当前位置：文档之家 › 密码学与信息安全-第12章-散列算法和MAC算法PPT课件

密码学与信息安全-第12章-散列算法和MAC算法PPT课件

  • 格式：pptx
  • 大小：657.65 KB
  • 文档页数：20

下载文档原格式

  / 20

合集下载

无线网络安全技术应用11散列算法和MAC算法

无线网络安全技术应用11散列算法和MAC算法
9/31
Secure Hash Algorithm算法
1992年NIST制定了SHA(128位) 1993年SHA成为标准（FIPS PUB 180） 1994年修改产生SHA-1(160位) 1995年SHA-1成为新的标准,作为SHA-1
(FIPS PUB 180-1) 2002年发布修订版SHA-256,SHA-384,SHA-
T]
X散：列将码标用识K符xaI加D密x ,后密形文成EK签xy[名M发]，送以给及A对。IDx和密文消息的
A：解密签名，用散列码验证消息，这时A只能验证消息 的密文而不能读取其内容。然后A将来自X的所有信息加 上时间戳并用Kay加密后发送给Y。
2019/11/16
41
直接数字签名方法2
用发送方的私钥对消息的hash码进行加密 (2) A→B: M||EKRa[H(M)]
提供数字签名
H(M) 受到密码算法的保护,例如MD5或SHA1;
只有A 能够生成EKRa[H(M)]
(2’) A→B: EK[M||EKRa[H(M)]] 提供保密性、数字签名。
引入仲裁者，通信双方都非常信任仲裁者。
2019/11/16
40
直接数字签名方法1
用发送方的私钥对整条消息进行加密来产生签名. (1) A→B: EKRa[M]
提供了鉴别与签名
只有A具有KRa进行加密; 传输中没有被篡改； 任何第三方可以用KUa 验证签名
(1’) A→B: EKUb [EKRa(M)] 提供了保密(KUb)、鉴别与签名(KRa)
仲裁者在这一类签名模式中扮演敏感和关 键的角色。
所有的参与者必须极大地相信这一仲裁机制工 作正常。（trusted system）

crypto-12

crypto-12

基本算法
初值：A = 67452301; B = EFCDAB89; C = 98BADCFE; D = 10325476; E = C3D2E1F0 A、B、C、D、E分别被复制到AA、BB、CC、DD、EE，进 行四回合迭代，每回合20步运算，每一步运算对A、B、C、 D、E中的三个寄存器进行非线性操作，然后移位。每回 合有一个常数k。
2011-3-16 现代密码学理论与实践-12 22/43
2011-3-16
现代密码学理论与实践-12
23/43
MD5的运算 MD5的运算
MD5中使用的逻辑函数如下： 回合 1 2 3 4 表 示 F(x, y, z) G(x, y, z) H(x, y, z) I(x, y, z) 定 义 (x•y)∨(x-1•z) (x•z)∨(y•z-1) x⊕y⊕z y⊕(x•z-1)
Berson 92 attacked any 1 round using differential cryptanalysis (but can’t extend) Boer & Bosselaers 93 found a pseudo collision (again unable to extend) Dobbertin 96 created collisions on MD compression function (but initial constants prevent exploit)
11/43
2011-3-16
现代密码学理论与实践-12
12/43
SHASHA-1的基本操作(单步)
2011-3-16
现代密码学理论与实践-12
13/43
SHA-1的基本操作(单步) SHA每一步基本运算

