网安笔记05 SHA

SHA

Hash函数

定义

1. 任意长度的数据M变换为定长码h
   $$h=HASH(M)h=H(M)$$

2. 实用性： 给定M，计算h时高效的

3. 安全性：

• 单向性 给出h，反向计算原文x时不可行的，否则截取H(M||Key)，hash逆运算可以得到Key泄漏密钥
• 抗碰撞性，给定x，找到KaTeX parse error: Undefined control sequence: \noteq at position 2: y\̲n̲o̲t̲e̲q̲ ̲x，使得$H(y)=H(x)$是不可行的。 否则可以冒充
• 抗强碰撞性 找到任何满足$H(x)=H(y)$的偶对$(x,y)$在计算上是不可行的

hash函数一般结构

1. 将输入分为L-1个大小为b位的分组
2. 若第L-1个分组不足b位，填充到b位
3. 附加第L个分组，表示总长度
   （输入中包含长度，所以攻击者必须找出具 所以攻击者必须找出具 有相同Hash值且长度相等的两条报文 OR 长度不等，加入报文长度后hash相同的报文）

b位分组通过L次连接迭代通过压缩函数f，f输出n位

作用

1. 错误检测
2. 作为MAC，用于认证
3. 数字签名
4. 保密

SHA-1 HASH函数

SHA-0, 1, 2三种
SHA-2包括三个hash函数， SHA-256, SHA-384, SHA-512

SHA-1基础： MD5

SHA-1输入长度，小于$2^{6}4$位的报文，输出$160$位报文摘要
对输入按 512位分组

运算算法

1. 输入填充，让填充后的报文长度满足
   $$length=448mod512$$

• 在末尾加一个1和若干个0
• 本身已满足的话，为了避免二义性，添加512位（填充数介于1-512）

2. 初始化缓冲区

• 缓冲区：5个32位寄存器，保存160位的中间 or 最终结果
• 五个寄存器初始化如下：

A： 67452301

B： EFCDAB89

C： 98BADCFE

D： 10325476

E： C3D2E1F0
（大端模式存储）

3. 主处理

• 每次处理512位分组，循环次数 – L
  
• f压缩函数位核心
  • 四层运算（每层20步迭代）组成， 四层运算结构相同
  • 输入当前要处理的是512位的分组BLK和160位缓冲区ABCDE的内容
  • 每层要对ABCDE内容更新（逻辑函数f是不一样的）
  • 第四层输出与第一层输出相加得到最后结果

4. 输出

• 所有的L个512位的分组处理完后，第L个分组的输出即是160位的报文摘要

5. 归纳
   $$C{V}_0=IV$$
   KaTeX parse error: Undefined control sequence: \leL at position 29: …_i\quad 0\le i \̲l̲e̲L̲ ̲- 1
   具体如下

$$\begin{gathered} C{V}_{i+1}(0)=C{V}_i(0)+A_i \\ C{V}_{i+1}(1)=C{V}_i(1)+B_i \\ C{V}_{i+1}(2)=C{V}_i(2)+C_i \\ C{V}_{i+1}(3)=C{V}_i(3)+D_i \\ C{V}_{i+1}(4)=C{V}_i(4)+E_i \end{gathered}$$
上述的+是 mod 2^{32}加法

6. 压缩函数

缺点

• 输出B=输入A
• 输出D=输入C
• 输出E=输入D
• A、C、D没有运算

形式
$$\begin{gathered} A\leftarrow (E+f_t(B,C,D)+(A<<5)+W_t+K_t) \\ B\leftarrow A \\ C\leftarrow B<<30 \\ D\leftarrow C \\ E\leftarrow \end{gathered}$$

• 单轮对A,B,C,D,E进行20次迭代， 四轮共80次迭代 $0\le t\le 79$
• $<<s$表示32位变量左移s位
• $+$为 mod 32的加法
• 逻辑函数$f_t$四个轮次略有区别
  • $$f_1=f_t(B,C,D)=(B\wedge C)\vee (\neg B\wedge D)$$
  • $$f_2=f_t(B,C,D)=B\oplus C\oplus D$$
  • $$f_3=f_t(B,C,D)=(B\wedge C)\vee (B\wedge D)\vee (C\wedge D)$$
  • $$f_4=f_t(B,C,D)=B\oplus C\oplus D$$
    • 缺点： $f_2{f}_4$均为线性函数
• $K_t$ 加法常量，共有四个不同加法产量
  • 第一层 5A827999
  • 第二层 6ED9EBA1
  • 第三次 8F1BBCDC
  • 第四层 CA62C1D6
    • 缺点： 压缩字K作用范围太小，只影响A不影响B\C\D\E
• $W_t$：当前分组BLK导出的32位字
  • 每步使用从512位的报文分组BLK导出的一个32位的字$W_t$
  • 把BLK划分为16个32位的字($M_0,M_{15}$)，扩展到80个32位字($M_0,M_{79}$)
  • $$0\le t\le 15W_t=M_t$$
  • $$16\le t\le 79W_t=(W_{t-16}\oplus W_{t-13}\oplus W_{t-8}\oplus W_{t-3})<<1$$
    • 缺点： 压缩函数是线性函数； 压缩字$W_t$的作用范围太小(和K一样)

