上节课内容n单纯的加解密算法无法保证抵抗下述攻击q伪装q内容修改q顺序修改q计时修改q发送方否认q接收方否认消息认证数字签名不属于机密性范畴,属于数据完整性范畴2024/9/20西安电子科技大学计算机学院2密码学密码学Hash函数函数密码学密码学Hash函数函数密码学Hash函数可用于实现消息认证和数字签名 消息认证消息认证2024/9/20西安电子科技大学计算机学院5n消息认证：验证所收到的消息消息认证：验证所收到的消息确实确实是真实的是真实的且未被修改的消息，它也可验证消息的顺序且未被修改的消息，它也可验证消息的顺序和及时性。和及时性。n数字签名：是一种数字签名：是一种认证技术认证技术，其中的一些方，其中的一些方法可用来抗发送方否认攻击。（接收者可验法可用来抗发送方否认攻击。（接收者可验证但不能伪造）证但不能伪造）消息认证 数字签名2024/9/20西安电子科技大学计算机学院6消息认证函数消息认证函数(1)n任何消息认证或数字签名机制在功能上分两任何消息认证或数字签名机制在功能上分两层：层：q下层是某种产生认证符的函数下层是某种产生认证符的函数 q上层协议进行验证上层协议进行验证消息认证函数消息认证函数(2)n产生认证符的函数类型产生认证符的函数类型q消息加密：消息的密文作为认证符消息加密：消息的密文作为认证符q消息认证码：消息和密钥的公开函数，产生定长的消息认证码：消息和密钥的公开函数，产生定长的值作为认证符。值作为认证符。 MAC: message authentication code qHash函数：将任意长消息映射为定长的函数：将任意长消息映射为定长的hash值作为值作为认证符认证符2024/9/20西安电子科技大学计算机学院8消息加密消息加密(1)n消息加密也能提供一种认证的方法消息加密也能提供一种认证的方法n对对称称密密码码，既既可可以以提提供供认认证证又又可可以以提提供供保保密密性性，但但不不是绝对的。是绝对的。2024/9/20西安电子科技大学计算机学院10消息加密消息加密(2)n公钥体制中公钥体制中:q加密不能提供对发送方的认证（公钥是公开的）加密不能提供对发送方的认证（公钥是公开的）q发送方可用自己的私钥进行签名发送方可用自己的私钥进行签名q接收方可用发送方的公钥进行验证接收方可用发送方的公钥进行验证q保密性和可认证性保密性和可认证性 2024/9/20西安电子科技大学计算机学院12P233-2342024/9/20西安电子科技大学计算机学院13消息认证码消息认证码 (MAC)n一种认证技术一种认证技术n利利用用密密钥钥来来生生成成一一个个固固定定长长度度的的短短数数据据块块（MAC），并将该数据块附加在消息之后。并将该数据块附加在消息之后。nMAC的值依赖于消息和密钥的值依赖于消息和密钥 MAC = Ck(M)qMAC函函数数于于加加密密类类似似，但但MAC算算法法不不要要求求可可逆逆性性，而加密算法必须是可逆的。而加密算法必须是可逆的。n接接收收方方进进行行同同样样的的MAC码码计计算算并并验验证证是是否否与与发发送送过过来的来的MAC码相同码相同2024/9/20西安电子科技大学计算机学院14MAC 特性特性nMAC码是一个密码校验和码是一个密码校验和MAC = CK(M)q消息消息M的长度是可变的的长度是可变的q密钥密钥K是要保密的，且收发双方共享。是要保密的，且收发双方共享。q产生固定长度的认证码产生固定长度的认证码nMAC算法是一个多对一的函数算法是一个多对一的函数q多个消息对应同一多个消息对应同一MAC值值q但是找到同一但是找到同一MAC值所对应的多个消息应该是值所对应的多个消息应该是困难困难的。的。2024/9/20西安电子科技大学计算机学院15Message Authentication Code2024/9/20西安电子科技大学计算机学院16n若相同，则有：若相同，则有：q接收方可以相信消息未被修改。接收方可以相信消息未被修改。q接收方可以相信消息来自真正的发送方。接收方可以相信消息来自真正的发送方。q接接收收方方可可以以确确信信消消息息中中含含有有的的序序列列号号是是正正确确的。的。n为什么需要使用为什么需要使用MAC?q有些情况只需要认证（如广播）有些情况只需要认证（如广播）q文档的持续保护（例如解密后的保护）文档的持续保护（例如解密后的保护）qn由由于于收收发发双双方方共共享享密密钥钥，所所以以MAC不不能能提供数字签名提供数字签名2024/9/20西安电子科技大学计算机学院17n对对MACs的要求：的要求：q抗多种攻击（例如穷举密钥攻击）抗多种攻击（例如穷举密钥攻击）q且满足且满足:1.