网络信息安全crypto-13散列和MAC算法

网络信息安全crypto-13散列和MAC算法
每一方与KDC共享主密钥 KDC产生双方通信要用的会话密钥 用主密钥来分发会话密钥
2020/7/29
现代密码学理论与实践-13
10/47
ElGamal的数据加密方法
假定A和B互相通信, 共享大素数p, 本原元素α
0<= m <= p-1, gcd(α, p) = 1, A和B各有自己的秘
密xA和xB
可信中继
使用KDC密钥分发中心 通过DASS (Distributed Authentication Security Service)
群认证(Group Authentication)
2020/7/29
现代密码学理论与实践-13
8/47
13.2.1 双向认证
双向认证协议可以使通信双方达成一致并交换会话 密钥
网络信息安全
Chapter 13 Digital Signature and Authentication
Protocols
2020/7/29
现代密码学理论与实践-13
1/47
本章要点
数字签名是一种认证机制，它使得消息的产生者可以 添加一个起签名作用的码字。通过计算消息的散列值 并用产生者的私钥加密散列值来生成签名。签名保证 了消息的来源和完整性。
密，或对报文的摘要加密来实现 通常先签名，然后对消息和签名一起加密 安全性依赖于信源私有密钥的安全性
2020/7/29
现代密码学理论与实践-13
5/47
13.1.3 仲裁数字签名
涉及到一个仲裁方(arbiter A) 签名方的签名报文首先送给仲裁者 仲裁者对报文和签名进行测试以检验出处和内
认证的目的
防窃听、防假冒或拦截、防窃取等
ቤተ መጻሕፍቲ ባይዱ

密码技术基础知识ppt课件

密码技术基础知识ppt课件
19
公钥基础设施
PKI系统组成
证书发布系统 证书发布系统负责证书的发放，如可以通过用户自己
，或是通过目录服务器发放。目录服务器可以是一个组织中现 存的，也可以是PKI方案中提供的。
20
公钥基础设施
PKI的应用
PKI的应用非常广泛，包括应用在web服务器和浏览器 之间的通信、电子邮件、电子数据交换(EDI)、在Intenet上的 信用卡交易和虚拟私有网(VPN)等。
对称加密算法相比非对称加密算法来说，加解密的效率要高得 多。但是缺陷在于对于秘钥的管理上，以及在非安全信道中通讯时， 密钥交换的安全性不能保障。所以在实际的网络环境中，会将两者混 合使用。
12
目录
公钥基础设施
简介 PKI系统组成 PKI的应用
13
公钥基础设施
简介
PKI是“Public Key Infrastructure”的缩写，意为“公钥基础 设施”。简单地说，PKI技术就是利用公钥理论和技术建立的提供信息 安全服务的基础设施。公钥体制是目前应用最广泛的一种加密体制， 在这一体制中，加密密钥与解密密钥各不相同，发送信息的人利用接 收者的公钥发送加密信息，接收者再利用自己专有的私钥进行解密。 这种方式既保证了信息的机密性，又能保证信息具有不可抵赖性。
26
数字摘要技术
数字摘要的常用技术
4、Base64 Base64是一种基于64个可打印字符来表示二进制数据的方法 ，由于2的6次方等于64，所以每6位为一个单元，对应摸个可打印字 符，三个娭毑有24位，，对应4个Base64单元，即三个字节需要用4个 打印字符来表示。
27
数字摘要技术
数字摘要的应用
40
密钥管理技术
密钥的分配

密码学与网络信息安全教程精品PPT课件

密码学与网络信息安全教程精品PPT课件
准，加密和解密可以翻译成：“Encipher （译成密码）”和“（Decipher）（解译密码）”。也可 以这样命名：“Encrypt（加密）”和“Decrypt（解 密）”。
➢ 病毒恶意软件对网络的入侵—
陷门-进入程序的秘密入口，具体的实现方法可 以是某些特定的输入口令或者用户识别码或者是 一个不可能事件系列激活的程序段
逻辑炸弹-最早出现的恶意程序之一，它通常嵌 于合法程序中并设定“触发条件”。一旦条件满 足，逻辑炸弹便被触发-激活程序变更系统状态， 修改系统数据甚至全部文件，造成终端或者服务 系统或者整个网络瘫痪。
当你看到病毒载体似乎仅仅表现在文字和图象 上时，它们可能也已毁坏了文件、再格式化了 你的硬盘驱动或引发了其它类型的灾害。
若是病毒并不寄生于一个污染程序，它仍然能 通过占据存贮空间给你带来麻烦，并降低你的 计算机的全部性能。
蠕虫病毒
与一般的计算机病毒不同，它不采用将自身拷 贝附加到其他程序中的方式来复制自己，所以 在病毒中它也算是一个“另类”。
密码学与网络安全技术基础
前言
➢ 随着计算机网络的普及，大量的电子数 据通过网络传输到世界各地成为可能。 但在具有重大经济价值或关系国家、军 队的命运等重要数据的传输过程中，任 何一点泄漏和差错都可能造成不可估量 的损失。
➢ 如何保证信息的机密性、真实性、不可 否认性是密码学研究的重要课题。密码 技术是信息安全的保障及核心技术。
即如何保证网上交易的公正性和安全性，保证 交易双方身份的真实性，保证传递信息的完整 性以及交易的不可抵赖性。
为了解决网上购物、交易和结算中的安全问题， 需要有一个权威的第三方身份认证机构或称 C(Certification Authority)中心，来证明客户身 份的真实性和合法性。