补充

• SHA-1可用
• MD-5不安全

SHA-2 HASH函数

• 三个Hash函数 SHA-256/384/512
• AES配套
• 安全性能更强
• 与SHA-1比较：结构相同、逻辑函数相同、mod运算相同

(单位：bit)	SHA-1	SHA-256	SHA-384	SHA-512
消息摘要长度	160	256	384	512
消息长度	<2^64	<2^64	<2^128	<2^128
分组长度	512	512	1024	1024
字长度	32	32	64	64
步骤数	80	64	80	80
安全性	80	128	192	25

安全性：对输出长度为n比特的hash函数的攻击产生碰撞的工具约为$2^{n/2}$

SHA-512

1. 输入长度 $<2^{128}$
2. 数据分组长度 1024
3. 输出长度 512

运算算法

1. 填充

• 使填充后的长度=896 mod 1024
• 已满足也需要填充（1个1 若干个0）

2. 附加长度

• 填充后附加128位的块，表示原消息长度

完成1、2步后，数据长度为1024的整数倍， 数据 / 1024为块数N，对其迭代处理

3. 初始化缓冲区

• 中间结果、最终结果存于512比特的缓冲区中，缓冲区使用8个64比特的寄存器(A,B,C,D,E,F,G,H)
  $$\begin{gathered} A＝6A09E667F3BCC908E=510E527FADE682D1 \\ B＝BB67AE8584CAA73BF=9B05688C2B3E6C1F \\ C＝3C6EF372FE94F82BG=1F83D9ABFB41BD6B \\ D＝A54FF53A5F1D36F1H=5BE0CD19137E2179 \end{gathered}$$

来源：前八个素数平方根，取小数部分前64个比特

存储方式：高有效字节存低字节位置（大端

4. 块处理

1024比特快的处理 + 80轮迭代运算

• 512bits缓冲区的ABCDEFGH为输入，更新缓冲区的值。第一轮时，缓冲区里的值是中间 缓冲区里的值是中间的Hash值$H_{i-1}$
• 每轮t使用64bit的$W_t$与常数$K_t$
• 迭代后输出$H_i$
• 存储方式：高有效字节存于低地址字节位置

5. 轮函数

前两个同SHA-1，后两函数不同
$$\begin{gathered} CH(E,F,G)=(E\wedge F)\oplus (\neg E\wedge G) \\ Maj(A,B,C)=(A\wedge B)\oplus (A\wedge C)\oplus (B\wedge C) \\ \sum _0^{512}=ROT{R}^{28}(A)\oplus ROT{R}^{34}(A)\oplus ROT{R}^{39}(A) \\ \sum _1^{512}=ROT{R}^{14}(E)\oplus ROT{R}^{18}(E)\oplus ROT{R}^{41}(E) \end{gathered}$$

• $ROT{R}^i(X)$表示X循环右移i位
• 附加常数$K_t$
  • 最小的80个素数开立方，取根的小数部分前64bit
  • 小数部分随机，消除数据中的规律性
• 压缩字$W_t$
  • 1024bit的块中取出，分为16个64位的$M_t$
  • $W_t=M_{t}0\le t\le 15$
  • $W_t={\sigma }_1^{512}(W_{t-2})+W_{t-7}+{\sigma }_0^{512}(W_{t-15})+W_{t-16}$
  • ${\sigma }_0^{512}(x)=ROT{R}^1(x)\oplus RTO{R}^8(x)\oplus SH{R}^7(x)$
  • ${\sigma }_1^{512}(x)=ROT{R}^{19}(x)\oplus RTO{R}^{61}(x)\oplus SH{R}^6$
  • $SH{R}^i(x)表示x左移i位右边填0$

函数变化
$$\begin{gathered} T_1=H+Ch(E,F,G)+({\Sigma }_1^{5}12E)+W_t+K_t \\ {T}_2=({\Sigma }_0^{512}A)+Maj(A,B,C) \\ A=T_1+T_2 \\ B=A \\ C=B \\ D=C \\ E=D+T_1 \\ F=E \\ G=F \\ H=G \end{gathered}$$
缺点：直接相等的太多

总结

1. SHA-512结构等同SHA-1
2. 前者输出长度更长，抗穷举攻击能力更强
3. 逻辑函数与后者差别不大 （SHA-1 20轮使用一个逻辑函数、 SHA-2 每轮4个逻辑函数）
4. 应用未开始、安全性暂时未检验