2023/10/311/292021年?yáng)|南大學(xué)信息平安根底課程

通信平安理論與技術(shù)秦中元東南大學(xué)信息科學(xué)與工程學(xué)院信息平安研究中心2023/10/312/29上次課內(nèi)容第10章密鑰管理和其他公鑰密碼體制10.1密鑰管理10.2Diffie-Hellman密鑰交換10.3橢圓曲線(xiàn)算術(shù)10.4橢圓曲線(xiàn)密碼學(xué)2023/10/313/29公鑰證書(shū)通信雙方使用證書(shū)來(lái)交換密鑰，而不是通過(guò)公鑰管理員。證書(shū)包含用戶(hù)編號(hào)和公鑰，由證書(shū)管理員產(chǎn)生。CA=E[PRauth，T，IDa，PUa]2023/10/314/29公鑰和私鑰的產(chǎn)生2023/10/315/29密鑰的產(chǎn)生2023/10/316/29本次課內(nèi)容第11章消息認(rèn)證和散列函數(shù)11.1對(duì)認(rèn)證的要求11.2消息加密11.3消息認(rèn)證碼11.4散列函數(shù)2023/10/317/2911.1認(rèn)證要求網(wǎng)絡(luò)通信環(huán)境下的攻擊類(lèi)型：泄露(Disclosure)傳輸分析(Trafficanalysis)偽裝(Masquerade)內(nèi)容篡改(Contentmodification)順序修改(Sequencemodification)計(jì)時(shí)修改(Timingmodification)發(fā)送方否認(rèn)(Sourcerepudiation)接收方否認(rèn)(Destinationrepudiation)機(jī)密性消息認(rèn)證數(shù)字簽名2023/10/318/29消息認(rèn)證——驗(yàn)證收到的消息確實(shí)來(lái)自聲明的發(fā)送方且未被修改消息認(rèn)證也可以驗(yàn)證消息的順序和時(shí)間數(shù)字簽名——一種認(rèn)證技術(shù)，包含了防止發(fā)送方否認(rèn)的方法11.1認(rèn)證要求數(shù)據(jù)完整性不可否認(rèn)性2023/10/319/2911.2認(rèn)證函數(shù)消息認(rèn)證或數(shù)字證書(shū)可以看作有兩層：下層:

需要某種函數(shù)用于產(chǎn)生一個(gè)認(rèn)證碼，這個(gè)碼用于認(rèn)證消息。產(chǎn)生認(rèn)證碼的函數(shù)實(shí)現(xiàn)問(wèn)題上層：將下層函數(shù)作為原語(yǔ)用于認(rèn)證協(xié)議中。認(rèn)證協(xié)議的設(shè)計(jì)問(wèn)題認(rèn)證函數(shù)類(lèi)型：消息加密密文作為認(rèn)證碼消息認(rèn)證碼(MAC)函數(shù)輸入為消息和密鑰，生成值為一定長(zhǎng)的值散列函數(shù)將一個(gè)消息映射為一個(gè)定長(zhǎng)的摘要值2023/10/3110/2911.2.1對(duì)稱(chēng)加密如果明文具有一定的語(yǔ)法結(jié)構(gòu)，接收方可以判斷解密后明文的合法性，從而確認(rèn)消息來(lái)自發(fā)送方而且中間未受到篡改。如果明文為二進(jìn)制文件，那么難以判斷解密后的消息是正確的明文。2023/10/3111/29內(nèi)部和外部錯(cuò)誤控制發(fā)送端：在加密前對(duì)每個(gè)消息附加錯(cuò)誤檢測(cè)碼F，附加在M后面，對(duì)M和F一起進(jìn)行加密。接收端：解密收到的信息，重新計(jì)算F，并與收到的F進(jìn)行比較。2023/10/3112/2911.2.2公鑰加密保密性認(rèn)證和簽名2023/10/3113/29公鑰加密既能實(shí)現(xiàn)保密性，又能完成認(rèn)證和簽名。一次通信中要進(jìn)行四次復(fù)雜的公鑰算法。2023/10/3114/29MessageAuthenticationCode(MAC)：利用共享密鑰生成一固定長(zhǎng)度的字段(記為MAC)MAC=C

(K,M)K：共享密鑰M:輸入消息C：MAC函數(shù)MAC：消息認(rèn)證碼11.2.2消息認(rèn)證碼可以確認(rèn)：消息不被修改消息來(lái)源于宣稱(chēng)的發(fā)送方消息的發(fā)送順序未被改變〔要求消息中包含序列號(hào)〕與加密函數(shù)的區(qū)別：MAC不需要解密，即MAC函數(shù)無(wú)需可逆性MAC函數(shù)為多對(duì)一的映射關(guān)系2023/10/3115/29基于DES的消息認(rèn)證碼數(shù)據(jù)認(rèn)證算法(FIPSPUB113)使用CBC(CipherBlockChaining)方式，初始向量為0。它是使用最廣泛的MAC算法之一。將數(shù)據(jù)按64位分組，D1,D2,…,DN，必要時(shí)最后一個(gè)數(shù)據(jù)塊用0向右填充。運(yùn)用DES加密算法E，密鑰為K。數(shù)據(jù)鑒別碼(DAC)的計(jì)算如下：