12密码学和信息加密精品PPT课件

12密码学和信息加密精品PPT课件

密码算法：用于加密和解密的数学函数；
保密的加密算法：通过保密的加密算法，实现 对消息的加密；加密算法是不公开的；
密钥加密：加密算法是公开的，密钥是不公开 的；
明文
密钥 加密
密文
EK(M)=C
密钥 解密
原始明文
DK(C)=M
1.3 密码技术简介－算法和密钥
加密密钥和解密密钥
明文
加密密钥 K1 (公钥) 密文
加密密钥是公开的，所以也叫公有密钥（公 钥），任何人可以使用公钥；
解密密钥是保密的，所以也叫私有密钥（私 钥）；
公钥和私钥是成对出现的：
公钥加密的信息必须用私钥解密； 私钥加密的信息必须用公钥解密；
如果有方法可以从公钥导出私钥来，则这种算 法即告被破解；
3 非对称加密算法－公开密钥
目前比较流行的公钥密码体制主要有两类: 一类是基于大整数因子分解问题的,其中最典
密码学和信息加密
主要内容
密码学的主要概念 对称加密算法
DES加密
非对称加密算法－公钥加密算法
RSA加密
摘要算法－哈希算法
MD5加密
数字签名的原理，数字水印的基本概念
1. 密码学概述
计算机密码学是研究计算机信息加密、解密及 其变换的科学，是数学和计算机的交叉学科；
随着计算机网络和计算机通信技术的发展，计 算机密码学得到了前所未有的重视并迅速普及 和发展；
加密
EK1(M)=C
解密密钥 K2 （私钥） 原始明文
解密
DK2(C)=M
1.3 密码技术简介－加密分类
对称加技术
摘要算法－哈希算法
MD5算法
2 对称加密算法
在对称算法中，加解密的密钥是相同的； 对称算法要求发送者和接收者在安全通信之前，

无线网络安全技术2019-11散列算法和MAC算法

无线网络安全技术2019-11散列算法和MAC算法

2019/10/30
27/31
认证协议
双方认证(mutual authentication) 最常用的协议，该协议使得通信各方互相 认证鉴别各自的身份，然后交换会话密钥 。
单向认证(one-way authentication) 收发双方不需要同时在线联系，例如电子 邮件。
2019/10/30
容易替代 应保持散列函数的原有性能 对密钥的使用和处理要简单 其安全强度依赖于使用散列函数
的强度
HMAC算法结构
2019/10/30
HMAC=H[IV,So||H(IV,Si||M)]
24/31
CMAC
ห้องสมุดไป่ตู้
2019/10/30
25/31
C1= E(K,M1) C2= E(K,[M2⊕C1]) C3= E(K,[M3⊕C2])
2019/10/30
21/31
12.2 HMAC
现实中需要基于散列函数设计的MAC
HASH函数的运行速度更快 散列函数的代码可以广泛的获取
。
最原始的想法是：
KeyedHash = Hash(Key|Message)
最终发展成现有的HMAC结构
HMAC设计目标
不必修改而直接使用现有的散列 函数
2019/10/30
42
直接数字签名的缺点
验证模式依赖于发送方的保密密钥；
发送方要抵赖发送某一消息时，可能会声称其私有密 钥丢失或被窃，从而他人伪造了他的签名。
通常需要采用与私有密钥安全性相关的行政管理控制 手段来制止或至少是削弱这种情况，但威胁在某种程 度上依然存在。
改进的方式例如可以要求被签名的信息包含一个时间 戳（日期与时间），并要求将已暴露的密钥报告给一 个授权中心。

