第五讲 消息认证与数字签名

5
图5-2 认证性
6

（1）发送方将消息M和MAC一起发送给接收方。 （2）接收方受到消息后，假设为M‘，使用相同的 密钥K，计算新的MAC’= C(K，M‘)，比较MAC’和 所收到的MAC。如果计算得出的MAC'和收到的 MAC是相同的，则可认为：
接收方可以相信消息未被修改。因为若攻击者 篡改了消息，他必须同时相应地修改MAC值， 但攻击者不知道密钥，因此他不能在篡改消息 后相应地篡改MAC，而如果仅篡改消息，则接 收方计算的新MAC'将与收到的不同。
填充的方法是在消息后面添加一位“1”，后续 都是“0”。（如果消息长度正好为448位，则 仍需要填充512位，填充后的消息长度为 448+512=960位。）

（2）添加原始消息长度：在填充后的消息后面再 添加一个64位的二进制整数，表示填充前原始消 息的长度L。这时经过处理后的消息长度正好是 512位的倍数。
因此，HMAC使用的Hash函数并不局限于某一种 Hash函数，使用不同的Hash函数，就可得到不 同的HMAC算法。
24
2、HMAC算法
图5-6 HMAC 的总体结构
25




H：嵌入的Hash函数（如MD5）； M：HMAC的消息输入（包括Hash函数所添加的填 充位）； IV：作为Hash函数输入的初始值； Yi：M中的第i个分组，0≤i≤ L-1； L：是M的分组数； b：每一分组所含的位数； n：使用的Hash函数所产生的散列值的位长； K：密钥，建议密钥长度大于n。若密钥长度大于b， 则将密钥输入作为Hash函数的输入，产生一个n位 的密钥。 K+：为使K为b位长而在K左边填充0后的结果； ipad：为重复b/8次 00110110（十六进制数36）的 结果； opad：为重复b/8次01011100（十六进制数5C） 的结果；

•
应当注意 只用私钥加密不能提供保密性。因为任 何人只要有A的公开密钥，就能够对该密文进行解密。
5.1.2 消息认证码
消息认证码 MAC（或称密码检验和）是在个密钥 的控制下将任意长的消息映射到一个简短的定长数据 分组，并将它附加在消息后。设M 是变长的消息，K 是仅由收发双方共享的密钥，则M的MAC由如下的函 数C生成：MAC = CK ( M ) • 这里CK ( M )是定长的。发送者每次将MAC附加到消 息中。接收者通过重新计算MAC来对消息进行认证。 •
•
产生认证符的方法可分ຫໍສະໝຸດ 下三类：① 信息加密：将明文加密后以密文作为认证符； ② 消息认证码 MAC：用一个密钥控制的公开函数作 用后产生的固定长度的数值，也称密码校验和。 ③ 散列函数：一个将任意长度的消息映射为定长的 散列值的函数，以散列值作为认证符。
5.1.1 加密认证 • 信息加密能够提供一种认证措施，这里分对 称密码体制加密认证和公钥密码体制加密认 证。
• 这里M是由分组Y0 , Y1 ,……，YL −1组成。如图5. 1所示。 ，
图5. 1 迭代型散列函数的结构
已经证明如果压缩函数是无碰撞的，则上述方法得到的Hash 函数也是无碰撞的。 因此，Hash函数的核心技术是设计无碰撞的 压缩函数。同样，攻击者对算法的攻击重点也是对f 的内部结构的 分析。与分组密码一样，f也是由若干轮处理过程组成，因而对f 的分析需要通过对各轮之间的比特模式的分析来进行，常常需要 先找出f的碰撞。 • 由于f 是压缩函数，因而一定存在碰撞。这就要求在设计f时 尽量使找出f的碰撞在计算上是不可行的。 •
2. 公钥密码体制加密认证
• 使用公开密钥加密信息的明文只能提供保密而不 能提供认证。为了提供认证，发送者 A用私钥对信息 的明文进行加密，任意接收者都可以用 A的公钥解密。 这种方式提供的认证措施与对称密码体制加密的情形 在原理上是相同的。与前面的一样，在明文中也要求 有某种内部结构，因此，接收者能够识别正常的明文 和随机的比特串。 • 采用这样的结构既可提供了认证，也可提供数字 签名。因为只有A 能够产生该密文，其它任何一方都 不能产生该密文，从效果上看 A 已经用私钥对信息的 明文进行了签名。