已知一条消息和已知一条消息和MAC, 构造出另一条具有同样构造出另一条具有同样MAC的消息是不可行的的消息是不可行的2.MACs应该是均匀分布的应该是均匀分布的3.MAC应该依赖于消息的所有比特位应该依赖于消息的所有比特位2024/9/20西安电子科技大学计算机学院182024/9/20西安电子科技大学计算机学院192024/9/20西安电子科技大学计算机学院20Hash函数函数n浓浓缩缩任任意意长长的的消消息息M到到一一个个固固定定长长度度的的取值取值 h = H(M) n通通常常假假设设hash函函数数是是公公开开的的且且不不使使用用密密钥（钥（MAC使用密钥）使用密钥）nHash函数用户检测对消息的改变函数用户检测对消息的改变n多种方式工作方式多种方式工作方式n常用于产生数字签名常用于产生数字签名2024/9/20西安电子科技大学计算机学院212024/9/20西安电子科技大学计算机学院222024/9/20西安电子科技大学计算机学院23Hash函数和数字签名函数和数字签名2024/9/20西安电子科技大学计算机学院242024/9/20西安电子科技大学计算机学院25对对Hash函数的要求函数的要求1.可用于任何尺寸的消息可用于任何尺寸的消息M2.产生固定长度的输出产生固定长度的输出 h3.对任何消息对任何消息M ,计算计算h=H(M)是容易的。是容易的。4.给定给定 h ，计算满足，计算满足H(x)=h的的x在计算上是不可行的在计算上是不可行的单向性单向性5.给定给定x，计算满足，计算满足H(y)=H(x)的的y在计算上是不可行的在计算上是不可行的抗弱碰撞性（抗弱碰撞性（weak collision resistance）6.找找到到任任何何满满足足 H(y)=H(x)的的偶偶对对（ x,y ），在在计计算算上上是是不可行的。不可行的。 抗碰撞性（抗碰撞性（strong collision resistance）2024/9/20西安电子科技大学计算机学院26生日攻击生日攻击n也也许许认认为为64-bit的的hash已已经经是是安安全全的的，但但生生日日悖悖论论的结果告诉我们，不！的结果告诉我们，不！n生日攻击生日攻击:n结论就是用更多比特位的结论就是用更多比特位的 MAC/hash2024/9/20西安电子科技大学计算机学院27Hash函数用途举例函数用途举例用途一：公平提交方案用途一：公平提交方案n Alice猜测了一个号码猜测了一个号码x1，但不知道中奖号码，但不知道中奖号码x2；n Bob设置了中奖号码设置了中奖号码x2，但不知道，但不知道Alice猜测的号码猜测的号码x1。 n Alice希望首先获得希望首先获得x2，然后重新确定，然后重新确定x1使得使得x1=x2。n Bob希望首先获得希望首先获得x1，然后重新确定，然后重新确定x2使得使得x2x1。n 防止两人作弊的方案称为防止两人作弊的方案称为“公平提交方案公平提交方案”。n 两人使用一个公开的杂凑函数两人使用一个公开的杂凑函数y=H(x)。方案如下：。方案如下：2024/9/20西安电子科技大学计算机学院28Hash函数用途举例函数用途举例n（1）Alice计算计算y1=H(x1)，并将，并将y1发送给发送给Bob。n（2）Bob计算计算y2=H(x2)，并将，并将y2发送给发送给Alice 。 n（3）Alice收到收到y2后，将后，将x1发送给发送给Bob。n（4）Bob收到收到y1后，将后，将x2发送给发送给Alice 。n（5）Alice收到收到x2后，检验是否后，检验是否y2=H(x2)，若是则，若是则x2是真是真实的中奖号码。实的中奖号码。n（6）Bob收到收到x1后，检验是否后，检验是否y1=H(x1)，若是则，若是则x1是是Alice的真实的猜测号码。的真实的猜测号码。2024/9/20西安电子科技大学计算机学院29Hash函数用途举例函数用途举例2024/9/20西安电子科技大学计算机学院30方案分析方案分析nAlice发送发送y1给给Bob，Bob发送发送y2给给Alice ，这叫做，这叫做承诺承诺。nAlice发送发送x1给给Bob，Bob发送发送x2给给Alice ，这叫做，这叫做践诺践诺。n当承诺值确定以后，无法改变践诺值。当承诺值确定以后，无法改变践诺值。n当对方发送来了承诺值以后，己方无法计算出对方的当对方发送来了承诺值以后，己方无法计算出对方的践诺值，因而无法践诺值，因而无法“随机应变地随机应变地”确定自己的践诺值，确定自己的践诺值，以重合或避开对方的践诺值。以重合或避开对方的践诺值。n综上所述，杂凑函数阻止了双方作弊。综上所述，杂凑函数阻止了双方作弊。Hash函数用途举例函数用途举例2024/9/20西安电子科技大学计算机学院31哈希函数的应用哈希函数的应用n三个重要的三个重要的hash函数函数qMD5qSHA-1qRIPEMD-160