《现代密码学》散列函数与消息鉴别ppt课件

《现代密码学》散列函数与消息鉴别ppt课件

• SHA–1产生音讯摘要的过程类似MD5，如下图
填充位
L×512 bit＝ N×32 bit K bit
这一步为MD5的主循环，包括四轮。每个循环 都以当前的正在处置的512比特分组Yq和128比 特缓冲值ABCD为输入，然后更新缓冲内容。
3.MD5的输出
由A、B、C、D四个存放器的输出按低位字节在 前的顺序(即以A的低字节开场、D的高字节终 了)得到128位的音讯摘要。
• 单个512比特分组的MD5主循环处置：
对散列函数必需具有的性质的了解： 系统能够存在的伪造方式 伪造方式一：假设攻击者截获某一音讯摘要h,假
设H的逆函数H-1是易求的，可算出H-1(h)=m, 满足h=H(m)。为防止这一点，必需求求散列 函数H为单向的，即计算H的逆函数H-1在计算 上是不可行的。 伪造方式二：从一个有效签名(m,y)开场，此处y= sigk(H(m))。首先计算h=H(m)，并企图找到一 个m’=m满足H(m’)=H(m)。假设做到这一点， 那么(m’,y)也将为有效签名。为防止这一点， 要求函数h具有弱抗冲突特性，即，对给定音 讯m，在计算上几乎找不到不同于m的m’ ∈ X 使H(m)=H(m’)。
(1)单向性：对任何给定的码h，寻觅m使得 H(m) = h在计算上是不可行的
(2)具有弱抗碰撞性〔week collision resistance〕 ：对于任何给定的音讯m， 寻觅一个与m不同的音讯m’使得 H(m)=H(m’)在计算上不可行。
(3)具有强抗碰撞性〔 strong collision resistance 〕：寻觅恣意两个不同的音讯 m和m’使得使得H(m)=H(m’)在计算上不 可行。
对散列函数的生日攻击
• 假定其输出为m比特，那么寻觅一个音讯，使其散 列值与给定散列值一样那么需求计算2m次；而寻 觅两个音讯具有一样的散列值仅需求实验2m/2个 随机的音讯。

网络信息安全课件第八节

网络信息安全课件第八节

(2)对于几乎所有属于f 域的任一y, 求得x, 使y= f(x), 在计算 上不可行。
定义8.2 单向陷井门函数(One-way Trapdoor Function)
一“可逆”函数F若满足下列二条件, 则称F为单向陷井门函 数:
(1)对于所有属于F域的任一x, 容易计算F(x)=y；
(2)对于几乎所有属于F域的任一y, 除非获得暗门信息
两个数的乘法等同于对应指数分量的加法
k=mn →kp = mp + np 对所有p Ex：k=12x18=(22x3)x(2x32)=216, k2=2+1=3,
k3=1+2=3, ∴ 216=23x33
如果任何以pk形式表示的整数仅能被对应素数分量 小于或等于它的另一个整数pj 整除, 其中j≤k, 因此有 a|b →ap≤bp 对所有p. Ex：a=12, b=36, 12|36, 12=22x31, 36=22x32
a2=2=b2, a3=1≤2=b3
2020/9/26
现代密码学理论与实践-08
7/68
互素和最大公约数GCD
gcd(a, b)=c, 即c是a和b的最大公约数, 当 1. c是a和b的因子 2. 任何a和b的因子也是c的因子
下列关系总是成立的
如果k=gcd(a, b), 则 kp=min(ap, bp), 对于任意的p∊P
但是若给定p, g及y, 求x, 则为DLP问题, 最快方法需要 L(p)=exp{(lnpln(lnp))½ }次运算。
当p=512位时, L(p)约为2256≈1077, 计算上不可行, 因为 2100≈1030, 计算要1016年。
2020/9/26
现代密码学理论与实践-08

