06_密码学基础(五)_消息认证和数字签名

•
应当注意 只用私钥加密不能提供保密性。因为任 何人只要有A的公开密钥，就能够对该密文进行解密。
5.1.2 消息认证码
消息认证码 MAC（或称密码检验和）是在个密钥 的控制下将任意长的消息映射到一个简短的定长数据 分组，并将它附加在消息后。设M 是变长的消息，K 是仅由收发双方共享的密钥，则M的MAC由如下的函 数C生成：MAC = CK ( M ) • 这里CK ( M )是定长的。发送者每次将MAC附加到消 息中。接收者通过重新计算MAC来对消息进行认证。 •
•
产生认证符的方法可分ຫໍສະໝຸດ 下三类：① 信息加密：将明文加密后以密文作为认证符； ② 消息认证码 MAC：用一个密钥控制的公开函数作 用后产生的固定长度的数值，也称密码校验和。 ③ 散列函数：一个将任意长度的消息映射为定长的 散列值的函数，以散列值作为认证符。
5.1.1 加密认证 • 信息加密能够提供一种认证措施，这里分对 称密码体制加密认证和公钥密码体制加密认 证。
• 这里M是由分组Y0 , Y1 ,……，YL −1组成。如图5. 1所示。 ，
图5. 1 迭代型散列函数的结构
已经证明如果压缩函数是无碰撞的，则上述方法得到的Hash 函数也是无碰撞的。 因此，Hash函数的核心技术是设计无碰撞的 压缩函数。同样，攻击者对算法的攻击重点也是对f 的内部结构的 分析。与分组密码一样，f也是由若干轮处理过程组成，因而对f 的分析需要通过对各轮之间的比特模式的分析来进行，常常需要 先找出f的碰撞。 • 由于f 是压缩函数，因而一定存在碰撞。这就要求在设计f时 尽量使找出f的碰撞在计算上是不可行的。 •
2. 公钥密码体制加密认证
• 使用公开密钥加密信息的明文只能提供保密而不 能提供认证。为了提供认证，发送者 A用私钥对信息 的明文进行加密，任意接收者都可以用 A的公钥解密。 这种方式提供的认证措施与对称密码体制加密的情形 在原理上是相同的。与前面的一样，在明文中也要求 有某种内部结构，因此，接收者能够识别正常的明文 和随机的比特串。 • 采用这样的结构既可提供了认证，也可提供数字 签名。因为只有A 能够产生该密文，其它任何一方都 不能产生该密文，从效果上看 A 已经用私钥对信息的 明文进行了签名。

消息认证与数字签名
21
5.2.2 散列函数旳使用方式
❖ 散列函数旳基本使用方法(a、b)
Provides confidentiality -- only A and B share K Provides authentication -- H(M) is cryptographically protected
❖ 问题：经过加密得到信息真实性？
保密性与真实性是两个不同旳概念。根本上，信息加密提供旳是保密 性而非真实性。
加密代价大(公钥算法代价更大)。 鉴别函数与保密函数旳分离能提供功能上旳灵活性。
广播旳信息难以使用加密(信息量大) 某些信息只需要真实性,不需要保密性
消息认证与数字签名
12
5.1.2 消息认证码
散列函数H是公开旳，散列值在信源处被附加在消息上，接受方经过 重新计算散列值来确保消息未被篡改。
因为函数本身公开，传送过程中对散列值需要另外旳加密保护(假如 没有对散列值旳保护，篡改者能够在修改消息旳同步修改散列值， 从而使散列值旳认证功能失效)。
消息认证与数字签名
19Biblioteka 5.2 散列(Hash)函数
息验证码 MAC=CK(M) 。发送给接受方B时，将它附加在报文中。
❖ 接受方收到报文使用相同旳密钥K执行相同旳计算，得到新旳MAC。接受
方将收到旳MAC与计算得到MAC进行比较，假如相匹配，那么能够确保报
文在传播过程中维持了完整性：
❖
（1）报文未被更改正
❖
（2）接受者确信报文来自真实旳发送者。（无人知晓密钥）
因为收发双方共享相同旳密钥，上述过程只提供认证而不提供保密， 也不能提供数字署名
消息认证与数字签名
14