消息认证与数字签名
21
5.2.2 散列函数旳使用方式
❖ 散列函数旳基本使用方法(a、b)
Provides confidentiality -- only A and B share K Provides authentication -- H(M) is cryptographically protected
❖ 问题：经过加密得到信息真实性？
保密性与真实性是两个不同旳概念。根本上，信息加密提供旳是保密 性而非真实性。
加密代价大(公钥算法代价更大)。 鉴别函数与保密函数旳分离能提供功能上旳灵活性。
广播旳信息难以使用加密(信息量大) 某些信息只需要真实性,不需要保密性
消息认证与数字签名
12
5.1.2 消息认证码
散列函数H是公开旳，散列值在信源处被附加在消息上，接受方经过 重新计算散列值来确保消息未被篡改。
因为函数本身公开，传送过程中对散列值需要另外旳加密保护(假如 没有对散列值旳保护，篡改者能够在修改消息旳同步修改散列值， 从而使散列值旳认证功能失效)。
消息认证与数字签名
19Biblioteka 5.2 散列(Hash)函数
息验证码 MAC=CK(M) 。发送给接受方B时，将它附加在报文中。
❖ 接受方收到报文使用相同旳密钥K执行相同旳计算，得到新旳MAC。接受
方将收到旳MAC与计算得到MAC进行比较，假如相匹配，那么能够确保报
文在传播过程中维持了完整性：
❖
（1）报文未被更改正
❖
（2）接受者确信报文来自真实旳发送者。（无人知晓密钥）
因为收发双方共享相同旳密钥，上述过程只提供认证而不提供保密， 也不能提供数字署名
消息认证与数字签名
14

8
第五章 消息认证与数字签名
数字信封
数字信封(DIGITAL ENVELOPE) ： 对数据进行加密的密钥必须经常更换。 数字信封解决两个难题：取长补短 单钥体制：密钥分发困难；高效；数据的加密 公钥体制：加解密时间长；灵活；密钥的加密 目的：利用数据接收者的公钥来封装保护加密 数据的密钥。
9
第五章 消息认证与数字签名
5
第五章 消息认证与数字签名
公开密钥算法的主要特点如下： １）用加密密钥PK对明文A加密后得到密文，再用解 密 密 钥 SK 对 密 文 解 密 ， 即 可 恢 复 出 明 文 A。 DSK(EPK(A))＝A ２）加密密钥不能用来解密，即： DPK(EPK(A))≠A ；DSK(ＥSK(A))≠A ３）用 SK 加密的信息只能用 PK 解密；用 PK 加密的信 息只能用SK解密。 ４）从已知的PK不可能推导出SK。
主要内容
数字信封 数字指纹 数字证书 数字签名 数字水印 密码管理
1
第五章 消息认证与数字签名
一、密码学通常的作用
公钥密码 ( 双钥密码、非对称密码），是 1976 年由 Diffie和Hellman在其“密码学新方向”一文中提出的 单向陷门函数是满足下列条件的函数f： (1)给定x，计算y=f(x)是容易的； (2)给定y, 计算x使y=f(x)是非常困难的，无实际意义。 (3)存在δ，已知δ 时,对给定的任何y，若相应的x存在， 则计算x使y=f(x)是容易的。 注：1*. 仅满足(1)、(2)两条的称为单向函数；第(3) 条称为陷门性，δ 称为陷门信息。
17
第五章 消息认证与数字签名
二、数字指纹
数字指纹是通过一类特殊的散列函数(HASH函 数)生成的，对这类HASH函数的特殊要求是： 1．输入报文的长度没有限制； 2．对输入任何报文，能生成固定长度的摘要 (数字指纹)； 3．从报文能方便地算出摘要； 4．极难从指定的摘要生成一个报文，而由该 报文又反推算出该指定的摘要； 5．两个不同的报文极难生成相同的摘要。