O1=EK(D1) O2=EK(D2⊕O1) O3=EK(D3⊕O2) … ON=EK(DN⊕ON-1)2023/10/3116/29基于DES的消息認(rèn)證碼2023/10/3117/29消息認(rèn)證碼的討論保密性與真實(shí)性是兩個(gè)不同的概念從根本上說(shuō),信息加密提供的是保密性而非真實(shí)性加密代價(jià)大(公鑰算法代價(jià)更大)某些信息只需要真實(shí)性,不需要保密性–播送的信息難以使用加密(信息量大)–網(wǎng)絡(luò)管理信息等只需要真實(shí)性–政府/權(quán)威部門(mén)的公告2023/10/3118/29針對(duì)MAC的窮舉攻擊令k為密鑰長(zhǎng)度，n為MAC長(zhǎng)度假定不提供保密(圖11.4(a))假設(shè)k>n窮舉攻擊會(huì)產(chǎn)生2(k-n)個(gè)待選密鑰給定M1和MAC1,利用窮舉攻擊方法測(cè)試所有的Ki.至少存在一個(gè)密鑰可以匹配平均來(lái)說(shuō)，會(huì)有2k/2n=2(k-n)密鑰匹配第2輪：使用新的M和MAC，將不確定數(shù)減小到2(k-2n)個(gè)第i輪：不確定數(shù)減小到2(k-in)個(gè)平均需要k/n輪假設(shè)kn,只需一次2023/10/3119/29不需要密鑰的攻擊考慮以下的MAC算法：M=(X1‖X2‖‥‥‖Xm)是由64位分組Xi連接而成。定義：Δ(M)=X1⊕X2⊕‥‥⊕XmCK(M)=EK(Δ(M))其中加密算法為電子密碼本方式DES，那么密鑰長(zhǎng)為56位，MAC長(zhǎng)為64位。確定K的窮舉攻擊需執(zhí)行至少256次加密。2023/10/3120/29不需要密鑰的攻擊方法設(shè)M′=(Y1‖Y2‖‥‥‖Ym-1‖Ym)Ym=Y1⊕Y2⊕‥‥⊕Ym-1⊕Δ(M)消息M′和MAC=CK(M)=EK[Δ(M)]是一對(duì)可被接收者認(rèn)證的消息。為什么？用此方法，任何長(zhǎng)度為64×(m-1)位的消息可以作為欺騙性信息被插入！2023/10/3121/29對(duì)MAC函數(shù)的要求攻擊者攻擊目標(biāo)：不再是獲得秘鑰K，而是尋找可生成相同認(rèn)證碼的消息。假定攻擊者知道函數(shù)C，但不知道K。那么MAC函數(shù)應(yīng)有如下特性：給定M和C(K,M)，那么構(gòu)造消息M’滿(mǎn)足C(K,M’)=C(K,M)在計(jì)算上不可行C(K,M)應(yīng)是均勻分布，即對(duì)任意M和M’，有：Pr[Ck(M)=Ck(M’)]=2-n,n為MAC的長(zhǎng)度假設(shè)M’為M的某個(gè)轉(zhuǎn)換，即存在函數(shù)f使得M’=f(M)，有：Pr[Ck(M)=Ck(M’)]=2-n.2023/10/3122/29本次課內(nèi)容第11章消息認(rèn)證和散列函數(shù)11.1對(duì)認(rèn)證的要求11.2消息加密11.3消息認(rèn)證碼11.4散列函數(shù)2023/10/3123/29散列函數(shù)形式：h=H(M)它以任意長(zhǎng)度的消息做自變量，產(chǎn)生規(guī)定長(zhǎng)度的消息摘要。性質(zhì)1(弱無(wú)碰撞)，散列函數(shù)H稱(chēng)為是弱無(wú)碰撞的，是指對(duì)給定消息x，找到y(tǒng)，y≠x，且H(x)=H(y)在計(jì)算上是不可行的。性質(zhì)2(強(qiáng)無(wú)碰撞)，散列函數(shù)H被稱(chēng)為是強(qiáng)無(wú)碰撞的,是指找到x，y，x≠y，且H(x)=H(y)在計(jì)算上是不可行的。性質(zhì)3(單向的)稱(chēng)散列函數(shù)H為單向的，是指對(duì)于給定散列碼h，找到滿(mǎn)足H(x)=h的x在計(jì)算上不可行。2023/10/3124/29散列函數(shù)的用途2023/10/3125/29生日攻擊問(wèn)題：假定使用64位的散列碼，是否平安?如果采用傳輸加密的散列碼和不加密的報(bào)文M，對(duì)手需要找到M′，使得H(M′)=H(M)，以便使用替代報(bào)文來(lái)欺騙接收者。平均來(lái)講，攻擊者找到這樣的消息大約需要進(jìn)行263次嘗試。建立在生日悖論根底上的攻擊。2023/10/3126/29生日悖論生日問(wèn)題：一個(gè)教室中，最少應(yīng)有多少學(xué)生，才使至少有兩人具有相同生日的概率大于1/2？實(shí)際上只需23人。2023/10/3127/29生日攻擊的根本原理給定一個(gè)散列函數(shù)H(x)，有2m個(gè)可能的輸出，如果有k個(gè)隨機(jī)輸入,k必須為多大才能使至少存在一個(gè)重復(fù)出現(xiàn)？對(duì)長(zhǎng)度為m位的散列函數(shù)H(x)，共有2m個(gè)可能的散列碼，H作用于k個(gè)隨機(jī)輸入得到集合X，H作用于另外k個(gè)隨機(jī)輸入得到集合Y，k等于多少時(shí)，這兩個(gè)集合中至少有一個(gè)匹配？2023/10/3128/29生日攻擊的方法1.發(fā)送方對(duì)消息進(jìn)行“簽名〞，即用私鑰對(duì)m位的hash碼加密并將加密后的hash碼附