8
第五章 消息认证与数字签名
数字信封
数字信封(DIGITAL ENVELOPE) ： 对数据进行加密的密钥必须经常更换。 数字信封解决两个难题：取长补短 单钥体制：密钥分发困难；高效；数据的加密 公钥体制：加解密时间长；灵活；密钥的加密 目的：利用数据接收者的公钥来封装保护加密 数据的密钥。
9
第五章 消息认证与数字签名
5
第五章 消息认证与数字签名
公开密钥算法的主要特点如下： １）用加密密钥PK对明文A加密后得到密文，再用解 密 密 钥 SK 对 密 文 解 密 ， 即 可 恢 复 出 明 文 A。 DSK(EPK(A))＝A ２）加密密钥不能用来解密，即： DPK(EPK(A))≠A ；DSK(ＥSK(A))≠A ３）用 SK 加密的信息只能用 PK 解密；用 PK 加密的信 息只能用SK解密。 ４）从已知的PK不可能推导出SK。
主要内容
数字信封 数字指纹 数字证书 数字签名 数字水印 密码管理
1
第五章 消息认证与数字签名
一、密码学通常的作用
公钥密码 ( 双钥密码、非对称密码），是 1976 年由 Diffie和Hellman在其“密码学新方向”一文中提出的 单向陷门函数是满足下列条件的函数f： (1)给定x，计算y=f(x)是容易的； (2)给定y, 计算x使y=f(x)是非常困难的，无实际意义。 (3)存在δ，已知δ 时,对给定的任何y，若相应的x存在， 则计算x使y=f(x)是容易的。 注：1*. 仅满足(1)、(2)两条的称为单向函数；第(3) 条称为陷门性，δ 称为陷门信息。
17
第五章 消息认证与数字签名
二、数字指纹
数字指纹是通过一类特殊的散列函数(HASH函 数)生成的，对这类HASH函数的特殊要求是： 1．输入报文的长度没有限制； 2．对输入任何报文，能生成固定长度的摘要 (数字指纹)； 3．从报文能方便地算出摘要； 4．极难从指定的摘要生成一个报文，而由该 报文又反推算出该指定的摘要； 5．两个不同的报文极难生成相同的摘要。

不同消息产生不同指纹
M
h=hash(M) H h
Mh
M` h H
比较
h`
26
任意长度数据块，产生固定长度散列值；
任意给定m ,计算H(m)相对容易； 对任意给定h，找到m满足H(m)=h在计算
上不可行；（单向性）
对任意给定的消息m1，找到m2≠m1满足 H(m2)=H(m1)在计算上不可行；
标识的方法呢？ hash
24
消息摘要、哈希函数、数字指纹、杂凑函数— —消息标识 h = H(M)
输入/输出：
◦ 任意长度的消息M，产生向计算困难
不同消息不同指纹，消息M的所有位的函数：
◦ 消息中的任何一位或多位的变化都将导致该散列值 的变化。
D
K2
K1
Alice C
比较
2019/6/23
K2
Ek2(M)
D
M
M
E
M
|| M C
K2
C
CK1(Ek2(M))
K1
比较
K1
Bob
提供认证 提供保密
2019/6/23
Alice
MAC中使用了密钥，这点和对称密钥加密
一样，如果密钥泄漏了或者被攻击了，则 MAC的安全性则无法保证。
穷举攻击
22
2019/6/23
K(56位)
D1(64位)
D2(64位)
D1(64位)
D2(64位)
+
+
+
DES加密 K DES加密 … K DES加密 K DES加密
O1(64位)
O2(64位)
ON-1
ON
2019/6/23