密码学-散列函数

密码学-散列函数

生日攻击


生日悖论实际上是如下问题的特例：已知一个在 1 到 n 之 间均匀分布的整数型随机变量，若该变量的一个 k 个取值 的集合中至少有两个取值相同的概率大于 0.5，则 k 至少 多大？ 该问题的一般结论是：k≈1.18 * n1/2 例如对于生日悖论，有 n=365，因此 k ≈ 22.5。 通过“生日悖论”可以引出对散列函数的生日攻击法 通过这种方法，只要对超过 n1/2 个随机元素（n 是散列 函数输出集合的大小，如散列函数的输出为 m bit，则 n=2m）计算散列值，那么将有 0.5 的概率出现一个碰 撞。
生日攻击可能的实施步骤

可用如下方法对散列函数进行生日攻击（假设散列函数的 输出长度为 m bit）：



1）攻击者对合法报文创建 2m/2 个变种，所有这些变种本质上都和 合法报文表示同样的意思； 2）同样，攻击者再对伪造报文创建 2m/2 个变种； 3）比较这两个集合，以期发现任意一对能产生相同散列值的报文 对(合法报文变种、伪造报文变种)，根据生日悖论，找到这样一对 报文的概率Pr > 0.5； 4）攻击者向签名者出示合法报文变种，让签名者对合法报文变种 的散列值签名；然后攻击者用伪造报文变种代替合法报文变种， 并声称签名者对伪造报文变种签名了。由于这两个报文具有相同 的散列值，因此欺骗总能成功。

2、散列函数的需求



1、H能用于任意长度的数据分组； 2、H产生定长的输出； 3、对任意给定的X，H(X)要容易计算； 4、对任何给定的h，寻找 x 使得H(x)=h，在计算 上不可行（单向特性）； 5、对任意给定的分组 x，寻找不等于 x 的 y，使 得 H(x)=H(y), 在计算上不可行（弱抗碰撞）； 6、寻找任意的一对分组(x，y)， 使得 H(x)=H(y) ， 在计算上不可行（强抗碰撞）。

《密码学概论》课件

《密码学概论》课件
未来展望
随着技术的不断进步，密码学将面临新的 挑战和机遇，如量子计算对现有加密算法 的威胁和新型加密算法的研发。
02
密码学基本原理
对称密码学
定义
对称密码学也称为传统密码学 ，它使用相同的密钥进行加密
和解密。
常见的对称加密算法
如AES（高级加密标准）、DES （数据加密标准）、IDEA（国 际数据加密算法）等。
为了应对这一挑战，需要发展基于量 子力学原理的新型加密算法，这些算 法在量子计算环境下是安全的。
密码学在物联网中的应用挑战
物联网设备的计算能力和存储 空间有限，这给密码算法的实
施带来了挑战。
物联网设备的多样性和异构 性也给密码学应用带来了挑 战，因为需要确保各种设备
之间的安全通信。
针对物联网设备的特性，需要 发展轻量级的密码算法和协议 ，以确保其安全性和效率。
AES算法
01
总结词：高级加密标准
02
详细描述：AES是一种对称加密 算法，使用128位、192位或256 位密钥对128位明文块进行加密 ，产生128位密文块。它是美国 政府采用的一种加密标准，被广 泛应用于各种安全协议和应用程
序中。
03
总结词：安全性
04
详细描述：AES具有高度的安 全性，被认为是目前最安全 的对称加密算法之一。它采 用了复杂的数学工具和算法 ，使得破解密文的难度非常
密码学在大数据安全中的应用挑战
01
大数据的特点是数据量大、处理速度快，这给数据的安全存储 和传输带来了挑战。
02
大数据的分布式处理和云计算环境也给数据的安全性带来了挑
战，需要确保数据的隐私和完整性。
针对大数据的特点，需要发展高效的密码算法和安全数据处理

