或重放 7. 否认：接受者否认收到消息，发送者否认发送过消 息
认证编码的基本方法



认证编码的基本方法是要在发送的消息中引入多余度 ，使通过信道传送的可能序列集Y大于消息集X。 对于任何选定的编码规则，则(相应于某一特定密钥) ：发方从Y中选出用来代表消息的许用序列，即码字 收方根据编码规则唯一地确定出发方按此规则向他传 来的消息。 窜扰者由于不知道密钥，因而所伪造的假码字多是Y 中的禁用序列，收方将以很高的概率将其检测出来， 而被拒绝认证 系统设计者的任务是构造好的认证码 (Authentication Code),使接收者受骗概率极小化

注：若设E=1- e(-(k(k-1)/(2n)) ,可解出k的关于n、E 的函数，有

若略去-k项，有：k≈(n(ln(1/(1-E))×2)0.5； 若取E=0.5,我们估计：k≈1.17 n0.5 ≈n0.5 说明在集合X中，n0.5个随机元素散列的结果产 生一个碰撞的概率为50%!


MAC算法的要求

条件：

攻击者知道MAC函数但不知道密钥K 已知M和CK(M)，要想构造M使得CK(M)=CK(M)在 计算上不可行 (计算上无碰撞) CK(M)均匀分布：随机选择M和M, Pr[CK(M) = CK(M)]=2-|MAC| f是M的一个变换(例如对某些位取反),那么, Pr[CK(M)= CK(f(M))]=2-|MAC|