70、密钥哈希函数构造与消息认证码详解

密钥哈希函数构造与消息认证码详解

哈希函数在现代密码学中扮演着至关重要的角色，尤其是在数据完整性验证、消息认证等方面。本文将深入探讨密钥哈希函数的构造方法，以及基于哈希的消息认证码（HMAC）及其理论对应物嵌套消息认证码（NMAC）的相关内容。

前缀自由性的强制实现

在密钥哈希函数的构造中，前缀自由性是一个重要的概念。构造 16.1 是一个针对前缀自由对手的安全伪随机函数（PRF）域扩展器，但将对手类限制为前缀自由对手是一个显著的限制。为了强制实现前缀自由性，有两种扩展方法值得讨论。

• 确定性转换 ：对每个查询运行确定性转换，确保提供给构造 16.1 的消息是前缀自由的。一种选择是在消息前添加消息长度的编码。然而，这种方法的缺点是需要提前知道消息长度，这在实践中意味着需要“两次解析消息”，因此不适合长消息的纯流式计算。
• 随机化转换 ：使用随机化转换，例如以下随机哈希函数：

RFf(k, m)
1 :
r ←$ {0, 1}f.bl(λ)
2 :
y ←Ff(k, r∥m)
3 :
return (r, y)

在评估 Ff 之前，生成一个随机消息块并将其添加到消息前面。最终的哈希值是随机块和 Ff 评估结果的组合。虽然在这种情况下，对于最多进行多项式次数查询的对手，前缀自由性仅以压倒性概率保证，但之前的证明也适用于此随机化变体。

秘密前缀和后缀方法的安全性

• 秘