《密码学》课件

《密码学》课件
可靠的技术支持。
THANKS
感谢观看
使用复杂密码
鼓励用户使用包含大写字母、小写字 母、数字和特殊字符的复杂密码。
使用密码管理工具
推荐用户使用密码管理工具，如 LastPass、1Password等，以方便管 理和存储多个密码。
05 经典密码学应用
网络安全
01
保障数据传输安全
通过加密技术对网络传输的数据 进行保护，防止数据被窃取或篡 改。
《经典密码学》ppt课件
contents
目录
• 密码学简介 • 加密算法 • 经典密码体制 • 密码破解与防御 • 经典密码学应用 • 未来密码学展望
01 密码学简介
密码学定义
密码学是一门研究保护信息安全的科 学，它涉及到信息的编码、传输、存 储和访问等各个环节的安全保密问题 。
密码学通过使用加密算法和密钥管理 等技术手段，对信息进行加密、解密 、认证和保护，以确保信息的机密性 、完整性和可用性。
密码学的重要性
01
02
03
保护国家安全
密码学在国家安全领域中 发挥着至关重要的作用， 如军事通信、情报传递等 。
保障商业利益
商业组织需要保护商业机 密和客户数据，避免商业 利益受到损失。
维护个人隐私
个人隐私的保护是社会文 明进步的体现，密码学能 够防止个人信息被非法获 取和滥用。
密码学的发展历程
密钥派生函数
使用密钥派生函数从原始密钥生成多个派生 密钥，以提高安全性。
多重哈希
使用多种哈希算法对密码进行多次哈希，增 加破解难度。
加密存储
使用加密算法将密码存储在安全环境中，只 有通过解密才能获取原始密码。
密码管理策略
定期更换密码

密码学与信息安全 第12章 散列算法和MAC算法

密码学与信息安全 第12章 散列算法和MAC算法

安全散列算法
SHA-1 消息摘要 长度 160 SHA-256 SHA-384 256 384 SHA-512 512
消息长度
分组长度 字长度 步骤数 安全性
<264
512 32 80 80
<264
512 32 64 128
<2128
1024 64 80 192
<2128
1024 64 80 256
CV0=IV=初始n位值 CVi=f(CVi-1,Yi-1) 1≤i≤L H(M)=CVL
安全散列算法
安全散列算法（SHA）是由美国标准与技术协会（NIST） 设计，并于1993年作为联邦信息处理标准（FIPS 180） 发布，修订版于1995年发布（FIPS 180-1），通常称之 为SHA-1.
１.所有的长度以比特为单位 ２.安全性是指对输出长度为n比特散列函数的生日攻击产生碰撞的工作 量大约为2n/2
SHA-512逻辑原理
+ 为模264的逐字加
SHA-512逻辑原理
这个过程包含下列步骤：
步骤1：附加填充位。填充消息使其长度模1024 与896同余,即长度≡896 (mod 1024)，即使消 息已经满足上述长度要求，仍然需要进行填充， 因此填充位数在1到1024之间。填充由一个1和 后续的0组成。 步骤2：附加长度。在消息后附加一个128比特的 块，将其看做是128比特的无符号整数，它包含 填充前消息的长度。
在数字签名方案中也要用到散列函数。对需 要签名的消息用一个函数，产生一个固定 长度的消息摘要（Message Digest），最 后对消息摘要进行签名，得到确定长度的 签名消息。
典型的安全散列函数的总体结构
典型的安全散列函数的总体结构

第12章 散列算法和MAC算法

第12章 散列算法和MAC算法
信息学院
14
密码编码学与网络安全
第二轮
GG(a,b,c,d,M1,5,0xf61e2562) GG(d,a,b,c,M6,9,0xc040b340) GG(c,d,a,b,M11,14,0x265e5a51) GG(b,c,d,a,M0,20,0xe9b6c7aa) GG(a,b,c,d,M5,5,0xd62f105d) GG(d,a,b,c,M10,9,0x02441453) GG(c,d,a,b,M15,14,0xd8a1e681) GG(b,c,d,a,M4,20,0xe7d3fbc8) GG(a,b,c,d,M9,5,0x21e1cde6) GG(d,a,b,c,M14,9,0xc33707d6) GG(c,d,a,b,M3,14,0xf4d50d87) GG(b,c,d,a,M8,20,0x455a14ed) GG(a,b,c,d,M13,5,0xa9e3e905) GG(d,a,b,c,M2,9,0xfcefa3f8) GG(c,d,a,b,M7,14,0x676f02d9) GG(b,c,d,a,M12,20,0x8d2a4c8a)
18
32
80 80
32
64 128
64
80 192
64
80 256
信息学院
密码编码学与网络安全
12. 1 安全散列算法SHA
SHA-1：Secure Hash Algorithm，由 NIST设计，并 于1993年发布。
建立在MD4算法之上，基本框架与MD4类似。
SHA-1产生160位散列值，以后的修订版分别为SHA-256, SHA-384, SHA-512, 与SHA-1有相同的基础结构。
2
信息学院
密码编码学与网络安全

4-4散列函数之MAC

4-4散列函数之MAC

报文鉴别码（Message Authentication Code，MAC）：满足某些 安全性质的带密钥的Hash函数。 功能
数据完整性 数据源认证
与Hash函数（不带密钥）的关系
密钥 主要安全威胁
构造方法
通过不带密钥的Hash函数构造：HMAC 通过对称密码算法：CBC-MAC
加密算法具有混乱特性，当基本 加密算法满足合适的安全性质时， CBC-MAC是安全的 与CBC加密模式的区别
IV 中间结果
重点回顾
MAC的定义、功能和主要安全威胁 MAC的构造方法
HMAC CBC-MAC
HMAC
◆ 2002年3月被提议作为FIPS标准 ◆ 通过（不带密钥）的Hash函数构造MAC
◆ 嵌套MAC的安全性 ◆ 一旦结构保证安全，可替换其中的Hash函数
CBC-MAC
CBC(x,k ) 令x x1 || x2 || || xn IV 00 0 y0 IV for i 1 to n do yi ek ( yi1 xi ) return( yn )
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
.
典型的安全散列函数的总体结构
.
典型的安全散列函数的总体结构
散列函数将输入消息分为L个固定长度的分组，每一分组 长为b位，最后一个分组不足b位时需要将其填充为b位， 最后一个分组还需要一些空间保存输入的总长度。
散列函数中重复使用了压缩函数f，它的输入是前一步中得 出的n位结果（称为链接变量）和一个b位分组，输出为 一个n位分组。链接变量的初值由算法在开始时指定， 其终值即为散列值，通常b>n，因此称其为压缩函数。 散列函数可归纳如下：
.
SHA-512逻辑原理
步骤4：以1024比特的分组（16个字）为单位处 理消息。算法的核心是具有80轮运算的模块。每 一轮，如t，使用一个64比特的值Wt，该值由当 前被处理的1024比特消息分组Mi导出。每一轮还 使用附加的常数Kt，其中0≤t≤79，用来表示轮 数。这些常数如下获得：前80个素数取三次根， 取小数部分的前64比特。第80轮的输出和第一轮 的输入Hi-1进行模264相加产生Hi
)+Maj(a,b,c)
a= T1 +T2
b=a
c=b
d=c
e=d+ T1 f=e
g=f
h=g
.
SHA-512轮函数
512 a 0
512 e 1
.
SHA-512轮函数
.
HMAC
对于MAC，一种策略是利用hash函数来设计， 因为： 1、一般像md5、sha-1这样的散列函数，其软件 执行速度比诸如des这样的对称分组密码钥要快。 2、可以利用密码散列函数代码库。
第12章 散列算法和MAC算法
第12章 散列算法和MAC算法
消息认证是用来验证消息完整性的一种机制或 服务。产生消息认证符的函数分为如下三类：
1. 消息加密：整个消息的密文作为认证符。
2. 消息认证码（MAC）:它是消息和密钥的函数， 它产生定长的值，以该值作为认证符。目前有 两种MAC：HMAC和CMAC
CV0=IV=初始n位值 CVi=f(CVi-1,Yi-1) 1≤i≤L H(M)=CVL
.
安全散列算法
安全散列算法（SHA）是由美国标准与技术协会（NIST） 设计，并于1993年作为联邦信息处理标准（FIPS 180） 发布，修订版于1995年发布（FIPS 180-1），通常称之 为SHA-1.
.
SHA-512逻辑原理
步骤3：初始化散列缓冲区。散列函数的中间结果和最终 结果保存于512比特的缓冲区中，缓冲区用8个64比特的 寄存器（a,b,c,d,e,f,g,h）表示，并将这些寄存器初始化 为下列64比特的整数： a=6A09E667F3BCC908 e=510E527FADE682D1 b=BB67AE8584CAA73B f=9B05688C2B3E6C1F c=3C6EF372FE94F82B g=1F83D9ABFB41BD6B d=A54FF53A5F1D36F1 h=5BE0CD19137E2179
由于散列函数不是专为MAC设计的，其不依赖于秘 密钥，所以不能直接用于MAC，目前提出了许多 方案，其中HMAC是最受支持的一种方案。它是 IP安全里必须实现的MAC方案，并且在其他 Internet协议中也使用了HMAC
.
HMAC设计目标
不必修改而直接使用现有的hash函数。特别地， 很容易免费得到软件上执行速度较快的散列函数 及其代码。
步骤5：输出。所有的N个1024比特分组都处理 完以后，从第N阶段输出的是512比特的消息摘要。
Ho=IV
Hi=SUM 64(Hi-1,abcdefghi)
MD=HN
.
.
SHA-512轮函数
.
SHA-512轮函数
T1=h+Ch(e,f,g)+(
512 e 1
)+Wt+Kt
T2=(
512 a 0
3. 散列函数：它是将任意长的消息映射为定长的 散列值的函数，以该散列值作为认证符。目前 主要有：MD5，SHA-1，SHA256，SHA-384， SHA-512，Whirlpool 等。
.
在数字签名方案中也要用到散列函数。对需 要签名的消息用一个函数，产生一个固定 长度的消息摘要（Message Digest），最 后对消息摘要进行签名，得到确定长度的 签名消息。
量大约为2n/2
.
SHA-512逻辑原理
.
+ 为模264的逐字加
SHA-512逻辑原理
这个过程包含下列步骤： 步骤1：附加填充位。填充消息使其长度模1024
与896同余,即长度≡896 (mod 1024)，即使消 息已经满足上述长度要求，仍然需要进行填充， 因此填充位数在1到1024之间。填充由一个1和 后续的0组成。 步骤2：附加长度。在消息后附加一个128比特的 块，将其看做是128比特的无符号整数，它包含 填充前消息的长度。
SHA-1产生160比特的散列值。2002年，NIST发布了修订 版2，FIPS180-2，其中给出了三种新的SHA版本，散列 值长度依次为256，384和512比特。分别称为SHA-256， SHA-384， SHA-512。这些新的版本和SHA-1具有相 同的基础结构，使用了相同的模算术和二元逻辑运算。 2005年，NIST宣布了逐步废除SHA-1的意图，到2010 年，逐步转而依赖SHA的其他版本。
.
安全散列算法
SHA-1
消息摘要 长度
消息长度
160 <264
SHA-256 SHA-384 SHA-512
256
384
512
<264
<2128
<2128
分组长度 512
512
1024
ቤተ መጻሕፍቲ ባይዱ
1024
字长度 32
32
64
64
步骤数 80
64
80
80
安全性 80
128
192
256
１.所有的长度以比特为单位
２.安全性是指对输出长度为n比特散列函数的生日攻击产生碰撞的工作
如果找到或者需要更快或更安全的hash函数，应 能很容易地替代原来嵌入的hash函数。
应保持hash函数的原有性能。 对密钥的使用和处理应较简单。 如果已知嵌入的hash函数的强度，则完全可以知
道认证机制抗密码分析的强度。
.
HMAC算法
H：嵌入的hash函数 IV：作为散列函数的输入值 M：HMAC的消息输入 Yi：M的第i个分组 L：M中的分组数 b：每一分组所含的位数 n：嵌入的散列函数所产生散列码长 K：密钥，若k长度大于b，则将密钥